![[금융IT 스페셜리스트] `보호` 아닌 `예방`이 답이다](http://contents.dt.co.kr/images/201410/2014102002109960727002[1].jpg "[금융IT 스페셜리스트] `보호` 아닌 `예방`이 답이다")
세월호 참사가 일어난 지 벌써 6개월이 지났다. 지금도 10명의 실종자가 가족의 품으로 돌아오지 못하고 있다. 세월호는 사고 전부터 과적으로 인한 배의 복원성 상실 등 이상 징후를 보였다고 알려져 있다. 대형참사가 일어나기 전에 예방할 수는 없었을까?
대부분의 사건사고에는 전조가 있기 마련이다. 금융권의 경우 정보유출 사고가 종종 발생하는데 해커들은 금융기관의 전자금융서버를 어느 날 갑자기 공격하지 않는다. 사전에 취약점이 있는지 살펴본 뒤 공격대상을 정한다. 그렇다면 왜 해커들이 발견하는 취약점을 해당 기관은 발견하지 못하는 것일까. 왜 해커들이 취약점을 찾아내기 위해 홈페이지 등을 방문했던 흔적을 사전에 감지하지 못했을까. 10년 동안 잠자고 있던 통장에 어느 날 갑자기 발생한 금융거래가 대포통장에 의한 것이었음을 알아내기는 어려웠던 것일까. 금융권의 세월호 참사 전조는 지금 이 순간에도 계속되고 있다.
우리는 언제나 사건 사고가 발생하고 난 뒤 책임자를 처벌하고 강력한 제도를 만든다. 왜 항상 문제가 발생해야 방안이 만들어지는 것일까. 위험인줄 알고 있지만 사고만 발생하지 않으면 문제없다는 안전불감증 때문일까 아니면 이미 예견된 사고였지만 처벌이 두려워 숨기려는 책임회피 문화 때문일까. 불변하는 사실은 사건 사고가 일어나야 제도가 만들어지는 이상한 구조라는 점이다. 이제는 변해야 할 때이다. 그 어떤 방법론과 제도, 기술을 가지고 있더라도 사건 사고는 일어날 수밖에 없다. 하지만 최소한으로 줄일 수는 있다. 이를 위해서는 투자의 초점을 바꾸어야 한다. 안전한 전자금융거래 환경 조성을 위해 보호를 위한 투자가 아닌 예방을 위한 투자로 바꿔야 한다. 필자는 이에 대한 구체적인 실행방안으로 실시간 모니터링과 분석능력을 강조하고자 한다. 사건 사고가 일어나는지 실시간으로 모니터링하고 예·경보 체계를 강화해야 한다. 또한 '뛰는' 보안담당자 위에 '나는' 해커가 양상되는 현상을 막기 위해 해커보다 앞선 분석능력을 키워야 한다.
실시간 모니터링과 예·경보 체계를 강화하기 위해서는 기업 스스로가 진정한 IT 거버넌스(Governance)로 거듭남과 동시에 정보보호 투자에 관한 IT 시큐리티 거버넌스(Security Governance)를 완성해야 한다. 또 발생 가능한 위험을 미리 예상해 받아들일 수 있는 위험과 분산 가능한 위험, 절대 일어나면 안 되는 위험 등으로 구분하는 관리체계를 구축해야 한다. 궁극적으로는 이 관리체계를 IT 거버넌스(Governance)와 연결해야 효율성을 높일 수 있다.
우리는 알아야 한다. 빅데이터 시대에 접어들면서 IT는 더 이상 시키는 일만 수행하는 것이 아니라 앞으로의 일어날 일을 미리 알려주고 있다는 것을 말이다. 이를 예방하는 것이 더욱 효과적인 투자임을 말이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
