[딜사이트 이태민 기자] 엔씨가 비용 효율화 과정에서 정보보호 투자와 전담 인력을 함께 줄인 것으로 나타났다. 실적 부진 이후 조직 슬림화와 개발 역량 재배치가 이어지면서 보안 조직도 영향을 받은 것으로 풀이된다. 자체 IP를 직접 개발하는 회사 특성상 보호해야 할 핵심 자산이 많은 만큼, 줄어든 보안 조직을 자동화 시스템이 얼마나 보완할 수 있을지가 향후 경쟁력을 가를 변수로 떠오르고 있다.

비용 효율화 기조 속 줄어든 보안 투자

24일 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 엔씨의 정보보호 투자액은 2023년 196억원에서 2025년 147억원으로 25% 감소했다. 같은 기간 정보기술(IT) 투자액도 5679억원에서 5133억원으로 약 10% 줄었다. 이에 따라 IT 투자 대비 정보보호 투자 비중은 3.5%에서 2.9%로 하락했다. 2022년 정보보호 공시를 시작한 이후 가장 낮은 수준이다.

특히 눈에 띄는 부분은 IT 투자와 보안 투자의 흐름이 엇갈렸다는 점이다. IT 투자액은 2024년 4908억원에서 2025년 5133억원으로 다시 증가했지만, 정보보호 투자는 같은 기간에도 감소세를 이어갔다. 기술 투자 회복에도 보안 투자만 줄어든 것이다. 이는 일반 IT 투자와 달리 정보보호 투자가 비용 효율화의 영향을 상대적으로 크게 받은 결과로도 해석된다.

보안 전담 인력도 같은 기간 121명에서 82명으로 약 3분의 1 줄었다. IT 부문 인력이 3146명에서 2680명으로 15% 감소한 것보다 감소폭이 더 컸다. 내부 정보보호 인력은 93.3명에서 61.3명으로, 외주 인력은 27.3명에서 20.5명으로 각각 줄었다.

이 같은 변화는 엔씨의 경영 효율화 기조와 맞물려 있다. 엔씨는 2023년 실적 부진 이후 조직 개편과 희망퇴직, 개발 조직 분사 등을 추진하며 비용 구조를 대대적으로 손질했다. 전체 임직원 수는 2023년 5150명에서 2025년 3346명으로 약 35% 감소했다. 보안 조직 역시 이러한 구조조정의 영향을 받은 것으로 분석된다.

엔씨 관계자는 "2024~2025년 분사한 6개 신설법인과의 도급계약비가 외주용역비로 신규 계상되면서 전체 IT 지출이 확대된 결과"라며 "정보보호 투자액은 인건비를 제외하면 기존과 비슷한 수준을 유지하고 있다"고 설명했다.

커지는 보안 부담…자동화가 메울까

보안 투자 축소가 더욱 주목받는 이유는 엔씨의 사업 구조 때문이다. 엔씨는 국내 주요 게임사 가운데 자체 IP를 직접 개발·서비스하는 비중이 가장 높은 회사다. 퍼블리싱보다 직접 개발에 무게를 두고 있어 게임 서버와 소스코드, 개발 데이터, AI 기술 등 보호해야 할 핵심 자산이 상대적으로 많다. 업계에서도 엔씨를 일반 퍼블리셔보다 정보보호 중요성이 높은 회사로 평가하는 배경이다.

실제로 엔씨는 연매출의 약 19%를 연구개발(R&D)에 투입하며 AI와 사운드, 비주얼 기술 등 원천 기술 확보에 집중해 왔다. 보안 역시 이러한 연구개발 자산을 보호하기 위한 핵심 인프라로 평가받는다.

반면 보호해야 할 자산은 오히려 늘고 있다. 지난해 하반기부터 '아이온2', '리니지 클래식' 등 신작 흥행으로 이용자 트래픽이 증가했고 서비스 데이터와 인게임 결제 정보 등 관리해야 할 개인정보도 확대됐다.

여기에 올해 하반기 '아이온2' 글로벌 출시와 '호라이즌 스틸 프론티어스', '신더시티' 등 신작 출시가 예정돼 있어 글로벌 개인정보 보호와 서비스 보안 관리 부담은 한층 커질 전망이다.

엔씨는 줄어든 보안 조직의 공백을 자동화와 거버넌스 강화로 보완한다는 전략이다. 지난해 정보보호 투자 내역을 보면 ▲취약점 점검 자동화 플랫폼 구축 ▲글로벌 퍼블리싱 보안 가이드라인 마련 ▲국내외 11개 자회사 대상 보안 교육 확대 등에 집중됐다.

구체적인 실행 수단도 마련했다. 자체 개발한 서버 보안 모니터링 시스템 'SAMS'를 통해 글로벌 게임과 플랫폼 서버 취약점을 실시간 점검하고 있으며, 독립 조직인 '레드팀(Red Team)'과 버그바운티 프로그램을 통해 선제적인 취약점 발굴도 병행하고 있다. 업계 최초로 획득한 국경 간 개인정보 이전 인증(CBPR)도 글로벌 등급으로 갱신했다.

AI 시대에 맞춘 보안 체계도 확대하고 있다. NC AI 분사 이후에는 AI 리스크 관리 프레임워크를 구축하고 3D 스캔 데이터와 초상권 데이터를 원본과 AI 생성 데이터로 구분해 관리하는 등 데이터 신뢰성 확보에도 나섰다.

업계에선 자동화가 모든 공백을 메울 수 있는 것은 아니라는 지적도 나온다. 자동화 시스템은 반복적인 취약점 점검과 모니터링에는 효과적이지만, 새로운 공격 기법 분석이나 사고 발생 시 의사결정, 복합적인 대응은 결국 전문 인력의 역할이 크기 때문이다.

결국 비용 효율화와 보안 경쟁력 사이에서 균형을 어떻게 맞출지가 엔씨의 과제로 남았다는 평가다. 글로벌 서비스가 본격 확대되는 시점에서 자동화 시스템이 줄어든 인력 공백을 얼마나 실질적으로 보완할 수 있을지가 엔씨 보안 경쟁력의 분수령이 될 것으로 보인다.

엔씨 관계자는 "올해는 AI 기반 해킹 공격 증가 등에 대비해 외부 공격 표면에 대한 보안 강화를 핵심 과제로 추진했다"며 "지난달 정부의 '보안취약점 상시 신고조치제' 시범사업에 참여하는 등 역량 강화에 힘쓰고 있다"고 설명했다.