국내 기업을 대상으로 한 사이버 침해 사고가 최근 급증하고 있으나, 해당 사고에 대응하는 한국인터넷진흥원(KISA)의 인력은 거의 늘지 않아 대응 역량에 대한 우려가 제기되고 있다.

국회 과학기술정보방송통신위원회 김장겸 의원이 KISA로부터 제출받은 자료에 따르면, 지난 2022년부터 2024년 8월까지 기업이 당국에 신고한 사이버 침해 사고는 총 5천807건으로 집계됐다. 연도별로 보면, 2022년 1천142건, 2023년 1천277건, 2024년 들어서는 8월까지 이미 1천501건이 발생해, 연말까지 2천건에 육박할 가능성도 제기되고 있다. 특히 시스템 해킹과 분산서비스거부(디도스, DDoS) 공격 유형이 두드러지며, 현실적인 피해 사례가 증가하고 있음을 시사한다.

침해 유형별로는 시스템 해킹이 3천758건으로 전체의 약 65%를 차지하며 가장 많았다. 그 외에도 악성코드 감염·유포가 1천73건, 디도스 공격이 976건으로 뒤를 이었다. 디도스 공격은 2022년 122건에서 2023년 285건으로 두 배 이상 급증했고, 시스템 해킹도 같은 기간 673건에서 1천373건으로 폭증했다. 다만 악성코드 감염의 경우 약간 줄었으나 여전히 상당한 비중을 차지한다.

KISA는 이런 사이버 위협에 대한 탐지와 대응 업무를 전담하고 있지만 이를 담당하는 인력은 제자리 상태다. 실제로 KISA 내 침해사고 대응 인력은 2022년 123명에서 올해 132명으로 불과 9명 증가하는 데 그쳤다. 같은 기간 ‘해킹·바이러스 대응체계 고도화’ 예산은 601억원에서 736억원으로 약 22% 확대됐지만, 예산 증가에 비해 인력 보강은 매우 제한적이었다. 예산은 늘었으나 이를 수행할 실무 인력이 턱없이 부족한 현실이 드러난 셈이다.

KISA가 수행하는 스미싱 탐지와 악성코드 분석 등의 업무는 폭증세를 보이고 있다. 예를 들어 스미싱 탐지·대응 건수는 2022년 3만7천여 건에서 2023년에는 219만여 건으로 약 60배 가까이 증가했으며, 악성코드 분석 사례도 같은 기간 66만7천여 건에서 196만 건으로 세 배 가까이 늘었다. 이는 사이버 위협 자체가 양적으로도 질적으로도 기존과는 다른 단계에 접어들었음을 보여주는 지표다.

이에 대해 김장겸 의원은 전문 인력 없이 예산만 늘리는 방식은 문제 해소에 한계가 있다고 지적하면서, “사이버 안보가 곧 국가안보가 된 시대에 현재와 같은 인력 운영 수준은 안이하다”고 꼬집었다. 특히 공공기관에서 발생한 사이버 침해는 국가정보원이 별도로 관리해 통계에 포함되지 않는다는 점을 감안하면, 실제 국내 전체 피해 규모는 통계보다 훨씬 클 가능성이 높다.

이 같은 흐름이 이어진다면 사이버 위협에 대한 국가 전반의 대응 체계는 점차 한계를 맞을 수 있다. 정부가 예산뿐 아니라 체계적인 전문 인력 확보 전략을 병행하지 않는다면, 민간 기업뿐 아니라 사회 기반시설 전반에 걸친 사이버 보안 공백 우려는 더욱 커질 수 있다.