[지디넷코리아]나날이 발전하는 IT기술력은 현대사회를 살아가는 모든 사람들에게 편의를 제공한다. 업무를 처리할 수 있는 공간도 정해진 사무실만이 아니라 네트워크가 구축된 모든 공간으로 넓어졌다.

이러한 편의를 누리기 위해서 사용자들이 감수해야 할 부분도 있다. 다양한 소프트웨어를 사용하기 위해 더 많은 매뉴얼을 숙지해야 하고, 확장된 네트워크만큼 엄격한 보안정책도 따라야 한다.

기업 입장에서도 외부 위협에 대한 방어와 내부정보 유출 방지에 많은 시간과 비용을 할애하고 있다. 자산과 데이터를 지켜주는 각종 소프트웨어와 보안장비를 도입하고, 기업 내 네트워크 관리를 위해 별도의 팀을 구성하는 등 투자를 아끼지 않고 있다.

이러한 측면에서 오늘날의 IT기술은 네트워크와 소프트웨어의 취약점을 찾아내려는 공격자와, 보안을 위협하는 주체들로부터 기업을 지키려는 방어자간의, 치열한 연구 실험 경쟁을 통해 발전해 가고 있다고 해도 과언이 아니다.

그러나 보안장비나 솔루션에 투자할 여력이 부족한 많은 중소기업들은 각종 위협에 무방비로 노출된 경우가 적지 않다. 허술한 보안 관리로 인해 내외부 공격으로부터 많은 정보를 유출 당하고 있는 것이다.

국가정보원의 지난 해 9월 자료에 따르면 기술유출 적발은 연도별로 계속 증가하고 있으며 이 중 중소기업의 비율이 60%를 넘어선 것으로 나타났다. 또 중소기업청의 2007년 자료에서는 중소기업의 17.8%가 최근 3년간 기밀 유출로 인해 피해를 입은 적이 있으며, 이 중 52.6%는 2회 이상 기밀 유출을 경험한 것으로 나타났다.

아울러 산업기밀 유출에 대해 대내외적으로 안전하다고 느끼는 중소기업은 응답기업의 8.7%에 불과했고, 반면 39.7%는 산업기밀 유출에 대한 위협 정도가 심하다고 응답했으며, 51.6%는 보통 수준이라고 답했다.

실제로 보안의 사각지대에 놓여있는 중소기업들은 대기업에 비해 상대적으로 많은 취약점을 가지고 있다. 중소기업청의 사례 보고를 살펴보면, 퇴직 사원이나 협력업체 직원 등이 이메일이나 외부저장장치로 간단히 기업의 핵심기술을 빼내 경쟁업체에 넘기거나, 새로 회사를 설립하여 버젓이 제품을 생산하는 사례도 빈번하다.

이처럼 내부자를 통한 기밀유출이 빈번해지고 피해액도 커지고 있어, 영세한 중소기업들은 단 한 번의 유출로 기업의 존폐여부가 결정될 수도 있는 실정이다. 따라서 중소기업은 통합 내부정보 유출 방지 솔루션이나 보안장비를 이용해 위협을 줄이는 것이 바람직하다.

보안 관리자는 USB를 비롯한 외부저장장치에 대한 통제, 메일을 통한 정보 유출이나 외부인의 네트워크 접근 통제, 메신저 차단, 신종 바이러스 등의 위험성 공지, 로그인 통제 등의 보안 정책을 수립하여, 면밀히 검토 후 보안 솔루션에 적용해야 한다.

통합 내부정보 유출 방지 솔루션이나 보안장비의 도움을 받을 수 없을 경우 보안 관리자가 수행해야 할 최소한의 역할이 있다.

먼저 보호가 필요한 자원에 대한 리스트를 작성해야 한다. 허브, 스위치, 모뎀, PC, 프린터, 외부저장장치 등 모든 하드웨어와 각종 소프트웨어에 대한 리스트는 물론, 경우에 따라 사람도 포함된다.

리스트 작성이 끝나면 리스트에 있는 모든 자산에 접근 가능한 권한을 부여한다. 권한을 가진 자만이 하드웨어나 소프트웨어를 통제할 수 있고, 비권한자는 자산접근에 제한을 둔다. 또한 하드웨어는 물리적으로 별도 분리된 공간에 배치하고 담당자를 별도로 배정하여 관리하며, 제한된 자원에 접근할 때는 모든 직원을 통제 하에 두고 접근기록을 보관한다.

보안 솔루션의 유무와 관계 없이 보안 관리자의 중요한 역할 중 하나로 보안 교육도 빠뜨릴 수 없다. 네트워크 내 모든 사용자들을 대상으로 주기적이고 체계화된 교육을 실시하여 보안의 필요성을 자연스럽게 인식시켜야 한다. 단순히 백신 설치와 보안패치 같은 기본 사항을 교육하는 데 그치지 않고, 교육의 효과를 분석해 좀더 전문화된 방향으로 발전할 수 있도록 교육의 질을 높이는 것도 중요하다.

또한 내부 직원들의 적절한 직무분리와 순환을 통해 한 사람이 담당하는 전적이거나 고유한 업무가 없도록 해야 한다. 직원이 퇴사 시에는 사용하던 모든 계정과 비밀번호를 변경하고 사용하던 출입카드나 회사 자산을 반납 받는 것은 물론, 퇴사와 관련된 예우를 갖추어 만일의 불상사가 생길 확률을 줄여야 한다.

항상 공격자는 방어자보다 우위를 점하고 있으므로 방어자 입장에 있는 보안 관리자들은 많은 취약점에 대비하고 있어야 한다. 100% 완벽한 보안은 없기에 보안관리자는 아무리 노력해도 취약점을 100% 막을 순 없다. 그렇다고 본연의 업무를 소홀히 할 수도 없는 노릇이니 보안 관리자 역할은 매우 중요하다 할 수 있다.

끝나지 않는 창과 방패의 싸움인줄 알면서도 보안 관리자는 오늘도 서버실 구석에서 야식으로 컵라면을 먹고 있을 것이다. @