[딜사이트 이태민 기자] 지난해 611만여명의 개인정보 유출 사고를 겪은 넷마블이 실적 회복 이후에도 정보보호 투자와 내부 보안 인력을 충분히 회복하지 못한 것으로 나타났다. 적자 시기 축소된 보안 투자가 흑자 전환 이후에도 정상화되지 않은 셈이다.

개인정보 유출 사고가 비교적 오래 알려진 웹 취약점인 'SQL 인젝션(SQL Injection)'을 통해 발생했다는 점에서 업계에서는 당시 보안 투자와 내부 대응 체계 전반을 함께 점검해야 한다는 지적이 나온다. 사고 이후 넷마블은 조직 개편과 투자 확대 계획을 내놓았지만, 실제 보안 취약점 개선과 이용자 신뢰 회복으로 이어질 수 있을지는 지켜봐야 한다는 평가다.

흑자에도 줄어든 보안 실탄… 얇아진 내부 방어선

20일 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 넷마블의 정보보호 투자는 최근 5년간 감소세를 보였다.

넷마블의 정보보호 부문 투자액은 2021년 73억원대에서 2025년 54억원대로 약 25% 감소했다. 2022~2023년 실적 부진으로 투자 규모가 줄어든 이후 50억원대에 머물며 회복되지 못한 모습이다.

세부적으로 보면 2021년 73억원에서 2022년 66억원, 2023년 52억원대로 감소했다. 이후 2024년 56억원대로 소폭 늘었지만 지난해 다시 4%가량 줄었다. 같은 기간 넥슨코리아가 정보보호 투자액을 136억원에서 265억원으로, 크래프톤이 41억원에서 134억원으로 크게 늘린 것과 대조적이다.

보안 인력 역시 감소세를 보였다. 넷마블의 정보보호 전담 내부 인력은 2021~2022년 30.4명을 유지하다가 2023년 34.6명으로 늘었지만, 2024년 33.9명, 2025년 29.1명으로 다시 감소했다.

개인정보 유출 사고가 비교적 기초적인 웹 취약점인 SQL 인젝션을 통해 발생했다는 점에서 업계에서는 투자 규모뿐 아니라 내부 보안 관리 체계 전반을 점검할 필요가 있다는 지적도 나온다.

같은 기간 외주 인력은 1.8명에서 4.4명으로 꾸준히 증가했다. 이에 따라 외주 인력 비중은 5.6%에서 13.1%로 두 배 이상 높아졌다.

이처럼 넷마블의 보안 투자 감소는 실적 부진과 맞물린 것으로 풀이된다. 넷마블은 2021년 영업이익 1545억원을 기록했지만 2022년 영업손실 1044억원으로 적자 전환했다. 주요 신작 출시가 지연되고 흥행 성과도 기대에 미치지 못한 영향이다. 2023년에도 685억원의 영업손실을 기록했다.

주목할 부분은 실적 회복 이후에도 정보보호 투자가 본격적으로 늘지 않았다는 점이다. 넷마블은 2024년 영업이익 2156억원으로 흑자 전환한 데 이어 지난해에는 3525억원으로 이익 규모를 확대했다. 그러나 정보보호 투자액은 56억원대에서 54억원대로 오히려 감소했고, 내부 보안 인력도 33.9명에서 29.1명으로 줄었다.

인증은 늘었지만…실질 투자 확대는 과제

넷마블의 이 같은 정보보호 투자 기조와 달리 정보보호 인증과 거버넌스는 꾸준히 강화됐다. 넷마블이 확보한 정보보호 인증은 2022년 ISMS-P와 ISO 27001 등 2종에서 지난해 말 기준 6종으로 확대됐다.

특히 ▲클라우드 보안(ISO 27017) ▲클라우드 개인정보(ISO 27018) ▲프라이버시 정보경영(ISO 27701) ▲APEC CBPR 등을 추가 확보하며 글로벌 수준의 인증 체계를 갖췄다. 하지만 인증 체계 확대와 달리 투자 규모와 내부 인력은 감소세를 보여, 보안 운영 역량을 지속적으로 강화해야 한다는 과제를 남겼다.

개인정보 유출 사고 이후 넷마블은 보안 조직도 개편했다. 기존 ▲개인정보보호 ▲보안전략 ▲보안개발 ▲보안기술 체계로 운영됐으나 ▲침해대응 ▲정보보호정책 ▲보안개발 ▲보안기술 체계로 조직을 재편했다.

침해 대응과 정책 기능을 강화하고 공시 특기사항에 '정보보호위원회 및 정보보호협의회 운영'을 새로 명시하는 등 경영진 차원의 거버넌스도 보완했다.

투자 확대 계획도 내놨다. 넷마블은 올해부터 2028년까지 정보보호 분야에 총 283억4400만원을 투자할 계획이다. 연평균 약 95억원 규모로, 최근 3년 평균 투자액(약 50억원)의 두 배 수준이다.

정보보호 전담 인력도 2028년까지 50명 규모로 확대할 방침이다. 내부 전담 인력을 중심으로 충원하고 추가 증원도 검토하고 있다. 장기적으로는 생성형 인공지능(AI) 기반 예측형 위협 탐지와 자동화 기반 실시간 대응 체계를 구축한다는 계획이다.

업계에서는 이러한 투자와 조직 개편이 실제 보안 취약점 개선과 이용자 신뢰 회복으로 이어질지가 향후 성과를 가를 핵심 변수로 보고 있다.

넷마블 관계자는 "내부 인력의 업무를 지원하기 위한 목적으로 외주 인력을 확대해 왔으며 현재 추가 확대 계획은 없다"며 "지난해와 같은 사고가 재발하지 않도록 관리적·기술적 보호 수준을 강화하는 등 정보보호 관리 체계를 지속적으로 개선하고 있다"고 말했다.