"잊을 만하면 또 유출" 대한민국 사이버 보안을 무너뜨리는 진짜 원인

"고객님의 소중한 정보가 유출되었습니다."

이제는 낯설지 않은 문장입니다. 또 하나의 기업이 해킹당했다는 뉴스에 우리는 분노하고 불안해하지만, 어느새 "어차피 내 정보는 공공재인데"라며 씁쓸하게 체념하곤 합니다. 대한민국은 세계가 인정하는 IT 강국이지만, 왜 사이버 보안 앞에서는 반복적으로 무너지는 걸까요?

티오리한국은 수많은 기업과 기관의 보안 컨설팅을 수행하며, 왜 보안 사고가 반복되는지에 대해 꾸준히 고민해왔습니다. 최근 티오리한국의 박세준 대표는 유튜브 채널 ‘조코딩’의 팟캐스트 출연해 한국 사회가 왜 같은 유형의 유출 사고에 무기력하게 대응할 수밖에 없는지 언급한 바 있는데요,

이번 글에서는 지난 인터뷰 내용을 바탕으로, 한국 사회가 반복되는 유출 사고에 제대로 대응하지 못하는 진짜 이유—기술이 아닌 ‘인식’과 ‘문화’의 문제—에 대해 이야기해보려 합니다.

보안은 ‘비용’일까, ‘투자’일까?

많은 기업이 보안을 '비용'으로 여깁니다. 기능 개발이나 마케팅처럼 매출로 바로 이어지는 분야와 달리, 보안은 투자해도 당장 눈에 띄는 성과가 없습니다. 그래서 경영진의 우선순위에서 뒤로 밀리기 일쑤입니다.

하지만 보안은 조용할수록 성공적인 영역입니다.

위협이 없어서가 아니라, 치열하게 막아내고 있기 때문에 조용한 것이죠. 하지만 이 가치를 인정받지 못하는 경우가 많습니다.

결국 이는 "소 잃고 외양간 고친다"는 악순환으로 이어집니다. 평소에는 보안 투자를 미루다가 대규모 해킹 사고가 터지고 나서야 부랴부랴 막대한 비용을 들여 사태를 수습합니다. 하지만 이미 고객의 신뢰는 무너지고 기업 이미지는 실추된 뒤입니다. 유출된 데이터는 다크웹을 떠돌며 2차, 3차 피해를 낳습니다.

이 모든 사회적·경제적 손실을 생각하면, 평소의 보안 투자가 훨씬 더 경제적입니다.
하지만 우리는 그 사실을 알면서도 외면해왔습니다.

"어차피 내 정보는 공공재"라는 체념의 악순환

문제는 기업에만 있는 것이 아닙니다.
“어차피 내 정보는 다 털렸잖아”라는 자조적인 농담은, 우리 사회에 만연한 보안 무감각증과 체념의 문화를 상징합니다.

이러한 인식은 생각보다 훨씬 파괴적인 악순환을 낳습니다.

• 개인이 데이터 유출에 무감각해지고 문제제기를 포기하면,

• 기업은 보안 개선에 대한 압박을 느끼지 않고,

• 정부와 국회도 강력한 규제를 추진할 정치적 동력을 잃게 됩니다.

하지만 해외의 경우는 다릅니다.

예를 들어 미국에서는 한번 대규모 정보 유출 사고가 발생하면, 정부의 과징금뿐만 아니라 소비자들이 제기하는 '집단 소송(Class Action)'으로 기업이 존폐의 기로에 서기도 합니다. 이러한 강력한 장치는 기업이 보안을 단순한 규제 준수 차원이 아니라, 생존과 직결된 핵심 경영 요소로 인식하게 만듭니다.

우리는 무엇을 해야 하는가: '보안 강국'으로 가는 길

반복되는 사고의 고리를 끊기 위해서는 기업, 정부, 그리고 우리 모두의 변화가 필요합니다.

• 기업: 보안은 더 이상 IT 부서만의 일이 아닌, CEO와 이사회가 직접 챙겨야 할 '핵심 경영 리스크'입니다. 보안 투자는 비용이 아니라, 고객의 신뢰와 기업의 미래를 지키는 가장 확실한 투자임을 인식해야 합니다. 당장의 지출을 아끼려다 기업의 근간을 잃는 우를 범해서는 안 됩니다.

• 정부와 국회: 솜방망이 처벌로는 결코 기업을 바꿀 수 없습니다. 정보 유출 사고 발생 시 부과되는 과징금과 법적 책임을 현실화하고, 기업이 보안 수준을 사전에 강화하도록 유도하는 실질적인 정책(예: 보안 인증 기업에 대한 인센티브 제공 등)을 마련해야 합니다.

• 우리 자신: 나의 정보는 스스로가 가장 소중히 여겨야 합니다. "공공재"라는 체념 대신, 기업에 나의 정보를 어떻게 관리하고 있는지 적극적으로 묻고, 보안에 소홀한 기업의 서비스에 대해서는 비판의 목소리를 내야 합니다. 이러한 소비자들의 관심과 압력이 모일 때, 시장은 비로소 움직이기 시작합니다.

기술보다 먼저, 인식이 바뀌어야 한다

대한민국은 세계 최고의 IT 기술과 인프라를 보유하고 있습니다. 하지만 보안 의식과 문화가 뒤따르지 않으면, 그 기술은 해커들에게 가장 매력적인 공격 대상이 될 뿐입니다.

보안은 전문가만의 영역이 아닙니다.

• 기업의 미래를 지키는 전략이고,

• 정부의 디지털 사회를 지켜야 하는 정책 책임이며,

• 개인의 권리를 보호하는 최소한의 방패입니다.

결국, 안전한 디지털 사회는 기술이 만드는 것이 아니라, 보안에 대한 우리의 태도가 만든다는 인식이 매우 중요함을 다시 한번 강조해봅니다.