염흥열 순천향대 정보보호학과 교수
지난 2008년은 옥션, GS칼텍스 등에서 개인 정보가 유출돼 큰 사회적 혼란을 겪은 한 해였다. 이러한 사고의 원인을 살펴보면 기존의 정보 유출 사고 양상과는 달리 기업의 정보보호 시스템은 일정부분 동작하고 있으나 정보보호 프로세스가 적절하게 작동하지 않아 발생했음을 알 수 있다.
다시 말해, 인원 보안을 포함한 포괄적인 정보보호 프로세스 작동의 부재로 인한 인재인 것이다. 이러한 문제를 해결하기 위해 국제적으로 표준화된 정보보호관리체계(이하 관리체계)는 정보보호의 기술적 대책은 물론 관리적 및 운영적 보안 대책을 포함하는 진보된 정보보호 프로세스이다.
정보보호관리체계란 조직의 자산에 대한 안전성 및 신뢰성을 향상시키기 위한 절차와 과정을 체계적으로 수립, 문서화하고 지속적인 관리ㆍ운영을 통해 정보보호목표인 정보의 기밀성, 무결성, 가용성을 실현하기 위한 일련의 과정 및 활동을 말한다.
우리나라에서도 방송통신위원회에서 정보보호 프로세스 기반으로 기업의 정보를 체계적으로 관리할 수 있는 관리체계 인증 제도를 2002년부터 관련법에 근거해 도입, 한국정보보호진흥원을 통해 운영하고 있다.
이 인증제도는 정보보호관리체계 수립ㆍ운영을 위한 5단계 관리과정(정보보호정책수립ㆍ정보보호관리체계 범위설정ㆍ위험관리ㆍ구현ㆍ사후관리)과 문서화, 정보보호대책에 대해 조직의 특성 및 환경에 부합하도록 관리ㆍ유지하고 이행하는지를 평가하는 것이다.
따라서 개인정보 유출과 같은 사고를 대응하기 위해서는 기업의 포괄적 정보보호 프로세스를 강화할 수 있는 관리체계 정책 확산과 강력한 정책 시행이 요구되는 시점이다.
한국정보보호진흥원(KISA)에서 운영되는 관리체계는 국제표준 ISO 27001에 비해 우수한 측면도 있으며, 관리 체계도 적절히 운영되고 있다고 판단된다. 그 근거는 2008년 12월 기획재정부 주관으로 실시한 `정부산하기관 고객만족도 조사' 결과 KISA에서 운영중인 정보보호관리체계(ISMS) 인증제도에 대한 고객의 만족도가 93.1점으로 매우 높은 점수를 받은 것을 보면 알 수 있다.
최근에는 기존 정보통신 기업 위주로 운영되던 관리체계가 민감한 학사 정보를 보유하고 있는 사이버 대학으로 확산되고 있는 양상은 매우 중요한 진전이라고 할 수 있다. 이로 인해 사이버 대학의 정보보호 수준 향상에 기여해 학생들의 개인정보 유출 사고 발생 가능성을 낮추는 효과를 일정부분 거둘 것으로 예상된다.
이와 같이 정보보호관리 관리제도는 나름대로 성과를 거뒀다고 판단된다. 이러한 성과를 바탕으로 몇 가지 발전방향이 설정돼야 한다.
먼저, 무엇보다도 영역의 확대가 필요하다. 특히 민간 건강정보를 관리하는 의료분야의 관리 체계 도입과 강화, 확산은 시급하다고 할 수 있다. 이는 개인의 의료정보가 유출되었을 경우 상상 이상의 사회적 파급효과를 초래할 수 있기 때문이다. 또한, 민간분야에 주로 적용되던 정보보호관리체계를 공공 또는 정부 부문으로까지 확대해야 할 것이다. 둘째, 국제 관리체계와의 상호 인정을 추진할 필요가 있다. 이는 피인증 기업이 외국 진출때나 중복 인증으로 인한 비용 절감 효과도 거둘 수 있기 때문이다. 이를 위해 일본, 싱가포르 등과의 상호 인정을 통한 단계적 접근방식도 고려해야 할 것이다. 셋째, 관리체계의 확산을 자극하기 위해 정부조달제도와 연계 강화가 필요하며, 특히 중앙정부와 지방자치단체의 협조 강화가 필요하다. 일본이 이러한 정책 시행을 통해 2009년 2월 현재 거의 3000개 정도의 인증기업을 운영하고 있음은 타산지석이다.
