[지디넷코리아]내부 보안이 화두다. 보안 시스템이 갈수록 첨단화되고 다단계로 구축됨에 따라 외부 침입이 아닌 내부 유출로 눈길을 돌린 탓이다. 문제는 내부 보안 체계를 세우는 게 결코 녹록치 않다는 점이다. 내부 보안 체계를 수립하는 과정에서 반드시 짚어야 할 사항들을 살펴본다.

기업의 보안 실무자 협의체인 사단법인 한국침해사고대응팀협의회(CONCERT)에서 올해 초 회원사를 대상으로 '2006년 기업 정보보호 7대 이슈'를 설문 조사했다. 그 결과, 올해 7대 이슈의 하나로 '내부 정보보안'이 선정됐다.

뒤이어 IBM도 전 세계 보안 전문가 3000여 명을 대상으로 지난해 보안 이슈와 올해 동향을 조사한 'IBM 글로벌 비즈니스 보안 인덱스 보고서'를 2월 중순께 발표했다. IBM 역시 올해 정보보안 트렌드를 대표하는 5가지 핵심 키워드의 하나로 '내부자 보안 문제'를 꼽았다.

내부 보안 '갈수록 심각'
내부 보안이 연초부터 각종 보안 이슈 가운데 초미의 관심사로 떠오른 것이다. 심지어 '기업 정보보호에서 이제 외부 침입은 문제가 아니다'고 단정하는 보안 실무자들도 있다. 이처럼 내부 보안이 급부상하고 있는 배경은 무엇일까.

내부 보안 사고의 표적은 대개 금융기관이나 첨단 기술을 개발하는 기업에 국한된다. 그런데 상당수 이런 기업들은 이미 일정 수준 이상으로 정보보안에 투자를 끝마친 상태다. 특히 외부 침입에 대비한 물리적, 시스템적 보안 투자가 이제까지 주를 이루었다.

이에 따라 정보보안 사범들은 네트워크를 통한 외부 침입을 실시하는 데 시간을 허비하는 대신, 기업 내부에서 보안 공격을 감행할 직원들을 설득하거나 이용할 방법을 찾는 데 집중할 것이다. 결국 내부 보안 사고는 기업 내부 직원과 연계돼 발생할 가능성이 높다는 판단에서 대두된 것이다.

실제로 내부자 보안 유출이 전체 기업 보안 사고의 70~80%를 웃돌고 있다는 건 공공연한 비밀이다. 더욱이 요즘처럼 글로벌 경제 시대에 기업의 내부 보안은 더욱 큰 도전에 직면해 있다. 조직의 글로벌화, 잇따른 인수합병이나 잦은 구조조정 등으로 인해 내부 인력들에 대한 보안 교육과 관리가 더욱 어려워지고 있기 때문이다.

내부 보안은 아무리 강조해도 지나치지 않다. 하지만 적잖은 IT 관리자들이 내부 보안에 대한 대책을 어떻게 세울지 몰라 고심하는 있는 게 현실이다. 기업들이 자사 내부 보안 체계를 공개하길 꺼린 나머지 참조할 만한 자료가 턱없이 부족해서다.

이에 영국표준협회(BSI)로부터 정보보호관리체계 국제표준인 'BS7799' 인증을 획득한 국내 상위 3대 생명보험사 보안 실무자들의 경험담과 노하우를 들어보았다.

내부 보안 체계 구축은 4가지 주요 이슈를 통해 이뤄진다. 보안할 대상 선정, 외부 유출 경로 파악, 솔루션 도입과 관리, 그리고 내부 직원의 보안 교육이 그것이다. 특히 이 중에서도 내부 보안 체계를 세울 때 가장 어려운 점으로 3명의 보안 실무자 모두 보호할 대상 선정과 보안 교육을 꼽았다.

보호할 정보·시스템 선정 기준 '애매모호'
먼저 보안할 대상을 선정하는 작업이다. 첫 단추를 잘 꿰는 게 제일 중요하듯, 내부 보안의 첫 단계는 보호할 대상, 즉 정보와 시스템을 정하는 것이다. 모든 정보와 자산을 똑같은 관심을 두고 보호할 순 없다. 따라서 정보와 자산의 중요도를 평가해야 한다. 중요도가 높은 정보와 이를 담은 시스템이나 네트워크를 집중해서 보호하기 위해서다.

