잇단 정보보안 사고가 발생하면서 정보보호의 기본 틀부터 바꿔야 한다는 목소리가 커지고 있다. 기존 정보화 시스템 등에 사용되고 있는 IT 거버넌스의 개념을 정보보호에 적용해 `정보보호 거버넌스'를 도입해야 한다는 것이다.
그동안 국내 기업이나 정부ㆍ공공기관들은 특정 공격이 발생했을 때 이를 방어하기 위한 보안 솔루션을 필요에 따라 도입하는 방식을 주로 취해 왔다. 보안 시스템도 PC보안, 인프라보안, 네트워크보안, 애플리케이션보안 등 각 단계에 따라 개별적으로 구축하는 게 일반적이었다. 한 기업이 도입해야 할 보안 솔루션만 해도 수십종에 달해 체계적인 관리가 쉽지 않은 문제도 발생했다.
이러다 보니 예상치 못한 공격이 발생했을 때 방어막이 뚫려 피해를 입어야만 했다. 지난 3.20 금융ㆍ언론사 해킹사건 등이 대표적인 사례다. 실제로 국내 최고 수준의 정보보호 시스템을 갖춘 금융기관조차 정보보안 사고를 100% 막을 수 있다고 자신하지 못할 정도다. 집의 배수관이 낡아 물이 새는 데, 구멍난 부분만 땜질하다 보니 다른 쪽이 터지는 문제가 지속적으로 발생한 것이다.
정보보호 거버넌스는 이러한 문제점을 최소화하기 위해 특정 보안 솔루션을 도입하기에 앞서 전사 차원의 보안 체계를 마련하자는 내용이다.
이를 위해서는 보안 담당자 수준이 아닌 경영진들이 보안 체계의 큰 그림을 그리고, 이에 맞는 원칙을 수립한 후 보안 인력과 자산을 운영해야 한다. 이렇게 되면 긴급한 상황이 발생해도 정해진 프로세스에 따라 체계적으로 대응할 수 있어 피해를 최소화할 수 있게 된다.
여기에 금융위원회가 수립하고 있는 금융보안 대책도 기존 금융보안의 틀을 근본적으로 바꾼다는 점에서 의미가 있다.
금융위는 현행 공인인증서와 금융보안 대책으로는 메모리 해킹 등 갈수록 고도화하고 있는 사이버공격을 막을 수 없다고 판단하고 있다. 특히 인터넷뱅킹과 관련해 기존 공인인증서로는 근본적인 방어가 안된다고 보고 공인인증서 외에 거래연동OTP 등 대안 인증 체계를 확대 적용하는 방안을 검토하고 있다.
특히 금융권이 다양한 거래 방식을 채택할 수 있도록 자율권을 부여하는 대신에 금융사들이 최대한 안전한 방안을 마련토록 할 계획이어서 주목된다. 금융사에 권한은 부여하면서 동시에 책임은 강화한 것이다. 이 역시 보안과 관련해 특정 문제만을 위한 대책이 아니라 보다 큰 틀에서 다시 봐야 한다는 자각 때문이다.
그동안 우리 사회는 다양한 정보보안 사고로 인해 큰 피해를 입어 왔다. 하지만 이에 대한 대책들은 사안에 따라 급하게 만들어지다 보니 근본적인 해결책이 되지 못했던 것이 현실이다.
정보보안 사고가 발생할 때마다 `소 잃고 외양간 고친다'는 지적을 받아 왔지만, 좀체 개선되지 않고 있다. 금융위가 새로 수립하는 금융보안 대책이나 정보보호 거버넌스 논의는 기존 틀을 바꾼다는 점에서 의미가 크다. 그동안 보안 사고가 발생할 때마다 되풀이 됐던 "이 부분을 고쳐라, 이 솔루션을 도입하라" 등의 단편적 논의가 아닌 근본적인 해결책을 제시하려는 노력이 보이기 때문이다.
