관련 통계자료 다운로드 기업 개인정보 및 핵심기밀정보 보안 개념도 아이러니컬하게도 많은 IT 보안 전문가와 책임자들은 보안사고가 터져야 보안이 발전한다고 입을 모아 말한다. 얼마 전 국내 유수 기관의 IT 사이트에 대한 DDoS 공격은 국내뿐만 아니라 전 세계적인 주목을 받았다. 이후 대대적 대책 논의를 보면 보안 전문가들의 약간은 냉소적인 말이 "진실"인 듯하다. 근래에는 DDoS가 이러한 진실의 중심에 있었지만, 그 이전에는 개인정보 유출과 설계도면 등 기업의 핵심기밀 유출이 보안의 중요성을 사회적으로 크게 노출시키는 계기가 되었다.
기업이 보유한 개인정보의 유출은 대규모 개인이 참여하는 소송과 연결되어 막대한 소송 및 보상 비용의 지출과 심각한 기업 이미지의 추락으로 이어진다. 또한 기업이 보유한 핵심기밀정보의 유출은 시장 내에서 어렵게 쌓아 올린 경쟁력의 원천을 하루 아침에 날려버려 기업의 존망으로도 연결된다. 딜로이트 글로벌 컨설팅의 조사에 따르면 고객의 개인정보 1건 유출당 기업의 손실액은 182달러, 유출 사고 1건당 평균 480만달러l의 기업손실 비용이 발생한다고 한다.
이러한 대규모 손실은 언론을 떠들썩하게 했던 국내 G사의 고객정보 유출 사례에서도 목격한 바 있다. 기업의 핵심기밀 유출과 관련된 피해 또한 생각보다 훨씬 심각하다. 국가정보원의 산업기밀보호센터에 의하면 2003년부터 2008년까지 국내 기업들과 관련된 145건의 대규모 산업기밀 유출 사고가 발생했으며, 피해액은 200조 규모에 이른다고 한다. 1건 당 1.4조원의 손실인 셈이다. 이러한 상황에서 각 기업의 CIO들에게는 개인정보와 핵심기밀정보의 유출이 자신과 회사의 안위와 직결되는 문제이기 때문에 노심초사할 수밖에 없는 것이다.◇◇
●
◇IT 인프라 보안에서 핵심 데이터 보안으로 패러다임 전환=기업의 개인정보와 핵심기밀정보의 보호를 위해서는 첫 번째로 보안을 바라보는 관점을 달리해야 될 듯하다.
기존의 보안은 IT 인프라 중심의 보안이었다. 즉, 방화벽이나 침임탐지시스템 등 기업의 정보 자체가 아니라 정보가 유통되는 주변(Peripheral)에 대한 보호 장치의 설치가 보안의 주류였던 것이다. 그러나 최근에는 생성, 저장, 이용, 공유, 아카이빙(Archiving), 소멸 생명주기(Lifecycle)를 따라 정보 자체에 대한 보안의 중요성이 강조되고 있다. 이는 불특정 다수인 정보의 주변에 대한 인프라 보안만으로는 기업의 비즈니스에 핵심적인 정보 자체를 안전하게 보호할 수 없다는 사실을 시사한다.
기업의 모든 정보의 생명주기별로 보안 방안을 적용하는 일은 대단히 복잡하고 막대한 비용이 소요되며 비효율적이다. 비즈니스에서 핵심적으로 중요한 정보를 선별하는 선택과 집중이 필요하다. 기업이 보유한 고객 및 임직원의 개인정보와 반도체 도면, CAD, 주요 연구결과물 등 핵심기밀이 이러한 선택과 집중의 대상이 되는 것이다.
그렇다면 이러한 핵심 데이터에 대한 생명주기별 보안 방법은 어떻게 되는가? 개념도에서 보듯이 기술적으로는 핵심 데이터 자체에 대한 암호화 및 감추기(마스킹 : 데이터의 특정 부분을 볼 수 없게 감추는 기술), DRM , DLP 등 PC 및 저장매체를 통한 유출 차단 솔루션, 미리 정의된 핵심 데이터의 흐름 분석 및 모니터링 시스템이 중요하게 활용된다. 그러나 잊지 말아야 할 것은 기술은 상위의 정보보호 정책이 반영되어야 하는 것이지, 기술 자체로만 작동할 수 없다는 것이다.
개인정보와 핵심기밀 정보를 보호하기 위해서는 데이터 보호 전략, 조직 및 프로세스, 생명주기 관리, 이를 지원하는 IT의 4박자가 잘 맞아 떨어져야 한다. 일례로 보안에서 이러한 4가지 요소의 중요성을 인지한 국내 S그룹은 전략적으로 그룹의 보안정책에 개인정보와 핵심정보자산 보안을 중요한 통제 항목으로 지정하고, 보호하도록 하는 방안을 마련하고 있다.
