[딜사이트 이태민 기자] 컴투스가 국내 주요 게임사 가운데 정보보호 투자 비중 1위를 유지하고 있다. 영업이익보다 많은 금액을 보안에 투입할 정도로 투자 의지는 확고하지만, 최근 3년간 투자 규모는 사실상 제자리걸음을 이어가고 있다. 여기에 보안 기능이 본사와 자회사로 나뉘고 외부 전문업체 활용 비중도 높은 만큼, 분산된 보안 역량을 얼마나 유기적으로 통합하느냐가 컴투스 보안 경쟁력의 핵심 과제로 떠오르고 있다.

투자 비중 1위…영업이익보다 보안에 더 썼다

28일 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 컴투스의 지난해 정보기술(IT) 투자액 대비 정보보호 투자 비중은 8.0%로 주요 게임사 8곳 가운데 가장 높았다. 매출(6964억원) 대비 정보보호 투자 비중도 1.2%로 역시 최고 수준이다. 절대 투자액은 중위권이지만, 매출과 IT 투자 규모를 고려하면 가장 적극적으로 보안에 투자한 회사로 평가된다.

특히 지난해 영업이익이 26억원에 그쳤음에도 정보보호에는 86억원 이상을 투입했다. 영업이익의 3배가 넘는 금액을 보안에 투자한 셈으로, 실적 부진 속에서도 보안 투자를 유지했다는 점이 눈에 띈다.

컴투스의 정보보호 투자액은 2021년 18억9285만원에서 2022년 66억128만원으로 1년 만에 약 249% 증가했다. IT 투자 대비 정보보호 투자 비중도 2.9%에서 7.7%로 뛰었다.

당시 컴투스는 글로벌 서비스 확대에 맞춰 정보보호 체계를 전면 고도화했다. 개인정보 보호 체계 강화와 신기술 기반 취약점 대응 시스템 구축에 집중했고, 글로벌 사업 기반 마련을 위해 국제 정보보호 인증인 ISO 27001도 새롭게 취득했다.

대규모 투자 이후에는 확장보다 유지에 무게를 두는 모습이다. 정보보호 투자액은 2023년 84억5047만원, 2024년 86억6390만원, 2025년 86억8944만원으로 최근 3년간 증가율이 2.8%에 그쳤다. IT 투자 대비 비중도 8% 안팎을 유지했다. 실적 부진이 이어지는 가운데 새로운 투자 확대보다는 기존 보안 체계를 안정적으로 운영하는 데 초점을 맞춘 것으로 풀이된다.

본사는 전략, 자회사는 실행…분산된 보안 거버넌스

컴투스 보안 체계의 가장 큰 특징은 역할이 법인별로 분리돼 있다는 점이다. 컴투스는 개인정보 보호 거버넌스와 관리 체계를 총괄하고, 관계사인 컴투스플랫폼은 보안 솔루션 운영과 서비스 보안 등 기술 실무를 담당한다.

구체적으로 본사 정보보호실 산하 정보보호팀이 정책 수립과 보안 진단, 위험 관리 등을 맡고 있으며, 컴투스플랫폼은 보안 솔루션 운영과 24시간 관제, 취약점 점검, 모의해킹 등을 수행한다.

컴투스플랫폼의 정보보호 투자액은 2021년 9억7399만원에서 2025년 21억4598만원으로 두 배 이상 증가했다. 본사와 컴투스플랫폼 투자액을 합치면 그룹 전체 정보보호 투자 규모는 108억3542만원으로 본사 공시보다 약 25% 많다.

다만 그룹 차원의 보안 역량은 공시 수치만으로 단순 비교하기 어렵다. 컴투스 정보보호 전담인력 26.9명 가운데 내부 인력은 8.8명, 외주 인력은 18.1명으로 외주 비중이 67.3%에 달한다. 컴투스 측은 외주 인력 일부에 컴투스플랫폼 인력이 포함돼 있어 실제 내재화 수준을 외주 비중만으로 판단하기는 어렵다고 설명했다.

인증 체계 역시 법인별로 나뉘어 운영된다. 컴투스는 ISMS와 ISO 27001을 보유하고 있고, 컴투스플랫폼은 ISMS·ISMS-P·ISO 27001을 모두 취득했다. 향후 ISO 27701과 ISMS-P 인증 범위를 확대할 계획이지만, 본사 인증 범위가 현재 본사 중심에 머물러 있다는 점은 글로벌 서비스 확대 과정에서 보완 과제로 꼽힌다.

AI는 해결책…관건은 '통합'

컴투스는 AI와 자동화를 중심으로 보안 체계를 고도화하고 있다. 지난 1월 오내피플의 AI 솔루션 '캐치시큐'를 도입해 개인정보 수집부터 파기까지 전 과정을 자동 식별·분류하고 있으며, 보호 대상도 퍼블릭 클라우드를 포함한 전사 자산으로 확대했다.

AI 기반 위협 헌팅(Threat Hunting) 체계를 강화하고 사고 사례 공유와 백서 발간을 정례화한 결과 최근 3년 연속 개인정보 유출과 관련 과징금 발생도 없었다.

AI 기반 자동화는 분산된 조직의 운영 효율성을 높이는 수단이지만, 근본적인 과제를 해결하는 것은 아니라는 평가도 나온다. 본사와 컴투스플랫폼으로 나뉜 보안 체계는 전문성을 높일 수 있는 장점이 있는 반면, 대규모 보안 사고 발생 시 의사결정과 대응 체계를 얼마나 일원화할 수 있느냐가 중요하기 때문이다.

결국 컴투스 보안 경쟁력의 핵심은 투자 규모가 아니라 분산된 조직과 보안 체계를 얼마나 하나의 거버넌스로 유기적으로 연결하느냐에 달렸다는 분석이다. 본사와 자회사의 역할 분담을 유지하면서도 통합 대응 체계를 구축할 수 있을지가 컴투스 보안 전략의 최종 시험대가 될 전망이다.

컴투스 관계자는 "보안 관제와 유지보수 업무는 전문 외주업체를 활용하고 있으며, 컴투스플랫폼은 개인정보 처리 업무 비중이 가장 높은 만큼 ISMS-P 인증을 우선 취득했다"고 설명했다.