지난 3월 20일은 2013년 전 국민을 충격으로 몰아넣었던 3.20 전산망 대란의 1주년이 되는 날이었다. 3.20 대란의 전 국민적 충격이 채 아물기도 전에 연초의 카드사 정보 유출 사건 및 각종 고객 정보 유출 사건 등으로 전 국민은 자신의 개인 정보가 누구나 사용할 수 있는 공공 정보가 아닌가 하는 착각마저 들고 있다.
정책 당국은 지난 수년간의 보안 사고를 바탕으로 정보 보안에 있어서 재발 방지를 위한 수 많은 대책과 가이드를 배포해 보안 수준 향상을 독려하고 있다. 뿐만 아니라 각계의 전문가들이 다양한 의견과 예방책을 제시하고 많은 기관과 기업들은 보안 부문에 막대한 투자를 시행하고 있다.이러한 노력에도 불구하고 끊임없이 유사한 사고가 재발하는 원인은 무엇일까?
모 기관의 경우 정책 당국이 제시하는 다양한 보안 정책과 솔루션이 이미 적용되어 있음에도 불구하고 사고가 연이어 발생한 것을 볼 때, 보안 정책이나 솔루션의 미 적용 만이 정보 보안 사고의 원인은 아닐 것이라는 생각이 든다. 따라서 정책 당국의 가이드 제시와 더불어 정보 보안에 대한 조직 구성원의 보안 수준 및 의식 제고가 가장 필수적인 해결책이라는 것이 각계의 전문가들의 공통적인 의견이다.
그렇다면 어떻게 조직 구성원 전체의 보안 수준 및 의식을 제고할 수 있을까? 정보 보안과 관련이 없어 보이지만 한 때 많은 대기업들이 도입했던 식스 시그마와 같은 혁신 활동의 사례를 참조해보는 것이 어떨까 한다. 수많은 예산과 비용을 투입하여 식스 시그마를 도입한 기업들 중에서 성공과 실패를 결정한 가장 큰 요인은 식스 시그마의 취지에 대한 전 직원에 대한 확산 여부였다고 한다. 모 기업에서는 이를 위해 식스 시그마 운동의 목표를 뛰어난 한 사람을 만드는 것이 아니라 전 직원의 평균을 높이는 것으로 생각하고 혁신 활동의 목표를 직원 간의 편차를 줄이고 평균을 높이는 것을 목표로 잡아 이를 적용하였다고 한다.
이와 유사하게 정보 보안에 있어서도 정보 보안 수준 제고의 목표를 정보 시스템이나 보안 시스템의 관점이 아닌 전 직원의 보안 수준 평균을 높이는 것으로 잡는 것이 절실하다고 본다. 이를 위해서는 비즈니스 프로세스 관점에서의 보안 혁신을 진행하는 것이 시급하며 이를 기존의 정보 보안 인증 등과 연계하여 조직 구성원들의 다양한 업무 프로세스 상에서 보안 프로세스가 자연스럽게 적용되도록 프로세스 혁신을 수행하는 것이 필요하다. SBIC(Security for Business Innovation Council)와 같은 글로벌 보안 위원회에서는 정보 보안을 위해 기업의 보안 부서가 사내의 다양한 사업부서와 협력하여 비즈니스 프로세스 관점에서 미래의 보안 프로세스를 구축할 것을 권고하는 등 선진국에서도 이러한 관점으로 비즈니스와 프로세스와 결합된 보안 프로세스 구축을 권고하고 있다.
우리도 이러한 글로벌 트렌드에 발 맞추어 개별 사고 대응이나 세부 보안 기술별 대응이 아닌 우리의 기업 실정에 적합한 비즈니스 프로세스를 기반으로 한 전사적인 보안 프로세스 개선과 더불어 전체 조직 구성원의 보안 수준 제고를 위한 다양한 방법을 도입하는 것이 절실하다. 정보 보안 담당자와 IT 보안 담당자만이 보안 솔루션과 시스템 도입으로 보안이 강화될 것이라는 마인드를 벗어나, 정보 보안의 주체는 조직 구성원 전체이며 이를 정량적으로 점검하고 평가할 수 있는 활동을 지속적인 경영 혁신전략의 일부로 포함해 전사적인 보안 혁신 활동을 진행하는 것이 반복적인 사고를 막을 수 있는 지름길이 될 것이다. 결국 정보 보안에 있어서도 한 사람의 백 걸음보다는 백 사람의 한 걸음 이 더 절실하다는 것을 모든 조직 구성원이 깨닫는 순간 정보 보안의 수준도 올라갈 것으로 생각된다.
