사이버보안 담당자 최대 고민은 정보통신망법과 개인정보보호법 등 `규제 준수와 대응`이었다.
한국침해사고대응팀협의회(CONCERT·회장 류재철)는 2007년부터 2016년까지 10년간 3대 보안 이슈를 꼽았다. 보안담당자는 △컴플라이언스와 인증(23%) △신기술과 뉴플랫폼(20%) △보안체계구성과 관리(18%)에 관심이 높았다. △사이버공격(14%) △내부정보유출방지(14%) △인식제고와 교육(7%) △보안조직과 성과관리(4%) 순으로 나타났다.
보안 담당자는 정보통신망법, 전자금융거래법, 산업기술유출방지법, 개인정보보호법, 정보보호관리체계(ISMS), 개인정보보호관리체계(PIMS), 개인정보보호인증제(PIPL) 등 법 준수와 인증 획득에 노력을 기울였다.
CONCERT 기업 정보보호 이슈 전망 2016 보고서에 따르면 올해 보안 담당자는 ISMS 인증 유지 고민이 많았다. 6월 정보통신망법 개정으로 ISMS 인증 의무 대상 범위가 확대된다. 올해 PIMS와 PIPL 취득 계획을 두고 고민에 빠진 기업도 많다. 내년 PIMS와 PIPL이 통합되는데 인증 시점을 고심 중이다.
인증심사 사후 관리도 문제다. 사후나 갱신심사는 최초 심사보다 투자나 노력이 적지만 보안 전체 업무량에서는 상당 부분을 차지한다. 하지만 보안담당자 입장에서 한번 취득한 인증은 더 이상 실적에 반영되지 않는다. 인증 유지는 기본이며 심사과정에서 결함이 지적돼 재심사를 받게 되면 업무 평점이 낮아진다.
정보보호관리체계를 수립하는 것은 기업 전체에 정보보호 골격을 세우는 것과 같다. ISMS 인증을 받으면 해당 체계가 원활히 수행되는 것을 인정받는다. 심사 때만 지킨 후 인증을 받고 제대로 수행하지 않으면 보안 수준이 올라가지 않는다.
신기술과 뉴플랫폼 도입에 따른 사이버 보안 이슈에도 신경 썼다. 보안 담당자는 신기술 자체를 보안위협으로 보지 않았지만 올해 클라우드와 사물인터넷(IoT) 단말기, 핀테크 확산에 따른 사이버 위협에 관심이 높았다.
클라우드는 기술 우려보다 우리 회사 중요 데이터가 실제 어디에 어떻게 저장, 관리되는지 알지 못한다는 불안감이 크다. 글로벌 클라우드 서비스 도입을 검토한 한 기업은 “개인정보 국외 이전 문제로 검토를 중단했다”며 “국내 리전(Region)에 저장하면 국외이전 문제가 없지만 시범 케이스로 주목받는 게 부담스럽다”고 밝혔다. 새로운 단말기와 기술이 확산되는데 보안 통제 수준이 이를 따르지 못하는 것도 이슈다.
이외에 보안담당자는 `랜섬웨어` 대응에 골치가 아프다. 랜섬웨어를 피하는 방법은 예방이 최선이다. 문서중앙화는 문서나 사진 등 주요 데이터 인질화를 막지만 도입 비용이 만만치 않다. 임직원 PC를 매일 백업하는 것도 보통일이 아니다. 최근 랜섬웨어를 탐지, 차단하는 백신이 늘고 있지만 우회하는 사례도 빈번해 맘을 놓을 수 없다.
CONCERT는 170개 정회원사를 대상으로 지난 1월 4일부터 한 달간 설문과 인터뷰를 실시해 `기업 정보보호 이슈 전망 2016` 보고서를 냈다.
김인순 보안 전문기자 insoon@etnews.com