현을생 서귀포 시장 “정보보호에서 가장 중요한 것은 ‘보안문화’”

[보안뉴스 김성미] ‘제14회 K-ICT 정보보호대상’ 시상식이 9일 서울 여의도 전경련 회관에서 열렸다. 이날 서귀포시는 단체부문에서 우수상을 수상했다.

서귀포시가 정보보호활동 모범사례를 정착시킨 지방자치단체라는 평가를 얻은 결과다. 현을생 서귀포시장에게 서귀포시만의 정보보호 철학과 방법에 대해 들어봤다.

Q. K-ICT 정보보호대상 우수상 수상을 축하드립니다.
이번 수상은 서귀포시청 전 구성원이 그동안 정보보호의 중요성을 인식하고 노력한 결과라고 생각합니다. 앞으로도 서귀포시는 지자체로서의 책임감을 갖고 편안하고 안전한 전자정부 대민서비스와 질 높은 공공정보 서비스를 제공할 수 있도록 최선을 다하겠습니다.

Q. 이번 수상 내용에 대해 소개 부탁드립니다.
저희 서귀포시는 형식적이지 않고 실제적인 보안이 가능하도록 하는데 노력을 기울여 왔습니다.

이를 위해 전사적인 ISMS(정보보호관리체계) 유지·개선 및 정보보호활동을 적극적으로 수행해 왔으며, 전 직원을 대상으로 정보보호 인식 제고를 위한 체계적인 관리 강화 노력을 기울였습니다.

또한, 신규 도입되거나 개편되는 시스템과 서비스에 대해 계획 단계부터 완료단계까지 보안성 점검을 실시하고 취약점 제거를 의무화하는 등 정보보호를 위해 부단한 노력을 기울여 왔습니다.

Q. 서귀포시의 정보보호 철학에 대해 말씀해 주십시오.
정보보호에 있어 가장 중요한 것은 정보보호 마인드와 보안문화라고 생각합니다. 강력한 시스템과 규제가 아닙니다.

저희 시는 조직 구성원이 개인정보의 소중함과 정보보호의 중요성을 알고 자발적으로 보호에 참여할 수 있도록 스스로 변화하는 것이 무엇보다 중요하다고 보고 있습니다. 이에 조직원의 개인정보보호 인식 제고에 힘을 쏟고 있습니다.


Q. 정보보호 인식 제고와 보안문화 정착을 위해 서귀포시는 어떤 활동을 해왔습니까.
매년 해킹과 개인정보 유출사고 등 사이버 위협이 증가함에 따라 전 조직원이 보안인식을 제고함으로써 안전하고 신뢰도 높은 대민서비스를 제공하고자 전사적으로 체계적인 정보보호관리 체계 확립을 강화하는 한편, 2014년부터 정보보호 성과관리제(BSC)를 도입해 운영해 오고 있습니다.

Q. BSC에 대해 자세한 설명을 듣고 싶습니다.
전 조직 구성원 모두에게 보안활동 지침을 주고 이에 대한 성과관리가 전사적으로 이뤄져야 바람직하다고 보고, ISMS를 토대로 지표와 정책을 수립해 운영하는 BSC를 도입했습니다.

BSC는 부서별 평가로 이뤄지며, 부서마다 정보보호 담당자가 한명씩 지정돼 정보보호 업무를 20% 이상 겸직하도록 하고 있습니다.

또한 △부서별 자체 정보보호 활동 △개인별 정보보호 수준 진단 △연간 교육 의무 이수 등 3개 영역으로 나눠 30개 세부항목을 월단위로 평가해 연말에 종합 환산한 후 점수화하고 있습니다.

개인과 부서의 성적에 따라 상위 10% 부서에는 인센티브가 제공되고 하위 10% 부서에는 평가수준을 공개함으로써 선의의 경쟁을 유도하고 있습니다. 그 결과 올해 전반적인 보안수준이 90% 선(지난해 75%)까지 향상됐습니다.

내년에 더 세분화해 노력을 기울이면 94% 수준에 다다를 것으로 내다보고 있습니다. 이밖에도 정보보호 아카데미와 연간 교육 의무 이수제도를 운영하고 있습니다.


Q. 또 다른 노력도 있을 것 같습니다.
서귀포시는 종합 정보보호관리체계를 확립하고 이를 수행해 오고 있습니다. 이를 위해 ISMS 인증을 확득했으며, 전자정부 정보보호 컨설팅(행정자치부)·개인정보보호 컨설팅(한국인터넷진흥원) 등 규격화되고 공인된 활동을 하고 있습니다.

이에 따라 ISMS 3개 분야 104개 통제항목별 운영활동 전개와 피드백을 통한 주기적인 개선 노력을 기울여 온 결과 ISMS 우수기관(2012년)으로도 선정됐습니다.

아울러 정보처리시스템 도입과 개편시에는 개통 전까지 보안취약점 점검과 제거활동을 완료하는 것을 의무화하고 있습니다.

또한, 안전한 개인정보보호를 위해 매년 1회이상 도-행정시 합동 모의훈련을 실시하고 있으며, 자체적으로도 2014년부터 모의침투 및 재해복구 훈련을 실시하고 있습니다.

Q. 끝으로 2016년도 계획과 중점 추진 사업에 대해서 말씀부탁드립니다.
서귀포시는 올해 개인정보보호 및 정보보호관리체계 구축 사업 등 4개 분야 24개 사업에 36억원을 투입해 이를 통한 지역경제 활성화, 개방과 공유를 통한 주민 소통 강화, 각종 행정정보서비스 개선을 위한 다양한 정보화사업을 적극 추진할 계획입니다.

아울러 시청 직원들은 물론 시민들의 개인정보 인식 개선을 위해 시민대상 정보보호 캠페인과 개인정보보호 교육을 확대 실시하고, 직원 대상 맞춤형 정보보호 교육, 찾아가는 정보보호 컨설팅 지원단 운영등 다양한 정보보호 활동을 지속해 나갈 계획입니다.
[김성미 기자(sw@infothe.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>