기업정보보호, 관리자의 보안의식 중요

< 기업 정보보호 추진전략 요약 >

시큐리티맵 임채호 대표는 “기업의 목표가 기업의 이익에 있다면 그 기업의 목표에 알맞은 정보보호 비전과 전략을 수립하는 것은 당연하다”며 “기업의 정보보호 수립방법은 관리적인 입장에서 정책방향을 수립한 후 요구되는 기업의 취약성과 위협을 파악하고, 보안관련 기술을 분석해 그 기업에 맞는 보안 정책을 개발해야 한다”고 밝혔다

또한 그는 “기업에 적용할 보안의 핵심구조를 정의한 다음에 보안 프로세스에 필요한 보안솔루션이나 제품을 도입해야 한다”며 “기업에서 정보보호 제품이 필요하다는 인식과 기업에 맞는 제품을 적절히 선택해야 한다”고 덧붙였다.

하지만 많은 기업이 정보보호에 대한 예산을 추가적으로 확보하고 있진 않을 뿐만 아니라 예산을 확보하고 있다고 하더라도 제로데이 공격에 의한 각종 악성코드 등위협에 신규 보안제품이 꾸준히 요구되며 이러한 제품 외에도 신규 인력, 교육 등 추가로 정보보호 예산이 필요하다는 어려운 점이 있다.

임채호 대표는 “가장 중요한 것은 정보보호제품이 해당 기관의 요구사항에 얼마나 유연하게 적용되고 담당자 및 관리자의 업무에 얼마나 도움이 될 것인가가 가장 중요하다”며 “업무 효율적인 제품을 구매하더라도 비용을 고려하지 않을 수 없지만 비용이 얼마나 소요되더라도 제대로 운영이 가능한 시스템을 구매하겠다는 관리자의 의지와 접근방법이 중요하다”고 강조했다.

< 정보보호솔루션 도입절차 >

◆제품도입 검토=어떤 솔루션을 도입할지를 결정

                                            < 제품도입 검토과정>

◆제품도입 점검=결정된 제품을 어떤 업체가 개발하고 공급할 수 있는지를 알아본다.

-스파이웨어 탐지 제거 : 탐지능력 확인, 신종 발견 및 제거 능력, 보안정책에 유연한지 여부 파악

-IPS: 비정상 행위 및 알려지지 않은 공격 탐지 능력, 정책 유연성 등 파악

-웹방화벽: 비정상 웹 공격 탐지 능력, 성능대비 동작 능력 등 파악

-트래픽 분석: 비정상 행위탐지 및 감시 능력, 분석 도움, 실시간 동작 등 파악

-패치관리: 패치 검증 능력, 패치 상황 표시, 위험 표시 가능 등 파악

-위협관리: 비정상 현상, 알려지지 않은 공격탐지 능력, 위협관리 프로세스 능력, 위협통계 및 영향력 분석등 파악

◆도입검증 및 보완=정보보호 솔루션을 구입하기 위해 RFP를 작성하고 입찰이나 구매 공고가 발표되면 관련 솔루션을 공급하는 업체들은 제안을 하게 된다.

                                     < 제안 업체 솔루션 평가 내용 >