대구상의, ‘대구 기업 정보보호 관리체계 미흡’

대구상공회의소(회장 박윤경)가 최근 해킹, 랜섬웨어 등 사이버 위협이 급증하는 가운데 지역 기업의 정보보호 현황을 점검하기 위해 실시한 '정보보호 대응 실태 및 애로조사'(조사기간: 9.30~10.10, 조사대상: 대구소재 기업 443개사, 응답기업: 263개사, 응답률: 59.4%, 조사방법: 설문조사) 결과를 16일 발표했다.

조사 결과, 응답기업 중 정보보호 전담부서나 전담자가 있는 기업은 23.6%에 불과했으며, 타 부서에서 겸임하는 경우가 45.2%, 아예 담당 인력이 없는 기업도 31.2%에 달했다. 이는 상당수 기업이 정보보호를 독립된 핵심 경영 활동이 아닌 부수적 업무로 인식하고 있음을 보여줬다.

정보보호 관련 예산 편성 수준도 낮았다. 별도 예산을 편성하지 않은 기업이 70.0%로 압도적으로 많았으며, 'IT 등 타 예산에 일부 포함'은 20.5%, '별도 예산 편성'은 9.5%에 불과했다.

또 정보보호 교육과 훈련도 체계적으로 이뤄지지 않고 있었다. '연 1회 이상 정기적으로 교육을 실시한다'는 기업은 31.2%에 그쳤고, '필요 시 비정기적으로 실시'가 35.0%, '전혀 실시하지 않는다'는 기업이 33.8%에 달했다.

국제 인증과 내부 정책 보유율도 낮았다. 응답기업의 12.8%만이 ISO/IEC 27001 등 국제 인증을 보유하고 있었으며, 정보보호 관련 사내 정책이나 지침을 마련한 기업도 5곳 중 2곳에 불과했다.

특히, 정보보호 관리체계의 미흡한 실태는 기업 규모가 작을수록 더욱 두드러졌다. 100인 미만 사업장의 경우, 정보보호 관련 전담부서나 전담자가 있는 기업은 11.0%에 불과한 반면, 100인 이상 사업장은 64.5%에 달해 뚜렷한 차이를 보였다.

예산 편성 수준에서도 유사한 차이가 나타났다. 100인 미만 사업장은 18.9%만이 정보보호 예산을 반영한 반면, 100인 이상 사업장은 66.1%가 관련 예산을 편성한 것으로 조사돼 규모에 따른 정보보호 투자 여력의 차이가 확인됐다.

한편 응답기업의 14.1%는 실제 정보 침해 사고를 경험한 것으로 조사됐다. 이 중 73.0%가 랜섬웨어(Ransomware) 공격을 받았으며, 디도스(DDoS) 공격(24.3%), 피싱(phishing)(10.8%) 등의 피해가 뒤를 이었다. 피해 유형으로는 업무 중단과 시스템 복구 비용이 73.0%로 가장 많았고, 금전 요구 대응(13.5%), 기술 유출 및 기업 정보 손실(5.4%) 등이 뒤따랐다.

기업들이 정보보호 활동을 추진하면서 겪는 주요 애로사항으로는 '시스템 도입 및 운영의 어려움(49.0%)'이 가장 많이 꼽혔으며, 이어서 '전문 인력 부족(39.9%)', '예산 부족(35.7%)', '낮은 정보보호 인식(20.5%)' 순으로 나타났다.

정부와 지자체에 바라는 지원정책으로는 '정보보호 시스템(솔루션) 도입 지원'이 50.4%로 가장 많았고, '중소기업 맞춤형 가이드라인 제공(40.1%)', '컨설팅 및 기술 점검 지원(33.6%)', '교육 프로그램 제공(20.9%)' 등이 뒤를 이었다.

또한 이번 조사에서는 최근 발생한 국가정보자원관리원 화재로 인한 피해 실태도 함께 조사했다. 응답기업의 26.2%가 정부 전산망 장애로 인해 업무 차질을 겪었다고 답했다. 특히 나라장터 등 국가조달시스템 이용과 정부24 등 민원 증명서 발급에 불편을 겪은 것으로 나타났다.

이상길 대구상의 상근부회장은 “지역 중소기업의 정보보호 수준은 여전히 초기 단계에 머물러 있으며, 인력과 예산 부족으로 인해 자체 대응이 쉽지 않은 현실”이라며, “정부와 지자체가 중소기업의 규모와 여건에 맞춘 맞춤형 지원 정책을 마련하고, 지역 내 전문 인력 양성 및 컨설팅 지원을 강화할 필요가 있다”고 강조했다.