윤문석 시만텍코리아 사장


최근 잇따른 정보 유출 사고로 데이터의 안전한 보호가 기업의 핵심 과제가 됐다. 초고속인터넷과 모바일 컴퓨팅의 열린 세계에서 비즈니스를 해야 하는 오늘날의 기업 환경에서 데이터 유출은 큰 리스크 중 하나다. 정보 교환의 물리적 제약이 존재하지 않게 되었으며, 온라인을 통해 협업하고, 원격지에서 일을 처리하는 일이 일상적인 형태가 되었다.

그렇다면 기업의 핵심적인 정보가 안전하게 보관되어 있는지를 어떻게 확신할 수 있을까? 기업이 외부와 연결되어 있는 모든 네트워크를 닫지 않는 이상, 모든 기업의 경영진과 IT 관리자들은 계속해서 이러한 질문을 자신에게 던지게 될 것이다.

이러한 데이터 유출 방지 가능성을 최소화하기 위해 많은 기업들은 관련 기술과 솔루션으로 눈을 돌리고 있다. 또 여러 보안 기업이 네트워크, 스토리지 혹은 엔드포인트 단에서 데이터의 유출을 막아주는 다양한 기술을 선보이고 있다.

그런데 이러한 기술을 도입하기에 앞서 기업이 반드시 고려해야 할 것이 있다. 그것은 단순히 데이터를 보호하는 것이 데이터 유출 방지의 완전한 답이 될 수 없다는 사실이다.

기업에게 필요한 것은 단순히 데이터가 저장된 장소를 걸어 잠그는데 있지 않다. 기업은 데이터를 안전하게 보호함과 동시에 직원과 고객이 항상 접근, 활용할 수 있도록 해야 하고, 데이터를 보호하기 위해 전체 시스템 성능이 저하되어서도 안되며, 컴플라이언스(규제준수)나 내외부 정책 등도 준수해야 한다. 그리고 이렇게 비즈니스에 실질적인 가치를 제공할 수 있는 데이터 유출 방지 시스템을 구축하기 위해서는 기업 전반의 인프라스트럭처, 정보, 그리고 그 정보를 교류하는 과정이 합리적이고 안전해야 한다.

그렇다면 전사적인 인프라스트럭처, 정보, 정보 교류 과정이 기업 구성원과 그 고객에게 안전하고 편리하다는 신뢰를 주기 위해서는 무엇이 필요한가? 바로 데이터를 IT 리스크 관리의 관점에서 바라보는 것이다.

보안, 가용성, 성능, 컴플라이언스를 모두 아우르는 포괄적인 IT 리스크 관리 프로그램을 통해 기업은 데이터의 보안과 가용성, 전반적인 비즈니스 성과 그리고 법적인 규제 준수 문제까지 모두 아우를 수 있다. 이러한 관점에서 데이터 유출 방지 시스템에 접근하면 필요한 것은 단지 유출 방지가 아니라 효과적인 관리가 된다.

즉 데이터와 관련된 보안, 가용성, 성능, 컴플라이언스 리스크를 명확하게 파악하고, 이에 맞는 정책과 프로세스를 구축하며, 사용자들을 교육시킬 수 있도록 함으로써 데이터와 관련된 모든 리스크의 발생 가능성을 줄이는 것이다.

포괄적인 데이터 리스크 관리란 기업 내외부로 전송되거나 저장된 모든 종류의 정보를 하나씩 분류하는 것을 의미하지 않는다. 오히려 반대로 유출, 손실될 경우 기업에 부정적인 영향을 미칠 수 있는 몇 가지 유형의 정보를 명확하게 파악하는 것을 말한다. 기업들에게 이 정보는 소스 코드, 제품 설계와 같은 지적 자산이 될 수도 있고, 또 어떤 기업에게는 재무 데이터나 고객 정보가 될 수 있다.

또 기업은 데이터 관련 리스크를 모니터링하고 리스크 관리 성과를 측정할 수 있는 절차를 설계해야 한다. 이와 관련 데이터 유출이나 침입 사고와 같은 리스크가 발생했을 때 누가 무엇을 할 것인지에 대해 명확하게 정해두는 것이 중요하다. 이렇게 하면 위기 상황이 발생했을 때 그 상황에 필요한 사람들이 리스크를 제거하기 위한 정확한 프로세스를 밟을 수 있다.

그러나 아무리 좋은 기술과 프로세스를 갖추었다고 해도, 직원들이 정보 자산의 중요성을 중요한지를 알지 못하면 아무 소용이 없다. 직원들이 리스크 관리 의식을 철저하게 유지할 수 있다면, 이들은 기업에게 가장 가치 있는 IT 자산이자 방어책이 된다.

이제 안전하고 효율적인 정보 관리 기술에 대한 소비자의 요구는 더욱 높아질 것이다. 개인은 기업이 일정 수준의 보안 시스템을 준수하고 있지 않다면 자신의 정보를 공유하는 것을 거부하게 될 것이고, 만약 자신의 정보가 리스크에 노출된다면 이에 대한 대응을 요구할 것이다. 실제 우리나라의 소비자들도 자신의 데이터가 위협에 노출된 것에 대해 기업의 책임을 묻기 시작했다.

따라서 이제 기업이 해야 할 일은 고객이 자사에 대한 신뢰를 가지고 정보를 교류하고 거래할 수 있도록 적절한 시스템을 갖추는 것이다. 이제 기업은 누가, 언제, 어디에서, 어떤 기기를 통해서 자사와 교류하든지 이를 보호해야 할 책임을 가진다. 이것이 바로 오늘날의 디지털 세계가 기업에게 요구하는 새로운 자세다. 그리고 무엇보다 명심해야 할 것은 이것이 IT 혹은 보안 조직뿐만이 아니라 비즈니스 팀, 경영진 등 기업 구성원 모두의 과제라는 점이다.