[기업보안이야기⑦] Security의 개념과 관점

“Security, 평소의 교육·훈련·연습 매우 중요해”

거시적인 관점에서 사회의 Security 사안들 바라봐야

[보안뉴스=백봉원 ASIS International Korea Seoul 사무총장] 올해 초부터 카드사의 정보유출에 이어 해킹으로 인한 통신사의 정보 유출, 그리고 보험사의 개인정보 유출 사건 등 전 국민이 피해자가 되는 연이은 정보유출 사건들이 연이어 발생했다.

소위 IT 강국이라는 이름이 무색한 허술한 보안관리 시스템 뿐만 아니라 ‘국민들에게 책임이 있다’고 무책임한 발언을 한 장관의 보안의식 결여로 지탄을 받기도 했다.

그런데 사건이 발생한지 얼마 지나지 않은 시점임에도 불구하고 최근 많은 정보유출 사건이 계속 발생하고 있다. 그러나 ‘이미 개인정보가 다 빠져나가서 더 이상 털릴 것이 없다’라고 생각하는 것인지, 더 이상 인출될 자금이 없을 정도로 경제적인 어려움(?)이 있어서 그런 것인지 벌써부터 개인정보 유출사건에 대해 국민들의 의식이 무감각으로 변해 버린 것은 아닐까 하는 우려가 커지고 있다.

사건 사고가 터지면 며칠 동안 난리법석이었다가 얼마 못가 잠잠해지는 우리의 냄비근성에 대한 비판적인 목소리가 적지 않은 이유이기도 하다.

정보유출 사건이 터지고 난 후, 정부부처 및 기관에서 정보보안 관련법의 개정 및 시스템 보완 등 사고에 대비한 예방책들이 추진하는 것은 환영할만한 일이다. 그러나 다른 한편으로는 근시안적이고 편향적인 문제접근 방식으로 아쉬움도 크게 남는다.

최근 사건들의 원인을 보안(Security) 관점에서 살펴보면, 내부 보안 시스템에 근본적인 문제가 있어 해커가 쉽게 접근해 정보를 빼간 K통신사 사건을 제외하고 대부분의 사건은 개인의 금전적인 이익을 위해 정보를 팔아버린 내부직원의 비리문제로 볼 수 있다.

즉, 사건은 특정 회사의 취약한 보안 시스템도 문제이지만 그 상위의 관점인 ‘Security Concept의 결여’라는 차원에서 바라볼 필요가 있다는 것이다. 이는 통계적으로 정보유출의 약 85%가 내부직원의 소행이라고 발표한 국가기관 자료에도 잘 나타나 있다.

해당 범죄자가 불과 2,000여만원과 매월 200만원이라는 금전적 유혹에 빠져 옳고 그름의 판단 없이 정보를 훔쳐 판매하는 행위를 서슴없이 저지른 것이다. 또 ‘돈을 벌기 위해 수단과 방법을 가리지 않는다’는 비윤리적 의식이 이런 비리의 관습으로 이어지는 것이다. 이는 ‘후진국적 사고방식이 사회적 저변에 자리하고 있다’는 시각으로 바라봐야 한다는 얘기다.

비단 정보유출 사건뿐만 아니라 원자력발전소의 불량부품 사건, 건설사의 불량자재 사용으로 건물이 무너져 생명을 앗아간 사건 등 많은 사건이 이런 비도덕적 비리사건과 연관되어 발생한 후진국형 인재인 셈이다. 특히, 사회지도층과 기업의 총수라는 사람들이 솔선수범(?)하여 비리를 만들고 생산하는 분위기에 편승된 보편화된 의식은 반드시 개선되어야 할 사항이다.

이런 부분들이 기업 윤리(Business Ethic)와 관련해 바라보는 Security 차원의 관점이라고 할 수 있다. 임직원들에 대해 꾸준히 교육하고 홍보해 범죄발생을 최대한 억제토록 하는 사고예방 노력이 필요한 것이다. 그리고 이를 위해서는 무엇보다 가장 중요한 부분은 CEO의 역할이라고 앞서 언급한 바 있다.

지난해 남성연대 대표가 마포대교에서 한강으로 투신해 사망한 사건이 있었다. 한강 투신을 감행하기 바로 직전 투신 현장에 있었던 기자 등 방관자들이 말리지 않고 사진을 찍으며 지켜봤다는 것으로 논란에 휩싸이기도 했다.

하지만 투신 전 그 자신의 트위터 계정을 통해 ‘투신해도 헤엄을 쳐서 나오겠다’라고 언급한 점과 ‘여러 사람이 지켜보고 있으니 물에 빠지더라도 구해주겠지’라는 생각을 가졌던 것으로 볼 때 보호장구나 안전장치도 없이 퍼포먼스를 벌이다가 발생된 사고로 추정된다. 그러나 여기서 간과해서는 안 될 사항이 있었다. 바로 ‘Security 인식(Concept)’이 결여된 점이다.

약 15m의 높이에서 추락해 강물에 빠졌을 때의 장기 충격 문제, 여름철 장맛비로 인해 한강물이 불어나 유속이 증가하고 흙탕물로 변색되어 구조에 어려움이 있을 수 있다는 점, 심장에 쇼크가 올 수 있다는 점, 그리고 물살이 빠른 6m 깊이에 빠지게 되면 호흡을 참았다가 깊은 숨을 들이쉴 때 생각보다 시간이 길어져서 페에 급속히 물이 차 익사할 수 있다는 점 등을 간과했다는 것이다. 바로 Risk 예방의식에 대한 무지(無知)였던 것이다.

