기업 76% “사이버침해 피해경험”
전문가 “회복 중심 대응 수립을”김영섭(거운데) KT 대표가 임원들과 함께 9월 11일 서울 종로구 KT 광화문빌딩 웨스트 사옥에서 무단 소액결제 피해에 대해 사과하고 있다. 박동욱기자

디지털리스크 예방과 관리도 중요만 사고 이후 빠르게 회복(resilience)하는 ‘위기 회복’을 ESG 경영의 한 축으로 놓아야 한다는 의견에 무게가 실리고 있다. 사이버 사고가 기업의 평판이나 신뢰뿐만 아니라 재무에도 깊고 지속적인 악영향을 끼치는 만큼 빠르게 회복할 수 있는 실력 역시 예방만큼 중요하다는 것이다.

16일 데이터보안 분야 글로벌기업 코헤시티가 발표한 사이버 보안 관련 설문조사 결과에 따르면 국내 응답 기업의 72%는 사이버 공격으로 ‘실질적 피해’를 경험했다. 여기서 실질적 피해는 사이버 공격으로 인해 ‘실질적인 피해’를 경험한 것으로 조사됐다. 여기서 정의한 ‘실질적인 피해’란 측정 가능한 재정적·재무적·평판적·운영적 피해 혹은 고객 이탈을 의미한다.

구체적으로 국내 상장사의 58%는 공격을 받은 이후 실적 전망 또는 재무 가이던스를 수정했고, 58%는 사이버 공격 아후 주가가 하락했다. 국내 비상장사의 74%는 공격 여파로 혁신 및 성장 예산을 줄이고 이를 복구와 보완 조치에 사용했다. 아울러 국내 기업의 95%는 사이버 공격 이후 벌금, 소송 등 법적·규제적 제재를 경험했다고 답했다.

이같은 결과는 범위를 글로벌로 확대해도 마찬가지다. 글로벌 기업의 76%는 사이버 공격으로 실질적인 피해를 경험했다고 답했고 응답 기업의 70%는 공격 이후 실적 전망 또는 재무 가이던스를 수정했다. 세계 기업의 68%는 사이버 공격으로 주가가 하락했다. 글로벌 비상장의 73%는 공격 여파로 혁신 및 성장 예산을 감축해 복구 비용으로 썼다.

산제이 푸넨 코헤시티 최고경영자(CEO)는 “공격으로 인해 실적이 훼손되고 예산을 재조정해야 하는 상황인 만큼 사이버 레질리언스는 이제 단순한 기술 문제가 아니라 사업 및 재무 성과의 필수 요소가 됐다”고 말했다.

사이버 침해는 계속 늘어나는 추세다. 국회 과학기술정보방송통신위원회 소속 황정아 더불어민주당 의원이 한국인터넷진흥원(KISA) 으로부터 제출받은 자료에 따르면 사이버 침해 신고 건수는 2020년과 2021년 각각 603건 , 640 건에서 2022년 1142건으로 급증했다 . 이후 2023년 1277건과 2024년 1887건으로 급증했다. 올해는 1~9월 1649건으로 지난해 대비 늘어날 것으로 예상된다.

민관이 사이버 침해 예방에 더 많은 노력을 기울임에도 침해 건수는 늘어는 추세다. 이는 예방도 중요하지만 회복력을 기르는 것이야 말로 ESG 경영 측면에서 대단히 중요한 일임을 나타낸다는 해석이다.

일각에서는 “단순한 대응은 무의미하다”는 지적도 나온다. 금융권의 한 고위관계자는 “늘어가는 디지털리스크 아래서 생존과 성장을 이어가려면 단순한 리스크 대응이 아닌 회복력 중심의 대응 방안을 수립해야만 한다”고 말했다.

실제로 글로벌 생명보험사인 메트라이프는 사내에 최고복원력책임자(CRO·Chief Resilience Officer)를 두고 경영 전반에서 회복력 강화 방안을 연구하고 조치한다.

금융권 관계자는 “회복력 전담 조직을 구축하고 프로세스를 수립하는 데에 큰 비용이 들 수 있지만 디지털리스크가 갈수록 커지는 것을 감안하면 남는 투자”라며 “회복력에 대한 인식 전환이 가장 시급하다”고 지적했다.