이보성 미라지웍스 상무
정책 당국은 지난 수년간의 보안 사고를 바탕으로 정보 보안에 있어서 재발 방지를 위한 수 많은 대책과 가이드를 배포해 보안 수준 향상을 독려하고 있다. 뿐만 아니라 각계의 전문가들이 다양한 의견과 예방책을 제시하고 많은 기관과 기업들은 보안 부문에 막대한 투자를 시행하고 있다.이러한 노력에도 불구하고 끊임없이 유사한 사고가 재발하는 원인은 무엇일까?
모 기관의 경우 정책 당국이 제시하는 다양한 보안 정책과 솔루션이 이미 적용되어 있음에도 불구하고 사고가 연이어 발생한 것을 볼 때, 보안 정책이나 솔루션의 미 적용 만이 정보 보안 사고의 원인은 아닐 것이라는 생각이 든다. 따라서 정책 당국의 가이드 제시와 더불어 정보 보안에 대한 조직 구성원의 보안 수준 및 의식 제고가 가장 필수적인 해결책이라는 것이 각계의 전문가들의 공통적인 의견이다.
그렇다면 어떻게 조직 구성원 전체의 보안 수준 및 의식을 제고할 수 있을까? 정보 보안과 관련이 없어 보이지만 한 때 많은 대기업들이 도입했던 식스 시그마와 같은 혁신 활동의 사례를 참조해보는 것이 어떨까 한다. 수많은 예산과 비용을 투입하여 식스 시그마를 도입한 기업들 중에서 성공과 실패를 결정한 가장 큰 요인은 식스 시그마의 취지에 대한 전 직원에 대한 확산 여부였다고 한다. 모 기업에서는 이를 위해 식스 시그마 운동의 목표를 뛰어난 한 사람을 만드는 것이 아니라 전 직원의 평균을 높이는 것으로 생각하고 혁신 활동의 목표를 직원 간의 편차를 줄이고 평균을 높이는 것을 목표로 잡아 이를 적용하였다고 한다.
이와 유사하게 정보 보안에 있어서도 정보 보안 수준 제고의 목표를 정보 시스템이나 보안 시스템의 관점이 아닌 전 직원의 보안 수준 평균을 높이는 것으로 잡는 것이 절실하다고 본다. 이를 위해서는 비즈니스 프로세스 관점에서의 보안 혁신을 진행하는 것이 시급하며 이를 기존의 정보 보안 인증 등과 연계하여 조직 구성원들의 다양한 업무 프로세스 상에서 보안 프로세스가 자연스럽게 적용되도록 프로세스 혁신을 수행하는 것이 필요하다. SBIC(Security for Business Innovation Council)와 같은 글로벌 보안 위원회에서는 정보 보안을 위해 기업의 보안 부서가 사내의 다양한 사업부서와 협력하여 비즈니스 프로세스 관점에서 미래의 보안 프로세스를 구축할 것을 권고하는 등 선진국에서도 이러한 관점으로 비즈니스와 프로세스와 결합된 보안 프로세스 구축을 권고하고 있다.
우리도 이러한 글로벌 트렌드에 발 맞추어 개별 사고 대응이나 세부 보안 기술별 대응이 아닌 우리의 기업 실정에 적합한 비즈니스 프로세스를 기반으로 한 전사적인 보안 프로세스 개선과 더불어 전체 조직 구성원의 보안 수준 제고를 위한 다양한 방법을 도입하는 것이 절실하다. 정보 보안 담당자와 IT 보안 담당자만이 보안 솔루션과 시스템 도입으로 보안이 강화될 것이라는 마인드를 벗어나, 정보 보안의 주체는 조직 구성원 전체이며 이를 정량적으로 점검하고 평가할 수 있는 활동을 지속적인 경영 혁신전략의 일부로 포함해 전사적인 보안 혁신 활동을 진행하는 것이 반복적인 사고를 막을 수 있는 지름길이 될 것이다. 결국 정보 보안에 있어서도 한 사람의 백 걸음보다는 백 사람의 한 걸음 이 더 절실하다는 것을 모든 조직 구성원이 깨닫는 순간 정보 보안의 수준도 올라갈 것으로 생각된다.
이보성 미라지웍스 상무
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