전 회사 재직시절에 어느 정비사업소에서 있었던 사건을 소개하고자 한다. 정비사업소의 외주사업자 직원인 A 씨는 사업소로부터 계약해지를 통보 받은 것에 불만을 품고 교육받고 있는 교육장에 휘발유통을 들고 들어와 출입구에서 본인의 몸에 휘발유를 끼얹고 라이터로 불을 붙여 순식간에 화재가 발생한 적이 있었다. 그 사건으로 A 씨는 사망하고 직원 28명 중 22명이 부상을 입었으며 상당한 물적 피해를 입었다.

사건을 조사하는 과정에서 휘발유통을 들고 들어왔는데도 보안근무자는 평소에 안면이 있다는 이유로 소지품을 확인하지 않고 출입시켰고, 화재가 발생했는데도 비상벨이 울리지 않은 점 등 예방과 대처에 많은 문제가 있었던 사건이었다.

다행히도 3층 높이의 교육장 입구에서 화재가 발생했음에도 불구하고 그나마 다른 희생자가 발생하지 않았던 이유는 신속히 창문을 깨서 질식한 사람이 발생하지 않았던 것도 있었다.

또한 사업소에 대한 소방훈련이 화재 10일전에 실시되어 사무직 직원을 포함한 많은 직원들이 소화기 및 소화전 호스를 조작하는 방법을 알고 있었다. 더욱이 화재 당일 사무실에서 근무하던 직원이 손에 화상까지 입어가며 소화호스로 화재를 진압한 용기 덕택으로 더 큰 피해를 막을 수 있었다.

그런데 정작 문제는 몸에 스스로 불을 붙인 그 사람과 관련한 사항이었다. ‘과연 자살을 목적으로 개인이 교육장까지 들어와 스스로 몸에 불을 붙였나’하는 것이다. 들어와서 무엇인가 욕을 하다가 ‘펑’ 소리와 함께 몸에 불이 붙은 점은 자살이 아닌 Security 개념의 부재로 발생된 사고사였던 것으로 지금도 기억하고 있다.

간혹 ‘주유소 습격사건’ 등과 같은 유사 영화를 보면 사방에 휘발유 등 인화성 물질이 있는 곳에서 라이터 불을 켠 채 협박하는 장면 등이 많이 나온다. 과연 그럴까? 유증기로 바로 불이 붙는다는 생각을 해본 것일까?

감독의 Security 개념 부족 문제를 떠나서 그런 사실적이지 않은 부분도 영화 속의 한 장면으로 보여주어 국민들은 자칫 무의식적으로 따라할 수 있게 되는 것이다.

과거 모 방송국에서 화재 대비를 위해 테스트하는 것을 TV 화면을 통해 본 적이 있다. 난타 공연을 하는 과정에 불시에 불이 난 것을 가정하여 탈출하는 것을 보여주는 프로그램이었다.

첫 회 공연 중에 ‘불이야’ 를 외치고 3분이 지나고 문을 닫았다. 그리고 약 50여명이 남아 있는 것을 보여주며 ‘이 인원이 사망자 또는 부상자’라고 알려 주었다.

이후, 2차 공연에서는 시작하기 전에 간단한 대피요령과 비상구의 위치를 설명하고, 비상시에는 녹색완장을 찬 안내요원의 지시를 받을 것을 전달하고 마찬가지로 공연 중에 ‘불이야’하고 외쳤고 불과 2분도 채 안되어 관객 전원이 무사히 빠져나가는 것을 보여주었다.

모든 사고가 발생하면 당황하기 쉽다. 그러나 사례에서 보듯이 평소 훈련과 대응 정도, 즉 ‘알고 있다’와 ‘모르고 있다’의 간단한 차이가 얼마나 다른 결과를 보여준다는 것을 알 수 있다. 세월호 참사도 결국 마찬가지다. 승무원들의 지속적인 훈련과 침착한 대응이 있었다면 결코 일어날 수 없는 사고였던 것이다.

이렇듯 평소 교육, 훈련, 연습이 매우 중요하다. 이런 훈련을 통해 ‘시기 적절한 대응’ ‘자신감’과 ‘침착성’을 얻게 되어 Security 의식을 향상시킬 수 있는 것이 시큐리티의 역할이다.

위에 언급한 사건들뿐만 아니라 ‘설마’하는 실수로 발생되는 각종 사고들을 우리는 언제까지나 이렇게 지켜봐야 하는 것인지 답답할 노릇이다.

이렇듯 보안의식의 결여로, 안전불감증으로 발생되는 사고 예방을 위해 어떻게 해야 하는지 고민해야 한다.

또한 예산확보, 투자와 함께 Security 의식을 향상시킬 수 있도록 선진국의 시스템을 벤치마킹하고, 낭비적 손실 비용을 줄이는 방안도 고민해야 한다.

한 때는 목숨 걸고 일하는 시대도 있었지만 과거일 뿐이다. 이제는 개개인의 안전이 우선되고 보장되는 상황에서 좋은 성과를 낼 수 있는 시대로 바뀌었다.

우리나라가 선진국으로 가는 단계에 있어 사람들의 보안의식과 관점들도 바뀌고 있는 바, 사회적인 제도도 그에 걸 맞는 방향으로 나아가야 한다. 거시적인 관점에서 사회의 ‘Security’ 사안들을 바라볼 때다.

[글_ 백 봉 원 ASIS International Korea Seoul 사무총장

(메일 : jhpaik100@daum.net / 카페 : http://cafe.naver.com/securitycso)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)