일반 중소기업도 보안 위해 “이 정도는 한다”

중소기업들, 보안에 취약하다? “꼭 그렇지만은 않다”

보안과 상관없는 회사라도 얼마든지 데이터 지킬 수 있어

[보안뉴스 문가용] 작은 기업들일수록 보안에 대한 인식이 낮을 거라고 생각하는데, 일반적으로 그럴지는 몰라도 꼭 그렇지만은 않다. 물론 소니나 타깃, 여러 은행들처럼 굉장히 많은 양의 민감한 정보를 가지고 있지는 않더라도 일단 사람을 상대하고, 그 인연을 이어 이어 사업에까지 이르른 사람들이라면 오히려 자기가 갖게 된 남의 정보를 소중히 여길 줄 아는 법이다. 그래서 오히려 작은 사업장일수록 보안에 꼼꼼하게 집착하는 모습을 보이기도 한다.

그런 곳 중 하나가 미국의 외식 산업 업체인 어드밴티지 웨이포인트(Advantage Waypoint)다. 하루에 천 명 이상의 고객을 상대하는 어드밴티지 웨이포인트는 크지도, 그렇다고 작지도 않은 기업이지만 고객들의 전화번호, 주소, 기타 판매 관련 정보를 가지고 있을 수밖에 없다. 보통 비슷한 규모의 기업들이 개인 이메일 주소 사용도 눈감아주고 드롭박스 같은 서비스를 사용하는 반면 어드밴티지 웨이포인트는 코드42(Code42)가 만든 크래시플랜(CrashPlan)이라는 저장 및 백업 솔루션을 사용한다고 한다.

그러나 널리 알려진 사실처럼 솔루션 하나로 모든 게 완벽하게 갖춰지는 것은 아니다 어드밴티지 웨이포인트는 솔루션과 더불어 여섯 가지 보안 전략을 개발해 적용 중에 있다고 한다. 이는 다음과 같다.

1. 사업 전체의 큰 그림을 먼저 생각하라. 기술이 먼저가 아니다

보통 보안 능력을 높이려는 CEO들의 가장 큰 실수 중 하나는 ‘최신 제품’만을 덮어놓고 고집한다는 것이다. 하지만 아무리 최신 제품이라 하더라도 모든 환경에 최적화된 성능을 발휘할 수는 없다. 사업체마다, 사업 성격마다 잘 맞는 솔루션이란 건 따로 있는 법이다. 사업을 통해 이루려고 하는 게 무엇인지, 그 목표에 어떻게 다가가고 있는지 되돌아보고, 그런 전체 운영의 흐름을 뒷받침해줄 수 있는 솔루션을 찾아야 한다.

2. 고객에게 알리는 것도 중요하다

고객과 관계를 쌓아가려면 신뢰부터 생겨야 한다. 그리고 이는 시간이 드는 작업이다. 하지만 일단 신뢰 관계가 생기면 사업 운영에 필요한 고객들의 정보가 들어오기 시작하며, 기업은 그에 따른 보안 기술 업그레이드도 반드시 생각해야 한다. 요즘 고객들은 개인용 이메일이나 드롭박스 같은 서비스를 애용하는 기업들을 신뢰하지 않는다. 이런 때에는 기업이 얼마나 고객의 정보를 소중하게 다루는지 여건이 허락하는 한 알려주는 것도 도움이 된다.

3. 간단할수록 좋다

기업 입장에선 고객의 정보를 다룬다는 건 수많은 계정을 관리하고 여러 가지 보험 관련 업무를 담당하며 다양한 ID/암호까지도 주기적으로 바꿔주는 걸 뜻한다. 최소한 말이다. 여기서 혼선이 생겨버리면 될 것도 안 된다. 그러므로 아이덴티티 관리 프로그램이나 암호 관리 프로그램을 사용하는 것도 좋은 방법이다.

4. 사용자들을 이해하라

정보보안은 IT를 다루는 이과 사람들과 사업 운영, 마케팅을 담당하는 문과 사람들이 한 자리에 뭉쳐야 하는 분야다. 그런데 이 두 부류는 너무나 다른 언어로 이야기를 하기 때문에 정보보안은 둘을 모두 이해할 줄 알아야 한다. 어드밴티지 웨이포인트에서는 IT 관련 업무를 담당하는 직원이 일년에 두 번 영업 및 마케팅 일을 진행하도록 한다. 그래서 새로운 차원에서 사용자 및 소비자의 기술 소비 행태를 파악하게 하는 것이다. 사용자들을 이해하는 것이 점점 더 중요해지고 있다.

5. 엔드포인트에서는 백업이 필수다

한번은 어드밴티지 웨이포인트의 임원 중 한명이 현장에서 노트북을 튀김 기름에 빠트린 적이 있다. 다행히 버린 것은 노트북 기기 한 대 뿐이었다. 그가 평소에 데이터 백업을 굉장히 잘 해놓는 사람이었기 때문이다. 백업만큼 또 중요한 게 있는데, 그건 바로 권한 설정을 사람마다 다르게 하는 것이다. 엔드포인트의 사용자가 누구이냐가 사용 권한을 결정한다. 엔드포인트에서는 백업과 올바른 권한의 적용이 제일 중요하다.

6. 항상 만일의 사태에 대비하라

보안이라는 업무 자체가 항상 ‘대기 모드’여야 한다. 언제고 무슨 사고가 터질지 모르기 때문이다. 예방이 미리 되면 좋겠지만 사고라는 게 어디 예고하고 찾아오는가. 그러니 여러 사고에 대한 시나리오를 준비해서 실제 사고가 터졌을 때 조금이라도 더 빨리 대처할 수 있어야 한다. 이는 어떤 데이터가 어떤 경로로 탈취를 당하고, 그에 대한 피해가 어느 정도인지, 그 파급력은 얼만큼인지 예상해보는 것이다. 때론 굉장히 능동적인 방어 자세가 필요할 때도 있다.

@DARKReading

[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)