[딜사이트 이태민 기자] 지난 2011년 '메이플스토리' 이용자 1320만명의 개인정보가 유출된 사고는 국내 게임업계 최대 규모의 해킹 사고 중 하나로 남아 있다. 넥슨은 이 사건을 계기로 지난 14년간 보안 체질을 전면적으로 바꿨다. 정보보호 투자를 두 배 가까이 늘리고 외주 의존도를 줄이는 대신 내부 보안 역량을 키웠으며, 자체 보안 솔루션 개발까지 추진하며 보안을 비용이 아닌 핵심 경쟁력으로 내재화했다는 평가를 받는다.

매출 성장 웃도는 보안 투자… 외주 줄이고 내부 역량 강화

21일 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 넥슨코리아가 보안 투자를 지속적으로 확대해 온 배경에는 지난 2011년 발생한 메이플스토리 개인정보 유출 사고가 있다. 당시 이용자 약 1320만명의 이름과 아이디, 비밀번호, 주민등록번호 등이 유출됐다. 관리자 서버와 백업 데이터베이스(DB)에 악성코드가 설치된 것으로 확인되면서 서버 보안 관리 부실이 도마에 올랐다.

넥슨은 사고 발생 약 2주 뒤 기자간담회를 열고 ▲비밀번호 변경 캠페인 ▲휴면계정 보호 시스템 ▲로그인 보안 강화 ▲최고보안책임자(CSO) 영입 및 보안관제센터 운영 등 보완 대책을 발표했다. 이후 고객정보 보호를 핵심 경영 과제로 삼고 정보보호 투자와 조직 개편을 지속적으로 추진했다. 단발성 대응에 그치지 않고 장기간의 보안 체질 개선으로 이어졌다는 점이 가장 큰 변화다.

실제로 넥슨코리아의 정보보호 투자액은 2021년 136억원에서 지난해 265억원으로 4년 동안 약 두 배 증가했다. 같은 기간 매출은 1조9335억원에서 3조1059억원으로 60.6% 증가하는 데 그쳤다. 매출 성장 속도를 웃도는 수준으로 정보보호 투자를 확대한 셈이다.

넥슨코리아는 2022년(133억원)을 저점으로 매년 정보보호 투자 규모를 확대했다. 특히 2023년(158억원)에서 2024년(227억원) 사이 투자액을 70.5% 늘렸다. 전사 보안 체계와 개인정보보호 시스템 고도화에 투자가 집중된 것으로 풀이된다.

투자 확대와 함께 인력 운영 방식도 달라졌다. 과거 외주 중심이던 보안 운영을 내부 인력 중심으로 전환하며 핵심 보안 기능을 직접 수행하는 체계를 구축했다. 2025년 말 기준 넥슨코리아의 정보보호 전담 인력은 총 150.3명이다. 이 가운데 내부 인력은 137명, 외주 인력은 13.2명이다.

2021년에는 전체 전담 인력 156.8명 가운데 내부 인력이 81.8명, 외주 인력이 75명으로 비슷한 수준이었다. 이후 외주 인력은 ▲2022년 15.3명 ▲2023년 15.8명 ▲2024년 19.2명 ▲2025년 13.2명으로 감소했다. 반면 내부 인력은 81.8명에서 137명으로 67.5% 늘었다. 단순한 인력 확충이 아니라 핵심 보안 기능을 내부 조직으로 흡수하는 '보안 내재화' 전략을 추진한 결과로 해석된다.

투자와 인력 확충에 맞춰 거버넌스도 손질했다. 가장 눈에 띄는 변화는 개인정보보호책임자(CPO)를 임원급으로 격상한 것이다.

넥슨은 2023년까지 최고정보보호책임자(CISO)는 본부장급 임원이, CPO는 실장급 비임원이 각각 맡아왔다. 2024년부터는 본부장급 임원이 CPO와 CISO를 함께 맡는 통합 관리 체계로 개편했다. 보안 정책 수립부터 실행, 관제, 사고 대응까지 하나의 책임 체계 아래 운영하면서 의사결정의 일관성과 대응 속도를 높였다는 평가다.

정보보호 관련 인증도 확대했다. 넥슨코리아는 이번 공시에서 개인정보보호 관리체계 국제 표준인 ISO/IEC 27701과 국경 간 개인정보 이전 관련 인증인 아시아태평양경제협력체 국경 간 프라이버시 규칙(APEC CBPR), 글로벌 국경간 프라이버시 규칙(Global CBPR)을 새롭게 포함했다. 국내 인증을 넘어 글로벌 개인정보보호 체계까지 관리 범위를 넓힌 것이다.

공시만으론 안 보이는 투자…자체 개발 중심의 '보안 내재화'

넥슨 보안 전략의 또 다른 특징은 외부 솔루션 구매보다 자체 개발 비중이 높다는 점이다. 생성형 인공지능(AI) 도입 이후에는 AI 기반 이상 징후 분석과 위험 관리 규칙 고도화에도 속도를 내고 있다. 자체 개발 보안 솔루션인 '플랫폼쉴드'를 통해 결제 시스템 보안을 강화했고, 공격표면관리(ASM)와 위협 인텔리전스(TI)를 결합한 보안 전략도 운영 중이다. 통합 보안관제센터인 '넥슨 CERT'를 중심으로 24시간 모니터링 체계도 가동하고 있다.

이 같은 자체 개발 중심 전략은 정보보호 공시 수치만으로는 충분히 드러나지 않는다. 일반적으로 외부 보안 솔루션을 구매하면 해당 비용이 정보보호 투자액으로 반영되지만, 자체 개발은 연구개발비나 개발 조직 인건비 등으로 분산 계상되는 경우가 많기 때문이다.

다만 지난해 넥슨코리아의 정보보호 투자액은 전체 IT 투자액(약 5715억원)의 4.6%에 불과했다. 절대 투자 규모는 업계 최고 수준이지만, 자체 개발 비중이 높은 특성상 공시상 투자 비율만으로 실제 보안 투자 규모를 평가하기에는 한계가 있다는 분석이 나온다.

남은 과제는 CISO 독립성…보안 경쟁력 유지 시험대

넥슨은 14년간 이어진 투자와 조직 개편을 통해 보안 체질을 크게 개선했지만, 이를 지속적으로 유지하는 과제는 여전히 남아 있다.

업계에서는 현재 CPO와 CISO를 한 명의 임원이 겸직하는 구조가 개인정보 보호의 독립성과 전문성을 충분히 확보할 수 있는지에 대한 논의가 이어지고 있다. 또한 생성형 AI 확산과 사이버 공격 고도화에 대응하기 위해서는 내부 보안 인력과 기술 투자를 지속적으로 확대해야 한다는 의견도 나온다.

넥슨코리아 관계자는 "보안 위험 대응의 신속성과 기밀성 확보를 위해 핵심 보안 역량을 내부에 축적하려 지속 노력 중"이라며 "보안 체계의 일관성을 유지하는 한편, 유관 조직 간 협업 효율도 높이고 있다"고 설명했다.