[기고] 카드사 정보유출사태는 운칠기삼?

근본적이고 중·장기적인 재발방지대책 수립 및 접근방법 필요

[보안뉴스=박태완 선임심사원] 최근 카드사 고객정보 유출 사태를 보면서 느낀 것은 옛날 어른들의 표현으로 ‘운칠기삼(運七氣三)’이라는 말과 꼭 들어맞는다는 것이다.

우리나라에서는 높은 자리에 오르고, 그 자리에 오래 머무를 수 있도록 가장 큰 영향을 주는 요소는 주어진 역할을 잘 수행해 결과로 인정받는 것(30%) 보단 그 자리에 있는 동안 책임 추궁을 당할 대형 사건·사고가 터지지 않기를 바라는 운(70%)이 더 중요하다는 것을 이번에도 실감한다.

왜냐하면 우리는 대형 사건·사고가 발생하면 그 책임을 물어서 현직 최고책임자를 사퇴시키는 경향이 매우 높기 때문이다. 비록 현직으로 취임한지 얼마 되지 않아도 말이다.

그러나 향후 유사한 사건·사고의 재발 방지를 위한 근본적이고 장기적인 효과로는 의문이다. 대부분 대형 사건·사고의 근본 원인을 찾아가 분석해보면 현직 최고책임자의 잘못된 의사결정보단 전직 최고책임자의 잘못된 의사결정에 기인한 경우가 더 많기 때문이다.

안타깝게도 이런 접근(해결) 방법을 시행하면, 학습 효과가 발생하지 않는다. 현직최고책임자의 경우, 왜 이런 사태가 야기됐는지 전직 최고책임자의 의사 결정들을 내부 분석하고, 잘못된 의사결정은 수정 보완해 향후 현명한 의사결정을 내릴 수 있도록 능력을 배양할 수 있어야 하는데 그런 기회를 가질 수 없게 된다.

전직의 경우도 마찬가지다. 내부 분석 내용을 공유해 당시 최선이라고 생각한 의사결정들이 추후 어떤 영향을 미치는지 알게 하고, 조직에서 관련 의사결정에 도움이 되도록 유도할 수 있어야 한다. 그래야 중·장기적이고 근본적인 재발방지에 도움이 될 수 있기 때문이다.

이와 유사하게 대형 사건·사고 발생시 현직의 책임을 묻는 경향이 높은 것에 대해 다른 나라에서는 어떻게 처리할지 궁금했다. 마침 영국에서 같이 공부하던 8개국의 친구들과 저녁을 함께 먹을 수 있는 기회가 있어 물었더니, 비단 한국에서만 그런게 아니라며 자기 나라도 비슷하다는 말을 들었다.

개인적으로는 다행이라고 생각했다. 질문을 던질 때 혹시 한국만의 처리 방법으로 낙후된 것으로 비치면 어쩌나 마음 한편으로 걱정했는데, 뜻밖에도 비슷하게 처리한다며 처리 방법의 문제점에 동감했다.

다만 그 중 한 친구의 말을 빌리면 대형 사건·사고 발생시 완전한 독립적인 전문가 팀을 꾸리고, 충분한 시간을 준다고 한다. 이를 통해 다양한 관점에서 심도 있는 분석으로 객관적인 보고서가 작성되고, 이를 근거로 책임 물을 사람을 정한 후 적절한 대응과 함께 향후의 재발방지 대책을 수립한다는 것이다. 그 친구는 이 같은 방법으로 조치를 취하는 나라는 아마 앵글로 색슨족의 특징을 가진 영국과 미국에서만 볼 수 있다고 언급했다.

따라서 이번 카드사 정보유출사건은 지금처럼 접근하면 과거의 문제점을 확인할 수 없으며, 향후 1~2년 후 유사한 대형사건이 또 다시 발생할 수 있다. 이제부터라도 보다 효과적이고, 근본적이며 중·장기적인 재발방지대책들이 도출되는 접근방법이 모색되기를 기원해 본다.

[글_박 태 완 한국 뷰로베리타스 선임심사원(taewan.park@gmail.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)