SKT 해킹 파문에 통신 3사 보안 조직 및 투자 현황 주목 받아
투자액 1위 KT, 정보보호 총괄하는 CISO는 장기 부재

[보안뉴스 조재호 기자] SKT 해킹 사태로 통신사 보안에 대한 관심도가 높아졌다. 이 가운데 KT는 통신 3사 중 최근 가장 큰 규모의 투자를 집행해 눈길을 끄는데, 업계 시선이 곱지만은 않다. KT의 정보보호를 총괄하는 정보보호최고책임자(CISO) 자리가 장기간 비어 있기 때문이다.


[자료: gettyimagesbank]

지난달 30일 SKT 사태 관련 국회 청문회에서 통신 3사 정보보호 투자 규모가 눈길을 끌었다. 업계 1위 SKT가 600억원, 가입자 1인당 약 2400원을 집행해 정보보호 투자 규모는 가장 작았기 때문이다. 반면, KT는 1218억으로 가장 많이 투자했고, LG유플러스도 632억으로 전년 대비 116% 늘었다.

KT가 외형상 투자가 가장 크지만, CISO 자리를 오랜 기간 비워 두고 있다는 점에서 업계는 반신반의하고 있다. 단기간에 실적을 높이기 위한 경영 기조를 정보보호 분야에도 적용하려 해 적절한 인재를 찾을 수 없다는 비판이 제기된다.

보안업계의 한 관계자는 “KT는 CISO로 정보보호뿐만 아니라 돈을 벌 수 있는 비즈니스에도 능통한 인력을 원하고 있다”며 “최근 인공지능(AI) 기술 발전 등 보안 환경이 급변하며 보안 인력 구성 자체가 어려운 상황인데 무리한 욕심을 내고 있다”고 말했다.

이는 위협에 대한 사전 대비에서 불가피한 공격 이후 대비까지 포괄하는 대응 태세를 준비해야 하는 현재의 보안 환경에 맞지 않다는 우려다.

디지털 인프라의 확산으로 공격 대상이 될 수 있는 범위가 늘어남에 따라 매일 새로운 취약점이 발견되고, AI 발전에 힘입어 하루에도 수없이 많은 공격이 상시적으로 벌어지는 상황이다. 이에 따라 단순히 공격을 막는 것뿐 아니라 사후에 적절히 대처하는 사이버 복원력도 중요해지고 있다.

이런 과정을 조율하고 주도할 CISO의 중요성이 그만큼 커졌다.

이번 SKT 해킹 사고와 이후 과정에서 SKT가 보여준 우왕좌왕하는 모습은 평소 대비가 충분하지 못한 현실을 반영한다는 평가다. AT·DT센터 산하 정보보호실장이 맡고 있는 CISO 자리를 C레벨로 올려야 한다는 말이 나오는 이유다.

비즈니스 실적을 함께 챙겨야 하는 CISO라면 정보보호의 원칙에 충실한 대응이 가능할지 우려도 제기된다.

CISO를 중심으로 체계적으로 준비해 두지 않으면, 정보보호 투자를 늘이고도 정작 문제가 생겼을 때 체계적 대응에 실패하며 문제를 키울 수도 있다.

한편, LG유플러스는 2023년 고객정보 유출 사고 후 홍관희 정보보안센터장을 CISO 겸 최고프라이버시책임자(CPO)로 영입해 보안체계를 강화하는 모습을 보이고 있다.

[조재호 기자(sw@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>