<시리즈> 심층진단 정보보호산업 현주소 (21)

<전산망 보안 관리 정책>

어느 한 기관이나 조직의 보안 관리 정책은 일반적으로 컴퓨터, 단말기,전산망 그리고 정보자산에 대한 안전한 접근, 관리, 배포 등을 위해 수립되는 것으로 조직의 특성에 따라 기술적인 측면에서 인사, 조직 측면에 이르기까지 그 범위가 매우 폭넓고 다양하다.보안 관리 정책은 각종의 위협에 대한보호, 무결성, 서비스 부인 등에 대한 대책들을 포함하고 있어야 하는데 각기관마다 정보를 보호하고자 하는 목적과 시스템의 대상에 따라달라질 수 있다.

따라서 컴퓨터 보안정책, 네트워크 보안정책, 데이터베이스 보안정책 등은그 특성상 서로 다른 부분이 존재할 수 밖에 없는 것이다.

또한 단말기나 컴퓨터 및 전산망에 적용할 수 있는 보안관리정책은 실제적용가능하고 운용중에 관리가 용이토록 명확하고 애매한 부분이 없도록 구성되어야 한다.

실제로 불명확한 보안관리정책으로 인하여 안전성에 문제가 발생하는 사례가 많기 때문이다.

보안관리정책은 어느날 갑자기 새롭게 태동된다기 보다는 관리상 진행되어온 축적된 운영 또는 관리 지침, 보안업무규정 또는 지침, 정보의 중요도 분류 기준 또는 지침, 시스템 사용자 및 관리자 지침 등을 토대로 상호 유기적일 수 있도록 수립될 때 높은 수준의 효과를 기대할 수 있게된다.

그러므로 각 기관은 보안관리정책을 효과적으로 수립하고 시행하기 위하여자체적인 컴퓨터 및 네트워크 시스템의 운영 관리 지침, 사용자 지침, 외부네트워크 접속을 위한 기본 지침, 보안 관리 및 운영 지침과 부합하는 관리와 운영, 주기적인 점검 실시, 그리고 피해 및 손실에 대한 평가 등 전반적인 검토를 해야 한다.

미국의 경우 산업체를 포함한 주요 기관들의 약 80~ 90% 정도가 보안관리정책을 수립하였거나 준비중에 있는 것으로 드러났다.

세계적인 추세를 살펴보면 95년 기준으로 볼 때 산업체의 보안정책 수립실태는 미국 67%, 캐나다 65%, 유럽 65%, 아시아-태평양 국가 60%, 라틴 아메리카 40% 정도인 것으로 분석되고 있다.

또한, 이 국가들의 경우 산업체 등에서 내부에 자체적으로 보안담당 부서나 또는 보안담당관을 운영하고 있는 비율이 약 75% 정도에 달하고 있다.

보안 관리 정책 수립에서 다루고 있는 대상 분야들은 주로 허가된 소프트웨어의 사용, 클라이언트/서버 보안, 컴퓨터 윤리, 컴퓨터 바이러스 예방 및치료, 비상계획 및 복구, 문서통제, 직원용 보안 핸드북, 개인용 컴퓨터 보안, 중형 컴퓨터 보안, 지적 재산권 정보보호 등을 포함하고 있다.

각국의 산업체 등 기관에서 수립한 보안 관리 정책중에서 컴퓨터 보안에대한 부분은 지속적으로 다루어지고 있으며, 특히 컴퓨터 바이러스 부분은최근 수년동안에 그 중요도가 급증하여 95년의 경우 81%의 기관들이 보안 관리 정책에 포함시키고 있는 실정이다.

바이러스는 통상 디스켓에 의하여 감염되는 것이 대부분이었으나 최근에는디스켓에 의한 감염보다는 전자우편에 부착되거나 전자게시판이나 인터넷 등을 통하여 다운로드할 때 함께 전송되어 감염되는 형태가 증가하고 있는 추세이다.

미국 컴퓨터보안협회(NCSA : National Computer Security Association)에의하면 바이러스 사고에 의한 경제적 손실은 작게는 2천달러 미만에서 심각한 피해일 경우 10만달러 이상에 이르고 있는 것으로 나타났다.

오늘날 전산망을 통한 악성 바이러스의 침투는 각종의 해킹 행위와 더불어전산망의 안전 운영을 위협하는 매우 심각한 양상으로 등장하고 있는 실정이다.

따라서 우리나라도 각종의 통신망과 접속하여 전산망을 운용하고 있는 기관들의 수가 급증하고 있는 현실을 고려할 때 각 기관마다 전반적으로 시스템 보안관리정책을 제고해 보아야 한다.

앞으로 우리나라도 인터넷 등 전산망을 통한 각종의 정보통신 서비스가 계속적으로 확장되고 전세계 국가들과의 연결이 증가 일로에 있으므로 정부,공공기관 뿐만 아니라 기업체에서도 단말기 및 개인용 컴퓨터 보안, 워크스테이션급 이상의 컴퓨터 보안, 전산망 보안에 대한 체계적인 정책 수립을 통하여 각 기관이 보호하고자 하는 수준에 적합한 관리적 및 기술적 대책들을시행함으로써 전산망의 안전 운영을 보다 확고히 해야 한다.