보안정책·업무 순위, 어떻게 정해야 하나?

계층분석과정 통해 중요도 산출...사전 관리적 보호가 최우선

[보안뉴스 김경애] 기업은 핵심 정보 및 자산 보호를 위해 보안정책을 수립하고, 보안조직도 구성하는 등의 보안체계를 체계적으로 수립해야 한다.

그러나 기업 입장에서 여러 보안 요소 중 어떤 측면에 가중치를 두고, 우선순위를 정해야 할지 결정하기 쉽지 않다. 그렇다면 어떻게 해야 각 기업이 가장 중요하게 생각하는 보안요소를 선정할 수 있을까?

이와 관련 서울과학종합대학원의 채정우 겸임교수는 산업보안관리 통제 프레임워크를 바탕으로 ‘산업보안 관리활동의 실행 우선순위’를 결정하기 위한 계층분석과정(AHP: Analytic Hierarchy Process)을 제시했다.

계층분석과정은 다기준의사결정(multi-criteria decision making) 기법 중의 하나로 주어진 대안의 가치를 일관성 있게 판단해 중요도나 가중치를 산출하는 것을 의미한다.

특히, 계량화가 곤란하거나 불명확한 상황에서의 의사결정방법으로 활용할 수 있다. 복잡한 문제를 주요인과 세부요인으로 나눠 계층구조를 만들고, 각 요소간 두개의 대안을 서로 비교해 상대적으로 어느 것이 더 중요한지를 평가하는 쌍대비교(pairwisecomparison) 과정을 통해 선호도나 중요도를 판단하도록 함으로써 의사결정자에게 선택과정과 결과에 신뢰를 갖도록 하는 것이다.

AHP 기법은 총9개 척도인 △극단적으로 중요(extreme importance) △극단적으로-아주 매우 중요의 중간치 △아주 매우 중요(very strong importance) △아주 매우-상당히 중요의 중간치 △상당히 중요(strong importance) △상당히-약간 중요의 중간치 △약간 중요(moderate importance) △약간-동등하게 중요의 중간치 △동등하게 중요(equal importance)로 기준을 나눠 중요도를 판단한다.

▲조직·제도 수준의 우선순위 결정을 위한 계층구조

이와 관련 채정우 교수는 ‘산업보안 관리체계의 전략적 우선순위 결정에 대한 연구’에서 조직·제도 수준의 산업보안 관리요소들을 대상으로 AHP 방식의 설문조사를 실시했다고 밝혔다.

대학교수, 기업의 산업보안관리자, 보안 컨설턴트, 산업보안관련 석·박사과정 및 재학생과 학위 취득자 등 산업보안전문가들을 설문대상으로 했으며, 그 결과 사전 관리적 보호, 가상·물리 업무 공간 보호, 사후 대응적 보호 등의 순으로 나타난 것으로 분석됐다.

이와 관련 채정우 교수는 “가중치 산출 결과 사전 관리적 보호항목이 0.659로 비슷한 가중치를 보인 나머지 2개 항목보다 약 4배 정도의 압도적인 중요도를 갖는 것으로 평가됐다”며, “산업보안전문가들은 조직차원의 산업기밀 관리제도와 정책을 수립해 시행하는 것을 침해사고나 비상상황 발생 후의 대처활동이나 온오프라인상의 업무공간 보호보다 더 중요하게 인식하고 있음을 보여주는 것”이라고 밝혔다.

이 가운데 사전 관리적 보호 구성요소는 △산업보안정책 수립 △산업보안조직 구성 △산업기밀자산 관리 △인적자원 관리 △준거성(Compliance) 및 계약관리 순으로 중요도가 나타났다.

이와 관련 채정우 교수는 “이는 산업보안정책이 산업기밀 보호와 관련한 조직의 최상위 규정이자 그 파급효과가 전체 영역에 미치므로 가장 중요하게 생각한 것”이라며 “관련 법제가 산업기밀 보호를 강화하는 방향으로 지속적으로 정비되고 있고, 각종 기술계약 체결 시 단계별 보안조치가 중요하다고 인지하고 있기 때문”이라고 밝혔다. 반면, 준거성 및 계약관리가 상대적으로 낮은 평가를 받은 것에 대해서는 전문가들의 관련 경험상 체감도가 낮은 데 기인한 것이라고 덧붙였다.

사후 관리적 보호 구성요소는 △업무연속성(BCP)관리 △산업보안사고 관리 △보안감사 순으로 중요도가 나타났다.

이는 산업보안전문가들이 산업기밀 침해사고나 각종 재해 발생에 대비하기 위한 절차 및 계획을 수립하는 것을 중요하게 여기고, 업무 가용성이나 고객 서비스의 지속성 보장을 통해 대내외적 신뢰와 안정을 확보하는 것을 중요시한 결과로 풀이된다. ‘보안감사’는 나머지 두 항목보다 사후 통제 성격이 강한 것으로 인식돼 심리적 저항감으로 인해 평가자들이 중요도를 상대적으로 낮게 평가한 것으로 보인다.

가상·물리 업무공간 보호에는 △ICT 서비스 사용관리 △ICT 시스템 및 통신망 접근통제 △물리·환경적 보안 순으로 중요도가 나타났다. ICT 서비스와 이를 제공하는 정보 시스템, 정보통신망은 가상 업무공간의 산업기밀 생성과 유통, 활용의 기반이 되므로 동등하게 중요한 보안관리요소로 평가됐다.

이와 관련 채정우 교수는 “중요도가 상대적으로 높게 평가된 사전 관리적 보호 구성요소들을 산업보안관리의 필요최소한의 기준선(baseline)으로 삼아 기본적인 보안수준을 확보하고, 순차적으로 관리요소들을 제도화하여 정착시켜 나가는 전략을 구사하는 것이 바람직하다”고 설명했다.

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)