하루가 멀다 하고 사이버 침해사고 신고와 개인정보 유출 공지가 이어진다. 기업과 공공기관을 가리지 않는다. 사이버 공격이 일상화하면서 이를 조사하고 대응해야 할 정부 기관의 부담도 커지고 있다.
과학기술정보통신부와 한국인터넷진흥원(KISA)에 접수된 침해사고 신고는 2024년 1887건에서 지난해 2383건으로 26.3% 증가했다. 올해 상반기에도 1236건이 접수돼 전년 동기보다 19.5% 늘었다. 개인정보 유출 신고 역시 올해 상반기 432건으로 지난해 연간 447건에 육박했다.
하반기 들어 개인정보 유출 관련 신고와 공지가 잇따르는 배경에는 지난 9월 시행된 개인정보 보호법 개정이 자리한다. 중대·반복 위반 등에 대한 과징금 상한이 전체 매출액의 10%까지 높아지고, 일정 요건에서는 유출이 확정되지 않아도 정보주체에게 통지해야 한다.
문제는 사건을 처리할 행정 역량이다. 개인정보위가 국회에 제출한 자료에 따르면 지난해 사건 조사 착수부터 의결까지 평균 345일이 걸렸다. 올해 상반기에는 369일로 늘었고, 6월 말 기준 조사 중인 사건도 882건에 달했다. KISA 역시 올해 침해사고 대응 인력 84명 증원을 요청했지만 실제 반영된 인원은 7명에 그쳤다.
기업에 보안 투자와 신고 의무를 강화하는 방향은 옳다. 그러나 사고를 조사하고 피해 확산을 막아야 할 정부 기관의 인력과 예산이 뒷받침되지 않는다면 규제의 실효성도 떨어진다. 조사 전문인력 확충과 사고 분석 역량 강화가 시급하다.
이런 측면에서 사이버보안에 대한 과감한 투자가 어느 때보다 시급하다. 국회는 지난해 국가정보자원관리원 화재 이후 2026년 정부 예산안에 긴급복구와 재해복구체계 개선 등을 위한 예산 3924억원을 즉시 반영했다. 사이버보안에도 그에 못지않은 결단이 필요한 시점이다. 기업에 책임만 요구하면서 정작 이를 감독하고 지원할 기관의 역량 강화에 소극적이어서는 안 된다.
박진형 기자 jin@etnews.com
