[PIS FAIR 2025] “기업 IT예산 중 보안투자 10% 할당”...개인정보위 검토

[보안뉴스 강현주 기자] “경제성 논리에 밀려 미흡했던 개인정보보호 분야에 대해 인력과 예산의 구체적 기준을 마련하겠습니다.”

윤여진 개인정보보호위원회 자율보호정책과장은 27일 서울 삼성동 코엑스에서 열린 ‘PIS FAIR 2025’에서 이같이 밝혔다. 기업 전체 IT 예산 중 10% 이상 보안 투자 권고 검토 등을 언급했다.

▲윤여진 개인정보위 과장이 PIS FAIR 2025에서 발표하고 있다.[자료: 보안뉴스]

윤 과장은 ‘AI 시대 개인정보 보호를 위한 기반 마련’이란 주제로 발표하며 개인정보 평가제와 자율규제에 대한 현황과 방향성을 짚었다.

이날 발표에서 윤 과장은 현재 자율에 맡기고 있는 기업들의 정보보호 투자에 대해 언급했다.

현재 국정원이나 금융권 외에는 조직의 전체 정보기술 예산 중 정보보호 예산 비중은 자율에 맡기고 있다. 현재 우리나라 기업들의 정보보호 예산은 6% 안팎으로 미국의 10%에 비해 저조하다. 이 문제는 최근SKT 해킹 사태로 인해 사회적 이슈로 부각되고 있다. 이 기업들이 보안에 최소치만 투자하려는 경향이 있어 위험이 크다.

이에 개인정보위는 오는 2027년까지 전체 정보보호 예산의 10% 이상, 2030년까지 15% 이상 할당을 권고하겠다는 방침이다. 이를 통해 이상감지시스템, 취약점 점검 모의 해킹 등 필요 분야에 반영하게 한다는 것이다. 더불어 개인정보보호책임자(CPO) 외 최소 1명 이상 개인정보보호 전담인력 배치, 전체 IT 인력 중 최소 10% 개인정보보호 담당 인력 배정 등을 검토하고 있다. 다만, 이 계획들은 아직 의견수렴을 위한 초안이며 확정된 내용은 아니다.

윤 과장은 ISMS-P 인증 체계 실효성 개선에 대해서도 언급했다. 개인정보위는 이 인증제도의 심사 실효성 제고, 사후 관리 강화, ISMS-P 의무화 등을 검토하고 있다. 평가 방식을 서면 평가에서 현장 평가로 전환하는 안 등이 거론되고 있다고 윤 과장은 설명했다.

윤 과장은 “개인정보 안전관리 체계를 강화하기 인증 심사 실효성을 높이고, 조직의 인력과 예산 등 개인정보보호 분야 투자의 최소 기준을 명확히 하고자 한다”고 말했다.

이 외에도 윤과장은 이날 발표에서 개인정보 처리방침 평가제와 공공기관 개인정보 보호수준 평가제, 개인정보 영향평가 등 3대 개인정보 평가제를 소개하고 현황을 공유했다.
[강현주 기자(jjoo@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다