보안업무·부서 통합 필요...하나로 합쳐 역량키워야
|
|
기자가 그간 국내기업의 보안체계에 대해 취재하면서 가장 아쉽게 느꼈던 부분 가운데 하나가 대부분의 기업이 물리적·관리적·IT 보안업무로 크게 대별되는 보안의 세부 영역을 회사 내 각기 다른 부서에서 담당하고 있다는 점이었다. 외국계 기업과 일부 대기업에서는 별도의 전담 보안부서에서 모든 보안업무를 수행하고 있지만 아직까지 많은 기업에서는 그렇지 못한 게 현실이다.
대다수의 보안담당자가 관련업무 및 보안부서의 통합에 대해 원칙적으로 찬성 입장을 밝히는 상황인데도 왜 통합작업은 더디게 진행되거나 아예 추진조차 되지 못하는 것일까? 여기에는 각 기업의 내부사정 및 경영인의 보안의식수준과 함께 보안담당자간 주도권 다툼과 위기의식이 한몫하고 있다는 지적이다. 이에 본지에서는 기업보안 이슈진단 시리즈 첫 번째 순서로 보안업무 및 연관부서의 통합 필요성에 대해 집중 진단한다.
정보화 시대로의 변화와 과학기술의 발달로 기업비밀에 대한 침해수단과 방법이 다양해지고, 정보를 보호해야 할 기업 임직원과 퇴직자가 대다수의 정보유출 사건의 중심에 있는 현실에서, 보안전담조직의 필요성은 더 이상 재론의 여지가 없을 듯하다. 오히려 이제는 현재 조직돼 있는 보안부서의 업무 효율성을 높이기 위해서는 어떤 방안이 필요한가로 논의의 초점이 맞춰지고 있다. 보안업무 및 연관부서의 통합 필요성도 바로 이러한 논의의 연장선상에서 제기된 것이다.
보안업무의 효율성 제고차원에서 제기
기자는 요즈음 보안부서의 파워가 꽤나 세졌음을 피부로 체감하고 있다. 보안 분야를 처음 취재하던 때만 하더라도 기업 내 보안부서는커녕 보안전담자조차 찾기 어려운 상황이었다. 설사 보안담당자를 만났다 하더라도 대개 물리적 보안이나 핵심인력관리 등의 관리적 보안사항에 대한 단편적인 설명에 그치는 경우가 많아 보안전반을 아우를 수 있는 취재원에 대한 갈망이 너무나 컸던 게 사실이다. 취재하고 나서도 뭔가 부족하고 허전한 느낌을 가졌단 얘기다. 혹여나 회사의 IT 보안업무에 대해 들을라치면 별도의 IT 관련부서를 접촉해야 하는 불편함도 다반사였다.
그러나 다행스럽게도 최근 기자의 욕심만큼은 아닐지라도 기업 내 보안책임자들 가운데서는 보안업무 전반에 걸쳐 이해의 폭이 넓고, 높은 식견을 가진 이들이 많아졌다. 하지만 기업 내에서 물리적·관리적 보안업무를 담당하는 이들과 IT 보안업무 담당자간 간극은 아직 크게 벌어져 있는 상태다. 일부에서는 업무 간 상호이해와 협조는 차치하더라도 서로의 일에 대한 폄하로까지 이어지기도 한다. 보안강화를 통한 기업경쟁력 향상이라는 공통의 목적을 위해 일하면서도 서로 ‘딴 생각’을 하고 있는 셈이다. 이로 인해 보안업무 및 연관부서 간의 완전한 통합도 쉽게 이루어지지 못하는 실정이다.
국내 기업의 보안조직·업무, 어떻게 분류되나
이렇듯 보안업무 및 관련부서 간 통합 움직임이 지지부진한 이유를 진단해보기 위해서는 먼저 기업들의 보안조직 및 수행업무부터 유형별로 분류해볼 필요가 있다.
보안업무, 우린 각개격파로 간다
첫 번째 유형으로는 보안전담부서가 아예 없이 인력경비를 비롯해 각종 물리적 보안 시스템의 운영·관리는 회사가 입주한 건물의 방재센터에서 담당하고, 인력보안 및 보안감사 등의 관리적 보안업무는 총무부서에서, 그리고 IT 보안업무는 IT 관련부서에서 ‘각개격파’ 식으로 업무를 분담하는 경우이다. 이 유형은 앞서 소개한 유형에 해당되는 일부 기업을 제외한 대부분의 국내 기업이 여기에 속한다. 사실 이 경우에는 물리적·관리적 보안업무만이라도 통합해 수행할 수 있는 보안전담부서를 조직하는 일이 선행돼야 하기 때문에 여기서는 논의의 대상에서 제외하도록 한다.
