비용 아닌 사람이 핵심…`내부통제` 강화 힘써야
시스템ㆍ법규는 충분 정보보안 전문가에 힘 실어줘야
내부 정보유출 알려주는 `CINDER 프로젝트` 대안 거론
시스템ㆍ법규는 충분 정보보안 전문가에 힘 실어줘야
내부 정보유출 알려주는 `CINDER 프로젝트` 대안 거론
■ 보안 강국이 IT강국이다
금융권 곳곳에서 개인정보유출과 해킹으로 인한 보안 사고가 잊을만 하면 한 번씩 터지고 있지만 정부 및 업계의 대책은 과도하게 `규제 중심'이거나 `사후약방문'식이라는 비판을 받고 있다.
전문가들은 금융사 사내 시스템을 감시하거나 처벌할 법규나 시스템은 여러 차례의 대형 보안 사고를 겪으면서 확립된 편이라고 지적하며 사람 중심의 보안과 현 시스템을 제대로 모니터링할 내부통제 구조의 강화를 대책으로 꼽았다. 현재 금융사 내부의 시스템이 제대로 작동하지 못하고 있다는 점을 인정하고 전체적인 틀에서 재점검이 필요하다는 목소리다.
우선 금융당국이 중심이 돼 만든 `557룰' 역시 숫자에만 집착할 것이 아니라 이를 운영하는 시스템을 제대로 들여다보는 방식으로 전환돼야 한다는 것이다. 이 룰은 2011년 농협 전산망 사고 이후 금융회사가 `557 모범규준'에 따라 총 직원수 중 IT인력 5% 이상, IT인력 중 정보보안인력 5% 이상, IT부문 전체 예산 중 정보보안예산 비중 7% 이상을 맞추도록 금융당국이 권고한 것으로 대다수의 금융사들이 이 룰의 수준에 맞게 전반적으로 정보보안 수준을 끌어올렸다는 평가를 받았다. 하지만 총 1억건에 이르는 개인정보 유출사고는 금융당국과 금융사의 보안 관련 노력과 의지를 무색하게 만들었다.
정부는 지난 2011년 농협 전산망 마비 해킹 사태 이후 `개인정보보호법'과 `정보통신망 이용촉진 및 정보보호 등에 관한 법'을 개정했고, `주민등록번호 처리금지','개인정보 유출시 통지' 관련 시행령도 만들어 대책을 강구했다.
금융분야에서도 `전자금융거래법' 개정을 통해 금융기관에 정보보호최고책임자 지정이 의무화됐고, 전자금융감독규정 역시 강화돼 금융기관이 일정규모 이상의 정보보호인력과 정보보호예산을 갖출 것을 의무화시켰다.
문제는 이처럼 양적, 수적 체계를 갖출 전체적인 틀은 잡혔지만 보안 의식이 생활 속에 녹아들지 못하고 있다는 점이다.
보안업체의 한 임원은 "사고난 부분만 메우기 급급한 금융당국의 낡은 인식이 문제"라며 "관련 법 부족이 문제가 아니라 법규는 충분히 있는데 그 가이드라인을 지키지 못하는 환경적인 요인을 뜯어고쳐야 한다"고 꼬집었다.
또 다른 IT업계 관계자는 "국내 정보보호 유관 법률과 규정은 다른 선진국에 견줘봐도 강력한 수준의 법적 기준을 갖추고 있다"라며 "금융사 역시 외주업체 인력 활용시 철저한 보안기준 및 지침을 갖고 있었지만 관리 소홀로 이어지며 이번 카드 개인정보유출 사태가 나오지 않았느냐"고 반문했다.
이경호 고려대 정보보호대학원 교수는 "우리나라 금융사에는 시스템은 있으나 이에 타당한 운영과 상시 모니터링 체제 등 `내부통제 체계'가 작동하지 않은 것"이라며 "금융기관은 내부 횡령, 배임 등 절차의 운영이 정형화돼 있고 감독도 철저한 편인데 이제 보안 문제에 대해서도 전통적인 금융사의 보수적인 기준을 `보안' 분야에도 철저히 적용해야 한다"고 말했다.
