KT그룹이 고객센터 운영 계열사 KTis의 정보보호 수준을 지난해 최상위인 S등급으로 평가했지만, 같은 해 KTis가 발견된 보안 취약점을 실제로 조치한 비율은 절반에도 미치지 못한 것으로 나타났습니다. 취약점 개선 성과가 큰 폭으로 악화했는데도 최고 등급을 받은 만큼, KT그룹의 보안평가가 계열사의 실질적인 취약점 대응 역량을 제대로 반영했는지 의문이 제기됩니다.
◇ 보안 점검률 100%에도 취약점 조치율은 46.9%
20일 KTis '2026 ESG 보고서'에 따르면 2025년 보안 취약점 조치율은 46.9%로 집계됐습니다. 2024년 79.1%보다 32.2%포인트(P) 낮아졌습니다. 보안 취약점 조치율은 시스템 점검이나 모의해킹 등을 통해 발견한 취약점 가운데 개선을 완료한 비율을 뜻합니다. 취약점을 찾아내는 데 그치지 않고, 발견된 문제를 실제로 얼마나 해소했는지를 보여주는 지표입니다.
KTis는 KT 고객센터와 일반 기업의 컨택센터, 인공지능 컨택센터(AICC), 통신상품 유통, 114 번호안내 등을 운영하고 있습니다. 상담 기록과 연락처, 음성·문자 정보 등 다수의 고객정보를 처리하는 사업 구조여서 일반 기업보다 높은 수준의 보안 관리와 신속한 취약점 개선이 요구됩니다.
특히 금융·공공·의료·제조 분야로 AICC 사업을 확대하고 AI·클라우드 기반 서비스를 늘릴수록 처리하는 고객 데이터와 외부 연계 시스템도 증가할 가능성이 큽니다.
KTis 스스로도 '고객 및 임직원 정보보호'를 ESG 핵심 이슈 1순위로, '정보보안 체계 강화'를 2순위로 선정했습니다. 정보보호를 핵심 경영 과제로 내세웠지만, 실제 보안 취약점 조치율은 급격히 떨어졌습니다. 회사가 강조한 정보보호 목표와 실제 개선 성과 사이에 간극이 나타난 것입니다.
KTis는 같은 보고서에서 KT그룹의 정보보호 수준 평가 결과 최상위인 S등급을 받았다고 밝혔습니다. 정보보안 사고와 개인정보보호 법규 위반 건수는 2023년부터 2025년까지 각각 0건이었습니다. 임직원 개인정보보호 교육 이수율도 3년 연속 100%였고, 고객정보처리시스템 10개에 대한 점검률 역시 100%를 기록했습니다. 그러나 시스템을 모두 점검했다는 것과 점검 과정에서 발견된 취약점을 실제로 해소했다는 것은 다른 문제입니다. 점검률 100%는 정해진 보안 점검을 모두 실시했는지를 보여줍니다. 반면 취약점 조치율은 점검 이후 필요한 개선 작업이 제대로 이뤄졌는지를 나타냅니다. 점검은 모두 마쳤지만 후속 조치를 완료한 비율은 46.9%에 그친 셈입니다.
보안업계 관계자는 "보안 취약점 조치율은 사고로 이어질 수 있는 위험 요소를 사전에 얼마나 제거했는지를 보여주는 예방 지표"라면서 "보안사고 0건 역시 최고 등급을 뒷받침하는 지표로 활용될 수 있지만, 이것만으로 잠재적인 보안 위험까지 충분히 관리됐다고 단정하기는 어렵다. 사고 건수는 이미 발생한 침해 결과를 보여주는 후행 지표일 뿐"이라고 했습니다.
◇ KTis "신규 보안 취약점 누적 영향"… 32.2%P 급락 원인은 불명확
보안 핵심 예방 지표가 절반 아래로 떨어진 상황에서 KT가 KTis에 S등급을 부여한 것에 대한 의문도 제기됩니다. 취약점 조치율이 평가 항목에 포함됐다면 46.9%라는 낮은 성과에도 최고 등급을 부여한 기준의 적정성이 논란이 될 수 있습니다. 반대로 평가 항목에 포함되지 않았다면, 발견된 보안 위험을 실제로 얼마나 제거했는지를 보여주는 핵심 지표를 제외한 채 정보보호 수준을 평가했다는 점에서 평가 체계의 실효성이 도마에 오를 수 있습니다. 어느 경우든 KT의 평가가 KTis의 실질적인 취약점 대응 역량을 제대로 반영했는지 설명이 필요하다는 지적입니다.
이에 대해 KTis는 보안 취약점 조치율 하락이 보안 대응 역량의 악화라기보다 취약점 진단과 조치율 산정 방식에 따른 결과라고 설명했습니다. 항목별 1차 진단 이후 취약점을 개선하는 과정에서 2차 이행 진단을 통해 신규 취약점이 추가로 발견됐고, 전체 진단 건수가 누적되면서 조치율이 상대적으로 낮아졌다는 것입니다. KTis 관계자는 "해당 수치만으로 시스템 안전도가 낮아졌다고 보기는 어렵다"며 "아직 조치하지 않은 항목도 별도 계획에 따라 순차적으로 개선하고 있다"고 했습니다. KT는 "그룹사의 보안정책, 정보자산 관리, 접근통제, 침해사고 대응체계 등 기술적·관리적 보호조치를 종합 평가해 정보보호 수준을 진단하고 등급을 산정한다"고 설명했습니다.
다만 KTis의 설명은 보안 취약점 조치율이 낮게 산출될 수 있는 구조를 설명할 뿐, 지난해 수치가 전년보다 32.2%포인트 급락한 원인까지 해명하지는 못합니다. 2차 이행 진단에서 신규 취약점이 추가되는 방식이 2024년에도 동일하게 적용됐는데 두 해 사이의 큰 격차를 설명하기 어렵기 때문입니다. KT 역시 보안 취약점 조치율이 보안등급 평가 항목인지 여부를 명확히 밝히진 않았습니다.
KTis가 금융·공공·의료 등 민감한 정보를 다루는 AICC 사업을 확대하고 있다는 점에서 보안 취약점 조치율 급락은 단순한 내부 관리 지표 이상의 의미를 가집니다. 외부 시스템과 연결되는 접점이 늘어날수록 작은 취약점도 고객정보 유출이나 서비스 장애로 이어질 가능성이 커지기 때문입니다. 최고 등급을 받은 사실에 안주하기보다 발견된 취약점을 신속하게 해소하는 상시 대응 역량을 강화해야 한다는 지적이 나옵니다.