문제는 정보의 중요도를 객관적으로 평가한다는 게 쉽지 않다는 점이다. 중요도를 판단하는 기준을 잡기가 애매모호해서다. 같은 정보에 대해서도 내부 직원마다 중요도를 달리 평가할 수 있기 때문이다.

흔히 중요도 평가 방식으로 정량적 방법이 쓰인다. 숫자만큼 확연히 구분되는 기준이 없어서다. 예를 들어 보안 시스템의 평가 기준은 무결성, 가용성, 기밀성 3가지다. 각 요소마다 중요도에 따라 1~5점을 주면 보안상 가장 중요한 시스템은 만점인 15점짜리일 것이다. 하지만 현실은 이와 다르다.

한 생보사 보안 실무자는 "정량적 방법은 현실상 쉽지 않다. 이를 통해 나올 수 있는 결과물이 별로 없어서다. 정량적 방법이 정확히 반영되려면 그 기준(기반)이 되는 관리회계시스템을 제대로 갖춰놔야 하는데, 이 시스템을 정확하게 구축해놓은 기업들이 거의 없을 것이기 때문"이라며 국내 기업들의 실태를 꼬집었다.

안타깝게도 정확한 관리회계시스템 구축은 하루 아침에 이뤄질 수 없다. 국내 기업들의 경영정보시스템 역사가 짧아서기도 하지만, 그만큼 업무와 밀착해 상세하게 데이터를 쌓고 관리해오지 않은 탓이 크다.

따라서 한 생보사는 정량적 방법과 정성적 방법에서 나온 각각의 평가 결과를 상호 체크해 합산해 최종 결과값을 산출해냈다.

현업 담당자, 평가 기준의 '큰손'
물론 이럴 경우, 현업 담당자로서는 본인이 관여하는 정보나 시스템에 중요성을 높게 둘 가능성이 크다. 이에 대해 대한생명 정보기획팀 이만재 과장은 "비록 현업 담당자의 평가가 주관적일지라도 보안상 중요도가 높은 정보나 시스템들은 결국 우선순위에 오르게 된다"고 말했다.

그렇다고 현업 담당자의 의견을 간과할 수도 없다. 이와 관련, 교보생명 IT 전략팀 보안 담당자인 이금홍 과장은 "정보를 업무상 직접 다루는 현업 담담자만큼 그 정보를 잘 아는 사람은 없기 때문"이라면서도 "다만, 보호할 중요 정보의 범위를 정해주는 건 보안팀의 몫"이라고 지적했다.

삼성생명 정보전략팀 김희재 과장도 "BS7799를 준비하면서 중요도의 평가 기준을 먼저 현업 담당자가 의사결정한 다음에 그 팀의 부서장이 또 다시 평가한 뒤 보안 책임 부서한테 통보해주는 식으로 해결했다"고 말했다.

결국 3사 생보사의 보안 실무자들은 중요도에 따라 정보와 자산의 우선순위를 매기는 주체는 관련된 현업 담당자일 수밖에 없다는 데 입을 모았다.

대한생명 정보기획팀 이만재 과장은 "굳이 위험평가방법론을 너무 세세하게 적용할 필요는 없다. 인증을 취득한 후에 알았지만, 본말이 전도돼선 안 된다. 복잡한 방법론에 매몰된 나머지 중요도에 따른 우선순위를 보여주는 게 본래의 취지임을 잊어서는 안 된다"고 힘주어 말했다.

데이터 연관성에 '주목'
데이터의 연관성에도 관심을 둬야 한다는 얘기가 나왔다. 시스템 간의 데이터 흐름이나 연관성을 정확히 파악해서 중요도를 평가해야 한다는 말이다.

이와 관련, 삼성생명 김희재 과장은 "대다수 기업들이 데이터의 연관성을 고려하지 않는 경향이 있다"면서 "그럴 경우 가용성이나 무결성에 문제가 생긴다. 현업 입장에서는 중요도가 높게 매겨진 일부 시스템만 살려놔봤자 전체 업무가 돌아가는 건 아니므로 아무런 의미가 없게 된다"고 지적했다.

개별 시스템으론 별로 중요치 않지만, 전체 업무 운영상 꼭 필요한 시스템이 그런 경우다. 따라서 중요도가 높은 시스템은 물론이고, 전반적인 업무 운영상의 관점에서 정보와 시스템을 바라봐야 한다고 보안 실무자들은 권한다.