물리적 보안? IT 보안? 서로 잘 몰라요
두 번째 유형으로는 물리적·관리적 보안 등의 전반적인 보안업무는 보안부서에서 담당하되, IT 보안업무의 경우만 별도의 IT 관련부서에서 담당하도록 조직이 2원화된 경우다. 이는 일부 대기업과 중견기업, 그리고 IT 관련업체의 상당수가 취하고 있는 보안조직 형태에 해당된다.
보안업무, 이젠 한곳에서 담당해야죠
마지막으로 세 번째 유형은 경비업무에서부터 회사에 설치된 물리적 보안 시스템의 관리·점검 등을 포함하는 물리적 보안업무와 인력관리 및 보안교육, 보안감사 등의 관리적 보안업무, 그리고 사내 네트워크 보안 등의 IT 보안업무, 그리고 위기관리 업무까지 관련업무 일체를 보안전담부서가 담당하는 형태다.
여기서의 보안조직은 보안책임자 아래 앞서 설명한 보안 각 분야의 전담자들이 배치돼 업무를 수행하고, 보안업무 간에 마찰이 발생하거나 반대로 협조가 필요한 사안이 있는 경우 보안책임자가 이를 조율하는 업무를 담당하게 된다. 현재 한국IBM, 지엠대우 오토앤테크놀로지, BAT코리아 등 규모가 큰 외국계 기업 중 상당수와 삼성전자, LG전자 등의 일부 대기업, 그리고 최근 관련 업무를 통합해 보안팀을 신설한 팬택계열 등의 중견업체가 이에 해당된다.
통합 필요성엔 대체로 공감, 일부선 우려
앞서 소개한 유형에서 각각의 보안업무가 별도로 관리되는, 좀더 구체적으로 물리적·관리적 보안업무와 IT 보안업무를 담당하는 부서가 별도로 조직돼 있는 두 번째 경우는 어떨까. 이에 대해 각 기업의 보안담당자들은 경영진의 생각과 회사 여건에 따라 별도로 분리돼 있지만 원칙적으로 통합하는 것이 보안업무 수행에 여러모로 효율적이라고 그 필요성을 인정하는 의견이 대다수이다.
그러나 반대로 일부에서는 IT 보안업무와 물리적·관리적 보안업무는 큰 틀에서는 보안업무로 동일하게 분류할 수 있음에도 업무성격에 있어 엄연히 차별화되는 만큼 서로 다른 부서에서 담당하는 것이 바람직하다는 의견도 제시하고 있다.
이와 관련 통합 필요성을 밝힌 동부아남반도체의 IT 보안담당 김도형 대리는 “IT 보안과 물리적 보안부서가 통합되면 보안정책 수립 등 전체적인 밑그림을 그려나가는데 훨씬 용이할 것”이라며, “당장 통합부서를 구성하긴 어렵더라도 별도의 보안 TFT를 조직해 정기적으로 업무협의를 해나가는 것도 하나의 대안이 될 수 있다”고 말했다. 그러나 또 다른 업체의 IT 보안담당자는 “각각의 보안담당자가 맡게 되는 업무가 크게 차별화되기 때문에 통합되더라도 효율성에 있어서는 그다지 큰 차이가 없을 것”이라고 반대입장을 피력하기도 했다.
그는 이어 “보통 물리적·관리적 보안업무를 담당하는 인력들이 IT 보안업무에 대해서는 전문성이 떨어지는 게 사실”이라며, “직접적으로 IT 보안업무를 담당하진 않더라도 함께 근무하게 된다면 서로 간에 마찰이 발생할 우려도 있다”고 말했다.
그러나 통합된 보안부서에서 각각의 보안업무를 철저히 전문화시키고, 이를 원활하게 조율할 수 있는 보안책임자를 임명하는 등의 ‘운영의 묘’를 살릴 경우에는 크게 문제될 게 없다는 것이 보안전문가들의 대체적인 의견이다. 현재 통합된 보안부서를 운영하고 있는 기업들의 사례들을 살펴보더라도 앞서의 부정적인 입장은 설득력이 약하다는 지적이다.
“하나로 합치니까 부서 위상이 높아지네요”
|
|
마지막 세 번째 유형에 속하는 기업들은 아직까지 완전하진 않더라도 물리적·관리적·IT 보안업무를 총괄하는 부서가 존재함으로써 보안업무의 효율성이 한층 높아졌다는 자체 평가를 내리고 있다.
이와 관련 LG전자 정보통신본부 보안그룹의 강을석 그룹장은 “LG전자 정보통신본부의 경우 과거 비상계획그룹 시절에는 물리적 보안업무와 보안교육 등의 일부 관리적 보안업무만 수행하고, 총무그룹에서 인력관리를, 정보화그룹에서 IT보안업무를 별도로 담당함으로써 보안관련 사안에 대한 신속하고 총체적인 대응이 어려웠다”고 말한다.
