[지디넷코리아]최근 들어 기업 보안 컨설팅의 초점이 단순한 인프라 보안 차원을 넘어 소스 코드 진단이나 내부 통제처럼 심화되고 있어 주목된다.

이는 특히 대기업을 중심으로 금융권 등 IT 투자 여력이 있는 고객들을 중심으로 나타나고 있는 현상이다. 해당 기업들은 방화벽이나 IDS, IPS 등 IT 인프라 중심의 외부 침입에 대비한 보안 솔루션 구축은 상당수 완료한 상태다. 이 가운데 일부 기업들은 이미 내부 정보유출방지 솔루션까지 도입해 놓고 있다.

따라서 이런 기업들이 인프라 차원의 보안을 넘어 좀더 전문화된 영역으로 눈길을 돌리고 있는 건 당연한 수순. 특히 대국민 서비스를 제공하는 금융권이나 공공기관, 기밀문서가 많은 첨단 기업들이 주된 수요층이다.

소스 코드 취약점 진단 '올해부터 본격화'
먼저 지난해부터 주목받기 시작한 웹 애플리케이션의 소스 코드 취약점 진단이 있다.

지난해 소스 코드 취약점 진단으로 발주된 프로젝트는 10개 정도. 우체국금융 같은 공공기관들과 BC카드를 비롯해 증권사 두 곳이 시범 프로젝트를 진행했다.

에이쓰리시큐리티컴퓨팅 방인구 전무는 "올해 발주된 대부분 보안 프로젝트에는 소스 코드 취약점 분석이 포함돼 있을 정도로 소스 코드 진단은 지난해를 기점으로 올해부터 수요가 본격화될 것으로 보인다"고 밝혔다.

현재까지 공공기관 두 곳과 제조 기업 등 올해 발주된 관련 프로젝트만 4곳 가량 된다. 이런 수요의 흐름에 주목해 보안 컨설팅 중 부가 서비스의 하나로 특화하려는 업체들도 있다.

시큐아이닷컴 서맹수 이사는 "소스 코드 진단 툴을 돌린 결과값을 소프트웨어 개발자들이 실제로 반영해서 수정하지 못하기 때문에 소스 코드 작성 시 샘플을 제공한다든지 코딩 지침을 제시하려고 한다"며, "특히 금융 거래와 인증 부분에 집중해서 가이드라인을 제시할 계획"이라고 설명했다.

내부 통제 '금융권 중심으로 부각'
다음으로 내부 통제 관련 보안 컨설팅도 눈여겨 봐둘 이슈 중 하나다. 원래 내부 통제는 금융기관에서 요구되는 바젤2 협약 요건의 하나로 부각된 컴플라이언스(준법사항)에 대응하기 위한 방편으로 거론됐다. 하지만 최근 들어 금융권은 물론, 첨단 기술 문서의 유출 위험성이 있는 제조 기업에서도 내부 통제가 관심사로 떠오르고 있다.

지난해 에이쓰리와 시만텍이 공동으로 개최한 금융권 대상의 내부 통제를 주제로 한 세미나에 많은 관계자들이 참석해 지대한 관심을 보였다.

에이쓰리 방인구 전무는 "2004년 국내 첨단 제조 기업의 내부 정보유출 관련 통제 프로젝트를 한 건 수행했고, 지난해에는 카드사 한 곳을 비롯해 모두 2건의 관련 컨설팅을 수주한 바 있다"고 말했다.

에이쓰리가 지난해 수행한 카드사 프로젝트는 사베인-옥슬리 법안 중 '재무 안정성' 부분에서 금융 사고에 대한 유형별 시나리오를 마련해준 것.

방인구 전무는 "올해는 사베인-옥슬리 법안과 관련해 컨설팅이 나오고 있으며, 회계 컨설팅 회사들이 관련 전문가들을 구하고 있는 상황으로, 전망은 괜찮은 편"이라고 언급하면서 "회계 컨설팅의 일부로 내부 통제 컨설팅이 발주되는 경우가 많아 회계 컨설팅 업체들과의 공조 방안도 모색하고 있다"고 밝혔다.

위험관리도 서서히 떠오르고 있는 보안 컨설팅 이슈다. 흔히 '통합위험관리체계'나 '위험관리시스템', 혹은 '전산적위험관리'라는 이름으로 발주되고 있다. 지난해 국내 은행 두 곳에서 관련 프로젝트가 진행됐다.

방인구 전무는 "위험관리는 내부 보안팀의 수준을 제고한 뒤 발주될 수 있는 프로젝트로, 보안 체계가 고도화된 일부 대기업과 금융권을 중심으로 수요가 가시화될 것"이라고 전망했다.

보안 컨설팅 '영역 전문화·심화 현상' 대세
물론 앞서 언급한 세 가지 이슈들은 현재로선 모의해킹이나 정보보호시설진단 등 기존 수요처만큼 발주가 아주 빈번하거나 수요층이 두터운 건 아니다.

하지만 인프라 차원의 보안 구축을 완료한 기업들이 내부 정보 유출을 중심으로 한 내부 통제나 위험관리 등 조직 차원까지 보안이란 도구를 활용하려는 추세가 늘어나고 있음은 분명해 보인다.

최근 한국침해사고대응팀협의회(CONCERT)에서 기업 보안 실무자를 대상으로 실시한 설문 조사에서도 이 같은 사실이 확인됐다. 18개 운영위원사와 74개 정회원사를 대상으로 한 조사 결과, 조직 전반의 업무 프로세스에 대한 보안 통제를 적용하려는 움직임과 내부 정보 유출 방지책 수립이 '올해 기업 정보보호 7대 이슈'의 하나로 꼽혔다.

이밖에도 최근 급부상중인 엔터프라이즈 아키텍처(EA) 컨설팅을 마친 기업들을 중심으로 보안 아키텍처 컨설팅 수요도 점차 수면 위로 떠오르고 있다. 이런 일련의 흐름들을 통해 보안 컨설팅 시장이 좀더 전문화되고 그 요구 수준도 점차 심화될 것으로 전망된다. @