김승건 한국정보통신진흥협회 본부장
![[포럼] ISMS 인증제 인식개선 시급하다](http://contents.dt.co.kr/images/201606/2016063002102251607001[1].jpg "[포럼] ISMS 인증제 인식개선 시급하다")
2016년 6월 2일부터 '정보통신망 이용 촉진 및 정보보호 등에 관한 법률' 시행령이 개정돼 정보보호 관리체계(ISMS : Information Security Management System) 인증 의무 대상이 기존의 ICT 기업뿐만 아니라 의료 및 교육 분야로 확대됐다. 연간 세입이 1500억원 이상인 의료법상 상급 종합병원과 고등교육법상 재학생 수 1만명 이상인 학교가 추가돼 종합대학 30여 개, 의료기관 40여 개가 의무대상으로 추가됐다. 이는 정보보호 관리체계 인증 의무화를 기존 영리목적의 정보통신 서비스 제공자에 한정하지 않고 의료·교육 등의 민감 정보를 다루는 비영리기관으로 확대했다는 의미로 해석된다.
국내·외를 막론하고 정보통신 보안 관련 사고는 셀 수 없을 만큼 그 피해도 막대하다. 사고의 유형도 전형적인 DNS 서버 공격, DDoS 공격, 개인정보 유출, 모바일 해킹 등 정보통신 기술 발전과 더불어 급속도로 다양화되고 심화되고 있다. 국내의 경우 2003년 통신사 서버 공격으로 9시간 마비됐던 '1·25 대란', 2009년 7월 정부기관과, 포털, 은행 사이트를 마비시켰던 '7·7 DDoS 공격', 2011년 선거관리위원회를 마비시켰던 '10·26 DDoS 공격', 2013년 주요 공중파 방송사와 금융권의 전산망을 마비시켰던 '3·20 사이버 공격', 2014년 개인정보 유출과 원전설계도 등 국가기밀을 유출한 한수원 해킹 사태, 금년에도 청와대 사칭 이메일, 랜섬웨어를 유포한 뽐뿌 사태 등이 그 대표적 예이다. 해외의 경우에도 2007년 에스토니아 의회, 은행, 정부부처, 언론사, 방송국 등 주요 사이트를 대상으로 한 DDoS 공격이 발생했다. EU에서 가장 인터넷이 발전해 e-Stonia로 불리던 에스토니아는 정보통신 인프라 수준과 비례해 막대한 국가 손실이 발생됐고 이 사태가 세계 최초의 전면적 사이버 전쟁으로 인식되고 있다. 이 밖에도 2010년 이란 뷔셸 원전에 행해졌던 사이버 테러, 2011년 APT를 이용한 대표적인 보안 기업인 RSA 해킹 사례 등이 그 대표적인 예이며 이런 일련의 사건은 사이버 보안에 대한 경각심을 높이는 계기가 됐다.
정보보호 관리체계란 기업 등 조직이 정보보호 관리체계를 구축·운영하고 있을 때 그 관리 및 운영체계가 법에서 정한 기준에 적합한지를 객관적이고 독립적으로 평가해 적합성 여부를 평가하는 제도다. 이 제도를 통해 '임시적이고 부분적인' 보안관리가 아닌 '전체적이고 지속적인' 보안관리 시스템을 구현하는 것이 주된 목적이다. 너무나 당연한 이야기이지만 기업의 정보보호는 비용이 아니고 오히려 경영의 측면에서 기회 예측 및 보안사고로 발생하는 각종 위험에 대응하는 보다 높은 수준의 경쟁력 확보를 위한 투자의 개념으로 이해되는 것이 바람직하다. 앞에서 언급했던 주요 조직에서 발생한 대부분의 보안 사고는 내부관리 소홀 및 정보보호 등에 대한 조직의 수뇌부 및 경영진의 무관심과 부주의 산물이었다.
정보보호 관리체계를 통해서 얻어지는 기대효과는 기존의 단편적이고 일률적인 정보보호 대책에서 탈피해 체계적이고 종합적인 정보보호 대책을 마련하고 조직의 정보호호 관리 수준의 향상을 꾀할 수 있고, 해킹, DDos 등의 침해 사고 발생 시 신속하게 대응함으로써 피해 및 손실을 최소화할 수 있다. 또한 조직의 수뇌부 및 기업 경영진이 직접 정보보호 의사결정에 참여함으로써 책임성과 신뢰성을 제고할 수 있다.
다른 제도와 정책과 마찬가지로 이 제도도 아직은 근본적인 한계를 가지고 있다. 정보보호 관리체계와 관련한 규제의 중복성 여부, 경쟁적 규제 환경, 그럼에도 불구하고 존재하는 관리 사각지대가 여전히 남아 있는 점 등이다. 본 인증을 취득한다고 해도 침해 사고로부터 100% 안전하다고 의미하는 것은 당연히 아니다. 예를 들자면, 적절한 운동, 효율적인 식이요법, 예방접종 등으로 꾸준히 건강을 관리한 사람도 질병으로부터 100% 안전하지 않은 것과 마찬가지다.
인증절차에 소요되는 기간이 약 6개월 정도이므로 금년에 대상기관으로 확정된 기관은 서둘러서 절차를 진행하는 것이 바람직하다고 판단된다. 국내외 많은 전문가들이 대한민국이 ICT강국 이라고 평가하고 있다. 사이버 테러와 정보보호 측면에서도 소니 해킹 사건을 주도면밀하고, 거침없이 처리한 다른 선진국처럼 즉각적인 정책과 제도가 필요하다는 점은 명확하다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
