SKT 광고비는 1367억원, 보안투자는 867억원…“정보보호 투자 강화해야”

SK텔레콤 가입자 유심(USIM) 해킹 사고의 여파가 확산하면서 회사 측의 정보보호 노력이 부족했다는 비판도 계속되고 있다. 정보보호 투자를 ‘비용’으로만 볼 것이 아니라 경영상의 주요 위협으로 보고 지속적인 투자가 필요하다는 지적이 나온다.

4일 통신업계에 따르면 SK텔레콤이 지난해 정보보호분야에 투자한 금액은 본사 600억원, 유선서비스 자회사인 SK브로드밴드 267억원 등 총 867억원으로 집계됐다. 경쟁사인 KT가 지난해 1218억원을 투자한 것에 비해 적은 규모다. 지난해 아이폰16 홍보 모델로 그룹 뉴진스를 발탁해 업계에서 화제가 됐던 SK텔레콤은 같은해 별도 기준 광고선전비로 1367억원을 집행했다.

또한 SK텔레콤은 지난해 매출 17조9406억원, 영업이익 1조8234억원으로 영업이익률 10.1%를 기록해 이익률이 한자릿수대였던 경쟁사들을 앞질렀다. 지난해 임원 수를 줄이고 비핵심 계열사를 매각하며 비용 효율화를 해냈지만, 이번 사고로 1위 사업자의 위상에 걸맞지 않게 정보보호 분야 투자를 소홀히 했다는 비판을 피하기 어려워 보인다.

보안 규제 정비의 필요성도 제기된다. 류정환 SK텔레콤 부사장은 지난달 30일 국회 과학기술정보방송통신위원회에서 “네트워크 쪽은 암호화가 되어있지 않은 부분이 많다”며 악성코드 침투 당시 유심 데이터가 암호화되어 있지 않았다고 밝혔다. 류 부사장은 “법적 사항도 그랬는데, 저희도 그 부분에 대해 굉장히 반성하고 있다”며 유심 정보 암호화 관련 내용이 법령에 명시되어 있지 않았다는 내용도 언급했다.

현행법상 USIM에 담긴 가입자 식별번호(IMSI), 가입자 인증키 등은 의무 암호화 대상이 아니다. 하지만 최근 정보기술(IT) 발달로 기업의 서비스 제공 과정에서 수집하는 정보의 폭이 넓어지고, 이에 따라 해커들의 공격 대상도 늘어나고 있다.

다만 통신사 서버에 저장된 유심 정보의 경우 다른 개인정보와 달리 수시로 참조가 이뤄지는 정보인 만큼 현실적으로 암호화 적용이 어렵다는 의견도 있다. 염흥열 순천향대 정보보호학과 명예교수는 “유심 정보를 암호화하면 그 정보를 실시간으로 꺼내고 복구하는 과정에서 기술적 어려움이 있을 것으로 보인다”며 “다만 최근 컴퓨팅 성능이 높아졌기 때문에 회사 측에서도 검토해 볼 수 있을 것으로 생각된다”고 말했다.

이번에 해킹당한 SK텔레콤의 서버 등이 국가·사회적으로 보호가 필요한 주요 정보통신 기반 시설로 지정되어 있지 않아 관리 체계의 정비가 필요하다는 지적도 과방위에서 제기됐다.

국가기간산업인 통신사들이 이번 사태를 교훈 삼아 정보보호에 대한 투자를 강화해야 한다는 목소리도 높아지고 있다. 염흥열 교수는 “최근 미국에서 열린 보안 관련 컨퍼런스에서 기업 최고경영자(CEO)들이 우려하는 경영 리스크의 두 번째가 ‘사이버 보안’이었다”며 “해커 그룹의 APT(지능형 지속 위협) 공격이 일상화되고 있기 때문”이라고 설명했다. 그러면서 “각 기업이 최고정보보호책임자(CISO)의 권한과 책임을 중요 경영진 수준으로 격상하고, 이에 걸맞은 투자와 인원을 확보해야 한다”고 밝혔다.