[뉴스토마토 홍연 기자] GS건설 아파트 커뮤니티 시설 예약관리시스템 해킹을 계기로 입주민 개인정보 보안 우려가 커지는 가운데, 주요 건설사들의 정보보호 투자는 사실상 제자리걸음이고 일부 기업은 보안 인력 부족 문제도 겪고 있는 것으로 나타났습니다.
3일 한국인터넷진흥원(KISA) 정보보호 공시 종합포털에 따르면 올해 공시(지난해 실적 기준)를 낸 시공능력평가 10위권 건설사 8곳의 정보보호 투자액은 총 330억1454만원으로 전년 대비 1.3% 늘어나는 데 그쳤습니다. 이 중 GS건설·대우건설·DL이앤씨·포스코이앤씨 4곳은 오히려 투자를 줄였습니다. DL이앤씨는 28억원에서 24억원으로 14.3% 감소해 감소 폭이 가장 컸습니다.
전체 정보기술(IT) 투자액 대비 정보보호 투자액 비중은 8곳 모두 15%를 밑돌았습니다. 평균은 약 8%로, 현대건설이 12.5%로 가장 높고 DL이앤씨가 4.2%로 가장 낮았습니다. 대우건설은 IT 투자를 27% 늘렸지만 정보보호 투자는 18억원대에 머물러 비중이 7.9%에서 6.2%로 떨어졌습니다. 공공부문은 국가 사이버보안 기본지침에 따라 정보화 예산의 15% 이상을 사이버보안 예산으로 확보해야 합니다. 민간기업에 적용되는 의무는 아니지만, 개인정보를 대량으로 다루는 만큼 위험평가를 바탕으로 투자를 늘려야 한다는 지적이 나옵니다.
(그래픽=뉴스토마토)
정보보호최고책임자(CISO) 겸직도 늘었습니다. 2022년 공시를 낸 6곳은 모두 겸직이 아니었지만 올해는 8곳 중 6곳이 겸직이었습니다. 올해 현대건설과 DL이앤씨도 겸직 체제로 바뀌었습니다. 겸직하지 않는 임원급 CISO는 삼성물산뿐입니다. CISO가 다른 직책을 겸하면 보안 업무의 독립성이 약해질 수 있다는 지적이 나옵니다. 특히 IT 시스템의 구축·운영 효율성을 중시하는 CIO와 보안 위험을 관리·통제하는 CISO는 업무상 우선순위가 달라질 수 있어, 겸직할 경우 보안 관련 의사결정의 독립성이 훼손될 우려가 있다는 것이 전문가들의 의견입니다.
내부 보안 인력도 부족합니다. GS건설은 임직원 약 5700명 가운데 정보보호 내부 인력이 5명에 불과합니다. 최근 5년간 내부 인력은 3.3~5명 수준에 머물렀습니다. IPARK현대산업개발은 정보보호 인력 5명 중 4명이 외주 인력이었습니다. 현대엔지니어링은 2022년 한 차례 자율 공시 후 4년째 공시를 하지 않고 있고, SK에코플랜트는 공시 이력이 없습니다. 정부는 2027년부터 공시 의무를 전체 상장사로 넓히기로 했지만, 비상장 대형 건설사 중 별도 의무 요건에 해당하지 않는 곳은 여전히 사각지대로 남을 수 있습니다.
건설사들은 출입 관리부터 시설 예약, 스마트홈 제어까지 입주민 플랫폼(전용 앱)을 늘리고 있지만, 그만큼 유출될 수 있는 정보의 범위도 넓어졌습니다. 이번 GS건설 사고에서는 이름·연락처뿐 아니라 출입용 RF카드번호와 관리자 ID까지 유출 가능 항목에 포함됐습니다.
염흥열 순천향대 정보보호학과 교수는 "입주 이후 플랫폼 운영이 협력사로 넘어가는 경우가 많은 만큼 연계된 회사의 보안관리까지 점검해 취약점을 메워야 한다"며 "출입 통제에 쓰이는 안면인식 등 생체정보는 민감정보인 만큼 플랫폼 차원의 보호 대책이 필요하다"고 말했습니다.
홍연 기자 hongyeon1224@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 강영관 산업2부장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지