Board

최근 국내 기업들이 해커의 무차별적인 사이버 공격과 랜섬웨어 공격에 몸살을 앓고 있다. 기업과 기관들이 그동안 정보보안 인력과 기술 등 투자를 ‘비용’으로 인식하며 소극적으로 대응한 탓이란 지적이 나온다. 정부 역시 제도 마련 등을 통해 정보보안 강화를 지원해야 한다는 주장이 설득력을 얻고 있다.

전문가들은 21일 “최근 사이버 공격 등을 통한 보안 사고는 100% 안전하게 차단하고 탐지한다는 것은 현실적으로 어렵다”며 기업 최고경영자(CEO)들이 관련 투자를 비용이 아닌 ‘생존 전략’으로 인식해야 한다고 입을 모았다.

이기혁 중앙대 융합보안학과 교수는 “많은 기업의 CEO가 보안을 ‘사고만 안 나면 된다’는 식으로 인식하는 것이 가장 큰 문제”라며 “보안이 단순한 ‘기술적 방어’ 영역을 넘어 ‘법률적 책임’의 영역으로 패러다임이 바뀌고 있는 근본적인 이유도 최고경영진의 안일한 마인드에서 비롯됐다”고 지적했다.

임지훈 고려대 정보보호대학원 연구교수는 “보안은 단순한 위험 회피가 아니라 기업의 장기적인 이익 추구와 존속 및 지속가능성을 지키는 핵심 요소”라며 “보안 관련 부서만의 문제가 아닌 전사적 과제로 인식하고 경영진이 직접 정보보호최고책임자(CISO)의 활동을 지원하고 의사 결정에 참여하는 거버넌스 체계의 재정비가 필요하다”고 주장했다.

조영철 한국정보보호산업협회(KISIA) 회장은 “해킹 사고는 한 번 발생하면 직접적인 금전 피해뿐 아니라 평판 손실과 주가 하락, 고객 이탈 등으로 이어져 기업의 존속 자체를 위협할 수 있다”며 “선진국 기업들이 보안을 리스크 관리의 핵심 투자로 인식하는 것 같이 단순히 사고 발생 후 대응하는 수준을 넘어 기획 단계부터 보안을 내재화해야 한다”고 강조했다.

그러면서 “시스템 설계와 인프라 구축, 데이터 관리, 인력 교육 등 모든 경영 과정에서 보안이 고려돼야 한다”며 “보안을 조직 문화로 정착시키며 예방 중심의 체계를 구축해야 한다”고 했다.

정부에서 관리하는 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)에 대해선 실효성 있는 효과를 내기 위한 제도 보완이 필요하다고 지적한다. 현재 과학기술정보통신부와 한국인터넷진흥원(KISA)이 관련 인증 제도에 대해 미흡한 점을 개선하기 위한 방안을 마련 중이다.

곽진 아주대 사이버보안학과 교수는 “관련 인증 제도는 설문조사와 같은 체크리스트와는 달리 위험관리 기반의 체계적인 점검과 검토, 검증 방식이 적용됐다”면서도 “추가적으로 상시 점검 체계와 랜섬웨어 격리 성공률, 복구 시간, 인증 우회시도 탐지 및 차단율 등 표본 측정 방식, 심사 전문성 및 독립성 강화, 침해 사고 신고 체계 일원화 등을 검토해 볼 수 있을 것”이라고 제언했다.

이에 대해 조 회장은 “정보보안 인증 제도를 유지·관리 중심의 체계로 전환하는 것이 필요하다”며 국제 대표 모델인 ‘ISO/IEC 27001’ 인증 도입을 제안했다. 조 회장은 “정기 갱신과 사후 심사를 통해 운영의 내실을 확보하며 위반 시 인증 취소까지 가능하도록 설계된 제도”라며 “한국도 이러한 체계를 벤치마킹해 단순한 통과 절차가 아니라 기업 보안 역량을 높이는 제도적 장치로 작동하도록 해야 한다”고 주장했다.

[관련출처: 디지털타임스]