당신은 정보보호 관리체계라는 그물을 가지고 있는가?

컴퓨팅 파워를 지원하는 디바이스의 변화에 따라 보안도 적절하게 대응해야 하는데 가장 중요한 점은 그런 것을 관리할 수 있는 체계가 마련돼 있느냐 하는 것이다. 그물(보안 대책)을 쳐 놓으면 조직의 필요에 따라 통제가 가능하다. 필요한 것만 필터링이 가능하기 때문이다. 따라서 상시 그물을 쳐서 보안 위협을 걸러내야 하며 이는 관리 체계가 미리 마련돼 있어야 한다는 전제 하에 가능하다. 위험이 터지고 나서 던지는 그물은 이미 늦은 것이다.

최초의 컴퓨터 모습에서 현재에 모습까지 오는데 60여년이 걸렸다. 그 거대한 애니악 스타일부터 IBM PC와 애플의 멋지게 디자인된 PC까지 모든 가정에 PC가 보급되는데 대략 반세기가 조금 넘게 걸린 셈이다. 그 짧은 시간 동안 컴퓨터로 대변되는 기술의 발전은 인간의 세상에 커다란 변화를 가져왔고 그 변화의 중심에서 주목할 부분은 바로 크기의 획기적인 변화다. 초기 거대한 공장 사이즈의 컴퓨터에서 점점 작아지기 시작한 이후 현재는 노트북을 거쳐 모바일 디바이스까지. 그러한 변화의 방향은 사용자의 요구와 기술의 발전이 결합해서 가능한 일이다.

사용자의 끝없는 요구와 필요로 인해 모바일 폰을 ‘PC화’ 시키는 단계에 이르렀다고 볼 수 있다. 앞으로는 PC라는 명칭이 점점 줄어들고 MD(Mobile Device)라는 이름이 보편적인 단어로 사용되지 않을까 하는 상상도 해본다. 사람들은 컴퓨팅 파워를 자신의 몸과 마음에 더욱 밀착시켜 일체화 하고자 요구하고 있고 업체들은 그러한 요구에 대해 적극 반영해 수익을 얻으려 노력하고 있기 때문에 컴퓨팅파워를 제공하는 디바이스의 변화는 당연히 뒤따라 갈 것으로 기대된다.

이러한 변화는 정보보호 측면에서도 ‘효과적인 보안 적용’에 대해 요구를 하는 상황에 이르고 있다. 변화에 맞춰 회사나 조직의 보호해야 할 가치를 명확하게 식별하고 그에 대한 적절한 대안을 제시해 줄 필요가 발생하게 되는 것이다.

가장 주목받고 있는 SNS 서비스의 경우 ID만 알아도 해당 사용자의 정치적 성향이나 자주 가는 음식점, 인적 네트워크 관계 등 기존에는 ID와 패스워드를 모두 알아야 수집이 가능했던 정보들을 이제는 ID만 알아도 쉽게 수집할 수 있는 상황에 이르렀다. 특히 SNS 서비스 등은 모바일 디바이스의 컴퓨팅 파워와 빠른 네트워크 환경을 등에 업고 수집한 정보들에 대해 실시간 저장과 빠른 전파가 가능한 환경을 제공해 주고 있다. 이러한 모바일 디바이스의 막강한 환경을 활용해 내부의 중요 정보나 개인 정보를 보다 쉽게 유출할 수 있는 통로로 악용될 수 있는 부작용이 있는 것도 사실이다.

스마트폰에서 사진을 찍고 곧 바로 스마트폰에서 제공하는 이메일 어플을 통해 메일을 발송시키고 사진을 삭제한다면 회사 입장에서는 유출 위협에 대한 방어도 어렵고 사후 증거 확보도 기존에 비해 쉽지 않은 상황이 연출될 수 있다.

이러한 문제가 있다고 해서 스마트폰으로 대변되는 시대의 변화를 역행하면서까지 사용하지 못하도록 강제한다면 그것은 더 큰 손해의 원인으로 작용할 수도 있기 때문에 기업에서는 보다 효과적인 보안 대책을 수립해서 운영해야 할 고민에 빠지게 된다. 이에 대해 가장 먼저 할 수 있는 답변은 정보보호 관리체계를 수립하고 새로운 보안 이슈에 대해 관리가 될 수 있는 환경을 구축해 놓으라는 것이다. 관리될 수 있는 환경에서 새로운 디바이스의 출현과 그에 따른 보안 위협은 적절하게 통제될 수 있고 회사나 조직에 최소한의 영향을 미칠 수 있도록 관리될 수 있다.

그렇지 못하다면 어떤 식으로 위험에 노출될지 모르는 상황이 발생할 수 있으며 즉각적인 대응으로 피해를 최소화 하기 어려울 것이다. 이러한 상황은 경영적 관점에서도 당황스럽고 대응하기 쉽지 않은 이슈가 될 것이다. 또한 앞으로 모바일 디바이스의 형태는 사용자의 요구로 더욱 인간에 가깝게 다가올 것으로 예상되기 때문에 그로 인한 보안 위험은 현재보다 더욱 증가될 것이고 대응하는 방법도 까다로울 수 밖에 없을 것이다.

이에 대해 준비가 돼 있지 않다면 예상치 못한 위험이 발생해 사후 대응으로 에너지를 낭비하게 되고 장기적으로 회사의 지속 가능한 성장에 큰 장애물이 될 수 있다. 정보보호 관리체계라는 그물을 쳐놓고 위험을 컨트롤 하면서 걸러낼 것인가? 아니면 위험요소가 나타날 때마다 그물을 던질 것인가? 그물은 가지고 있는가? 어느 것이 빠르게 변화하는 ‘스마트한 세상’에서 지속가능한 성장에 도움이 될 수 있는지에 대해 적절한 방안을 고민해야 할 것이다.

<글 : 박나룡 보안전략연구소 소장(isssi@hanmail.net)>

[월간 정보보호21c 통권 제123호(info@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)