인재 떠나고 예산 밀리고···IT 강국이 보여준 ‘사상누각’

[사진=셔터스톡, 그래픽=김진영 기자]

[이뉴스투데이 김진영 기자] 한국은 세계 최고 수준 인터넷 보급률과 반도체·스마트폰 경쟁력을 기반으로 ‘IT 강국’이라 불렸지만 최근 보안 사고가 주요 산업을 잇달아 강타하며 명성이 흔들리고 있다. SKT, KT, 롯데카드, SGI서울보증, 영풍문고 등에서 해킹·정보 유출이 이어졌고, 피해 규모와 사회적 파장은 갈수록 커지고 있다. 단순한 시스템 미비를 넘어 인재와 연구개발(R&D) 기반 취약성이 드러난 결과라는 분석이 나온다.

한국인터넷진흥원(KISA)에 따르면 지난해 국내 정보보호기업의 33.5%가 인재 확보에 어려움을 겪었다. 운영·관제 분야는 37.3%, 연구개발 분야는 35.7%가 공백을 호소했다. 인력 공백 속에 사고 대응은 늦어지고, 낮은 보상과 책임 전가 관행이 겹치면서 보안 직군 기피 현상이 심화하고 있다는 우려가 제기된다.

해킹 사고가 발생하면 책임이 경영진이 아닌 실무자에게 집중되는 구조가 굳어져 젊은 인재 유입을 막고 있다. 국내 정보보호 종사자의 63.8%가 겸업으로, 전담 인력이 부족하다 보니 사고 발생 시 조직적 대응이 어려워 책임이 개인에게 집중된다. KISA 조사에서도 보안 업계 종사자들이 꼽은 최대 애로 요인은 ‘책임 부담’으로 나타났다.

글로벌 기업과의 보상 격차도 뚜렷하다. 노동통계국(BLS)에 따르면 미국 사이버보안 전문가의 평균 연봉은 12만7000달러(약 1억7800만원) 수준으로 현지 IT 평균을 웃돈다. 반면 국내 보안 기업 종사자는 상당수가 6000만원 안팎에 머물고, 일부 중소 보안 조직은 5000만원대에 불과하다. 한국 전체 대기업 평균 연봉이 7100만원, 중소기업이 4400만원 수준이라는 점을 고려하면 간극은 더 크게 부각된다.

정부는 2022년부터 2026년까지 신규 4만명, 재교육 6만명 등 총 10만명의 사이버 보안 인재 양성을 목표로 내걸었다. 2023년 예산 220억원을 편성, 올해도 비슷한 규모를 유지하고 있다. 그러나 업계에서는 수치 채우기에 급급하다는 비판이 거세다. 양성 프로그램 수료생 상당수가 보안 직군이 아닌 일반 IT 개발·운영 부서로 진출하거나, 더 나은 처우를 찾아 해외 기업으로 옮기는 경우가 적지 않기 때문이다.

국내 보안 산업의 전문 인재 풀은 여전히 수요에 못 미친다. 미국과 유럽이 실무형 훈련과 경력 관리 체계를 통해 장기적으로 인재를 축적하는 것과 달리, 한국은 대부분 6개월~1년 단기 취업 스펙용 교육에 머물러 있다. 단기 교육으로 인력 수만 채우는 방식에서 벗어나 실습·인턴십·경력 트랙을 제도화, 실습 중심 교육과 기업 연계형 트레이닝, 장기적 커리어 패스 설계 등 질적 정착을 위한 제도적 보완이 필요하다는 지적이 나온다.

인력 문제만큼이나 심각한 것이 낮은 연구개발(R&D) 투자다. 국내 보안 기업의 연구개발 비중은 매출 대비 5% 수준에 머문다. 반면 글로벌 시장은 인공지능(AI) 기반 위협 탐지, 클라우드 보안, 양자암호 등 차세대 기술에 수십억 달러가 투입되고 있다. 미국과 유럽은 국가 전략 차원에서 연구 지원을 확대, 중국도 14차 5개년 계획에 사이버 보안을 전략 산업으로 포함해 대규모 투자를 이어가고 있다.

이런 격차는 정부 예산에서도 드러난다. 미국 사이버보안청(CISA)의 2024년 예산은 약 30억달러(약 3조9000억원)에 달한다. 유럽연합(EU)도 유럽방위펀드(EDF) 등을 통해 해마다 수억 유로 규모를 사이버보안·방위 기술에 배정하고 있다. 반면 한국은 과기정통부와 산업부 예산을 합쳐도 1000억원 안팎에 머물러 글로벌 대비 차이가 크다.

민간 보안 투자도 여전히 낮다. 국내 기업의 IT 예산 대비 보안 투자 비율은 평균 6.3%로 미국 기업 평균치인 13.2%의 절반 수준에 그친다. 삼성전자와 SK텔레콤 역시 각각 5.4%, 4.2%만을 정보보호에 배정한 것으로 조사됐다. 카드사 8곳의 경우 정보보호 전담 인력 비중이 평균 11.3%에 불과하고, 일부는 전체 예산에서 보안이 차지하는 비중이 0.3%대에 머물렀다. 국내에서 사이버 보안이 여전히 필수 투자보다 부차적 비용으로 취급되고 있음을 방증한다.

한 보안업계 관계자는 “국내 보안 스타트업이 글로벌 수준의 위협 대응 기술을 개발하기엔 자금과 인재 모두 부족하다”며 “이대로 해외 의존이 커지면 사이버 주권까지 흔들릴 수 있다”고 경고했다. 이어 “보상 체계와 책임 구조를 개선해 종사자 사기를 높이고, R&D 투자 확대와 세제 성과급, 해외 인재 유치 전략이 병행돼야 한다”고 강조했다.

정치권에서도 비판이 나온다. 김우영 더불어민주당 의원은 “정부가 내세운 ‘10만 인재 양성’은 실제 보안 역량 강화로 이어지지 못하고 있다”며 “단순히 숫자만 채울 게 아니라 임금·근무 여건·경력 관리까지 포괄하는 인력 관리 체계가 시급하다”고 평가했다.