[정보보안 08~09리뷰&전망]다음커뮤니케이션 박나룡 차장

“2008년은 제2의 인터넷 대란, 2009년은 규제준수 노력으로 몸살?”

2008년은 제2의 인터넷 대란의 해로 규정해도 좋을 만큼 다양한 곳에서 다양한 방법의 정보보호 이슈가 발생한 한 해였다.

2003년 1·25대란의 경우 인프라적인 측면에서 전산망의 마비로 인해 전 국민을 혼란에 빠뜨렸다면, 5년이 지난 2008년의 인터넷 대란은 개인정보 유출사고로 대변되는 정보 주체의 권리 침해라는 측면에서 국민들을 혼란에 빠트린 한 해였다고 생각된다.

이는, 정보보호 범위를 확대 시켜 기존의 기술적 보안이 중심이던 접근 방식에 법률과 비지니스 개념을 포함한 포괄적인 시각을 요구하게 한 계기가 되었다. 이런 점에서 2008년을 정보보호에 대한 '관점'을 획기적으로 변화시킨 해로 기억해도 좋을 듯하다.

그렇다면 2009년은 어떤 이슈들이 발생하고 이에 대한 대비를 하여야 할까?

가장 먼저 떠오르는 것이 법률 등 규제 강화에 따른 정보보호 활동의 폭이 넓어지고, 정보보호를 담당하고 있는 업무담당자들의 활동 분야도 넓어질 것으로 보인다.

또한 비지니스 분야에서는 개인정보 활용에 대한 비용과 시간의 증가로 수익성이 약화될 것으로 보이며 일반법이 입법화 될 경우 전 분야에 걸쳐 개인정보보호를 위한 컨설팅과 관련 솔루션의 수요가 늘어날 것으로 보인다.

조금 더 세분화해서 살펴보면 다음과 같다.

1. 개인정보보호 강화

포털은 비교적 젊은 연령층의 임직원과 자유로운 문화 등으로 자율 규제를 통한 문제 해결을 위해 나름대로 노력하고 있으나 강화되는 규제에 대한 대응을 위해서는 분명 적절한 프로세스의 구축과 통제가 추가될 수밖에 없다. 또 이로 인해 신규 서비스 개발의 적용 주기가 늘어나고 상당 부분 위축될 가능성이 있어서 업무 진행을 위한 시간적·비용적 리소스가 기존에 비해 추가 소요될 것으로 보인다.

간단한 개인정보 처리(수집, 이용, 저장, 폐기 등)에 대해서도 명확한 프로세스 수립이 필요해지고 책임성 강화로 인해 업무 담당자의 판단 폭이 좁아질 수 있어 적절한 판단을 할 수 있는 보안담당자나 보안 시스템의 요구가 더 많아 질 것으로 보인다.

또한, 개인정보보호법이 법제화 될 경우 기존에 법의 사각지대에 있던 조직도 법적 규제를 준수해야할 필요가 발생하고 국민들의 사회적 책임에 대한 요구가 증대됨에 따라 조직의 리스크 관리에 한 축으로서 정보보호의 중요성은 더욱 높아지고 KISA-ISMS와 ISO27001 등 관리체계에 대한 인증 활동도 활발해 질 것으로 보인다.

2. 정보보호 인력의 변화

법률, 규제의 강화로 인해 법률과 정보보호를 접목할 수 있는 사람이 높은 대우와 업무 성과를 낼 수 있게 될 것으로 보인다.

분야별 전문 인력으로서 충분한 능력을 갖춘 사람이 법률적 지식까지 갖춘다면 창과 방패를 모두 갖춘 사람이라고 볼 수 있을 것이다. 법률이라고 해서 꼭 관리적 담당이 해야 할 업무는 아니며 법무팀에서만 해야 할 업무도 아니다.

또한, 정보보호 규제 강화와 사회적 관심의 증대로 인해 보안 인력에 대한 수요가 늘어날 것으로 보이며 이에 대한 적절한 공급이 필요한 시점이라고 판단된다.

3. 새로운 도전 : 모바일 보안과 위치정보 보호

위피 의무화가 폐지됨에 따라 모바일 기기의 홍수가 예상되며 특히 휴대폰의 진화로 인한 강력한 공격도구로서의 위험성이 높아지고 위치정보보호를 위한 활동이 현재는 미미한 수준이지만, 모바일기기와의 결합(모바일기기+GPS)을 통해 위치기반 서비스가 늘어날 것이고 이로 인한 개인의 위치기반 프라이버시의 침해 가능성이 증가할 것으로 보인다. 추가적으로 모바일 기기를 통한 결재 방식의 안정성 문제도 다시 한번 점검을 해봐야 할 것으로 보인다.

4. 기술적 보안 체계의 변화

신규 보안 인프라의 도입보다는 내실을 다지는 한 해가 될 것으로 예상되며 대용량 인프라와 대량 고객으로 인해 쉽게 정리되지 못하고 있던 부분들에 대해 리스크 관점의 현황 파악과 모니터링을 통한 문제 인식 그리고 감사를 통한 프로세스 개선으로 ‘모니터링과 감사’를 중심으로 한 기술적 대응책을 적용할 것으로 예상한다.

결론적으로 비교적 민간분야에서 적극적으로 대응하던 정보보호 이슈가 공공과 민간, 의료분야를 포괄한 다양한 분야에서도 적극적인 대응을 해야 할 것으로 보여 정보보호인력들이 바쁜 한 해가 될 것으로 예상된다.

[글·다음커뮤니케이션 박나룡 차장 tree@daumcorp.com]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)