[DT발언대] CEO가 알아야 할 불편한 진실

이장우 안철수연구소 관리컨설팅팀 부장
최근 국내외에서 발생한 보안 사고로 인해 위기감이 커지자 모 기업에서 1억 원이 넘는 비용을 들여 컨설팅을 받았다. 그 컨설팅 보고서에는 "패스워드는 영문자, 숫자, 특수문자를 반드시 섞어서 8자리 이상으로 설정하고 최소 3개월에 한 번은 바꾸십시오"라는 사항을 주요 대책으로 제시했다. 이 기업의 담당자는 분통을 터트렸다.

"이런 건 컨설팅이 아니라도 다 아는 사실 아닙니까? 이런 뻔한 소릴 듣자고 비싼 돈을 들여 컨설팅을 받겠어요?"

그렇다면 묻고 싶다. 그 당연한 사항을 과연 모든 직원과 모든 시스템에서 100% 준수하고 있는지.

코미디 같은 얘기지만 대기업 CEO의 비서가 상사가 편리하게 이용할 수 있도록 임원정보시스템 로그인 계정과 패스워드를 커다랗게 인쇄해서 책상 유리판 밑에 끼워 둔 것을 본 적이 있다. 정보시스템 담당자들이 자주 바뀌는 패스워드를 잊을까봐 패스워드 목록을 문서로 만들어 공유하는 경우도 보았다.

1인1계정 원칙을 지키라는 권고도 마찬가지다. 프랜차이즈나 대리점을 방문해 보라. 그곳에는 본사와 연결된 전산시스템과 로그인 계정이 있지만 그 계정은 대부분 그곳에 근무하는 사람이면 다 알고 같이 쓰는 공용 계정과 다름없다. 직원 중 누가 몰래 정보를 빼냈다 하더라도 범인을 찾으려면 모두를 대상으로 조사해야 하고 그 만큼 시간이 걸릴 수밖에 없다.

몇 명 안 되는 곳에서도 그런데 하물며 본사 주요시스템의 관리자 계정을 여러 사람이 같이 쓴다면 어떨 것인가? 보안사고는 예방도 중요하지만 사고가 났을 때 빨리 수습하는 일도 그 못지 않다. 수습단계에서 우선 필요한 장치가 '책임 추적성'이다. 내부직원 중 누군가가 사고의 범인이거나 범인에게 이용되었는데 사고 현장에 남긴 흔적이 발자국이라면 사람마다 각각 다른 신발을 신고 있을 때 빨리 찾겠는가, 같은 신발을 여러 사람이 돌려가며 신고 있을 때 빨리 찾겠는가?

위에서 언급한 사항 이외에도 보안의 기본사항은 많다. 중요한 시스템은 분리해서 사용하라든지 데이터는 암호화하라든지 웬만한 담당자라면 상식 수준에서 알고 있을 내용들이다. 문제는 이런 상식을 지키지 않는다는 것이고 여기에 보안 부서의 어려움이 있다. 현업 부서에 보안상식을 지키게끔 밀어붙이면 업무에 불편하다는 답변과 함께 파워게임으로 몰아가기 십상이다.하물며 CEO를 비롯한 임원진에게 패스워드 원칙을 지키라고 하는 건 언감생심이다. 이 문제를 해결하는 데는 왕도가 없다. CEO부터 나서서 전사적으로 반드시 지켜야 할 보안규정을 천명하고 예외 없이 지키게끔 하는 길뿐이다. 예외를 허용치 않을 힘을 보안 부서에 부여하는 동력은 오직 CEO의 의지에 달려 있다.

보안의 기본에 충실하라, 보안원칙에 예외를 만들지 마라, 최고경영진부터 의지를 보여라. 값비싼 보안시스템 투자보다 앞서야 할 일은 그런 것이다.