권한없이 사고땐 모든 책임 전가… 보안투자 요구해도 묵살하기 일쑤
#1. A증권사 보안 부서에 근무하는 ㄱ씨는 제조업계쪽 보안담당자 자리를 알아보고 있다. 보안 직무 자체를 더 하고 싶기는 한데 `금융 보안'만큼은 하고싶지 않다며 ㄱ씨는 머리를 가로젓는다.
#2. B보험사 보안을 담당하는 ㄴ씨는 3년전 유명 외국계 컨설팅 업체에서 B보험사로 이직했지만 최근 이전 직장 선배에게 `다시 불러달라'고 요청했다. 프로젝트 단위로 보안 전략을 짜고 가이드라인을 마련해 주면 `끝나는' 컨설턴트 생활이 낫겠다 싶어서다.
#3. C은행 정보보호 담당 임원 ㄷ씨는 최근 대형 통신사로부터 보안 담당 임원을 맡아줄 수 있냐는 제안을 받았다. 이 통신사는 얼마 전 정보유출 사고를 일으켰고 그 책임을 물어 보안담당 임원을 곧장 해임시켰다. 통신사는 ㄷ씨를 포함해 대기업 보안담당 임원 여럿에게 보안책임자 자리를 제안했지만 긍정적인 반응을 보인 사람은 많지 않다.
1억400만 건의 신용카드 정보유출에 이어 은행, 보험 등 금융권 전반의 개인정보 유출사고가 끊이지 않으면서 금융 보안에 대한 관심이 부쩍 높아졌지만, 정작 이를 도맡아 해 내야하는 금융보안 전문가들은 이직을 준비하거나 극도로 위축된 모습을 보이고 있다.
익명을 요구한 A증권사 보안실무자는 "(정보유출사고)이전과 비교해 보안에 대한 관심은 급증했지만 보안 실무자의 권한이 강화되진 않았다. 예산도 그대로"라면서 "보안 사고에 대한 모든 책임이 실무자에게 돌아오고 있기 때문"이라고 말했다.
금융회사의 정보보호 책임 강화는 최근 잇따라 발생한 대형 정보유출 사고로 볼 때 당연한 수순이다. 특히 금융사들은 전자금융거래가 확대되면서 창구나 영업점 등의 비용을 대폭 절감할 수 있었는데, 보안에는 그만큼 투자를 하지 않아 사고도 끊이지 않는다는 지적이 나온다.
하지만 강화된 `책임'이 보안 담당자에게만 집중되는 것이 문제다. 금융권의 한 보안담당 임원은 "보안 책임자로서 가장 힘든 일은 외부의 해킹공격 방어나 고객정보 관리가 아니다. 내부 현업담당자나 재무 담당자들을 설득시키는 것이 가장 어렵다"고 토로한다.
정보유출이나 해킹, 사이버테러 등 위협요인이 증가하면서 다양한 보안 투자를 해야 한다고 아무리 주장해도 현업부서에서는 `하라는 대로 해서 시스템 성능 저하되고 이익 떨어지면 보안팀이 책임지겠느냐'며 반대하는 경우가 적지 않고 재무 부서에서는 `일어날지 안 일어날지 모르는 보안사고 때문에 투자하기는 어렵다'는 입장을 되풀이하는 것이 그에게는 가장 힘들었다는 것이다.
갈팡질팡하는 당국의 `보안 가이드라인' 때문에 연일 밤을 새거나 예산을 따내기 위해 온갖 아쉬운 소리를 해야 하는 금융보안 담당자는 앞으로도 `비전이 없다'는 것이 이들의 생각이다. 금융보안 사고에 대한 최고경영자(CEO)의 책임이 강화됐다고는 하나 보안 담당자 입장에서는 `보고체계만 복잡해졌지 권한은 하나도 늘어난 게 없다'는 목소리도 나온다.
B보험사 실무자는 "금융보안 전문가가 부족하다고 앓는 소리를 하는데, 사고가 터졌을 때 온갖 책임을 뒤집어쓰는 금융보안을 어느 우수한 인재가 하려고 하겠느냐"며 "보안을 강화하려면 `사고나면 해고'라는 식으로 보안담당자만 쥐어짤 것이 아니라 보안체계 강화에 따른 불편함을 기꺼이 감수한다든지, 보안은 기본중의 기본이라고 생각하고 모든 업무에 철저한 보안 마인드를 갖춘다든지 하는 식으로 금융회사 전체의 인식전환이 우선돼야 한다"고 목소리를 높였다.