◇"시스템-법규는 충분....정보보안 전문가들에게 힘을 실어주는 분위기 형성이 중요"= 전문가들은 중요한 것은 정부의 대책이나 기업의 보안지침, 법규를 강화하는 것이 아니라 기업 및 단체 구성원들이 개인정보를 대하는 사고방식과 실천의지를 얼마나 갖고 있느냐에 달렸다는 것이다. 또 `보안'에 대한 인식을 전환할 필요가 있다고 지적했다. 이번 사태에서 나타났듯이 보안 관리 문제가 회사 존립 기로에도 영향을 주는 비용의 개념이 아니라 투자의 개념으로 전환을 해야한다는 것이다.
정보보안업체의 한 임원은 "이번 사고를 계기로 비록 소잃고 외양간 고치기, 사후약방문이라는 지적이 있더라도 이번에야말로 제대로 된 외양간 고치기가 돼야 한다"고 말했다.
이 관계자는 △보안에 대한 인식의 전환 △누구나 쉽고 빠르게 이해할 수 있는 직관적인 대책 △기업(단체) 내 보안부서의 위상 강화 등을 금융권 전반의 보안 강화의 핵심 과제로 꼽았다.
이 관계자는 "기업 내 보안부서의 위상을 강화하고 권한과 책임을 부여하면 자연스럽게 실질적인 실천으로 이어질 것으로 본다"며 "법규를 만들고 당장 숫자로 보이는 규제를 만드는 데 골몰할 것이 아니라 임직원들이 기업 내에서 보안절차와 지침이 준수되고 보안규정을 따를 수 있도록 하는 방안을 강구하는 것이 시급하다"고 강조했다.
◇"CINDER 프로젝트 등 한 차원 높은 내부 모니터링 시스템 검토해야"= 정태명 성균관대 교수는 "금융당국에서는 책임지는 사람도 없고 사후약방문식 대책 남발만 하는 것이 문제"라며 "카드사 CEO들이 책임지고 물러난 것처럼 감독 책임이 있는 금융당국 수장들도 물러나야 한다"고 주장했다.
정 교수는 "보안 문제는 지엽적으로 볼 것이 아니라 큰 틀에서 봐야 한다"라며 "교통법규가 생기고 교통신호를 지키면서 도로에서 사고 발생률을 줄이는 것처럼 인터넷 세상에도 교통신호 같은 `인터넷 법규'를 만들어 잘못 지키면 패널티를 주면서 사람들의 IT공간 이용에 대한 인식도 바꿔 나가야 한다"고 조언했다.
같은 문제를 앞서 겪었던 일부 선진국에서 선제적으로 도입한 제도를 국내 환경에 걸맞게 적극적으로 도입하자는 의견도 나왔다.
김승주 고려대 정보보호대학원 교수는 해킹 문제로 골머리를 앓고 있는 선진국의 사례를 바탕으로 혁신적이고 선제적인 대책을 수립해야 한다고 주장했다.
김 교수는 "내부자의 경우 내부 시스템에 대한 접근권한을 어느정도 합법적으로 갖고 있는 경우가 대부분"이라며 "IT시스템을 조금이라도 잘 아는 내부자는 망분리나 암호화 등의 기술적 요인을 넘어서 중요 정보에 접근하고 유출시킬수 있어 보안 문제의 최대 골칫거리"라고 지적했다.
김 교수는 "이런 허점을 막기 위해 도입된 것이 미 국방부 산하 고등연구기획국(DARPA)의 CINDER(Cyber-Insider Threat) 프로젝트"라며 "CINDER 프로젝트는 평상시 내부 직원들의 정상 행동 패턴을 데이터베이스시켜 놓았다가 이상 행동이 발견되면 경보를 울리도록 하는 기술을 개발하는 방식으로 미국은 민간의 유명 해커들을 이 프로젝트에 참여시키고 빅데이터 기술을 적극적으로 활용하고 있다"고 부연했다.