이러한 문제점들이 부각되면서 LG전자는 비상계획그룹을 보안그룹으로 확대 개편하고, 기존의 총무그룹과 정보화그룹에서 담당하던 보안업무를 보안그룹에서 총괄하도록 창구를 단일화시켰다는 설명이다. 강을석 그룹장은 “회사의 핵심연구원들을 효과적으로 통제하기 위해서는 이들보다 IT 보안 지식이 풍부한 전문가가 필요했고, 이를 위해 보안그룹에 IT 보안인력을 대폭 확충했다”며, “그 결과 물리적 보안업무와 IT 보안 업무가 유기적으로 통합되면서 보안업무의 효율성이 높아지고, 예산이 대폭 확충되는 등 보안부서의 위상이 높아지는 결과를 얻을 수 있었다”고 설명했다.
‘소탐대실(小貪大失)의 우(優)’ 범하지 말아야
보안관련 부서 간 통합이 지지부진한 이유에 대해 회사여건 및 경영진의 보안의식 수준과 함께 통합 시 주도권을 어디서 잡을 것인지에 대한 헤게모니 싸움이 원인이 되고 있다는 의견도 일부에서 제기되고 있다. 다시 말해 통합 보안부서의 책임자를 IT 보안담당자와 물리적·관리적 보안담당자 가운데 누가 되어야 하는지를 놓고 신경전이 벌어지고 있다는 얘기다. 또한, 보안부서가 통합될 경우 구조조정 등을 통해 인력이 절감될 것을 우려해 자기 밥그릇을 뺏기지 않기 위한 보안담당자들이 통합에 소극적일 수 밖에 없다는 지적도 있다.
그러나 이에 대해 한 보안전문가는 “보안책임자는 그 사람의 전문분야가 무엇인가보다는 보안업무 전반에 대해 얼마나 폭넓은 시야를 갖고 있는지가 관건”이라며, “보안책임자는 IT 보안을 포함한 보안 전 분야에 대해 끊임없이 공부해야 한다”고 충고한다. 그는 이어 “다른 어느 부서든지 구조조정 가능성은 상존한다. 결국 꾸준한 자기개발을 통해 보안역량을 쌓아나가는 길만이 유능한 보안담당자로 성장할 수 있는 첩경”이라고 강조했다.
지금까지 기업의 보안조직과 수행업무 유형에 대해 살펴보고, 보안담당 인력과 부서의 통합 필요성에 대한 보안담당자들과 전문가의 의견을 들어봤다. 이를 정리해보면 통합 필요성에 대해서는 원칙적으로 공감하면서도 회사여건, 경영자의 보안의식, 그리고 각 분야의 보안담당자간 인식 차이 등으로 인해 통합작업이 원활히 이루어지지 못하고 있다는 것이다.
그러나 보안부서가 기업 내의 핵심부서로 자리매김하고 있는 상황에서 이에 걸 맞는 역량을 갖추기 위해서는 보안인력 및 관련업무의 통합을 통해 부서의 볼륨을 키우는 일이 선행돼야 한다. ‘소탐대실(小貪大失)의 우(優)’를 범하지 않기 위해서는 회사 내 모든 보안담당자들이 지금부터라도 통합을 위해 적극 나서야 할 때인 것이다.
------------------------------------------------------------------------------
팬택계열의 보안업무·부서 통합사례
과거 보안전담부서가 없다가 보안부서 및 연관부서를 통합한 최근의 대표적인 사례가 바로 팬택계열이다. 올해 1월 1일부로 보안전담부서를 신설한 팬택계열은 팬택, 팬택&큐리텔 등 산하 계열사들의 보안업무를 총괄하는 지식보안팀(가칭)을 통해 보안업무의 효율성을 높이는 작업을 진행 중에 있다. 기존 각 계열사 및 부서에 산재해있던 보안업무와 인력을 지식보안팀으로 통합하면서 전 계열사 차원의 보안정책의 기획·입안, 보안 가이드라인 전파, 보안감사, IT보안 등의 보안 분야 전반을 아우르도록 한 것이다.
이와 관련 팬택&큐리텔의 정보지원팀에서 IT 보안업무를 담당하다가 팬택계열 지식보안팀으로 자리를 옮긴 강승봉 대리는 “지식보안팀은 계열사 전체의 보안사령탑 역할을 맡게 된다”며, “총무팀이나 정보사업팀에서 그간 해오던 물리적 보안 및 IT 보안업무는 그대로 유지하도록 하는 대신, 이 부서들은 지식보안팀에서 추진하는 큰 틀의 보안정책에 따라 업무를 수행하는 역할에만 한정된다”고 설명했다.
그는 이어 “과거 정보지원팀에서 IT 보안업무를 담당했을 때는 다른 관련부서와의 업무협조와 의사소통이 원활히 이루어지지 못하는 문제가 발생했는데, 보안전담부서가 발족된 이후에는 이러한 문제가 자연스럽게 해결될 수 있었다”고 설명했다.
[권 준 기자(joon@infothe.com)]
<저작권자: 보안뉴스(www.boannews.com). 무단전재-재배포금지>
[2024-04-18] 
.jpg)
.jpg)
.jpg)
