보안 컨설팅 업체 신규 지정 가시화 '시장 향방은?'

[김국배기자] 정부의 정보보안 컨설팅 전문업체 신규지정이 조금씩 현실화되면서 보안 컨설팅 시장 향방에 관심이 모아지고 있다.

지식경제부와 관련업계에 따르면, 현재 정보통신산업진흥법 시행규칙 일부개정령이 규제개혁위원회의 심사에 들어간 상태다. 이 법안은 지식정보보안 컨설팅 전문업체의 지정기준 완화가 골자다.

최종 개정안이 시행되면 앞으로 기업들은 전문업체 자격을 얻기가 이전보다 쉬워진다. 자격요건이 자기자본 10억원 이상(기존 20억원), 기술인력수10명 이상(기존 15명) 등으로 완화되기 때문이다.

지금까지는 안랩, SK인포섹, 롯데정보통신 STG시큐리티, A3시큐리티, 인젠, 시큐아이닷컴 등의 7개 기업이 주요통신기반시설의 보호대책에 대한 업무를 담당해 왔으나 확대되는 시장에 맞게 공급자를 늘리고자 진입 문턱을 낮춘 것이다.

특히 주요통신기반시설이 2001년 23개에서 올해 약 200여개로 급증하면서 수요가 대폭 늘어나 업계는 보안 컨설팅 분야에 대한 진입문턱 완화를 지속 요구해 왔다.

한국인터넷진흥원(KISA)에 따르면 국내 보안컨설팅 시장규모는 2001년 약 95억원 규모에서 지난해 1천억원으로 커졌다.

◆보안컨설팅 업체 신규지정 논란 끝 현실화 되나

보안컨설팅 업체 신규지정에 관한 법안은 지난해 11월 입법 예고 단계에서부터 논란을 겪었다.

늘어나는 수요를 기존 보안컨설팅 전문기업만으로는 감당할 수 없다는 정부의 입장과 추가지정에 따른 업체 난립으로 품질저하가 우려된다는 기존 지정업체의 입장이 대립했었다. 비지정업체들의 입장은 정부와 크게 다르지 않았다.

기존 전문업체들은 컨설팅의 품질저하를 우려했다. 진입장벽을 낮춰준 만큼 업체들이 늘어나고 이로 인해 저가경쟁이 일어날 수 있고, 이는 곧 컨설팅의 질을 낮추는 결과를 가져올 수 있다는 것이다. 특히 국가의 중요한 기반시설이라는 점을 문제 삼았다.

보안컨설팅 전문업체 관계자는 "중요한 건 업체의 수가 아니라 컨설턴트의 수"라며 "대부분의 컨설턴트를 전문 업체들이 배출하고 있는 상황에서 업체 수를 늘린다고 컨설턴트의 수가 늘어나는 것은 아니다"라고 설명했다.

이 관계자는 "오히려 신규업체들이 빠르게 컨설턴트를 인력을 확보하기 위해 '인력 빼내기'가 벌어지는 상황이 올 수도 있다"고 염려했다.

이보다는 컨설턴트 인력 양성과 유지에 관한 지원으로 풀어야 한다는 주장이다. 이 과정에서 기반시설 취약점 진단 사업의 낮은 단가가 지적 받기도 했다. 또 고르게 분포되지 않고 특정시점에 몰리는 수요기관의 발주형태도 도마에 올랐다.

이에 반해 정부나 비지정 보안업체들은 이같은 변화를 반겼다. 커지는 시장환경에 맞게 추가지정은 당연한 귀결이라는 것이다. 비지정 보안업체들에게는 새로운 사업기회가 열리는 일이기도 했다.

비지정업체 관계자는 "'밥그릇 챙기기'가 아닌 시장이 성숙되는 과정이라 보는 것이 맞다"며 "오히려 시장의 파이가 커지고 활성화되면 기존 업체와 신규 업체 모두에게 더 큰 이익이 될 수 있는 것"이라고 말했다.

품질저하에 대한 우려도 경계했다.

지경부 전자산업과 관계자는 "사후관리 심사를 철저히 해 결과를 3년 주기의 재지정 심사에 반영할 예정"이라며 "보안업체 수의 증가가 꼭 품질저하로 이어지는 건 아니다"라고 말했다.

◆기존 업체 vs 신규 업체, 경쟁 예고…저가경쟁 우려 여전

보안컨설팅 지정 기준 완화에 관한 법안은 논란을 뒤로 하고 의견 수렴 과정에서 큰 이견이 없었던 만큼 어렵지 않게 통과될 것으로 보인다. 법안이 통과되면 반 년 정도의 준비기간을 거쳐 하반기부터는 추가지정이 있을 것으로 업계는 예측하고 있다.

이에 따라 경쟁이 심화될 것을 예상한 보안업체들의 발걸음도 빨라지고 있다.

이미 안랩, 인포섹, A3시큐리티 등 기존 전문업체들은 인력충원과 조직개편에 나서면서 대비를 하고 있다. 이글루시큐리티도 차건상 전 행정안전부 개인정보보호 전문위원을 영입하는 등 사업을 본격화하고 있다.

기존 지정업체 관계자는 "그 동안의 사업경험과 노하우를 갖추고 있는 만큼 충분한 경쟁력을 가졌다고 본다"며 "오히려 시장이 확대된다는 면에서 긍정적일 수 있다"고 자신있게 말했다.

이들 보안업체 외에도 앞으로 개인정보 영향평가 기관들의 사업 참여가 활발해질 수 있다는 추측도 나왔다. 업계 관계자는 "개인정보 영향평가 기관 등이 기존에 비슷한 일을 해온 만큼 컨설팅 사업에 관심을 보일 수도 있다"고 말했다.

여전히 저가경쟁이나 품질저하, 인력 빼가기 등의 문제는 우려스러운 부분으로 남아있다.

또 다른 업계 관계자는 "컨설팅 단가 저하를 방지할 수 있는 대책과 인력을 확보할 수 있는 방안에 대한 요구는 더욱 커질 것"이라며 "보안의 특수성을 감안해 시장논리로만 접근하는 것도 경계해야 한다"고 조언했다.