'보안경영'이라는 카테고리를 하나 만들다.

오늘 인터넷에 화이트 해커 관련해서 글을 읽다가 사용자 댓글을 보고 나와는 다른 생각들이 많아서 하나의 글을 정리하고 있는 중이다. 바로 IE와 보안의 연계라는 부분이다. 아직까지 사람들은 기업 혹은 조직에서의 보안을 화이트 해커로 대응할 수 있을 것이라 생각하고 있다. 보안은 해킹의 반대되는 부분도 있지만 해킹의 반대되는 부분만으로 보안을 관리할 수 없다.

해커가 기술적인 능력이라고 한다면 보안은 해커를 잡기 위한 기술적인 능력만 가지고 있어서는 안된다. 이와 관련된 내용은 지금 작성중인 글에서 많은 얘기를 나누고자 한다. 중요한 건 이와 관련해서 내 생각을 정리하던 중에 내가 처음 대학에 들어갔을 때 그 시절들이 머리속에 스쳐 지나갔다. 그리고 한 가지 단어가 떠 올랐다. 바로 '품질경영'이다.

그리고 다시 생각해 낸 단어가 '보안경영'이다. 조만간 경영에 있어 보안이 핵심이슈로 떠오를 것이라는 생각들이 내 머리에서 떠나질 않는다. 그렇다면 내가 해야 할 일은 무엇인가? 오늘은 블로그에 '보안경영'이라는 카테고리만 하나 만들었다. 그리고 비워두기 그래서 인터넷에서 '보안경영'이라고 검색해 보았다. 다행이 나와 같은 생각을 하고 있는 이들이 있나보다. 

지금은 '보안경영'이라는 카테고리 하나이지만 이것이 나중에는 나에게 큰 힘이 되어 줄 것이라 믿어 의심치 않는다. 앞으로 IE와 보안을 접속시켜서 '보안경영'이라는 부분을 열심히 연구해 나가도록 해야겠다.

[커버스토리] 핵심이슈로 부상한 보안경영

`글로벌 호텔의 투숙객 400여 명의 전화번호, 투숙일정, 이메일 주소가 구글 검색창에 줄줄이 떴다.`

`자산규모 230조원, 점포수 1160개의 거대 은행이 사이버테러로 마비되고 일부 거래내역은 영구적으로 손실됐다.`

`해커가 전국 최대 규모 할부금융사를 공격해 175만명의 고객정보가 평문 그대로 유출됐다.`

영화 속 한 장면이나 해외토픽 뉴스가 아니다. 올해 국내 앰배서더호텔, 농협, 현대캐피탈에서 발생한 사이버 사고들이다.

해킹은 불과 몇 년 전까지만 해도 일반인이나 기업 전반에 별 영향을 미치지 않는 이례적인 일로 여겨졌다.

국내에서도 2005년 엔씨소프트의 개인정보 유출을 비롯해 2008년 옥션과 GS칼텍스까지 해킹사고가 끊이지 않았지만 피해가 특정 기업에 국한됐고, 발생 빈도도 높지 않아 경각심은 오래가지 못했다.

최고경영자(CEO)를 포함한 경영진 역시 기업의 정보보안은 IT부서 내 전문가들이 `알아서 할 일`이지 결코 자신들의 임무라고 생각지 않았다. 지난 4월 12일 전대 미문의 해킹 사고가 터진 직후 최원병 농협 회장의 발언은 이런 인식을 여실히 보여준다. 최 회장은 "도의적인 차원에서는 잘못이 있겠지만 이런 사고는 내 권한이랑 아무 상관이 없다. 비상임이어서 업무를 잘 모르고 내가 한 것도 없으니까 책임질 것도 없다"며 억울하다는 입장을 표출했다.

그러나 농협 측의 피해는 어마어마하다. 전산 장애를 일으킨 기간에 면제해 준 수수료만 50억원, 여기에다 카드결제 청구 연기로 30억원의 이자가 발생했다. 이미 1990만원을 배상했지만 앞으로 대규모 소송이 이어지면 소비자 피해 배상액은 눈덩이처럼 커질 수 있다. 기업 이미지 훼손으로 인한 피해는 별도다.

지난 4월부터 최근까지 스무 번 가까이 해킹을 당한 소니를 보자. 소니는 사건 보도 이후 주가하락으로 약 21억달러(약 2조2000억원)를 날렸으며 240억달러(약 25조원)의 피해 보상금을 내야 할 것으로 추정된다. 김세현 카이스트(KAIST) 산업시스템공학과 교수는 "이제 기업의 정보보안은 테크놀로지(기술)의 문제가 아니라 경영의 문제"라고 단언했다.

더욱 심각한 것은 사이버 공격은 빛의 속도로 진화하는 반면 기업의 보안 환경은 훨씬 취약해졌다는 사실이다. 오늘날 기업의 정보는 대부분 디지털화돼 컴퓨터에 저장된다. PC가 인터넷에 연결돼 있는 한 해커는 언제든지 기업의 내부를 헤집고 다니거나 `좀비PC`를 만들어 버릴 수 있다.

지난 2009년 7월 7일, 일명 `디도스(DDos)대란`으로 약 11만5044대의 컴퓨터가 자신도 모르는 사이 공격에 동원된 것이 대표적인 예다. 현대경제연구원은 당시 발생한 국가적 손실을 544억원으로 추정했다. 이는 2008년 한 해 풍수 피해액인 580억원과 맞먹는 금액이다.

인터넷 접속방법이 다양해지면서 기업의 내부 인프라스트럭처를 보호하는 벽도 허술해졌다. 기업의 인트라넷은 인터넷이 들어오는 구간에 방화벽이라는 굳건한 대문이 존재하지만 무선랜은 중앙 시스템에 비해 소홀히 관리돼 해커가 침입할 수 있는 뒷문이나 개구멍이 될 수 있다.

사이버 공격의 유형이야말로 종잡을 수 없게 됐다. 과거처럼 단순한 호기심에 그치는 경우도 있지만 경제적 이득을 노린 악성코드, 정치적 목적을 위한 위협, 사회 기반시설 테러로까지 확대되는 양상이다. 일각에서는 `사이버 아마겟돈`, `증권발 금융 대란` 등 해킹으로 인한 사회 재난설까지 대두되고 있다.

이처럼 기업의 정보 보안문제는 이제 기업경영의 핵심으로 부상하고 있다. 보안에 실패하면 막대한 손실은 물론 기업의 생사를 결정할 중대한 경영 요인이 된 셈이다.

데이비드 드왈트 미국 국가안보통신자문위원회(NSTAC) 의장은 "사이버 보안은 기업은 물론 세계 정치 지도자들도 가장 심각하게 생각하는 이슈"라며 "대량 데이터 유출사태를 겪거나 경쟁자에게 지적 자산을 도난당한 기업은 시장에서 영영 재기할 수 없을지도 모른다"고 경고했다.

글로벌 보안업체 맥아피의 CEO이기도 한 그는 "CEO는 물론 최고운영책임자(COO), 최고재무책임자(CFO), 최고홍보책임자(CCO) 등 `C 레벨`경영진이 보안경영에 적극 동참해야 효과를 볼 수 있다"고 강조했다.

매일경제 MBA팀은 최근 보안문제로 고민하는 기업들을 위해 드왈트 의장을 비롯한 국내외 보안 전문가들에게서 기업의 보안경영 전략을 들었다.