기업보안 활동을 위한 고민이 필요하다

강력한 보안통제 보단 보안문화 정착 필요

[보안뉴스= 윤병석 LG전자 산업보안파트장] 기업의 보안 Activity를 하기에 앞서 먼저 생각해 볼 것이 있다. 완벽한 보안이란 가능할까? 오랜 전 세계적 해킹전문가의 강연을 들은 적이 있다. 그는 완벽한 보안 시스템을 구축해야 한다고 역설했다.

완벽하지 않은 보안은 뚫리게 돼 있다. 최근 부동산협회 거래정보 약 600만 건의 해킹 가능성 보도를 보면 안타까움을 금할 수 없다.

과거 농협의 서버가 뚫릴 때도 그러하지 않았는가? 평소 낮은 보안관리 수준으로 인해 한순간에 모든 정보를 Copy 당하는 어이없는 사건들이 계속되고 있다. 그리고 더 안타까운 사실은 완벽한 보안 이전에 기본적인 보안도 안하는 경우가 더 많다는 것이다.

보호대상이 없어서 보안을 안 한다는 수많은 기업이 우리 주변에 많다. 아직도 많은 기업들은 보안의 필요성을 느끼지 않고 있으며, 보안에 대한 투자를 아끼고 있다. 물론, 기업을 운영하는 입장에서 돈의 집행이 매우 어려운 점이라는 것은 분명하며, 가능한 집행을 줄이려는 노력을 하는 것은 십분 이해가 간다. 그러나 환경이 바뀌고 있다. 물리적, 법적, 기술적으로 충분한 보호 장치가 없다면 회사의 사소한 그 무엇이라도 도용되거나 훼손되는 것을 허용해 주는 것이다.

바뀌고 있는 법적 환경은 어떠한가? 법을 모르는 상태에서의 경영은 불가능하다. 세법부터 시작해 각종 규제와 혜택을 알고 있어야 한다. 또한, 특허에 대한 이해도 필수적이다. 특허등록을 하지 않아 복제를 방어하지 못한 회사들은 수두룩하다. 법의 환경이 바뀌고 있다. 노동법도 알아야 하며, 개인정보보호법, 영업비밀보호법도 알아야 한다. 모르면 당하게 돼 있다. 법을 모르고는 선의의 기업 활동을 하더라도 법을 위반할 수 있으며, 법적 손해를 양산할 수 있다.

그렇다면 어떻게 보안을 해야 할까? 보안 Activity를 하기 전에 어떻게 보안을 할 것인지 고민해야 한다. 모든 기업이 완벽한 보안은 아니지만 나름의 보안을 고민하거나 Activity를 하고 있다. 그러나 체계적이지 않으면 안된다. 이는 물리적, 법적, 기술적 보안을 포함한다.

그러나 무엇보다도 오너가 가져야 할 관점은 전체적 보안에 대한 그림이다. 한국은 전반적으로 강력한 통제에 기반한 보안 시스템을 선호하지만 이러한 선호는 기업문화를 고려한 충분한 검토 후에 나온 산물이 아니다. 사고를 경험한 기업의 사례를 참고해 강력한 보안·통제 시스템을 도입하고 있는 것뿐이다. 단기간에 보안 시스템을 구축하는 데는 매우 효과적이지만 장기적으로도 그렇지 않다.

한국의 보안 스타일은 아직은 일률적이다. 또한 강력하다. 강함은 부드러움만 못할 수 있다. 임직원이 이해할 수 있고 수용할 수 있으며, 함께 고민해서 만드는 보안문화 만들기를 제언해 본다. 중요한 것은 강력한 보안통제가 아니라, 기업문화에 적절한 보안 Activity를 만드는 것이다. 아쉽게도 한국은 아직 다양하지 못하다. 5년 후에는 기업의 경영철학과 조직문화에 어울리는 보안 스타일을 만들어가고 있기를 기대해본다.

[글_ 윤병석 LG전자 산업보안파트장(bs.yune@lge.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)