최근 KT, 쿠팡, 티빙 등 내로라하는 대형 IT·플랫폼 기업들마저 연이은 개인정보 유출 사태로 몸살을 앓으면서 산업계 전반에 보안 경고등이 켜졌다. 단순한 고객 정보를 넘어 수천억원이 투입된 신약 임상 데이터와 환자의 민감한 의료 정보를 다루는 제약업계는 단 한 번의 해킹 피해도 기업의 존폐로 이어질 수 있다.

또한 디지털 전환(DX)과 인공지능(AI) 신약 개발이 제약업계의 화두로 떠오르면서 정보보안의 중요성이 그 어느 때보다 강조되고 있다. 

국내 주요 제약사 17곳의 사업보고서와 자체 조사 데이터를 바탕으로 2025년 기준 보안투자 현황을 분석한 결과, 기업 간 보안 양극화가 갈수록 심화하고 있는 것으로 나타났다. 특히 외형이 큰 대형 제약사일수록 오히려 매출 규모에 걸맞은 보안 투자를 외면하는 엇박자 행보가 뚜렷했다.

정보보호 업계가 권고하는 이상적인 IT 예산 대비 보안투자 비중은 통상 7~10% 수준이다. 분석 대상 17개 제약사의 IT 대비 보안투자율 평균은 9.53%로, 겉보기에는 권고치를 상회하는 양호한 수준을 보였다.

이 지표에서 가장 두각을 나타낸 곳은 JW중외제약(14.9%)과 보령(14.8%)이다. 이어 동국제약(14.1%), 종근당(13.2%), 유한양행(11.8%), 녹십자(10.8%) 등이 IT 전체 예산 중 10% 이상을 정보보호에 할당하며 상위권을 형성했다. 이들 기업은 IT 인프라 확충과 더불어 보안 장벽을 높이는 데 균형 있는 투자를 집행하는 것으로 풀이된다.

반면 삼진제약(0.9%), 한미약품(5.1%), 대원제약(5.7%), 한독(5.8%) 등은 IT 예산 중 보안에 들이는 비중이 업계 평균을 크게 밑돌았다.

이번 분석에서 가장 눈여겨볼 대목은 기업의 실제 매출을 기준으로 살펴본 결과다. 17개사의 매출 대비 보안투자율 평균은 0.094%에 불과했다. 기업이 1만 원의 매출을 올릴 때, 보안에 투자하는 금액은 채 10원(9.4원)도 되지 않는다는 의미다. IT 예산 자체가 적게 책정된 기업의 경우, IT 대비 보안투자율이 높게 나타나는 ‘착시 현상’이 발생할 수 있으나 매출 대비 투자율은 이러한 거품을 걷어낸 실질적인 보안 의지를 보여준다.

매출 대비 보안투자율에서도 JW중외제약이 단연 1위였다. JW중외제약은 7748억원의 매출 중 16억원을 보안에 투입해 0.206%를 기록, 유일하게 0.2%대를 넘겼다. 그 뒤를 일동제약(0.132%), 동아에스티(0.132%), 동국제약(0.125%), 녹십자(0.125%)가 이었다.

반면 1조 원 이상의 막대한 외형을 자랑하는 초대형 제약사들의 행보는 다소 아쉬웠다. 

17개사 중 매출 1위(2조 1866억원)인 유한양행은 보안에 12.7억원을 썼지만, 매출 대비 보안투자율은 0.058%로 하위권에 머물렀다. 매출 1조 6595억원의 광동제약은 보안 투자가 5.5억원에 그치며 이 비율이 0.033%로 17개사 중 최하위권을 기록했고, 대웅제약(0.076%) 역시 매출 규모(1조 5709억원)에 비해서는 정보보호 예산 집행에 인색했던 것으로 분석됐다.

비율이 아닌 절대적인 투자 금액을 기준으로 보면 순위가 재편된다. 

전체 보안투자액 1위는 24.9억원을 쏟아부은 녹십자다. 녹십자는 매출액(1조 9913억원) 대비 투자율에서도 5위를 기록하며 양과 질 모두에서 우수한 정보보호 리더십을 보여줬다. 그 뒤를 JW중외제약(16.0억원), 한미약품(15.5억원), 종근당(15.0억원)이 잇고 있다. 한미약품의 경우 IT 예산 대비 보안투자율은 5.1%로 낮았으나, 전체 IT 인프라 예산 모수가 큰 덕분에 실제 보안에 투입된 절대 금액(15.5억원)은 업계 3위로 최상위권이었다.

눈여겨볼 만한 이상 지표도 발견됐다. 삼진제약은 전체 IT 인력 중 보안 인력이 차지하는 비중이 무려 54.5%로 17개사 중 1위였으나, 실제 보안 투자액은 0.2억원(2000만원)으로 꼴찌였다. 이는 담당 인력은 배치되어 있으나, 최신 보안 솔루션 도입이나 인프라 장비 등 ‘물리적·기술적 투자’가 사실상 전무하다는 것을 강하게 시사한다.

한편, 수익성 지표인 ‘영업이익 대비 보안투자율’에서는 실적에 따른 착시 현상이 나타났다. 17개사 평균이 13.3%로 도출되었으나, 이는 영업이익이 6억원에 그친 동아에스티(178.3%)와 33억원의 영업이익을 낸 한독(19.6%)의 부진에 기인한 극단값이다. 이를 제외하면 제약사들이 실제 벌어들이는 이익에서 떼어내는 보안 예산 비중은 평균 3~4% 내외인 것으로 추산된다.

신약 하나를 개발하기 위해 짧게는 10년, 길게는 15년의 시간과 수천억원의 천문학적 자본이 투입된다. 임상 데이터 하나가 유출되거나 랜섬웨어로 공장 라인이 멈추면 그간 쌓아온 기업의 가치는 하루아침에 곤두박질칠 수 있다.

보안업계 전문가는 “과거에는 IT 부서 구석의 서버를 지키는 것이 보안이었다면, 지금의 제약업계 보안은 AI 신약 개발 인프라와 글로벌 임상 네트워크 전반을 보호하는 핵심 경영 전략”이라며 “일부 제약사들이 여전히 정보보호를 삭감 가능한 ‘비용’으로 인식해 최소한의 컴플라이언스만 맞추려 하고 있다. 조 단위 매출을 올리는 빅파마로 도약하기 위해서는 단순한 규제 준수를 넘어 IT 예산의 10% 이상 또는 매출 규모에 비례하는 선제적인 보안 예산 편성이 시급하다”고 지적했다.