제약·바이오 업계 전반에 걸쳐 고도화된 사이버 공격이 집중되며 보안 인프라 확충의 시급성이 대두되고 있지만, 실제 기업 현장에서는 경영진의 의지와 자금력에 따라 이른바 보안 투자의 '빈익빈 부익부' 현상이 극명하게 나타나고 있다.

최근 개인정보보호법 개정 등 규제 환경이 대폭 강화되고, 데이터 유출 시 기업이 짊어져야 할 법적·사회적 책임이 무거워지면서 기업의 선제적인 보안 강화 노력을 외부로 적극 어필하는 것이 필수적인 경영 요소로 자리 잡고 있다. 

특히 글로벌 빅파마와의 라이선스 아웃이나 공동 연구가 활발해지면서 글로벌 스탠더드에 부합하는 보안 인프라는 기업의 신뢰도와 직결되는 핵심 ESG 지표가 되었다. 

그러나 지속적인 정보보호 공시를 통해 맞춤형 보안 시스템을 고도화하고 있는 선도 기업들과 달리, 여전히 다수의 제약사들은 눈앞의 비용 부담과 경영진의 인식 부재로 인해 심각한 위협에 무방비로 노출되어 있는 실정이다.

제약업계 내 비교적 보안 투자가 우수한 리딩 기업으로 꼽히는 녹십자, 보령, JW중외제약 등은 지난해 정보보호 공시를 통해 다각적인 정보보호 활동과 대대적인 인프라 투자를 단행하며 업계의 표준을 제시하고 있다. 이들은 단순히 방화벽을 세우는 수준을 넘어, 사람과 제도, 시스템을 아우르는 3차원적인 보안 생태계를 구축하는 데 집중했다.

이 중에서도 녹십자의 행보는 인프라와 조직 문화를 아우르는 전방위적인 스케일로 단연 눈길을 끈다. 녹십자는 글로벌 정보보호 및 개인정보보호 경영시스템 인증인 ISO27001 및 ISO27701 사후심사를 무사히 통과하며 자사 보안 관리 체계의 우수성을 국제적으로 입증했다. 

만일의 데이터 유출 사태에 대비한 개인정보 손해배상 책임보험 가입과 랜섬웨어 감염 시 서비스 연속성을 확보하기 위한 재해복구 훈련을 비롯해, 사이버 침해대응 및 악성메일 모의훈련을 정기적으로 수행하며 실전 감각을 끌어올렸다. 

또한 클린데스크 점검, 기술 유출의 주요 통로가 되는 퇴직자 점검 프로세스 운영, 전 임직원 대상 정보보호 교육 지원 및 전용 게시판 운영 등 조직 문화 혁신에도 심혈을 기울였다.

특히 녹십자는 막대한 자금을 투입해 하드웨어와 소프트웨어를 아우르는 철벽 보안망을 선제적으로 구축했다. 부서별로 파편화된 중요 문서를 한곳에 모아 데이터 사일로와 유출을 동시에 막는 ECM(기업 콘텐츠 관리) 중앙 문서 관리 시스템을 구축하고, 해커가 파고들 수 있는 IT 인프라의 맹점을 사전에 찾아내 차단하는 공격표면관리(ASM) 서비스를 선도적으로 도입했다. 

더불어 차세대 보안 네트워크 인프라, 외부 메일로의 민감 데이터 유출을 원천 차단하는 EmailDLP 시스템, 비정상적인 접근과 위협을 실시간으로 상관관계 분석해 즉각 탐지하는 SIEM 체계, SW개발보안 취약점 진단 솔루션을 연이어 구축했다. 

여기에 글로벌 수준의 차세대 엔드포인트 보안 플랫폼인 센티넬원 공급 및 MDR(관리형 탐지 및 대응) 보안관제서비스 도입, 원격 근무 시 필수적인 다중인증(MFA) 라이선스 추가 구매, 노후화 웹방화벽 교체 등 신약 파이프라인과 임상 데이터를 지키기 위한 최고 수준의 IT 투자를 멈추지 않았다.

보령도 빈틈없는 데이터 방어 체계를 다지며 보안 투자 리딩 기업의 면모를 과시하고 있다. 

보령은 한국인터넷진흥원(KISA) 주관 사이버 위기대응 악성메일 모의훈련에 적극 참여해 임직원의 보안 경각심을 높이고, 정기적인 임직원 개인정보보호 교육 실시와 배상책임보험 갱신, 주기적인 인프라 취약점 진단을 꼼꼼히 수행하고 있다. 

