중소기업청에서는 보안관제센터를 구축해 네트워크상에서 발생하는 기업에 대한 보안침해 시도를 모니터링한 후 이에 대한 대응방안을 마련해 중소기업에게 제공한다는 계획이다. 세부사항을 보면 첫째, 침해사고 이상징후 감시 및 대응과 실시간 보안 이벤트 모니터링 및 분석, 시스템 장애 탐지 등을 주된 내용으로 하는 ‘보안 모니터링’, 둘째, 보안 취약점 수집 및 전파와 주요 시스템 취약점 진단 및 이행지원, 이행여부에 대한 사후관리를 내용으로 하는 ‘보안진단 및 취약점 분석’, 셋째, 보안사고 상황 전파 및 분석과 원인분석 및 대응방법 수립, 사고예방을 위한 재발 방지대책 수립을 주요 내용으로 하는 ‘보안사고 대응조치’, 그리고 넷째는 통합 로그분석 시스템을 이용한 로그수집, 로그분석을 통한 위협 분석 및 예방을 내용으로 하는 ‘침해사고 분석’으로 구성되어 있다.

올해부터 약 250개 기업을 대상으로 서비스를 시작해 2015년까지 대상기업을 5천여 개로 늘리겠다는 게 중기청과 협회의 목표다. 또한, 매년 25억 원의 예산을 투입해 산업기밀 추적 및 관리 서비스, 지역·분야별 관제센터와 유기적 연계체계 수립, 융합보안 관제체계 구축 등 서비스를 고도화할 계획이라고 밝혔다. 특히, 그간 침해사고가 단발적·분산적으로 발생했기 때문에 종합적인 정보 분석이 힘들었지만, 이번 통합관제 서비스로 물리적 보안영역 중 네트워크를 통한 침해유형과 빈도 등에 대한 종합적 분석이 가능해 산업기술보호를 위한 정책 및 기술의 개발에 기여할 것으로 기대된다.

그러나 중소기업 보안관제 서비스를 법률적 관점에서 볼 때는 앞서의 긍정적인 기대효과 못지않게 몇몇 문제점도 예견되는 게 사실이다. 최근 발생한 현대캐피탈과 농협의 해킹사건에서 보듯이 날로 발전하는 해킹 기술에 얼마나 적절하게 대응할 수 있는지, 침해사고가 발생했을 경우 관제 시스템 운영주체의 책임은 어디까지인지, 내부자에 의한 침해사고에 대한 대응책은 있는지, 관제 시스템 운영주체를 과연 신뢰할 수 있을 것인지, 관제 시스템이 고도화되어 내부자에 대한 모니터링까지 가능해질 경우 과연 임직원의 프라이버시 문제와 어떻게 조화를 이룰 것인지 등의 다양한 문제가 부각될 수 있기 때문이다. 중소기업 보안관제 서비스가 앞서 제기한 문제점에 대한 충분한 검토와 대안 마련의 과정을 거쳐 시행됨으로써 중소기업의 보안침해와 위협을 효과적으로 방어해 줄 수 있는 수단이 되기를 기원한다.

<글 : 남 상 봉 법무법인 명문 변호사(sbnam63@gmail.com)>

[월간 시큐리티월드 통권 제174호(sw@infothe.com)]

<저작권자 : 시큐리티월드(www.securityworldmag.co.kr) 무단전재-재배포금지>