[기고] 정보보호 거버넌스의 도메인-가치 제공

최적화된 정보보호에 투자해야 정보보호 거버넌스 가치 증대

가치(Value)란 무엇인가?

가치(價値)라는 단어의 뜻은 ‘사물이 지니고 있는 쓸모’ 혹은 ‘대상이 인간과의 관계에 의하여 지니게 되는 중요성’이라고 표현된다. 공공기관이나 기업에서의 가치는 당연히 전략과 목표를 달성한 결과가 가치가 있었느냐를 가지고 논의할 것이다.

가치는 가치를 창출하는 주체와 가치를 제공하는 주체에 따라 그 의미가 완전히 달라질 수 있다. 소비자와 기업의 관계라면 가치를 느끼는 주체가 누구냐에 따라 엄청난 차이와 결과를 다져올 수 있다. 소비자가 해당 기업의 제품에 가치를 느끼느냐, 그렇지 않으면 기업이 스스로 자사 제품에 가치를 느끼는가의 문제이다.

오늘날의 환경으로 본다면 당연히 소비자가 가치를 느끼는 주체가 되어야 한다. 가까운 현실적인 예를 들자면 스마트 폰을 얘기할 수 있다. 전화기 기능에 초점, 즉 가치를 둔 기존 휴대폰 업체가 신제품 개발에 주력할 때 애플사는 소비자의 직감력에 호소하는 소비자 지향적인 가치에 집중하여 아이폰을 개발, 출시했다. 휴대폰 시장의 패러다임을 바꾸어 놓았고 ‘휴대폰’이라는 용어를 ‘스마트 폰’이라는 신조어로 변화시켰다.

가치(Value)의 주체

최적화(Optimized)

정보보호 거버넌스가 지녀야 하는 주제중의 하나인 가치 제공 혹은 가치 창출은 공공기관이나 기업의 전략과 목표 달성을 지원해야 한다. 개념적으로 말하지 말고 구체적으로 표현한다면 정보보호 거버넌스의 가치라는 것은 조직이 지불하고자 하는 것(비용; costs)과 받고자 하는 것(효익; benefits)과의 관계에서 결정되는 것이다. 비용 대비 큰 효익 일수록 정보보호 거버넌스의 가치가 증대된다고 할 수 있다.

하지만 여기에서 비용을 최대한 적게 들이고 그 결과를 기대하면 원하는 효익이 나오지 않을 수 있다. 수 많은 실패에서 경험해 본 사실이다. 비용을 최대한 줄이면서도 효과적(목적이 달성되는)일 때 효익이 나온다고 말할 수 있다. 이럴 때 ‘최적화’라는 말이 필요하게 된다.

“정보보호 거버넌스(Information Security Governance)의 가치 제공(Value Delivery)은 사업 전략 / 목표달성을 지원하기 위한 최적화(Optimized)된 정보보호에 대한 투자(Investment)이어야 한다.”

가치 제공의 속성

정보보호 거버넌스의 가치 제공이 가지고 있어야 할 속성들을 정리해보면 다음과 같다.

가치 제공을 위한 프레임워크

가지 제공이나 가치 창출을 위해 특화된 프레임워크의 방법론이 도움이 된다. 전 세계적인 모범사례(good practice)로도 많이 알려진 Val IT 프레임워크가 도움이 된다. 개괄적인 모습은 아래와 같다.

가치 제공을 나타내는 지표들

정보보호에 대한 가치를 제공하는 거버넌스의 지표를 살펴보면 아래와 같다.

·자동화된 비즈니스 트랜잭션과 정보의 전송은 신뢰성이 있어야 한다.

·고객이 요구하는 IT 서비스가 가용성을 확보해야 한다.

·IT 서비스의 중단으로 비즈니스 기능에 영향을 받는 것을 최소화 한다.

·정보보안에 대한 취약성과 보안사고를 최소화 한다.

·중요한 IT 위험에 대비하는 비용효과적인(cost-effective) 수행계획을 수립한다.

필요한 물건을 소비자의 입장에서 구매할 때도 그 물건이 나에게 얼마나 가치가 있는지를 고심하게 된다. 그리고 비용대비 효익을 따지게 되며 최적화된 의사결정을 하게 된다. 공공기관이나 기업에 있어서도 마찬가지이다. 역지사지(易地思之)하면 정보보호의 가치 제공이 더욱더 잘 이루어질 것이다.

정보보호 거버넌스의 주제 중 두 번째인 가치 제공은 기업의 목적을 달성하고자 정보보호에 지불되는 비용과 이로 인한 효익의 상관관계이다. 정보보호 부서가 항상 지니고 있어야 하는 마인드이기도 하다. 이 칼럼을 통해서 정보보호를 도구나 기술로만 보는 차원에서 기업의 중요한 전략으로 끌어올리는 기회가 되기를 바란다.

[글 _ 조희준 IT컨설팅/IT감리법인 ㈜씨에이에스 컨설팅 이사(josephc@chol.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)