이 기사는 2025년 11월 24일 08:30 thebell 에 표출된 기사입니다.

국내 시스템통합(SI) 3사의 핵심 역량 가운데 하나는 정보보안으로 꼽힌다. 대기업의 정보시스템을 설계하고 외부 고객사의 데이터를 다루는 만큼 자체 보안 거버넌스가 사실상 산업 전반을 결정한다.

공시와 보고서를 보면 삼성SDS와 LG CNS, 현대오토에버 사이 투자 규모와 최고정보보호책임자(CISO) 및 최고개인정보책임자(CPO)의 차이가 드러난다. 투자 규모 및 비중, C레벨 임원의 직위 등 전반적인 비교지표에서 삼성SDS가 가장 앞섰다. 올해 현대오토에버가 정보보호 투자 규모면에서 LG CNS를 넘어선 점도 눈에 띄는 대목이다.

◇투자 뿐 아니라 CISO·CPO 겸직·직위도 차이

삼성SDS와 LG CNS, 현대오토에버를 살펴본 결과 CISO와 CPO를 분리한 것은 삼성SDS가 유일했다. 해당 C레벨 임원의 직위는 삼성SDS, 현대오토에버, LG CNS 순으로 높았다. SI 3사의 정보보호/IT 투자 비율은 국내 773개 기업의 정보보호/IT 투자 평균치(6.29%)를 웃돌았다.

가장 많은 비용을 보안에 투입하는 삼성SDS는 최고정보보호책임자(CISO)와 CPO를 부사장급 임원이 맡고 있다. CISO와 CPO는 각각 다른 부사장이 맡고 있다. CISO는 그룹 내 정보보호위원회를 주관하며 사업부별 보안담당 임원과 정기회의를 연다. 위원회 논의 결과는 대표이사에게 보고되고 필요한 경우 정책 결정으로 이어진다.

삼성SDS는 보안사고 대응관리 전담부서를 운영하고 24시간 보안관제(SOC) 체계, 로그 기반 침입탐지·대응 프로세스 등을 정립했다. 삼성SDS의 정보보호 투자는 2024년 632억원에서 3.2% 늘었다. 정보기술(IT)부문 투자(5531억원) 대비 정보보호부문 투자(652억원)은 11.8%, IT 인력(2766명) 대비 정보보호 전담인력(380명)은 13.7% 수준이다.

LG CNS에서는 상무보/이사 정도에 해당하는 정보보안담당이 CISO가 CPO를 겸임하고 있다. 정보보호 투자는 2024년 232억원에서 274억원으로 18.1% 증가했다. 정보보호(274억원)/IT(4285억원) 투자 비중은 6.4%, 정보보호(225명)/IT(3021명) 인력비중은 7.4%를 기록했다.

각 부서 정보보안 책임자 및 담당자 지정 의무화, 개인정보 취급부서 내 담당자 및 책임자 지정, 글로벌 개인정보보호 규제 대응 등을 강조했다. 정보보안 관리 목표로 제로 트러스트 구현을 내세우기도 했다.

현대오토에버는 상무가 CISO가 CPO를 겸직하고 있는 구조다. 정보보호 투자는 287억원으로 IT투자 3073억원의 9.3%다. 정보보호 전담인력은 167명으로 IT 인력 1558명의 10.7% 수준이다.

현대오토에버는 SI 3사 정보보호 투자 규모에서 순위를 끌어올렸다. 지난해까지 3사 중 3위였던 현대오토에버는 올해 2위로 올라섰다. 현대오토에버의 정보보호 투자는 2023년 28억원, 2024년 226억원, 2025년 287억원으로 증가해 LG CNS의 올해 투자규모(274억원)을 제꼈다.


◇ 글로벌 IT서비스 기업도 보안 투자 확대

미국 정보 기술 연구 및 자문 회사 가트너에 따르면 전 세계 정보보안·리스크 관리 지출은 2025년 2130억달러로 전년 대비 10% 이상 늘어난 것으로 추정된다. 이 중 상당 부분이 보안 운영 서비스(Managed Detection & Response)에 투입된다. 공격보다 방어의 속도를 높이기 위한 구조적 투자다.

IBM, 액센추어, 후지쯔 등 대표적 IT 서비스 기업들은 제로 트러스트를 전사 운영 표준으로 삼고 AI 기반 탐지·대응 시스템을 도입했다. 핵심은 기술이 아니라 보안의 구조적 내재화다. 단일 사건 대응을 넘어 정책·인증·감시가 순환하는 체계를 경영 프로세스에 통합했다.

액센추어는 세계 최대 규모의 보안 네트워크를 갖추고 있다. 전담 인력만 2만 명에 달하며 22개 보안관제센터(SOC)와 10개의 사이버 퓨전센터를 포함해 30여 개 글로벌 거점을 운영한다. 최근에는 생성형AI 기반 보안센터를 22개국으로 확대하며 탐지·대응 전 과정을 자동화했다.

IBM은 X-Force 커맨드센터를 중심으로 위협 인텔리전스와 연계한 24시간 관제체계를 구축했다. 도쿄, 마드리드, 워싱턴DC, 방갈로르 등 다지역 거점에서 보안관제와 사고 대응 훈련을 병행한다.

후지쯔는 IT뿐 아니라 제조·운송 등 OT 영역까지 제로 트러스트를 확장했다. 전 세계 12개 지역SOC와 5개 글로벌 딜리버리센터(GDC)를 통해 24시간 통합 관제를 수행하며 AI가 이상징후를 선제 감지하는 ‘MXDR’ 체계를 도입했다. AI 기반 사용자 행위 분석(UEBA)과 위협 헌팅까지 결합해 물리·사이버 영역을 동시에 커버한다.