이밖에 비정형화된 정보도 내부 보안 관리 안으로 울타리를 쳐야 한다는 목소리도 나왔다. 예컨대 임원회의에서 논의됐던 얘기들이 그것이다. 임원회의란 기업의 중대한 의사결정과 관련된 만큼 회의에서 나온 말들도 통제해야 한다는 것이다.

교보생명 이금홍 과장은 "대다수 기업들은 정형화된 정보를 등급별로 구분해 통제할 뿐이지, 비정형화된 정보에 대해선 무심한 편"이라며 "이제부터는 비정형화된 정보라도 기업 경영에 미치는 영향력을 고려해 통제 대상으로 삼아야 한다"고 지적했다.

내부자 소행 앞에 '보안 시스템도 무용지물'
보호할 정보와 시스템을 중요도에 따라 평가, 구분한 기업은 외부 유출 경로를 파악해 그에 따른 각각의 솔루션들을 도입할 것이다. 물리적, 운영상, 채널 등 갖가지 통제를 통해 나름대로 철두철미한 보안 체계를 갖췄다고 하자.

이런 물샐 틈 없는 첨단 보안 시스템을 구축해놨음에도 여전히 보안 사고는 여기저기서 터지고 있다. 장본인은 바로 솔루션으로 통제할 수 없는 유일한 대상, 즉 사람 때문이다.

'열 사람이 도둑 하나 못 당한다'는 속담처럼, 내부자 소행 앞에 첨단 보안 시스템은 한낱 기계에 불과하다. 보안 실무자들은 그래서 한결같이 내부 보안의 처음과 끝은 바로 '사람의 통제'라고 단언한다.

내부 보안 열쇠는 '지속적인 보안 교육'
교보생명 이금홍 과장은 "보안 시스템 구축은 최소한의 방편일 뿐"이라며 "사람을 믿든 안 믿든, 내부 보안의 궁극적 해법은 결국 끊임없는 교육을 통해 보안 의식을 고취하는 길밖에 없다"고 확언했다.

요즘 기업들이 윤리경영을 강조하고 있다. 기업의 사회적 윤리뿐 아니라 내부 직원들의 직업 윤리까지 끌어올려야 한다는 것이다. 하지만 사람의 마음을 통제한다는 게 어찌 쉬운 일이겠는가. 돈 앞에 무릎을 꿇는 게 사람의 마음이 아니던가.

한 생보사 보안 담당자는 "보안 실무자로서 이제는 임직원들의 보안 의식이 높아질 것이라고 기대조차 하지 않는다"면서 "그들은 보안이 중요하다는 것만 알면 될 뿐, 그 방법에 대해선 몰라도 된다"고 털어놓았다.

그는 이어 "나이든 임직원들한테 복잡한 보안 시스템을 다루라고 해선 안 된다"면서 "시스템 자체가 최대한 자동으로 안전하게 운영될 수 있도록 구축해 현업 사용자들이 업무상 보안에 덜 신경쓰도록 해야 한다"고 덧붙였다.

심지어 직원들의 경각심을 불러일으키려고 '일벌백계론'을 실시하는 기업도 있으며, 현재 기업들의 보안 교육에 문제가 있다는 비판의 소리도 많다. 교육이란 꾸준히 해야 효과가 있는 법인데, 즉흥적이고 형식적으로 이뤄지고 있다는 지적이다.

보안 교육 '인사고가 반영' 대세
이에 따라 상당수 기업들이 보안 교육을 필수 과목으로 지정함은 물론, 인사평가에 영향을 미치도록 반영하는 쪽으로 움직이고 있다.

교보생명 이금홍 과장은 "보안 교육에 가장 중점을 두고 있으며, 올해 사업 계획에도 들어가 있다"며 "회사 필수 교과목으로 지정해 승진이나 승급에 반영하도록 할 계획"이라고 답했다.

BS7799의 업그레이드된 국제표준인 ISO27001 인증을 국내 최초로 따낸 대한생명도 보안 교육을 통해 직원들의 보안 의식이 높아졌다고 한다.

대한생명 이만재 과장은 "임직원 모두 20시간 온라인 보안 교육은 필수 과목이다. 보안 교육이 인사고가에 직접 연관돼 있지는 않지만, 간접적으로 영향을 미친다"며 "더불어 오프라인 교육과 병행하고 있다"고 말했다. @