[단독]제약 빅5 ‘보안 불감증’…정보보호책임자 ‘겸직’에 보안인력 100% 외주까지

환자 정보, 생체정보 등 초민감 데이터를 다루는 제약기업들이 해커들의 주요 표적이 되고 있는 가운데, 국내 전통 제약사 빅5의 정보보호 체계에 여전히 허점이 존재하는 것으로 나타났다. 최근 글로벌 제약사 노보 노디스크가 해킹을 당했고, 국내 여러 기업들이 잇따라 피해를 입는 가운데 제약사들은 정보보호 조직의 독립성과 전문성을 충분히 확보하지 못하고 있는 모습이다. 종근당, 한미약품, 대웅제약이 이달 말 공시할 정보보호 공시 내용을 18일 디지털타임스가 단독 입수한 결과 이들 3개사에 유한양행, GC녹십자를 더한 국내 전통제약사 '빅5'는 최고정보보호책임자(CISO)와 최고개인정보보호책임자(CPO)의 역할이 명확히 분리되지 않는 등 여러 미비점을 안고 있다. 먼저 유한양행의 경우 CISO가 정보기술실장을, CPO가 경영관리본부장을 각각 겸직하고 있다. 이런 구조는 2023년 이후 3년째 유지되고 있다. 특히 유한양행의 CISO는 임원이 아닌 직원급이다. 정부는 정보보호 예산 확보와 의사결정의 신속성을 높이기 위해 K-환경·사회·지배구조(ESG) 가이드라인에서 CISO를 등기 임원이나 미등기 임원으로 선임하도록 권고하고 있다. 유한양행은 올해 1분기 기준 자산총액이 3조원대로 현행 정보통신망법 시행령상 CISO 임원 선임이 의무는 아니지만, 자산총액이 5조원이 넘게 되면 임원 선임 의무가 부여된다. 종근당은 컴플라이언스 담당이 CISO, CPO를 겸직하고 있다. 또 GC녹십자는 임원급 CISO가 CPO를 겸임하고 있으며 디지털혁신실장 역할도 함께 수행하고 있다. 2022년 이후 현재까지 별도 CPO를 따로 선임하지 않고 있다. GC녹십자 관계자는 "현재 CPO 선임을 위해 적합한 인물을 내부적으로 검토하고 있다"고 설명했다. 한미약품은 2023년과 2024년 CISO·CPO 겸임 임원이 정보팀장을 겸직하던 체제였다가 지난해 7월에서야 임원급 CISO를 선임했다. 대웅제약도 한 사람이 CISO와 CPO를 겸임하고 있으며 공급망관리(SCM)혁신 TFT장 역할도 수행하고 있다. 김도승 전북대 법학전문대학원 교수는 "CISO와 CPO의 겸직이 법적으로 금지돼 있는 것은 아니나 대규모 개인정보 유출사고나 인공지능(AI) 거버넌스 이슈처럼 기술적·법률적 판단이 동시에 요구되는 상황에서는 한 사람이 두 직책의 책임을 모두 감당하기 어렵다"고 지적했다. 인력 운영 측면에서도 우려가 제기된다. 한미약품과 대웅제약은 정보보호 전담인력 전원을 외주에 의존하고 있는 것으로 나타났다. 이에 대해 대웅제약 관계자는 "정보보호 전담인력은 지주사인 ㈜대웅 소속의 인원으로, 앞으로 정보보호 업무와 조직 운영 상황 등을 종합적으로 고려해 인력 운영 방향을 검토해나갈 예정"이라고 말했다. 비상 상황 발생시 자체 대응할 수 있는 능력을 확보하기 위해 책임감 있는 내부 인력의 비중을 늘릴 필요가 있다는 게 전문가들의 견해다. 김 교수는 "무분별한 외주 발주는 보안 위협 포인트를 증대시키는 원인이 될 수 있다"며 "특히 정보보호 업무를 100% 외주에 맡기는 것은 관리책임을 외부에 전가하는 것"이라고 지적했다. 대웅제약은 투자 측면에서도 거꾸로 가는 모습을 보였다. 빅5 중 4개사에서는 정보기술(IT) 투자액 중 정보보호 투자 비중이 증가하는 추세를 보였는데 대웅제약의 해당 비중은 2022년 13%대에서 2024년 7%대로 낮아졌다. 투자 규모도 13억9000여만원에서 9억1000여만원으로 34%나 줄었다. 대웅제약은 이달 말 공개할 2025년도 정보보호 투자액을 공개할 예정이다. 김수연 기자 newsnews@dt.co.kr