기업은 기업환경을 정확히 분석한 후 보안 솔루션 도입을...
보안업체는 공급한 솔루션에 끝까지 책임지는 자세가 필요

2011년 국내 보안시장 매출규모가 1조 4000억원을 넘었다는 발표와 지난해 9월에 시행된 개인정보보호법과 관련하여 DB보안과 서버접근제어 솔루션의 매출이 증가하고 있다는 소식은 보안업무를 수행하는 입장에서 반가운 일이 아닐 수 없다.

보안 솔루션은 사회적 보안이슈 및 사건과 관련해 흐름을 타는 경우가 많다. 예를 들어 저장매체를 통한 자료의 유출로 막대한 금전피해를 입었다면 매체통제 솔루션의 적용이 많아지고, 내부자의 유출로 피해를 입은 것이 이슈화 될 때는 문서보안 솔루션이, 그리고 지금처럼 개인정보보호가 중요해지면 DB보안, 접근제어 솔루션이 각광을 받는다.

모든 솔루션이 각각의 특징이 있고, 해당 보안 분야에 있어 필요한 제품임에는 틀림없지만, 보안 솔루션에 대한 정확한 분석이나 진단 없이 시류에 따라 도입해 유명무실화 되거나 이익을 실현하는 기업에 있어 업무효율성에 영향을 미친다면 조금은 고려해볼 여지가 있지 않을까?

이와 관련해 보안실무를 담당하고 있는 입장에서 기업과 보안업체에 바라는 점을 언급하고자 한다.

우선 기업의 경우 어떤 보안 솔루션을 도입하기 이전에 먼저 자사에 대한 명확한 보안진단을 수행할 필요가 있다. 환자가 병원에 가면 의사는 환자의 상태를 물어본 후 여러 가지 검사를 하고, 진단을 내려 치료방법을 제시하는 것과 비슷하다.

막연히 다른 기업도 이런 문제가 있어 이런 보안 솔루션을 도입했으니 우리도 한번 해볼까 하는 식의 접근은 지양해야 한다. 이렇게 도입한 솔루션은 임직원의 동의도 얻지 못할뿐더러 업무효율을 저하시킬 가능성이 농후하다.

따라서 기업은 먼저 자사의 정보자산에 대한 분석이 이루어져야 한다. 우리 회사의 중요자료가 어디에 무엇이 있는지, 어떤 자료를 보호해야 하는지, 운영·관리할 인력은 충분히 있는지, 중요한 시스템은 무엇인지, 그에 따른 취약점과 감수해야 할 문제가 무엇인지부터 정확히 파악해야 하는 것이다. 또한, 취약점을 보완하기 위해 도입해야 하는 보안 솔루션이 업무에 어떤 영향을 미치고 그에 따른 리스크는 무엇인지, 여기서 도출되는 문제점은 어떻게 해결할 건지 등의 분석이 이루어져야 하는 것이다.

이를 통해 기업의 보안전담인력 뿐만 아니라 해당 부서의 임직원들이 모두 의논해서 보안솔루션의 도입과 적용범위를 설정해야 한다. 기업실정에 맞지 않는 보안 솔루션을 도입하거나 솔루션의 적용범위나 정책을 잘못 설정하게 되면 도입 후에 많은 시행착오와 비용낭비는 물론 보안업무에 대한 불신만 커지게 되기 때문이다.

이와 함께 보안업체도 자사의 보안 솔루션 고객에 대한 사후 지원에 최선을 다해야 한다.

어떤 보안 솔루션은 도입하고 나면 그 특징으로 인해 해당 기업의 업무에 막대한 영향을 미친다. 서버나 저장매체에 저장해 놓은 자료, 협업관계 고객과의 업무자료 또는 작업 중인 자료 등에 어떤 오류가 발생해서 활용이 원활치 않다고 하면 신속한 조치가 절실해진다.

그럼에도 불구하고 해결요청을 하면 함흥차사인 경우가 많거나 아예 해결하지 못하는 경우도 있다. 이러한 사후지원 문제는 보안시장이 활성화되는 시점에 있어 찬물을 끼얹는 격이라 할 수 있고, 보안 솔루션의 신뢰성도 상실하는 일이다. 유지보수요율이 워낙 낮은 보안업체의 사정도 이해 못할 바는 아니지만 개발해서 판매하는 것보다 향후 유지보수 및 고객지원이 중요하다는 것을 잊지 말아야 할 것이다.

연이은 DDoS 사태 및 농협 사이버테러 사건, 개인정보보호법 시행 등으로 인해 보안에 관심과 인식이 커가는 시점에 있어서 기업은 정확한 보안진단을 통한 보안 솔루션 도입과 정책수립이 이루어지고, 보안업체의 경우 책임 있는 사후지원으로 보안산업 및 보안업무가 한 단계 발전하는 한해가 되길 바란다.

글_김 기 범 한국항공우주산업 보안팀 과장(sharki@koreaaero.com)

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>