“보안 뚫리면 임원도 옷 벗는다”… 경영진 덮친 사이버 리스크 국내 기업 82% 침해 경험… 주요 과제’ 인식에도 예산 배정은 35% 그쳐 사이버 침해 사고는 전산망 마비를 넘어 글로벌 네트워크 보안 기업 포티넷코리아가 1일 발표한 ‘2026 사이버보안 기술 격차 보고서’ 한국 시장 조사 결과에 따르면, 사이버 공격이 주요 경영진(C레벨)과 이사회에 실질적인 타격을 입히고 있는 것으로 확인됐다. 이번 조사는 국내 IT 및 사이버보안 의사결정권자 60명을 대상으로 진행됐다.경영진 43%가 제재… 정부, “1천만 명 유출 시 전체 매출 10% 과징금”사이버 보안 사고의 여파는 실무진을 넘어 경영진을 직접적으로 겨냥하고 있다. 조사에 참여한 응답 기업의 43%는 사이버 침해 사고 발생 이후 이사회 구성원이나 C레벨 임원이 실제 제재를 받았다고 밝혔다.구체적인 제재 유형을 살펴보면 사안의 심각성이 더욱 두드러진다. 제재를 받은 임원의 30%는 직위 및 고용을 상실한 것으로 나타났다. 벌금을 부과받은 비율은 20%, 징역형 등 사법적 철퇴를 맞은 비율은 8%였다.실제 기업들이 치르는 대가도 가중되는 추세다. 개인정보보호위원회와 한국인터넷진흥원이 발표한 ‘2025년 개인정보 유출 신고 동향’ 통계에 따르면, 지난 한 해 동안 개인정보 유출 기업 및 기관에 부과된 과징금은 총 1천677억 원(40건)으로 전년 대비 172%나 폭증했다.정부의 제재 수위도 매서워지고 있다. 지난 3월 개인정보보호위원회는 고의나 중대한 과실로 1천만 명 이상의 대규모 개인정보 유출 피해를 초래한 기업에 대해 전체 매출액의 10%까지 징벌적 수준의 과징금을 부과할 수 있도록 한 개인정보보호법 개정안을 발표했다. 기존 ‘위반행위 관련 매출액의 3%’에서 대폭 강화된 모습이다.또한 대표자(CEO)를 개인정보 보호의 최종 관리 감독자로 명시하고, 일정 규모 이상 기업은 개인정보 보호책임자(CPO) 지정 시 이사회 의결을 거치도록 의무화했다.여기에 더해 1일 발표된 개인정보보호법 시행령 개정안 입법예고에 따르면, 징벌적 과징금 부과와 관련해 평소 보안 관련 예산·인력·설비 등에 선제적으로 투자한 기업의 경우 과징금을 40%까지 감경받을 수 있는 세부 기준이 마련됐다. 반면 고의나 중과실이 있는 경우는 감경 혜택에서 제외된다.인식과 투자의 괴리… 이사회 35%만 ‘재무적 우선순위’ 반영경영진을 향한 책임의 칼날이 날카로워졌지만, 이사회의 위험 인식과 실제 투자 사이에는 여전히 틈이 존재한다.보고서에 따르면, 응답 기업의 50%는 사이버보안을 이사회 차원의 주요 비즈니스 과제로 꼽았다. 그러나 사이버보안 투자가 실제 예산 배정을 포함한 재무적 우선순위로 반영됐다는 응답은 35%에 그쳤다. 위협의 심각성은 인지하면서도 정작 지갑을 여는 데는 인색한 이사회의 단면을 보여준다.인공지능(AI) 관련 위험 인지 수준도 미흡했다. 조직 내 AI 사용으로 발생할 수 있는 잠재적 위험을 이사회가 완전히 인지하고 있다는 응답은 38%에 머물렀다. 사이버보안 인재 부족 현상과 조직 내 위험성에 대해 이사회가 깊은 이해도를 가졌다고 답한 비율 역시 25%에 그쳤다.3년 연속 82% 침해 경험… 피해 복구에 평균 39억 원 증발이사회의 실질적 투자가 주춤하는 사이, 기업들은 잦은 보안 사고와 막대한 금전적 피해에 시달리고 있다. 응답 기업의 82%가 지난 12개월간 1건 이상의 보안 사고를 겪었으며, 이는 2023년부터 2025년까지 3년 연속 동일한 수준이다.침해를 경험한 기업 중 74%는 복구 비용으로 100만 달러(약 15억 원) 이상을 지출했다. 평균 피해액은 260만 달러(약 39억 원)로 전년 190만 달러(약 28억 5천만 원) 대비 37% 증가했다. 사고 수습에 1개월 이상 소요됐다는 응답은 61%로 전년(48%)보다 크게 상승했으며, 평균 복구 기간은 2.2개월로 늘어났다. 주요 공격 원인으로는 ‘사이버보안 기술 및 훈련된 인력 부족’(65%)이 압도적인 비중을 차지했다.투자가 곧 방어망… 뒤늦은 ‘땜질 처방’ 벗어난 체질 개선 시급사고가 터진 뒤에야 수습하는 '땜질식 대처'를 벗어나 선제적으로 보안 체질을 개선해야 한다는 진단이 나온다. 침해를 경험한 기업 중 이사회가 사이버 복원력 계획을 수립했다고 밝힌 곳은 35%에 머물렀으며, 39%는 현재 계획을 개발 중인 것으로 파악됐다.밴 컨 포티넷코리아 지사장 대행은 보안을 위한 AI 활용이 실질적인 효과로 이어지려면, 도구의 도입과 더불어 이를 관리할 전문 인력 양성과 경영진 차원의 전략적 대응이 병행돼야 한다고 제언했다.올해 하반기부터 전면 시행되는 개인정보보호법 개정안은 기업의 선제적인 보안 인프라 투자 여부를 과징금 감경의 주요 척도로 삼고 있다. 이제 기업의 보안 예산 편성과 전문 인력 확충은 단순한 해킹 방어 수단을 넘어, 대규모 과징금 제재와 경영진 징계를 방어하기 위한 필수적인 준법 경영 리스크 관리 요건으로 자리 잡았다.

