[디지털데일리 이민형기자] 지난달 28일 지식정보보안 컨설팅 전문업체 11곳이 추가 지정됨에 따라 이달부터 18개의 전문업체들이 기반시설 컨설팅 사업에 뛰어들게 된다.

보안업계에서는 시장 규모에 비해 너무 많은 전문업체가 지정돼 시장의 불균형이 올 수 있다는 지적과 보안컨설팅의 질적하락이 우려하고 있다. 특히 이번 추가 지정을 이후 가뜩이나 낮은 사업 단가가 더 낮아지지 않을까 걱정하고 있다.

미래창조과학부는 주요정보통신기반시설의 취약점 분석·평가와 정보보호대책 수립업무를 수행할 11개 지식정보보안 컨설팅전문업체를 추가 지정했다고 28일 밝혔다.

이번에 추가 지정된 업체는 비트러스트, 소만사, 시에이에스, 에스에스알(SSR), 에스피에이스(SPAce), 엘지씨앤에스(LGCNS), 윈스, 이글루시큐리티, KCC시큐리티, 한영회계법인, 한전KDN 등 11개다.

◆보안컨설팅 전문업체 추가 지정의 배경은=보안컨설팅 전문업체 추가 지정은 지난 2002년 이후 12년만이다.

미래부가 추가 지정을 실시하게 된 이유는 주요정보통신기반시설의 확대와 더불어 보안컨설팅 시장이 크게 성장했기 때문이다. 또 최근에 발주되는 취약점 분석·평가 사업의 빈번한 유찰이 이뤄지는 상황도 반영됐다.

국가 정보통신기반시설은 지난 2001년에는 23개에 불과했으나 올해는 292개, 내년에는 300여개가 넘어갈 것으로 예상되고 있다. 특히 미래부는 2017년까지 기반시설을 400개까지 확대하기로 해 컨설팅 전문업체 확대 역시 필요한 상황이다.

변상중 미래부 정보보호정책과 사무관은 “해킹 등 사이버위협 증가로 주요 정보통신기반시설의 보안관리 강화 정책에 따라 주요정보통신기반시설의 컨설팅 수요가 증가하고 있다. 따라서 보안컨설팅 전문업체의 추가 지정이 필요하게 됐다”고 말했다.

이어 “실질적으로 규모가 커지기 때문에 7개 업체가 하기에는 어려움이 많아 추가 지정은 불가피하다”며 “실력있는 중소기업들을 전문업체로 지정해서 품질향상을 꾀하고, 지정 이후에는 사후관리를 철저하게 해서 규모보다는 컨설팅의 품질을 높이는 방향으로 나갈 것”이라고 말했다.

◆여전히 낮은 사업 단가, 날림 컨설팅으로 이어질라=보안업계가 가장 우려하는 것은 턱없이 낮은 컨설팅 사업단가다. 전문업체가 더 증가했기 때문에 사업단가가 더 내려갈 가능성도 배제할 수 없다.

보안업계 관계자는 “국가기반시설에 대한 취약점을 점검하고 이에 대한 대책을 수립하는 사업에 투자되는 예산이 너무 낮다”며 “보안예산에 대한 할당을 더 해서 기반시설에 대한 실질적인 보호조치를 이룰 수 있게 환경을 조성해달라”고 말했다.

지난달 한국지역정보개발원은 ‘자치단체 주요정보통신기반시설 취약점 분석·평가 사업’을 조달청 나라장터를 통해 발주했다.

이는 전국에 위치한 40개의 주요정보통신기반시설에 대한 취약점을 분석하고 평가하는 사업으로 배정예산은 10억7923만원이다. 실제 낙찰금액은 9억7000만원으로 알려졌다. 이 예산을 대상 기반시설 40개로 역산해보면 한 기반시설 당 약 2500만원이 책정된 것을 알 수 있다..

보안컨설팅 현업인들은 이 비용이 너무 적다고 지적했다. 2500만원이면 4명의 전문인력들이 3~4주 정도 업무를 수행할 수 있는 비용이다.

업계 관계자는 “기반시설에 대한 취약점 분석·평가는 짧은 시간내에 할 수 있는 것이 아니다”라며 “업무 분석, 실제 위협 진단, 대책 수립 등이 이뤄지려면 적어도 3개월의 시간은 필요하다”고 지적했다.

이어 “3주만에 기반시설에 있는 취약점을 모두 분석하고 대책을 수립한다는 것은 불가능에 가깝다. 보안컨설팅은 프로세스를 확인하는 인증과는 전혀 다른 문제란 것을 인지해주길 바란다”고 덧붙였다.

이와 관련 안전행정부 관계자는 “배정예산에 대한 업계의 고충은 알고 있다”며 “최근 기반시설 보안컨설팅 사업이 증가함에 따라 보다 많은 예산을 배정할 수 있도록 기획재정부와 논의하고 있다”고 전했다.

<이민형 기자>kiku@ddaily.co.kr