강은성기자 esther@
#2. B보험사 보안을 담당하는 ㄴ씨는 3년전 유명 외국계 컨설팅 업체에서 B보험사로 이직했지만 최근 이전 직장 선배에게 `다시 불러달라'고 요청했다. 프로젝트 단위로 보안 전략을 짜고 가이드라인을 마련해 주면 `끝나는' 컨설턴트 생활이 낫겠다 싶어서다.
#3. C은행 정보보호 담당 임원 ㄷ씨는 최근 대형 통신사로부터 보안 담당 임원을 맡아줄 수 있냐는 제안을 받았다. 이 통신사는 얼마 전 정보유출 사고를 일으켰고 그 책임을 물어 보안담당 임원을 곧장 해임시켰다. 통신사는 ㄷ씨를 포함해 대기업 보안담당 임원 여럿에게 보안책임자 자리를 제안했지만 긍정적인 반응을 보인 사람은 많지 않다.
1억400만 건의 신용카드 정보유출에 이어 은행, 보험 등 금융권 전반의 개인정보 유출사고가 끊이지 않으면서 금융 보안에 대한 관심이 부쩍 높아졌지만, 정작 이를 도맡아 해 내야하는 금융보안 전문가들은 이직을 준비하거나 극도로 위축된 모습을 보이고 있다.
익명을 요구한 A증권사 보안실무자는 "(정보유출사고)이전과 비교해 보안에 대한 관심은 급증했지만 보안 실무자의 권한이 강화되진 않았다. 예산도 그대로"라면서 "보안 사고에 대한 모든 책임이 실무자에게 돌아오고 있기 때문"이라고 말했다.
금융회사의 정보보호 책임 강화는 최근 잇따라 발생한 대형 정보유출 사고로 볼 때 당연한 수순이다. 특히 금융사들은 전자금융거래가 확대되면서 창구나 영업점 등의 비용을 대폭 절감할 수 있었는데, 보안에는 그만큼 투자를 하지 않아 사고도 끊이지 않는다는 지적이 나온다.
하지만 강화된 `책임'이 보안 담당자에게만 집중되는 것이 문제다. 금융권의 한 보안담당 임원은 "보안 책임자로서 가장 힘든 일은 외부의 해킹공격 방어나 고객정보 관리가 아니다. 내부 현업담당자나 재무 담당자들을 설득시키는 것이 가장 어렵다"고 토로한다.
정보유출이나 해킹, 사이버테러 등 위협요인이 증가하면서 다양한 보안 투자를 해야 한다고 아무리 주장해도 현업부서에서는 `하라는 대로 해서 시스템 성능 저하되고 이익 떨어지면 보안팀이 책임지겠느냐'며 반대하는 경우가 적지 않고 재무 부서에서는 `일어날지 안 일어날지 모르는 보안사고 때문에 투자하기는 어렵다'는 입장을 되풀이하는 것이 그에게는 가장 힘들었다는 것이다.
갈팡질팡하는 당국의 `보안 가이드라인' 때문에 연일 밤을 새거나 예산을 따내기 위해 온갖 아쉬운 소리를 해야 하는 금융보안 담당자는 앞으로도 `비전이 없다'는 것이 이들의 생각이다. 금융보안 사고에 대한 최고경영자(CEO)의 책임이 강화됐다고는 하나 보안 담당자 입장에서는 `보고체계만 복잡해졌지 권한은 하나도 늘어난 게 없다'는 목소리도 나온다.
B보험사 실무자는 "금융보안 전문가가 부족하다고 앓는 소리를 하는데, 사고가 터졌을 때 온갖 책임을 뒤집어쓰는 금융보안을 어느 우수한 인재가 하려고 하겠느냐"며 "보안을 강화하려면 `사고나면 해고'라는 식으로 보안담당자만 쥐어짤 것이 아니라 보안체계 강화에 따른 불편함을 기꺼이 감수한다든지, 보안은 기본중의 기본이라고 생각하고 모든 업무에 철저한 보안 마인드를 갖춘다든지 하는 식으로 금융회사 전체의 인식전환이 우선돼야 한다"고 목소리를 높였다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