물론 정보보안 거버넌스를 도입한다고 해서 사이버공격으로부터 완벽하게 시스템을 보호할 수는 없다. 정보보호에서 완벽하다는 말 자체가 어불성설이다. 그렇지만 정보보호의 시각이 바뀌고 있다는 점만은 분명히 주목해야 할 부분이다.
그동안 국내 기업이나 정부ㆍ공공기관들은 특정 공격이 발생했을 때 이를 방어하기 위한 보안 솔루션을 필요에 따라 도입하는 방식을 주로 취해 왔다. 보안 시스템도 PC보안, 인프라보안, 네트워크보안, 애플리케이션보안 등 각 단계에 따라 개별적으로 구축하는 게 일반적이었다. 한 기업이 도입해야 할 보안 솔루션만 해도 수십종에 달해 체계적인 관리가 쉽지 않은 문제도 발생했다.
이러다 보니 예상치 못한 공격이 발생했을 때 방어막이 뚫려 피해를 입어야만 했다. 지난 3.20 금융ㆍ언론사 해킹사건 등이 대표적인 사례다. 실제로 국내 최고 수준의 정보보호 시스템을 갖춘 금융기관조차 정보보안 사고를 100% 막을 수 있다고 자신하지 못할 정도다. 집의 배수관이 낡아 물이 새는 데, 구멍난 부분만 땜질하다 보니 다른 쪽이 터지는 문제가 지속적으로 발생한 것이다.
정보보호 거버넌스는 이러한 문제점을 최소화하기 위해 특정 보안 솔루션을 도입하기에 앞서 전사 차원의 보안 체계를 마련하자는 내용이다.
이를 위해서는 보안 담당자 수준이 아닌 경영진들이 보안 체계의 큰 그림을 그리고, 이에 맞는 원칙을 수립한 후 보안 인력과 자산을 운영해야 한다. 이렇게 되면 긴급한 상황이 발생해도 정해진 프로세스에 따라 체계적으로 대응할 수 있어 피해를 최소화할 수 있게 된다.
여기에 금융위원회가 수립하고 있는 금융보안 대책도 기존 금융보안의 틀을 근본적으로 바꾼다는 점에서 의미가 있다.
금융위는 현행 공인인증서와 금융보안 대책으로는 메모리 해킹 등 갈수록 고도화하고 있는 사이버공격을 막을 수 없다고 판단하고 있다. 특히 인터넷뱅킹과 관련해 기존 공인인증서로는 근본적인 방어가 안된다고 보고 공인인증서 외에 거래연동OTP 등 대안 인증 체계를 확대 적용하는 방안을 검토하고 있다.
특히 금융권이 다양한 거래 방식을 채택할 수 있도록 자율권을 부여하는 대신에 금융사들이 최대한 안전한 방안을 마련토록 할 계획이어서 주목된다. 금융사에 권한은 부여하면서 동시에 책임은 강화한 것이다. 이 역시 보안과 관련해 특정 문제만을 위한 대책이 아니라 보다 큰 틀에서 다시 봐야 한다는 자각 때문이다.
그동안 우리 사회는 다양한 정보보안 사고로 인해 큰 피해를 입어 왔다. 하지만 이에 대한 대책들은 사안에 따라 급하게 만들어지다 보니 근본적인 해결책이 되지 못했던 것이 현실이다.
정보보안 사고가 발생할 때마다 `소 잃고 외양간 고친다'는 지적을 받아 왔지만, 좀체 개선되지 않고 있다. 금융위가 새로 수립하는 금융보안 대책이나 정보보호 거버넌스 논의는 기존 틀을 바꾼다는 점에서 의미가 크다. 그동안 보안 사고가 발생할 때마다 되풀이 됐던 "이 부분을 고쳐라, 이 솔루션을 도입하라" 등의 단편적 논의가 아닌 근본적인 해결책을 제시하려는 노력이 보이기 때문이다.
물론 정보보안 거버넌스를 도입한다고 해서 사이버공격으로부터 완벽하게 시스템을 보호할 수는 없다. 정보보호에서 완벽하다는 말 자체가 어불성설이다. 그렇지만 정보보호의 시각이 바뀌고 있다는 점만은 분명히 주목해야 할 부분이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