신동규기자 dkshin@
금융권 곳곳에서 개인정보유출과 해킹으로 인한 보안 사고가 잊을만 하면 한 번씩 터지고 있지만 정부 및 업계의 대책은 과도하게 `규제 중심'이거나 `사후약방문'식이라는 비판을 받고 있다.
전문가들은 금융사 사내 시스템을 감시하거나 처벌할 법규나 시스템은 여러 차례의 대형 보안 사고를 겪으면서 확립된 편이라고 지적하며 사람 중심의 보안과 현 시스템을 제대로 모니터링할 내부통제 구조의 강화를 대책으로 꼽았다. 현재 금융사 내부의 시스템이 제대로 작동하지 못하고 있다는 점을 인정하고 전체적인 틀에서 재점검이 필요하다는 목소리다.
우선 금융당국이 중심이 돼 만든 `557룰' 역시 숫자에만 집착할 것이 아니라 이를 운영하는 시스템을 제대로 들여다보는 방식으로 전환돼야 한다는 것이다. 이 룰은 2011년 농협 전산망 사고 이후 금융회사가 `557 모범규준'에 따라 총 직원수 중 IT인력 5% 이상, IT인력 중 정보보안인력 5% 이상, IT부문 전체 예산 중 정보보안예산 비중 7% 이상을 맞추도록 금융당국이 권고한 것으로 대다수의 금융사들이 이 룰의 수준에 맞게 전반적으로 정보보안 수준을 끌어올렸다는 평가를 받았다. 하지만 총 1억건에 이르는 개인정보 유출사고는 금융당국과 금융사의 보안 관련 노력과 의지를 무색하게 만들었다.
정부는 지난 2011년 농협 전산망 마비 해킹 사태 이후 `개인정보보호법'과 `정보통신망 이용촉진 및 정보보호 등에 관한 법'을 개정했고, `주민등록번호 처리금지','개인정보 유출시 통지' 관련 시행령도 만들어 대책을 강구했다.
금융분야에서도 `전자금융거래법' 개정을 통해 금융기관에 정보보호최고책임자 지정이 의무화됐고, 전자금융감독규정 역시 강화돼 금융기관이 일정규모 이상의 정보보호인력과 정보보호예산을 갖출 것을 의무화시켰다.
문제는 이처럼 양적, 수적 체계를 갖출 전체적인 틀은 잡혔지만 보안 의식이 생활 속에 녹아들지 못하고 있다는 점이다.
보안업체의 한 임원은 "사고난 부분만 메우기 급급한 금융당국의 낡은 인식이 문제"라며 "관련 법 부족이 문제가 아니라 법규는 충분히 있는데 그 가이드라인을 지키지 못하는 환경적인 요인을 뜯어고쳐야 한다"고 꼬집었다.
또 다른 IT업계 관계자는 "국내 정보보호 유관 법률과 규정은 다른 선진국에 견줘봐도 강력한 수준의 법적 기준을 갖추고 있다"라며 "금융사 역시 외주업체 인력 활용시 철저한 보안기준 및 지침을 갖고 있었지만 관리 소홀로 이어지며 이번 카드 개인정보유출 사태가 나오지 않았느냐"고 반문했다.
이경호 고려대 정보보호대학원 교수는 "우리나라 금융사에는 시스템은 있으나 이에 타당한 운영과 상시 모니터링 체제 등 `내부통제 체계'가 작동하지 않은 것"이라며 "금융기관은 내부 횡령, 배임 등 절차의 운영이 정형화돼 있고 감독도 철저한 편인데 이제 보안 문제에 대해서도 전통적인 금융사의 보수적인 기준을 `보안' 분야에도 철저히 적용해야 한다"고 말했다.
