한준호 의원 "중소기업이 사이버 침해사고 80% 차지"

사이버 침해사고 신고 80% 이상이 중소기업에 집중된 가운데 한국인터넷진흥원(KISA)의 중소기업 정보보호 지원기업 수는 2년 새 68.6% 감소한 것으로 나타났다. 사고 신고는 늘고 중소기업에 피해가 집중되는 상황에서, 정보보호 지원 규모와 지원 이후 사후관리가 충분한지 점검해야 한다는 지적이 나온다.

국회 과학기술정보방송통신위원회 소속 한준호 의원이 KISA에서 제출받은 자료에 따르면, 전체 침해사고 신고는 2022년 1142건에서 2025년 2383건으로 약 2.1배 늘었다. 2025년 전체 신고 가운데 중소기업 신고는 1913건으로 80.3%를 차지했다. 2026년 상반기에도 전체 1236건 중 997건이 중소기업 신고로, 비중은 80.7%였다.

반면 KISA의 ‘ICT 중소기업 정보보호 안전망’ 사업 지원기업은 2023년 1555개에서 2024년 853개, 2025년 488개로 줄었다. 2023년과 비교하면 2025년 지원기업 수는 68.6% 감소했다. KISA는 지원사업 예산 감소가 지원기업 수 감소의 주요 원인이라고 설명했다.

예산을 살펴보면, 2023년 105억 원에서 2025년 26억3600만 원으로 감소했고, 2026년에는 36억8600만 원으로 일부 늘었다. 다만 지원기업 수 감소와 침해사고 신고 증가만으로 두 현상 사이의 인과관계를 단정할 수는 없다. 중소기업에 신고가 집중되는 현실을 고려해 지원 규모가 적정한지, 필요한 기업에 지원이 닿고 있는지 따져볼 필요가 있다고 한 의원은 밝혔다.

지원 이후 성과를 살피는 체계도 보완해야 한다고 덧붙였다. KISA가 측정한 지원기업의 보안수준 개선율은 2025년 26.9%였다. 컨설팅 전후 점수는 58.9점에서 74.7점으로 올랐다. 그러나 이는 컨설팅 전후 보안수준 변화로, 실제 침해사고 감소 효과와는 구분해 평가해야 한다고 짚었다.

2022년부터 2025년까지 지원기업 중 지원 이후 침해사고를 신고한 기업은 80곳, 신고 건수는 111건이었다. 제출 자료에는 4년간 합계만 담겨 있어 지원 이후 사고가 연도별로 어떻게 변했는지는 확인하기 어려웠다고 설명했다.

반복 침해사고는 이어졌다. 2022년부터 2026년 6월까지 침해사고를 2회 이상 신고한 기업은 782곳이었다. 이 가운데 476곳은 KISA 기술지원 이후에도 침해사고를 신고했다.

76곳은 반복 침해사고 기업 782곳 중 KISA 기술지원 이후에도 신고가 확인된 기업 수다. 전체 KISA 지원기업의 재발 비율을 뜻하지 않으며, 이후 발생한 사고가 이전과 같은 원인이나 취약점에서 비롯됐다고 단정할 수도 없다. 다만 지원 뒤에도 신고가 이어진 만큼, 취약점이 개선됐는지와 재발 원인이 무엇인지 살피는 사후관리가 필요하다고 진단했다.