해킹방어 투자시 세액공제 25%…中企 보안예산 200억 확대 검토[은폐(17)]

과방위 이해민 의원, 조특법 개정안 발의
보안설비·전문인력·보험까지
중기 최대 25% 공제…대기업도 최대 15% 감면
정부도 보안 서비스 예산 증액 검토

국내 중소기업은 물론 중견·대기업까지 해킹을 막을 보안 시스템을 구축하면 세금을 대폭 감면받는 법안이 국회에서 발의됐다. 정부도 내년 중소기업 보안 관련 예산을 늘리고, 포렌식센터 신설을 포함한 대응책을 준비 중이다. 이는 아시아경제가 지난 5월 말부터 '해킹 당해도 숨는 기업'에 관해 탐사보도한 이후 내놓은 후속 조치다. 해킹 공격을 원천차단하는 건 불가능한 만큼, 기업들이 대비하고 사후 대응 역량을 키워 피해를 최소화하는 데 초점을 맞췄다.

보안설비·컨설팅·보험·고용까지 세액 공제

30일 이해민 조국혁신당 의원(국회 과학기술정보방송통신위원회 소속)은 중소기업이 보안서버·침입탐지설비·백업장비 같은 보안 시스템을 도입하면 전체 투자금액의 25%에 해당하는 금액을 세액 공제받는 '조세특례제한법 개정안'을 발의했다. 예를 들어 중소기업이 1억원을 해킹 방어 시스템 구축에 투자하면 법인세 2500만원을 감면해주는 식이다.

이 의원은 본지 인터뷰를 통해 해당 법안을 준비 중(6월2일자 '보안설비 투자기업 세금 깎아준다' 참조)이라고 밝힌 바 있다. 이 의원은 "중소기업의 자발적인 보안 투자를 유도하는 것이 핵심"이라며 "보안 시스템에 투자하면 이익을 볼 수 있도록 해 효과를 높였다"고 설명했다. 중견기업과 대기업도 혜택을 받을 수 있다. 중소에서 중견으로 전환된 지 3년 이내인 기업은 20%, 기존 중견기업 및 대기업은 15%가 적용된다.

보안 컨설팅과 사이버 보험도 공제 대상이다. 중소기업은 모의 해킹, 리스크 평가, 보험 가입 등에 쓴 비용의 5%를 돌려받는다. 중견기업은 3%, 대기업은 1%가 적용된다. 보안 전문가를 고용할 때도 세제 혜택이 주어진다. 보안 시스템을 갖춰도 운용인력이 없으면 무용지물이란 지적에 따른 것이다. 중소기업은 정보보호 전문가 1인당 1000만원, 중견기업은 600만원, 대기업은 400만원을 세액 공제받는다. 예컨대 중소기업이 3명을 채용하면 3000만원의 세금을 감면받는다.

이 법안이 국회를 통과하면 내년 1월1일부터 적용되며, 2028년 12월31일까지 3년간 시행된다. 국회 관계자는 "조특법은 기본적으로 일몰제를 전제로 운영되며, 효과가 입증되면 연장될 수 있다"고 했다.

깎였던 中企 사이버보안 예산 증액 검토

정부도 대책을 마련 중이다. 본지가 랜섬웨어 공격에 무방비 상태인 중소기업(5월29일자 '공짜 보안 솔루션 있는데 몰라서…중기 0.004%만 사용' 참조) 관련 기사를 보도한 이후, 지원책을 강화하는 움직임이 포착되고 있다. 과학기술정보통신부는 내년도 '지역 중소기업 정보보호 지원' 예산 233억원을 확대하는 안을 지난 18일 새 정부의 국정기획위원회에 보고했다. 배경훈 과기정통부 장관 후보자는 지난 27일 "사이버 보안에서 제일 중요한 건 사전예방"이라며 "전반적인 국가 체계가 잘 갖춰져 있는지 살펴보겠다"는 입장을 밝힌 바 있다.

정부는 이를 활용해 한국인터넷진흥원(KISA)이 운영하는 클라우드 기반 보안 서비스인 'SECaaS' 대상을 넓힐 것으로 보인다. SECaaS는 중소기업이 연 50만원만 내면 쓸 수 있는 보안 서비스다. 방화벽·악성코드 탐지·디도스 공격 방어 같은 필수 보안 기능이 들어가 있다. 그러나 관련 예산은 2023년 100억원에서 올해 23억원으로 반의반 토막 났다. 이원태 전 KISA 원장은 "SECaaS 예산을 원상 복구해 더 많은 중소기업이 해킹에 대비할 수 있도록 해야 한다"고 했다.

전국에 10곳뿐인 '지역 정보보호 지원센터'도 17곳으로 늘릴 방침이다. 센터는 중소기업의 보안 취약점을 점검하고 컨설팅 제공을 맡는다. 보안업계 관계자는 "전라권에도 해커의 주요 타깃인 제조공장이 밀집해 있는 공단이 있지만, 지원센터는 광주에 단 한 곳뿐"이라며 "경상권에는 대구, 포항, 울산, 부산 네 곳에 있는 것과 비교하면 지역 간 차이가 크다"고 했다.

정부는 또 사이버 공격 원인을 분석하는 '포렌식센터' 구축에 150억원을 새로 편성하는 안도 만들어 검토 중이다. 본지가 지적한 정부의 낮은 해킹 대응 역량(6월2일자 '해킹조직 역공한 美…韓 정부는 조사만' 참조)을 보완하기 위한 조치다. 포렌식센터는 피해기업의 방화벽 및 보안 장비 로그 데이터를 수집·저장·분석해 해킹 원인을 규명하는 역할을 한다. 정부는 본지 보도 이후 마련한 중소기업 사이버보안 대책을 다음 달 9일 '정보보호의 날' 전후에 공식 발표할 계획이다.

편집자주현실 세계에서 인질극이 벌어지면 누군가 신고를 하기 마련이다. 당한 사람이 직접 하든 주변에서 대신 하든 빨리 경찰에 알리는 게 급선무다. 그런데 랜섬웨어로 인해 벌어지는 사이버 인질극은 정반대다. 피해기업은 돈과 시간을 해커에게 몽땅 빼앗기고도 철저하게 숨기 바쁘다. 지난 10년간 총 2만건이 넘는 랜섬웨어 공격에 대응해 온 이형택 한국랜섬웨어침해대응센터장은 "SK텔레콤처럼 해킹을 당하면 신고하는 기업은 극히 드물다고 봐야 한다. 피해를 입고도 외부에 절대 알리지 않는 기업이 10곳 중 9곳은 된다"며 "해커는 돈만 챙기고 떠나는 구조가 반복되고 있다"고 했다.

박유진 기자 genie@asiae.co.kr
전영주 기자 ange@asiae.co.kr
심나영 기자 sny@asiae.co.kr