◇"시스템-법규는 충분....정보보안 전문가들에게 힘을 실어주는 분위기 형성이 중요"= 전문가들은 중요한 것은 정부의 대책이나 기업의 보안지침, 법규를 강화하는 것이 아니라 기업 및 단체 구성원들이 개인정보를 대하는 사고방식과 실천의지를 얼마나 갖고 있느냐에 달렸다는 것이다. 또 `보안'에 대한 인식을 전환할 필요가 있다고 지적했다. 이번 사태에서 나타났듯이 보안 관리 문제가 회사 존립 기로에도 영향을 주는 비용의 개념이 아니라 투자의 개념으로 전환을 해야한다는 것이다.
정보보안업체의 한 임원은 "이번 사고를 계기로 비록 소잃고 외양간 고치기, 사후약방문이라는 지적이 있더라도 이번에야말로 제대로 된 외양간 고치기가 돼야 한다"고 말했다.
이 관계자는 △보안에 대한 인식의 전환 △누구나 쉽고 빠르게 이해할 수 있는 직관적인 대책 △기업(단체) 내 보안부서의 위상 강화 등을 금융권 전반의 보안 강화의 핵심 과제로 꼽았다.
이 관계자는 "기업 내 보안부서의 위상을 강화하고 권한과 책임을 부여하면 자연스럽게 실질적인 실천으로 이어질 것으로 본다"며 "법규를 만들고 당장 숫자로 보이는 규제를 만드는 데 골몰할 것이 아니라 임직원들이 기업 내에서 보안절차와 지침이 준수되고 보안규정을 따를 수 있도록 하는 방안을 강구하는 것이 시급하다"고 강조했다.
◇"CINDER 프로젝트 등 한 차원 높은 내부 모니터링 시스템 검토해야"= 정태명 성균관대 교수는 "금융당국에서는 책임지는 사람도 없고 사후약방문식 대책 남발만 하는 것이 문제"라며 "카드사 CEO들이 책임지고 물러난 것처럼 감독 책임이 있는 금융당국 수장들도 물러나야 한다"고 주장했다.
정 교수는 "보안 문제는 지엽적으로 볼 것이 아니라 큰 틀에서 봐야 한다"라며 "교통법규가 생기고 교통신호를 지키면서 도로에서 사고 발생률을 줄이는 것처럼 인터넷 세상에도 교통신호 같은 `인터넷 법규'를 만들어 잘못 지키면 패널티를 주면서 사람들의 IT공간 이용에 대한 인식도 바꿔 나가야 한다"고 조언했다.
같은 문제를 앞서 겪었던 일부 선진국에서 선제적으로 도입한 제도를 국내 환경에 걸맞게 적극적으로 도입하자는 의견도 나왔다.
김승주 고려대 정보보호대학원 교수는 해킹 문제로 골머리를 앓고 있는 선진국의 사례를 바탕으로 혁신적이고 선제적인 대책을 수립해야 한다고 주장했다.
김 교수는 "내부자의 경우 내부 시스템에 대한 접근권한을 어느정도 합법적으로 갖고 있는 경우가 대부분"이라며 "IT시스템을 조금이라도 잘 아는 내부자는 망분리나 암호화 등의 기술적 요인을 넘어서 중요 정보에 접근하고 유출시킬수 있어 보안 문제의 최대 골칫거리"라고 지적했다.
김 교수는 "이런 허점을 막기 위해 도입된 것이 미 국방부 산하 고등연구기획국(DARPA)의 CINDER(Cyber-Insider Threat) 프로젝트"라며 "CINDER 프로젝트는 평상시 내부 직원들의 정상 행동 패턴을 데이터베이스시켜 놓았다가 이상 행동이 발견되면 경보를 울리도록 하는 기술을 개발하는 방식으로 미국은 민간의 유명 해커들을 이 프로젝트에 참여시키고 빅데이터 기술을 적극적으로 활용하고 있다"고 부연했다.
신동규기자 dkshin@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
