[시론] 보안은 `공짜`가 아니다

지금 정보보호시장은 1조원 규모로 큰폭 성장
여전히 보안 인식은 뒤져 개인정보 투자에 인색
부처 중심 책임보안으로 정책 변화는 긍정적

우리나라 정보보호 벤처가 막 시작되었던 때로 기억한다. 이름만 되면 누구나 알 수 있는 분이 우리나라 정보보호시장 규모를 두고 껌 값보다 못하다는 이야기를 한 적이 있었다. 필자 또한 정보보호에 산업이라는 단어를 함께 사용하다 산업이라는 단어를 그렇게 함부로 아무데나 사용하는 것이 아니라는 핀잔을 들었던 때가 있었을 정도다. 물론 호랑이 담배 피던 시절은 아니지만 1997년 지금으로부터 불과(?) 20년 전의 일로, 정보보호 매출 규모조차 잡지 못하고, PC에 함께 섞여 팔던 PC 방화벽이 거의 전부이었던 시절 그리고 5년 후인, 2002년 우리나라 정보보호 국내 시장 매출 규모 목표를 2000억으로 잡았던 시절이 있었다.

20년이 지난 지금, 1조 이상 정도의 규모로 약 5배 정도 시장이 늘어났으며 정보보호 기업체 수와 정보보호 전문 인력 또한 많은(?) 성장을 했다. 그리고 그때 보다 정보보호에 대한 정부나 기업 그리고 개인의 인식 또한 크게 바뀌었다. 이제는 정보보호를 하겠다는 인력도 많아졌으며 정보보호로 기업을 하겠다는 기업도 늘어났으며 개인정보보호법과 정보보호산업진흥법 등 개인정보와 정보보호에 관한 법 제도 또한 크게 개선됐다.

그러나 아직도 바뀌지 않는 것은 시큐리티에 대한 공짜 인식이다. 그리고 여전히 바뀌지 않는 것은 "소 잃고 외양간도 안 고친다(?)"는 그때 나의 속담을 지금도 계속 사용할 수 있다는 것이고 앞으로도 전문가가 아닌 누구라도 또 다른 개인정보 유출 사고와 해킹 사건들이 여전히 일어날 것이라고 쉽게 예단할 수 있다는 것이다.

지금도 정보보호에 대한 인식의 전환이 없는 것이다. IT나 인터넷 환경 변화로 해킹이나 사이버 범죄나 사이버 테러 등의 환경은 크게 바뀌었지만 여전히 시큐리티를 공짜로 대하려는 문화, 그리고 보안은 다른 누가 해주는 것이지 내가 하는 것이 아니라는 인식 그리고 재수 없이 사고가 난 것이며 나만 아니면 된다는 인식은 그때나 지금이나 여전히 변한 것이 없으며 바뀌지 않고 있다.

국가는 국가정보원 등이 보안을 해주고 나머지 정부 부처는 그저 하라는 대로 하면 되는 것이고 공공기관이나 기업 또한 정부의 규제를 지키면 되고 그 이상도 관심을 가지려고 하지 않는 것이며 자율보다 타율에 익숙해져 있는 그 모습 그대로 급변하는 보안 환경을 맞이하고 있는 것이다. 물론 개인도 편리함이나 저비용 등에만 익숙해져 자신의 자산이나 개인정보를 스스로 지키고자 하는 것보다 누가 대신해주어야 한다고 생각하는 것은 지금도 여전하다.

오히려 보안을 비용으로 보고 투자하지 않으려고 한다. 기업은 직원의 커피를 제공하는 등 복지 예산은 투자하면서도 기업의 영업 비밀과 각종 개인정보를 지키는 것은 비용으로 생각하고 보안 투자에 인색한 것은 어제 오늘의 일이 아니다. 최소한의 비용 부담으로 최소한의 보안 컴플라이언스를 준수하려고만 하고 보안에 대한 규제를 줄여달라고 목소리만 내고 있다.

보안은 누가 대신해 주지 않는다. 보안은 결코 공짜로 이루어지지 않는다. 정부의 각 부처는 보안을 스스로 해야 하며 스스로 책임을 져야 한다. 기업도 보안을 스스로 해야 한다. 정부의 규제는 최소한의 요건이므로 급변하는 보안 환경에 대비하여 투자하고 적극적으로 기업 스스로 대처해야 한다. 개인도 물론 보안을 스스로 해야 한다. 비밀번호 하나만이라도 제대로 사용해야 한다. 편리한 보안이 있다고 해서 결코 보안이 쉽게 이루어지지 않는다. 그나마 다행인 것은 보안에 대한 사전 규제에서 사후 책임 자율 규제로, 국가정보원 중심에서 각 부처 중심의 책임 보안으로 정부의 보안 정책이 변화하고 있는 것은 그나마 다행이라고 생각한다.

다시 한번 더 말하지만 보안은 누가 대신해 주지 않으며, 결코 공짜로 이루어지지 않는다. "Security is not free."


박춘식 한국정보보호학회 회장·서울여대 정보보호학과 교수