5대 제약사 정보보호 투자 80억원 돌파했지만 전담인력은 제자리…ISMS-P 대응 과제는?

핵심 요약

- 2026년 상위 5대 제약사의 정보보호 투자액이 80억원을 돌파하며 전년 대비 증가세 - 투자 증가에도 불구하고 정보보호 전담인력은 정체 상태로 인력 부족 문제 지속 - 한미약품은 개인정보보호 배상책임보험 가입, 정보보호위원회 월례회, 팀별 보안 수준 평가 등 선제적 대응 체계 구축

주요 내용

2026년 국내 주요 제약사들의 정보보호 투자가 본격화되고 있다. 상위 5개 제약사의 정보보호 투자 총액이 80억원을 넘어서며 개인정보보호와 의료데이터 보안에 대한 투자 의지를 보여주고 found다. 제약바이오 산업은 임상시험 데이터, 환자 개인정보, 신약 개발 정보 등 민감정보를 다량 보유하고 있어 정보보호 투자가 필수적인 분야다.

특히 한미약품은 개인정보보호 배상책임보험 가입, 개인·정보보호위원회 월례회 운영, 팀별 보안 수준 평가 등 체계적인 정보보호 관리체계를 구축하고 있는 것으로 나타났다. 이는 ISMS-P 인증 유지 및 개인정보보호법 준수를 위한 실무적 접근으로 평가된다. 월례회를 통한 지속적인 모니터링과 팀별 평가는 보안 거버넌스 강화에 효과적인 방법이다.

그러나 투자 증가와 달리 정보보호 전담인력은 여전히 정체 상태를 보이고 있어 우려가 제기된다. 제약사들이 보유한 의료데이터와 개인정보의 민감도를 고려할 때, 시스템 투자만으로는 충분한 보호가 어렵다. 특히 2026년 현재 AI 기반 사이버 공격이 고도화되면서 인간 전문가의 판단과 대응 능력이 더욱 중요해지고 있다.

제약업계는 디지털 전환(DX)과 AI 신약 개발 도입으로 IT 인프라가 확대되고 있어 공격 표면(attack surface)도 함께 증가하고 있다. 클라우드 기반 연구 플랫폼, 빅데이터 분석 시스템 등이 도입되면서 보안 관리 범위가 넓어졌지만, 이를 전담할 인력은 충분히 확보되지 않은 상황이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 제약사의 정보보호 투자 증가는 긍정적이나 '인력 없는 투자'는 실효성이 제한적이다. 개인정보보호 배상책임보험은 사후적 재무 리스크 관리 수단일 뿐, 사전 예방을 위해서는 전문인력의 일상적 모니터링과 위험 평가가 필수다. 특히 임상시험 참여자 정보, 유전자 데이터 등 민감정보를 처리하는 제약사는 개인정보보호법상 안전성 확보조치 의무가 강화되어 있어, 형식적 투자보다 실질적 관리체계 운영이 중요하다.

한미약품의 팀별 보안 수준 평가는 ISMS-P의 '정보보호 대책 이행점검' 요구사항과 부합하는 우수 사례다. 다만 평가 결과를 개선 활동으로 연계하는 PDCA 사이클이 실제로 작동하는지, 경영진의 지원이 충분한지가 핵심이다. 2026년 현재 개인정보보호위원회와 식약처의 제약사 대상 점검이 강화되고 있어, 월례회 운영 기록, 취약점 조치 이력, 교육 실시 증적 등 증빙 자료의 체계적 관리가 필요하다. 투자 확대와 함께 CISO(정보보호최고책임자) 직속 전담조직 신설과 외부 전문가 자문단 구성을 권고한다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 안전성 확보조치 (개인정보보호법 제29조)
제약사가 처리하는 건강정보, 유전정보는 민감정보로 분류되어 일반 개인정보보다 강화된 안전조치가 요구된다. 암호화, 접근통제, 접속기록 보관(3년) 등 기술적 조치와 함께 전담인력 지정, 정기 교육, 내부 관리계획 수립 등 관리적 조치가 병행되어야 한다. 배상책임보험은 안전조치의 일부이지만 핵심은 예방적 통제 체계 구축이다.

2. ISMS-P 인증 유지관리 체계
정보보호위원회 월례회 운영은 ISMS-P 2.1.1(경영진 책임과 참여) 및 2.8.1(정기적 관리체계 점검) 요구사항 충족에 효과적이다. 회의체를 통해 위험 평가 결과, 사고 동향, 법규 변경사항을 공유하고 의사결정하는 과정이 문서화되어야 한다. 팀별 보안 수준 평가는 내부심사(2.9.1) 프로세스로 활용 가능하며, 평가 기준의 객관성과 개선조치 추적이 심사 시 중점 확인 항목이다.