특히 외부 공급망을 통한 정보 유출 사고가 빈번해짐에 따라, 자사의 데이터를 위탁받아 처리하는 개인정보처리 수탁사에 대한 깐깐한 실태점검까지 직접 챙기고 있다. 

시스템 측면에서는 강력한 서버 접근제어 시스템, 클라우드 환경에 최적화된 AWS 보안시스템, 정보유출 탐지시스템(SIEM)을 비롯해, 민감한 신약 연구 데이터가 개인용 PC나 노트북에 저장되는 것을 원천 차단하여 오직 중앙 서버에서만 작업하도록 통제하는 내부정보유출방지강화(VDI) 데스크톱 가상화 시스템을 고도화했다. 

또한 해킹으로 데이터가 유출되더라도 내용을 읽을 수 없게 만드는 DB암호화 시스템, 대규모 분산서비스거부(DDoS) 공격을 방어해 서비스 마비를 막는 클린존 서비스, 스팸메일 차단 솔루션 등을 적극 도입하며 외부 침입과 내부 유출을 동시에 막아내고 있다.

JW중외제약 또한 선제적인 컴플라이언스 정비와 자체 점검에 집중하며 내실을 다졌다. 

변화하는 규제 환경에 발맞춰 정보보호 및 개인정보보호 정책과 지침을 선제적으로 개정하고, 사내 네트워크 인프라 취약점 점검 솔루션을 선도적으로 도입해 상시 운영 중이다. 불의의 사고로 인한 재무적 리스크를 최소화하기 위해 개인정보 손해배상 책임보험에 가입했으며, KISA 사이버 위기대응 모의훈련 실시와 임직원 대상 정기 개인정보보호 교육을 통해 모든 보안의 기본이 되는 '사람 중심의 보안 인식 제고'에도 많은 공을 들이고 있다.

이러한 소수 선도 기업들의 화려한 행보 이면에는 여전히 턱없이 부족한 예산과 낡은 시스템을 부여잡고 씨름하는 대다수 제약기업 보안 실무진들의 뼈아픈 현실이 존재한다. 

국내 제약업계 보안 담당자들을 대상으로 진행한 현장 설문조사에 따르면, 대다수 실무진들은 현재 자사의 보안 수준이 심각하게 뒤떨어져 있다고 자가 평가하며 고도화되는 타깃형 해킹 위협에 대해 짙은 위기감을 느끼고 있는 것으로 나타났다. 

이들이 꼽은 사내 보안 시스템 강화의 가장 큰 애로점은 다름 아닌 '경영진의 지원 부족'이었다. 현장의 보안 실무진들은 당장 시급한 문서 중앙화, 화면/출력물 보안, 클라우드 기반 협업 보안 솔루션 등 중점 부문에 대한 투자를 간절히 희망하고 있다. 

여전히 많은 제약사 경영진이 보안 인프라를 신약 파이프라인처럼 '미래 가치를 창출하는 핵심 투자'가 아니라 언제 터질지 모르는 사고를 위해 지불해야 하는 단순한 '비용'으로 치부하고 있어 예산 편성이 번번이 좌절되고 있다는 뼈아픈 지적이 이어졌다.

데이터 보안 전문기업 파수(Fasoo) AI 관계자는 "녹십자, 보령, JW중외제약 등 한발 앞서가는 리딩 기업들의 사례에서 명확히 확인할 수 있듯, 진정한 철벽 보안은 단편적인 최신 기술 솔루션의 도입만으로 이루어지지 않으며, 정기적인 모의훈련과 퇴직자 권한 관리 등 촘촘한 조직 문화적·제도적 장치가 톱니바퀴처럼 맞물려야만 비로소 완성된다"고 진단했다. 

이어 "제약업계 보안 실무진들이 현장에서 매일같이 느끼는 절박한 위기감이 실제 경영진의 과감한 예산 집행과 솔루션 도입 결정으로 직결될 수 있도록, 경영진 스스로가 보안 투자를 단순한 IT 부서의 골칫거리가 아닌 기업의 글로벌 신뢰도와 수조 원대 지식재산권(IP) 가치를 강력하게 방어하는 최고 수준의 투자수익률(ROI) 창출 활동으로 바라보는 경영 철학의 대전환이 그 어느 때보다 절실한 시점"이라고 강조했다.