“보안 뚫리면 임원도 옷 벗는다”… 경영진 덮친 사이버 리스크

국내 기업 82% 침해 경험… 주요 과제’ 인식에도 예산 배정은 35% 그쳐

기사입력 2026-06-01 18:27:46

(AI 제작 이미지)

[산업일보]
사이버 침해 사고는 전산망 마비를 넘어 글로벌 네트워크 보안 기업 포티넷코리아가 1일 발표한 ‘2026 사이버보안 기술 격차 보고서’ 한국 시장 조사 결과에 따르면, 사이버 공격이 주요 경영진(C레벨)과 이사회에 실질적인 타격을 입히고 있는 것으로 확인됐다. 이번 조사는 국내 IT 및 사이버보안 의사결정권자 60명을 대상으로 진행됐다.

경영진 43%가 제재… 정부, “1천만 명 유출 시 전체 매출 10% 과징금”

사이버 보안 사고의 여파는 실무진을 넘어 경영진을 직접적으로 겨냥하고 있다. 조사에 참여한 응답 기업의 43%는 사이버 침해 사고 발생 이후 이사회 구성원이나 C레벨 임원이 실제 제재를 받았다고 밝혔다.

구체적인 제재 유형을 살펴보면 사안의 심각성이 더욱 두드러진다. 제재를 받은 임원의 30%는 직위 및 고용을 상실한 것으로 나타났다. 벌금을 부과받은 비율은 20%, 징역형 등 사법적 철퇴를 맞은 비율은 8%였다.

실제 기업들이 치르는 대가도 가중되는 추세다. 개인정보보호위원회와 한국인터넷진흥원이 발표한 ‘2025년 개인정보 유출 신고 동향’ 통계에 따르면, 지난 한 해 동안 개인정보 유출 기업 및 기관에 부과된 과징금은 총 1천677억 원(40건)으로 전년 대비 172%나 폭증했다.

송경희 개인정보보호위원장

정부의 제재 수위도 매서워지고 있다. 지난 3월 개인정보보호위원회는 고의나 중대한 과실로 1천만 명 이상의 대규모 개인정보 유출 피해를 초래한 기업에 대해 전체 매출액의 10%까지 징벌적 수준의 과징금을 부과할 수 있도록 한 개인정보보호법 개정안을 발표했다. 기존 ‘위반행위 관련 매출액의 3%’에서 대폭 강화된 모습이다.

