공공 보안은 구멍인데…국가는 아직도 ‘최저가’만 본다

[이데일리 권하영 기자] 공공기관 개인정보 유출 사고가 수년째 반복되자 정부가 제도적 보안 강화에 나섰지만, 정작 공공 보안 사업을 떠받치는 조달 시장은 여전히 ‘최저가 경쟁’의 틀에서 벗어나지 못하고 있다. 관리·감독 체계는 고도화되고 있지만, 현장의 예산 집행과 사업 발주 구조는 과거 관행에 머물러 정책과 현실 사이의 괴리가 크다.

챗GPT 생성 이미지

4일 정부 당국에 따르면 개인정보보호위원회는 현재 공공기관 653곳을 대상으로 개인정보 보호 시스템과 전담 인력 현황에 대한 전수 조사를 진행하고 있다. 최근 공공 부문 전반에서 정보보안 실태에 대한 우려가 커지면서, 공공기관의 개인정보 보호 수준을 점검·강화하기 위한 조치다.

실제 감사원이 지난달 27일 공개한 ‘개인정보보호 및 관리실태’ 감사보고서에 따르면, 2021년부터 2024년까지 공공 부문에서 발생한 개인정보 유출 규모는 약 825만 건에 달한다. 이 중 외부 해킹에 의한 유출이 95.5%를 차지해, 공공기관의 보안 대응 역량이 구조적으로 취약하다는 점이 수치로 확인됐다.

이에 개인정보위는 공공기관의 개인정보보호 관리체계(ISMS-P) 인증 의무화 등 제도 개선에 착수한 상태다. 송경희 개인정보위원장은 “공공기관이 솔선수범해 개인정보 유출에 대한 경각심을 가져야 한다”며 책임 강화를 거듭 강조한 바 있다.

◇나라장터 분석해보니…‘5억 미만·저가 낙찰’ 일색

그러나 보안 업계는 제도적 관리 강화만으로는 한계가 명확하다고 지적한다. 공공 보안의 품질을 좌우하는 조달 시장 구조 자체가 여전히 저가·저품질을 유도하고 있어서다.

이데일리가 조달청 나라장터에 올라온 정보보안 시스템 구축·유지보수와 관제 및 컨설팅 등 보안 사업을 분석한 결과, 2025년 기준 총 399건의 낙찰 사업 중 73.2%가 5억 원 미만의 소액 사업이었으며 1억 원 미만 사업도 39.1%에 달했다. 반면 10억 원 이상 사업은 15.3%에 불과했으며, 100억 원 이상 대형 프로젝트는 대법원이 발주한 ‘사법부 보안관제 사업’(107억6340만 원) 단 1건에 그쳤다.

특히 주목할 것은 낙찰률이다. 지난해 공공 보안 사업의 평균 낙찰률은 약 96% 수준이었으며, 특히 2개사 이상 참여한 경쟁 입찰이면 평균 낙찰률이 92%까지 떨어졌다. 이 기간 251건(88.7%)이 100% 미만 낙찰률을 보였는데, 이는 공공기관이 제시한 가격보다도 낮은 가격으로 업체가 덤핑 수주를 했다는 의미다.

이 같은 저가 수주 구조는 고질적인 예산 제약과 함께 국가계약법에 따른 최저가 중심 입찰 관행이 맞물린 결과로 분석된다. 한 보안 업체 관계자는 “보안은 신규 취약점 대응과 업데이트가 핵심인데, 초기 납품 단가가 낮아지면 이후 유지보수 사업에서도 기준 금액이 낮아져 덤핑 구조가 고착된다”고 말했다.

◇“보안은 인프라인데”…최저가 구조의 역설

전문가들은 최저가 중심의 공공 조달 구조가 결국 보안 품질 저하로 되돌아올 수밖에 없다고 지적한다. 수익성이 담보되지 않는 환경에서는 숙련 인력 투입이나 지속적인 서비스 고도화가 어려워지고, 이는 공공 시스템 전반의 취약성으로 이어질 수 있다는 것이다. 장기적으로는 공공 시장 의존도가 높은 국내 보안 산업의 기술 경쟁력을 약화시키는 악순환을 초래할 수 있다는 우려도 제기된다.

조영철 한국정보보호산업협회 회장은 “공공 보안 사업을 가격 중심으로만 평가할 경우 기업들은 품질보다 단가 맞추기에 집중할 수밖에 없다”며 “보안 사고가 사회 전반에 미치는 파급력을 고려하면 정보보호 제품과 서비스만큼은 별도의 조달 기준을 마련할 필요가 있다”고 강조했다.

정부 예산안 세부 지침에 정보보호 서비스에 대한 명확한 적용 기준을 담는 방안도 대안으로 거론된다. 보안 업계 관계자는 “보안은 단순한 소모품이 아니라 국가 안전을 지탱하는 인프라”라며 “기술력과 서비스 역량을 제대로 평가할 수 있도록 입찰 제도 개선이 병행돼야 한다”고 말했다.