보안리스크 점검 강화… 고도화된 모니터링 구축 필요
■ 카드사 CISO에게 듣는다
(1) 임석재 신한카드 본부장
지난해 1월 8일 사상 최대 규모의 개인정보 유출사고로 한국 사회는 들썩였다. KB국민·롯데·NH농협카드의 협력업체인 신용정보회사 코리아크레딧뷰로(KCB) 소속 직원이 1억 건 이상의 고객정보를 무단 탈취한 사고가 발생한 것이다. 이후 카드사들은 신뢰를 회복하기 위해 정보보호최고책임자(CISO)를 선임하고 IT보안 인력을 대폭 늘리는 등 앞다투어 보안 강화책을 내놓았다. 이에 디지털타임스는 각 카드사의 정보보호책임자(CISO)를 만나, 그동안의 변화와 올해 정보보안 전략을 들어본다. 첫 회는 신한카드의 CISO를 맡고 있는 임석재 본부장이다.
"금융권의 경우 전산 시스템과 인적자원을 바탕으로 비즈니스가 이뤄지기 때문에 다른 산업에 대해 보안 리스크가 큽니다. 카드사의 CISO는 이러한 특성과 IT기술에 대한 이해를 바탕으로 물리적·관리적·기술적 관점에서의 종합적인 정보보호 체계를 관리할 수 있어야 합니다."
11일 서울 명동 신한카드 본사에서 만난 임석재 본부장의 태도는 사뭇 진지했다.
아직 CISO를 맡은 지 6개월밖에 되지 않아 긴장을 늦추지 않고 있다는 그의 얼굴에는 카드사의 보안을 이끌어나가고 있다는 책임감이 엿보였다. 1988년 신한은행에 입행한 임석재 본부장은 IT 관련 부서들을 거쳐 지난해 1월 IT기획부 부장으로 선임됐다. 이어 정보유출 사고가 발생하고 난 뒤 7월 신한카드의 CISO로 새롭게 둥지를 틀었다.
임 본부장은 개인정보 유출 사고 이후 정보보안 부문의 달라진 위상을 실감하고 있다고 말했다. 모든 임직원이 고객정보보호를 단순 통제나 이행이 아닌 기업의 존폐를 좌우하는 핵심 경영활동으로 인식하고 있다는 것이다. 임 본부장은 "인력 확대나 인프라 투자도 예전에 비해 눈에 띄게 늘어났다"며 "지난해 10명이던 정보보호부서의 인력도 올해 18명으로 두 배 가까이 확충했으며 지속적으로 전문인력을 수혈할 계획"이라고 설명했다.
직원을 대상으로 한 교육도 활발히 진행하고 있다. 매달마다 정보보안의 날을 지정해 담당자가 주기적으로 대면교육과 사이버교육을 진행하고 있다. 정보보호팀은 연간 90시간의 교육을 이수해야 한다. 임 본부장은 "정보보호 수준에 대한 부서평가 및 제재 권한 부여를 통해 보다 강화된 통제활동을 수행할 수 있는 내부 여건을 마련했다"며 "지난해 내부통제 태스크포스팀(TFT)이 보안체계와 체크리스트를 만들어 분기별, 월별로 점검을 하고 있다"고 덧붙였다.
특히 빅데이터 사업과 관련해서는 더욱 엄격한 보안체계를 지키고 있다는 설명이다. 임 본부장은 "빅데이터는 기존 보안점검 외에도 수시로 별도의 보안점검을 전개하고 있다"며 "빅데이터라는 것이 결국은 분석을 거쳐 통계작업을 하는 것이기 때문에 가공된 정보일 뿐 실제 고객 정보가 들어가 있지 않다"고 말했다. 마스킹 작업을 해놓고 데이터를 가공하기 때문에 고객정보가 유출될 위험이 없다는 것이다.
임 본부장은 금융·IT의 융합이 가속화되는 핀테크(FinTech) 환경에서 기존 정보보호 체계로 보안위험에 대응하는 것이 한계가 있다고 지적했다. 이에 지난해 외부 침입 보안관제와 통제에 초점을 맞췄다면 올해에는 예방에 방점을 찍겠다는 전략이다.
그는 "향후 침해 및 정보유출과 관련된 다양한 형태의 정보를 보안 빅데이터로 축적하고 이를 통해 이상 징후를 탐지하는 고도화된 모니터링 체계가 필요할 것"이라며 "올해는 실질적인 보안 리스크 점검을 강화하고 취약점에 대응하는 '선제적 정보보호 체계'를 강화하는데 주력할 계획"이라고 강조했다.
박소영기자 cat@
사진=유동일기자 eddieyou@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