또한 대표자(CEO)를 개인정보 보호의 최종 관리 감독자로 명시하고, 일정 규모 이상 기업은 개인정보 보호책임자(CPO) 지정 시 이사회 의결을 거치도록 의무화했다.

여기에 더해 1일 발표된 개인정보보호법 시행령 개정안 입법예고에 따르면, 징벌적 과징금 부과와 관련해 평소 보안 관련 예산·인력·설비 등에 선제적으로 투자한 기업의 경우 과징금을 40%까지 감경받을 수 있는 세부 기준이 마련됐다. 반면 고의나 중과실이 있는 경우는 감경 혜택에서 제외된다.

인식과 투자의 괴리… 이사회 35%만 ‘재무적 우선순위’ 반영

경영진을 향한 책임의 칼날이 날카로워졌지만, 이사회의 위험 인식과 실제 투자 사이에는 여전히 틈이 존재한다.

보고서에 따르면, 응답 기업의 50%는 사이버보안을 이사회 차원의 주요 비즈니스 과제로 꼽았다. 그러나 사이버보안 투자가 실제 예산 배정을 포함한 재무적 우선순위로 반영됐다는 응답은 35%에 그쳤다. 위협의 심각성은 인지하면서도 정작 지갑을 여는 데는 인색한 이사회의 단면을 보여준다.

인공지능(AI) 관련 위험 인지 수준도 미흡했다. 조직 내 AI 사용으로 발생할 수 있는 잠재적 위험을 이사회가 완전히 인지하고 있다는 응답은 38%에 머물렀다. 사이버보안 인재 부족 현상과 조직 내 위험성에 대해 이사회가 깊은 이해도를 가졌다고 답한 비율 역시 25%에 그쳤다.

국내기업 보안 침해 경험 건수별 분포. (포티넷코리아)

3년 연속 82% 침해 경험… 피해 복구에 평균 39억 원 증발

이사회의 실질적 투자가 주춤하는 사이, 기업들은 잦은 보안 사고와 막대한 금전적 피해에 시달리고 있다. 응답 기업의 82%가 지난 12개월간 1건 이상의 보안 사고를 겪었으며, 이는 2023년부터 2025년까지 3년 연속 동일한 수준이다.

침해를 경험한 기업 중 74%는 복구 비용으로 100만 달러(약 15억 원) 이상을 지출했다. 평균 피해액은 260만 달러(약 39억 원)로 전년 190만 달러(약 28억 5천만 원) 대비 37% 증가했다. 사고 수습에 1개월 이상 소요됐다는 응답은 61%로 전년(48%)보다 크게 상승했으며, 평균 복구 기간은 2.2개월로 늘어났다. 주요 공격 원인으로는 ‘사이버보안 기술 및 훈련된 인력 부족’(65%)이 압도적인 비중을 차지했다.

투자가 곧 방어망… 뒤늦은 ‘땜질 처방’ 벗어난 체질 개선 시급

사고가 터진 뒤에야 수습하는 '땜질식 대처'를 벗어나 선제적으로 보안 체질을 개선해야 한다는 진단이 나온다. 침해를 경험한 기업 중 이사회가 사이버 복원력 계획을 수립했다고 밝힌 곳은 35%에 머물렀으며, 39%는 현재 계획을 개발 중인 것으로 파악됐다.

밴 컨 포티넷코리아 지사장 대행은 보안을 위한 AI 활용이 실질적인 효과로 이어지려면, 도구의 도입과 더불어 이를 관리할 전문 인력 양성과 경영진 차원의 전략적 대응이 병행돼야 한다고 제언했다.

올해 하반기부터 전면 시행되는 개인정보보호법 개정안은 기업의 선제적인 보안 인프라 투자 여부를 과징금 감경의 주요 척도로 삼고 있다. 이제 기업의 보안 예산 편성과 전문 인력 확충은 단순한 해킹 방어 수단을 넘어, 대규모 과징금 제재와 경영진 징계를 방어하기 위한 필수적인 준법 경영 리스크 관리 요건으로 자리 잡았다.

뒤로 기사목록

산업일보 영상뉴스 모아보기

산업일보 페이스북 바로가기

임지원 기자 jnews@kidd.co.kr

이 기자의 다른기사 보기 >