단소정한(短小精悍) (작은 것이 정밀하고 세차다)

현대약품 혁신전략팀

‘변화와 혁신을 통해 新 도약을 이룩하자’는 비전을 세우고 있는 현대약품의 이영균 혁신전략팀 팀장은 “100%의 보안은 없지만 지속적인 보안활동은 효과가 있다”고 강조했다. 적은 인원으로 효과적인 전사적 보안을 체계화한 현대약품 보안팀을 만나봤다.

현대약품은 현재 처방의약품에서부터 기능성식품, 음료, 의료기기, 화장품에 이르기까지 폭넓은 분야에 이르는 제품을 생산하고 있다.

특히 R&D 역량을 집중해 인류의 행복지수를 향상시킬 수 있는 신제품을 발굴하고 빠른 정보 공유 및 스피드 있는 의사 결정으로 변화를 리드하는 선도적인 기업이다.

현대약품이 중점을 두고 있는 부분은 내부정보유출에 대한 효과적인 대응 프로세스 구축 및 운영이다. 특히 제약회사의 특성상 신약 기술 정보에 대한 보안은 생명이다.

이영균 팀장은 “최근 국내ㆍ외적으로 기술 유출 사고가 최근 들어 증가세를 나타내고 있고 기술 유출 유형 가운데 전ㆍ현직 직원이 기술을 빼돌리는 경우가 많은 추세이기 때문에 현대약품의 경우 직원들의 보안 인식 제고를 위한 교육과 함께 보안 체계 구축이 활발하게 이뤄지고 있다”며 “경영진 역시 보안의 중요성을 인지하고 있기에 매년 보안 예산을 늘리는 등 투자를 확대하고 있다”고 말했다.

현대 약품은 최상위 정보화전략위원회에서 정보보안에 대한 의사결정을 진행하고 혁신전략팀과 경영지원팀 및 경영기획팀이 각각 물리적ㆍ관리적 보안업무를 나눠서 진행을 하고 있다. 또한 정보시스템 외주관리 업체인 현대I&S를 통해 시스템적 모니터링 및 시스템 보안을 지속적으로 개선해 나가고 있다.

이 팀장은 “연 1회 외부 보안 점검시 모의 해킹테스트를 통해 지속적으로 문제점을 개선해 나가고 있다”며 “해킹이 더욱더 다양하게 진화가 되고 있어 이에 대한 대책을 꾸준히 지속적으로 자체 보안점검을 통해 개선해 나가고 있다”고 설명했다.

또한 고객 정보보호를 위해 3년전부터 현대약품에서 운영하고 있는 제품 홈페이지의 개인정보취득시 주민번호를 배제하고 최소한의 고객 정보를 관리하고 있다.

그는 “고객에 대한 최소한의 정보만 운영함으로써 고객들이 본인들의 개인정보에 대해 신뢰할 수 있는 체계를 갖추는 것이 중요하다”고 밝혔다.

효과적인 전사적 보안 관리 체계 갖춰

이 팀장이 보안 업무를 처음 맡게 된 것은 2005년. 관리직에서 보안담당자로 선회하면서 어려움도 많았을 터. 그는 2006년 회사 정보보안 컨설팅을 통해서 정보 보안의 중요성을 깨달았고 이후 매년 2회에 걸쳐 내외부 보안점검 및 개선을 통해 정보보안에 대해 체계적으로 눈을 뜨게 됐다고 한다.

그는 “현재 맡고 있는 역할이 현대약품의 정보혁신활동을 통해 경영목표 달성을 효과적으로 지원하며 전사적 보안 관리를 실현하는 것”이라며 “정보시스템이라는 도구를 활용한 혁신활동은 끊임없이 나 자신을 변화하게 만드는 추진 동력이 된다”고 밝혔다.

그는 한 우물을 파는 것도 중요하지만 자신을 끊임없이 변화시키기 위해 다양한 각도에서 본인의 역량을 개발해야 한다는 신념으로 일과 공부를 병행하며 보안 업무에 전념하고 있다.

애로사항도 많다. 이 팀장은 “아무리 좋은 보안 시스템을 구축해도 전체 정보유출의 80%이상이 내부직원에 의한 유출로 인해 발생하고 있기 때문에 내부직원들의 인성관리가 가장 힘이 든다”고 토로했다.

그러나 그는 “2008년 연구개발대상으로 SBC시스템을 구축하면서 초기 시스템적 구성에 포커싱돼 프로젝트를 진행하다가 구축 위기가 여러 차례 발생했으나 이를 프로젝트팀과 현업사용자가 협력을 통해 위기를 극복하고 현재까지 안정적으로 활용하고 있다”며 뿌듯함을 표현하기도 했다.

아울러 이 팀장은 “현대약품의 관리조직은 슬림화돼 있어 적은 인원이 효과적인 전사적 보안 관리를 해야 하는 과정에서 위원회ㆍTFT활동 등이 태동이 되고 활성화가 됐다”며 “팀원은 적지만 전체 500명의 정보혁신을 효과적으로 운영하고 있다는데 큰 자부심을 느끼고 있다”고 전했다.

향후 현대약품은 기존 연구개발부문의 정보 보안을 확대해 ECM기반 그룹웨어를 5월까지 구축할 예정이다.

또한 문서에 대한 암ㆍ복호화 및 공인인증을 통한 접근ㆍ통합 문서관리체계를 통해 통합적 정보 보안 체계를 구축, 운영할 계획이다.

이 팀장은 “특히 사람에 대한 관리(정보보안 교육ㆍ인성관리 등)를 통해 정보유출을 최대한 줄이는 체계를 운영하는 것이 목표”라고 강조했다.

<글 : 호애진 기자(is@boannews.com) / 사진 : 김정완 기자(boan3@boannews.com)>

[월간 정보보호21c 통권 제115호(info@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)