데이터의 흐름을 세밀하게 따라가면서 보안을 시도하는 것이 너무 복잡하고 비용이 많이 든다고 생각할지 모르겠다. 그러나 개인정보를 보호하기 위한 OECD 개인정보 보호원칙, 미국의 HIPAA, GLB, 국내의 정보통신망법 등 국내외 굵직한 법률 및 규제의 존재와, 시작부분에서 언급한 유출 시의 엄청난 금전적 피해 규모에 비하면 결코 복잡하거나 많은 비용이 아니다.
최근에는 DLP(Data Leakage Protection)라 불리는 기술이 기업의 민감한 정보들의 생성에서 소멸까지를 하나의 솔루션으로 통합 관리하는 추세여서 복잡성도 많이 줄어들고 있다. GE는 다양한 지역의 다양한 사업부가 관리하는 재무정보, 고객정보, 제품 디자인 등 핵심정보의 유출을 방지하기 위해 전사적으로 DLP 통합 솔루션을 적용하여 기존 보안 운영방식 대비 3년간 48배의 평균 예상 ROI를 산출한 경험이 있다.
◇컴퓨터 사용 패러다임 전환과 기업 핵심기밀 보안의 연계=기업의 개인정보와 핵심기밀정보를 보호하는 또 다른 방법은 사용자 컴퓨팅의 패러다임을 전환하는 것이다. 즉, 각종 민감한 데이터의 주요 유출 채널이 되는 기존의 PC와 저장매체를 사용하지 않고 업무를 수행하는 방법이다. IT 업계 일부에서는 "먹통 컴퓨터"로 불리는 이러한 컴퓨팅을 부르는 업계의 명칭은 "신 클라이언트(Thin Client)"이다.
신 클라이언트가 "신(Thin)’이라 불리는 이유는 해당 PC에 작업을 위한 SW도 탑재되지 않고 작업하는 데이터나 문서도 저장되지 않으면서, 가지고 있는 기능이라고는 주로 눈으로 보는 것(UI: User Interface)에 한정되어 있기 때문이다. 이러한 특성 때문에 신 클라이언트는 먹통 혹은 멍텅구리 PC라 불린다.
기업의 임직원들이 업무에 필요한 SW나 데이터는 업무시스템이 돌고 있는 중앙의 서버에 다 올라가 있고, 심지어 컴퓨터에 필수적인 CPU조차 서버에 있다. 신 클라이언트는 서버에 접속해서 서버에서 일하고 서버에 일한 결과를 모두 남긴다. 그 결과로 PC를 통한 데이터 유출이 원천 봉쇄되는 것이다.
기업의 핵심기밀정보의 보안과 신 클라이언트의 궁합이 잘 맞아 떨어지는 이유가 여기에 있다. 신 클라이언트 또한 중앙집중식으로 모든 데이터 사용자의 접근 권한을 일괄 관리하고 데이터의 생성, 편집, 열람에 대해 로그를 통한 실시간 모니터링을 가능하게 하므로 핵심기밀정보를 더욱 더 강력하게 보호할 수 있는 이점이 있다. 한 국내 IT 서비스 업체는 협력업체 직원들이 많이 상주하는 개발센터에 핵심 소스코드를 보호하기 위해 신 클라이언트를 도입했고, 일부 보험업계에서는 영업직원들의 부주의에 따른 고객정보의 유출을 방지하기 위해 사용하고 있다고 한다.
기존 PC 기반의 업무 환경에 익숙해 있는 세계적 사무 환경에서 아직 전사 차원의 신 클라이언트로의 전면적 전환 사례는 찾기 힘들다. 현재는 주로 기업의 기밀정보를 다루는 연구소를 중심으로 도입이 확대되고 있는 추세이다. 그러나 블레이드 PC, 버추얼 PC, SBC(Server Based Computing) 등 다양한 형태의 신 클라이언트의 출시와 사용이 늘고 있어 향후 지속적 확대 도입이 예상된다.
◇기업의 통합 리스크 관리 차원에서 정보보호=개인정보 및 기업 핵심기밀의 유출은 발생하지 않았지만 발생할 경우 기업 이미지 및 재무에 막대한 손해를 끼치는 위험(Risk) 요인으로, 단순히 IT 보안 차원의 현안으로 다룰 게 아니라 기업의 리스크 관리 차원에서 해결해야 할 사안이다. 이러한 관점에서 기업의 CIO는 현업 비즈니스 리더와 협력하여 개인정보와 기업 핵심기밀의 보호를 재무 위험, 자산위험 등과 통합된 리스크 관리 체계를 만들어 나가야 할 것으로 판단된다. 그러한 체계를 만들어 나가기 위한 첫번째 작업으로 개인정보와 핵심기밀정보도 기업의 다른 자산처럼 관리될 수 있다는 인식의 전환을 제안하는 바이다. 이제 CIO는 기업의 핵심정보에 대한 보안 경제학을 체득할 준비를 해야 할 시기이다.
최정욱 딜로이트컨설팅 이사
최정욱 딜로이트컨설팅 이사는
최정욱 이사는 딜로이트 컨설팅 보안 서비스라인 리드다. 그동안 금융, 제조, 전자, 통신 등 다양한 산업에서 기술 및 및 보안 컨설팅 프로젝트를 수행한 경험을 갖고 있다.
신혜권기자 hkshin@
