지난 3월 20일 발생한 사이버공격은 감히 사이버테러라고 부를 만한 수준이라 할 수 있다. 공항이나 철도역 등 일반인이 많이 모이는 자리에 폭발물을 투척하거나 총기를 난사하는 테러에 비해 내 목숨이 직접 영향을 받지 않는다는 점에서 그 위험성을 가벼이 여길 수도 있지만, 이번처럼 방송사와 은행의 전산망이 정지되는 것에서 더 나아가 내 가족이 입원한 병원의 전자장비들이 모두 정지된다거나 발전소의 관리 시스템이 다운되어 전기가 공급되지 못하는 상황을 생각해 보면 이게 단지 영화에서 나오는 수준의 것이 아니라 당장 오늘이라도 내가 사는 곳에서 일어날 수 있는 일이라는 점에서 긴장이 되지 않을 수 없다.
지난 수년간의 지속적으로 발생해 왔던 대규모 해킹 사태 이후 정부와 유관기관, 민간 기업들은 대책 마련에 부심하여 왔음을 잘 알고 있다. 그 결과 개인정보보호를 위한 일반법인 개인정보보호법의 제정, 사이버 테러 대응을 위한 정보통신망법 및 금융감독규정의 강화 등의 대책이 마련되었고, 대책을 잘 시행하기 위한 각종 예산 집행 또한 이루어졌었다. 그 결과 현재 금융회사의 IT 보호업무 모범규준과 전자금융감독규정 등의 보안 관련 규정은 매우 강력한 수준의 보안 조치 의무에 관한 내용을 담고 있고, 정보통신망법 상의 기술적 보호조치 역시 완벽한 이행을 위해서는 엄청난 비용이 들어 중소기업으로서는 준수를 엄두 내기 어려울 정도로 강력한 규정이 마련되어 있다. 특히 지난 2011년 금융 당국은 전자금융감독규정을 개정하여 정보보호인력은 정보기술부문 인력의 5%, 그 중 정보보호인력은 정보기술부문인력의 5%, 정보보호예산은 정보기술 예산의 7%를 두도록 하는 소위 `557 규정'을 시행하고 있으며, CISO(최고보안책임자)를 선임하도록 하고 임원급의 지위를 부여하도록 하였다.
그렇지만 작년이 이미 금융감독원이 조사한 바로도 이 `557 규정'을 제대로 준수한 곳은 손해보험사 중 50%에 미치지 못하였으며, 증권사 또한 23%가 이 기준을 지키지 못하였다. 또한 CISO를 CIO(최고정보책임자)와는 별도로 업무를 맡긴 경우는 금융기관 중 30%에 불과하고, 임원급이 아닌 직원에서 CISO 업무를 맡긴 기업들도 있었다. 금융감독원의 기준을 준수하지 못하는 기업의 경영진들의 고충도 경청하지 못할 바는 아니다. 밥 먹고 살기도 힘들고 직원들 월급 주는 것도 힘든데 언제 터질지 모르는 해킹 사고 막자고 밑 빠진 독에 물 붓듯 돈을 쏟아 부을 수는 없다는 것일 테니 말이다.
개인정보와 보안에 대한 중요성이 커졌음에도 IT 부서에서 예산을 늘리고자 할 때 실제로 투자를 결정하여야 하는 경영진의 보안에 대한 인식이 크지 않다 보니 보안 투자에 인색한 것이 작금의 현실이다. 그러다 보니, 보안 투자를 늘리기 위해서는 보안 문제에 대처하는 경영진의 인식을 변화시키는 것이 더 우선시 되어야 한다. 과거 경영진들은 환율에 별로 관심이 없었지만 환율 쇼크로 주위의 회사들이 휘청거리는 것을 보고 나서는 환율 리스크에 대한 기업의 대응 자세가 격변했던 것처럼, 보안 리스크 역시 경영 판단 시에 언제나 고려하여야 하는 기업의 상시적인 리스크로 관리되어야 할 필요가 있고 이를 위해서는 기업의 경영진들이 보안 문제가 단지 전산팀의 문제가 아니라 기업의 생사에 직접적인 영향을 받을 수 밖에 없는 중요한 이슈라는 것을 심각하게 인식하여야 할 필요가 있다. 그렇다면 이러한 인식 전환을 위하여 정부와 관계 기관이 무엇을 하여야 할 것인지가 당면한 시급한 과제일 것이다.
강태욱 법무법인 태평양 변호사 |
