스타급 보안 컨설턴트들이 꼽은 기업 정보보안 현안

이어서 한국품질보증원 박억남 팀장은 국내 정보보호관련 인증 및 제도에 관한 문제점을 지적했다. 그는 “지난 2002년 국내에서 ISMS 인증제도 시행 이후 2014년 정보보호 준비도 평가까지 13개의 정보보호관련 인증 및 제도가 생겼다”고 말했다.

지난 13년 동안 1년에 하나씩 정보보호 관련 제도가 미래부, 안행부, 방통위 등 정부부처의 필요에 의해 생겨난 셈인데, 이는 정보보호 관련 인증·평가 제도가 중복해서 양산되는 결과를 낳았다는 것. 기업들도 이러한 정부의 규제환경 속에서 획일적인 보안체계를 구축하고, 사건이 터진 후에 관련 법이나 규제를 개정하게 되면 기업은 따라가는데 급급한 사후약방문 식의 정보보호가 될 수 밖에 없다고 강조했다.

박억남 팀장은 “이런 문제들을 근본적으로 해결하기 위해서는 정보보호 및 개인정보보호 관련 유사 제도의 통합이나 개선이 필요하며 기업 입장에서는 복잡한 제도 및 컴플라이언스 등의 보안규제 환경에 종속돼 수동적으로 움직이기 보다는 기업 특성에 맞는 자체적인 보안 프로세스를 수립하기 위한 적극적인 활동이 중요하다”고 말했다

그는 또 획일적인 인증심사 체계도 문제점으로 지적하면서 체크리스트 기반, 위험도 분석을 통해 평가하기 때문에 인증 취득 자체가 완전한 것은 아니라며, 기업들의 경우 인증서 취득을 만병통치약으로 인식하는 경향이 있는데 이는 부적절하다고 덧붙였다. 

보안담당자, 법률대응하랴 잡무처리하랴 고민한 시간 없어 문제  

영국표준협회(BSI코리아) 서정호 선임심사원은 국내 기업의 정보보호 담당자들은 과도한 규제로 인해 처리해야할 업무가 너무 많고, 규제 준수에만 초점을 맞춰 기업 정보보호의 큰 틀에 대해 고민할 시간이 없다는 점을 문제로 지적했다.

또한 정보보호를 통제 솔루션만으로 해결할 수 있을 것이라는 의식이 강하다는 점과 비정형화된 데이터도 많은데 정형화된 정보만을 중요하게 인식하고 있다는 점을 문제점으로 언급했다. 더욱이 대기업 CISO의 비전문성과 함께 책임은 막중한데 비해 권한이 없는 점도 제기했다.

그는 “기업의 정보보호 체계는 중요한 정보가 무엇인지, 어디에 있는지 파악하는 것부터 시작된다. 또 단순 보고나 결재만을 수행하는 CISO보다는 기업 내의 모든 이슈 및 해결방안을 보안담당자와 함께 고민할 수 있어야 한다. 실무 경험이 풍부한 사람들이 관리자의 역할을 담당해야 한다”면서 “정보보호를 단순히 통제가 아닌 조직문화로 정착시켜야 한다. 조직의 정보보호는 정보보안 조직에서만 수행해야 하는 업무라는 생각을 버려야 한다. 현업 부서에서 이슈를 가장 잘 알고 있으므로 모든 조직원들이 정보보호 활동을 수행할 수 있도록 직원들에게 보안업무를 부여해야 한다”고 말했다.

인포섹 신현민 팀장은 금융, 공공, 대기업 등에서는 보안투자가 어느 정도 이루어지고 있다. 하지만 중소기업이나 중견기업 등은 보안관련 정책, 조직, 투자가 아예 없거나 많이 부족하다고 설명했다.

이러한 이유 중 하나가 IT가 급속도로 발전하면서 보안을 고려하지 않은 투자로 중복투자가 많이 발생했고, 이로 인해 회사 내에서 보안부서는 비용만 쓰는 부서라는 인식이 강하기 때문이라는 설명이다.

신현민 팀장은 “특히 중소기업의 경우 보안문화 조성을 하고 싶어도 할 수 없는 기업이 대다수다. 이를 위해 정부가 법률 등 제도적 보완을 통해 GRC(Governance, Risk Management, Compliance) 전략을 수립하도록 지원해야 한다”면서 “중소기업에서 보안수준을 높이고 체계적인 정보보호 정책을 수립하기 위해 정보보호 준비도 평가 등을 활용하는 것도 좋은 방법”이라고 설명했다.

그는 또 CISO는 정보보호 전담조직을 구성하고, 기업내 법률이라 할 수 있는 정보보안 규정·지침을 컴플라이언스에 맞게 재정립해야 한다고 말했다.

이어 사이버보안전문단원으로 활동하고 있는 이원백 ISMS 심사원도 중소기업의 취약점에 대해 언급했다. 그는 “인증심사를 다녀보면 중소기업들은 평가 이후 후속조치가 없는 것이 가장 큰 문제다. 심각한 취약점에 대해서는 신속하게 처리해야 하는데 정보보호 담당자의 코멘트조차 없다. 즉 정보보호 조직이 껍데기만 있는 허수아비에 불과하다. 이런 기업들의 경우 인증심사 관련 인터뷰를 하다 보면 보안에 대해 전혀 모른다는 것을 알 수 있었다”고 말했다.

이젠 기업 보안담당자 수준이 그 회사의 보안수준을 좌우할 수 밖에 없다. 올 초 하트블리드 사건이 있었는지도 모르는 중소기업 보안담당자도 있었다는 점은 중소기업의 정보보안 현실은 그대로 보여주는 현주소인 셈이다.  

이원백 심사원은 “중소기업에서 보안을 위해 예산을 투자하는 것을 보면 솔루션 아니면 유지보수 비용으로 다 나간다. 중소기업에서는 솔루션 도입보다는 정보보안 담당자 등 인적자원에 비용을 투자해야 한다”고 강조했다.