치솟는 반도체 비용, 국내 IT 기업 보안 인증 발목 잡다
서버 교체 예산 급증…중소기업은 물론 대기업까지 파고드는 ‘인증 유지’ 비상
최근 전 세계를 강타한 반도체 가격의 급격한 상승이 국내 정보기술(IT) 기업들의 정보보호 관리체계(ISMS) 인증 유지에 비상이 걸렸다. 기업의 핵심 인프라 역할을 하는 서버의 교체 및 업그레이드 비용이 예상치를 훨씬 웃돌면서, 까다로운 보안 인증 기준을 충족하기 어려워지는 기업들이 늘어날 것이라는 우려의 목소리가 커지고 있다.
업계 관계자들은 이러한 현상이 기업의 보안 역량 약화는 물론, 장기적으로는 비즈니스 연속성에도 부정적인 영향을 미칠 수 있다고 경고한다. 특히 다수의 기업들이 정보보호 체계 유지를 위해 기술 지원이 종료된(EOS: End of Support) 서버의 교체를 필수적으로 진행해야 하는 상황에서, 높아진 하드웨어 비용은 그야말로 ‘엎친 데 덮친 격’으로 작용하고 있다.
중소기업, 막대한 비용 부담에 투자 보류
한 중소 IT 서비스 기업 A사는 최근 정보보호 인증 유지를 위해 계획했던 서버 인프라 교체 투자를 잠정 보류했다. 이 기업은 ‘정보보호 관리체계(ISMS)’ 인증의 연간 사후 심사에서 기술 지원이 만료된 EOS 서버를 교체하라는 지적을 받고, 하이퍼컨버지드 인프라(HCI)로의 전환을 포함한 약 20억 원 규모의 인프라 고도화 프로젝트를 수립했다.
ISMS는 기업의 정보보호 시스템이 정해진 기준에 따라 효과적으로 운영되는지를 평가하는 중요한 인증으로, 최초 취득 후 3년간 유효하다. 그러나 인증 기간 중에도 매년 사후 심사를 거쳐야 하며, 이때 제시된 기준을 충족하지 못하거나 심사를 이행하지 않을 경우 인증이 취소될 수 있다. A사는 지난해 심사에서 EOS 서버 문제점을 지적받았지만, 개선 계획 제출을 통해 인증을 유지할 수 있었다.
그러나 올해 들어 반도체 가격이 예상치 못하게 급등하면서 상황은 급변했다. A사는 당초 책정된 예산 외에 80% 이상을 추가로 확보해야 하는 상황에 직면했다. A사의 한 관계자는 “64GB 용량의 메모리 모듈은 약 5배, 3.84TB SSD는 6배 가까이 가격이 치솟았다”고 설명하며, “중앙처리장치(CPU) 역시 가격이 크게 올라 전체 서버 시스템 구축에 필요한 비용이 감당할 수 없을 만큼 불어났다”고 어려움을 토로했다. 이러한 예상치 못한 비용 증가는 중소기업에게는 치명적인 재정 부담으로 작용하여 투자를 미룰 수밖에 없게 만들었다.
대기업도 예외 없어…’레거시 시스템’ 골머리
이러한 부담은 비단 중소기업에만 국한되지 않는다. 대기업들 역시 만만치 않은 어려움을 겪고 있다. 비용을 감내하고 대규모 서버 교체를 단행한다 하더라도, 이는 다음 해의 보안 투자 예산 감소로 이어져 경영진에게 새로운 고민거리를 안겨주고 있다.
최근 한 국내 대형 제조기업 B사 또한 ISMS-P(개인정보보호 관리체계) 심사에서 EOS 자산 문제를 지적받았다. B사 관계자는 “제조업의 특성상 오래된 레거시 시스템이 많아 EOS 장비의 비중이 매우 높은 편”이라며, “지난해 보안 사고가 빈번했던 만큼, EOS 자산에 대한 명확한 해결 방안을 제시하라는 강도 높은 요구를 받았다”고 전했다. 대기업 역시 방대한 레거시 시스템을 한 번에 교체하기에는 막대한 비용과 시간이 소요되는 만큼, 반도체 가격 상승은 이들의 고민을 더욱 심화시키고 있다.
생성형 AI와 HBM 수요가 촉발한 ‘반도체 쇼크’
반도체 가격 급등의 배경에는 복합적인 요인들이 작용하고 있다. 우선 메모리 반도체의 전반적인 공급 축소가 영향을 미쳤으며, 여기에 생성형 인공지능(AI) 기술의 확산으로 인한 GPU 서버와 고대역폭 메모리(HBM) 수요 폭증이 결정적인 역할을 했다. 이러한 특정 고성능 부품에 대한 수요 증가는 일반 서버용 부품 가격에도 연쇄적인 상승 효과를 불러일으키며, 전체 서버 시장의 비용 구조를 뒤흔들고 있다는 분석이다.
문제는 현행 보안 인증 체계상 서버 교체가 사실상 회피할 수 없는 필수적인 조치라는 점이다. ISMS는 정보자산 관리와 취약점 대응을 핵심 통제 항목으로 명시하고 있으며, EOS 상태의 장비는 교체하거나 특별한 통제 조치를 강구해야 하는 대상으로 분류된다. 따라서 투자 지연은 곧 인증 기준 미충족으로 이어져, 기업의 사업 활동에 치명적인 제약을 초래할 수 있다.
인증 취소 시 사업 차질 불가피…KISA, “개별 판단 사안”
이러한 상황은 특히 재정 여력이 부족한 중소 IT 기업들에게 더 큰 부담으로 다가온다. 서버 교체 비용을 감당하기 어려운 기업들은 결국 인증 유지 자체를 포기해야 할 위기에 처할 수 있다. 정보보호의 중요성이 사회 전반에서 확대되면서 ISMS 인증은 공공 부문은 물론 민간에서도 필수적인 요건이 되고 있어, 인증 취소는 사업 기회 상실로 직결될 수 있다.
한국인터넷진흥원(KISA) 관계자는 “ISMS 인증에 중대한 영향을 미치지 않는 경미한 결함 사항에 대해서는 대표이사 확인 등을 거쳐 일정 기간 유예를 허용할 수 있다”고 밝혔다. 그러나 관계자는 “이는 심사 과정에서 개별 기업의 상황을 고려하여 판단되는 사안이며, 모든 기업에 일률적으로 적용되는 원칙은 아니다”라고 덧붙여, 예외 적용이 쉽지 않음을 시사했다.
글로벌 반도체 시장의 불확실성이 지속되는 가운데, 국내 IT 기업들은 급변하는 기술 환경 속에서 정보보호라는 근본적인 가치를 지키기 위한 고군분투를 이어가고 있다. 비용 부담과 보안 유지라는 두 마리 토끼를 잡아야 하는 IT 기업들의 고민은 당분간 깊어질 전망이다.