지난 2008년은 옥션, GS칼텍스 등에서 개인 정보가 유출돼 큰 사회적 혼란을 겪은 한 해였다. 이러한 사고의 원인을 살펴보면 기존의 정보 유출 사고 양상과는 달리 기업의 정보보호 시스템은 일정부분 동작하고 있으나 정보보호 프로세스가 적절하게 작동하지 않아 발생했음을 알 수 있다.
다시 말해, 인원 보안을 포함한 포괄적인 정보보호 프로세스 작동의 부재로 인한 인재인 것이다. 이러한 문제를 해결하기 위해 국제적으로 표준화된 정보보호관리체계(이하 관리체계)는 정보보호의 기술적 대책은 물론 관리적 및 운영적 보안 대책을 포함하는 진보된 정보보호 프로세스이다.
정보보호관리체계란 조직의 자산에 대한 안전성 및 신뢰성을 향상시키기 위한 절차와 과정을 체계적으로 수립, 문서화하고 지속적인 관리ㆍ운영을 통해 정보보호목표인 정보의 기밀성, 무결성, 가용성을 실현하기 위한 일련의 과정 및 활동을 말한다.
우리나라에서도 방송통신위원회에서 정보보호 프로세스 기반으로 기업의 정보를 체계적으로 관리할 수 있는 관리체계 인증 제도를 2002년부터 관련법에 근거해 도입, 한국정보보호진흥원을 통해 운영하고 있다.
이 인증제도는 정보보호관리체계 수립ㆍ운영을 위한 5단계 관리과정(정보보호정책수립ㆍ정보보호관리체계 범위설정ㆍ위험관리ㆍ구현ㆍ사후관리)과 문서화, 정보보호대책에 대해 조직의 특성 및 환경에 부합하도록 관리ㆍ유지하고 이행하는지를 평가하는 것이다.
따라서 개인정보 유출과 같은 사고를 대응하기 위해서는 기업의 포괄적 정보보호 프로세스를 강화할 수 있는 관리체계 정책 확산과 강력한 정책 시행이 요구되는 시점이다.
한국정보보호진흥원(KISA)에서 운영되는 관리체계는 국제표준 ISO 27001에 비해 우수한 측면도 있으며, 관리 체계도 적절히 운영되고 있다고 판단된다. 그 근거는 2008년 12월 기획재정부 주관으로 실시한 `정부산하기관 고객만족도 조사' 결과 KISA에서 운영중인 정보보호관리체계(ISMS) 인증제도에 대한 고객의 만족도가 93.1점으로 매우 높은 점수를 받은 것을 보면 알 수 있다.
최근에는 기존 정보통신 기업 위주로 운영되던 관리체계가 민감한 학사 정보를 보유하고 있는 사이버 대학으로 확산되고 있는 양상은 매우 중요한 진전이라고 할 수 있다. 이로 인해 사이버 대학의 정보보호 수준 향상에 기여해 학생들의 개인정보 유출 사고 발생 가능성을 낮추는 효과를 일정부분 거둘 것으로 예상된다.
이와 같이 정보보호관리 관리제도는 나름대로 성과를 거뒀다고 판단된다. 이러한 성과를 바탕으로 몇 가지 발전방향이 설정돼야 한다.
먼저, 무엇보다도 영역의 확대가 필요하다. 특히 민간 건강정보를 관리하는 의료분야의 관리 체계 도입과 강화, 확산은 시급하다고 할 수 있다. 이는 개인의 의료정보가 유출되었을 경우 상상 이상의 사회적 파급효과를 초래할 수 있기 때문이다. 또한, 민간분야에 주로 적용되던 정보보호관리체계를 공공 또는 정부 부문으로까지 확대해야 할 것이다. 둘째, 국제 관리체계와의 상호 인정을 추진할 필요가 있다. 이는 피인증 기업이 외국 진출때나 중복 인증으로 인한 비용 절감 효과도 거둘 수 있기 때문이다. 이를 위해 일본, 싱가포르 등과의 상호 인정을 통한 단계적 접근방식도 고려해야 할 것이다. 셋째, 관리체계의 확산을 자극하기 위해 정부조달제도와 연계 강화가 필요하며, 특히 중앙정부와 지방자치단체의 협조 강화가 필요하다. 일본이 이러한 정책 시행을 통해 2009년 2월 현재 거의 3000개 정도의 인증기업을 운영하고 있음은 타산지석이다.
