정보자산 취약점 탐지, 리스크 경보체계 구축에 역점

SK텔레콤(www.sktelecom.com)은 보안 총괄부서인 인력관리실에서 전사 차원의 보안전략 및 기획업무, 보안규정과 정책수립 업무를 수행하고 있으며, IT보안 업무는 IT보안팀이, 그리고 마케팅·네트워크 본부 등 각 본부별로는 보안파트 단위로 보안책임자와 담당자를 지정해 업무를 수행토록 하는 보안조직체계를 구축하고 있다.   

현재 인력관리실 보안파트에서는 전사의 보안업무를 총괄하고 있는 성상현 파트장을 포함한 4명의 전담인력이 각각 보안제도 및 규정 수립업무, 보안 시스템 구축·운용과 취약점 발굴·개선 업무, 그리고 국가보안 업무 등을 담당하고 있다. 이와 관련 성상현 파트장은 “본사 보안조직은 최대한 슬림화하고, 세부적인 보안업무는 각 본부·부서의 보안파트에서 자율적으로 수행할 수 있는 체제를 갖췄다”고 말했다.

이는 본사 보안조직이 비대해질 경우 업무의 효율성이 떨어지고, 권위주의적으로 흐를 우려를 차단하기 위해서라는 설명이다. 하지만 “회사의 사업 분야가 다각화되고, 해외진출이 활발해지면서 해당부문의 보안업무를 담당할 인력은 지속적으로 충원할 계획”이라고 성 파트장은 덧붙였다.     

보안업무도 부서 간 경쟁체제로...

SK텔레콤 인력관리실 보안파트에서 수행하는 보안업무 가운데 가장 역점을 두는 부분은 보안조직정비, 임직원 보안마인드 제고, IT보안 인프라 확충, 시스템 보안강화 등 4가지에 초점에 맞춰 진행하고 있는 관리적 보안활동이다. 특히 지난 2002년부터 SK텔레콤에서 추진하고 있는 기업문화 혁신 프로젝트의 주요과제 중 하나로 구성원의 보안마인드 향상이 포함되면서 이를 위한 다양한 프로그램을 마련해 시행하고 있다.

성상현 파트장에 따르면 “매월 셋째 주 목요일을 보안점검의 날로 지정, 보안상태 점검 및 개선활동이 지속적으로 이뤄질 수 있도록 하고, 관련영상물을 제작해 사내방송과 각 부서에 배포하는 방법으로 사내보안의 중요성을 집중 홍보하고 있다”는 설명이다. 또한 “인력관리실 보안파트의 담당자들이 지난해 5월부터 전국의 마케팅본부와 네트워크 본부를 순회하면서 집중적인 보안교육을 실시했다”고 전했다. 

분기별 보안 설문조사 실시...효과 만점

이러한 관리적 보안활동 가운데 성 파트장은 “매분기별로 보안에 관한 설문조사를 실시해 가장 높은 효과를 거뒀다”며 이를 성공사례로 꼽았다. 설문조사를 통해 임직원들의 보안마인드 변화정도를 측정, 그 결과를 경영진은 물론 각 부서에 피드백 함으로써 부서 간 상호경쟁을 이끌어냈고, 이로 인해 사내의 전반적인 보안수준 향상에 크게 기여할 수 있었다는 평가다.     

“고객정보보호...관련 업무중 최우선 과제”     

인력관리실 보안파트에서 수행하는 보안업무 중 실질적으로 가장 많은 비용을 투자하고 있는 물리적 보안업무는 교환실과 전송실을 통칭하는 교환국사 및 전산실의 출입보안을 강화하는 부문에 초점을 맞췄다. 국내 최대 이동통신업체인 SK텔레콤 교환국사와 전산실은 국가중요시설에 해당된다.

이에 정문에서부터 각층 사무실에 이르기까지 ID 카드와 생체인식 시스템, CCTV 카메라, 각종 감지기 등 첨단보안 시스템을 구축·운영하고 있으며, 출입보안 등급을 별도로 지정해 출입자를 엄격히 통제하고 있다. 또한, 고객접점 부서인 영업센터와 지점에도 출입통제 시스템과 무인전자경비 시스템을, 그리고 무인기지국에는 원격감시 시스템을 구축해 비인가자의 출입을 엄격히 제한하고 있다.       

마지막으로, 기술적 보안업무에는 업무영역별 주관부서를 지정해 고객정보 보호체계 수립, 네트워크 보안정책, 주요통신망 운용 및 긴급복구계획을 수립·운영하는 일을 포함한다. 이와 관련 성상현 파트장은 “기술적 보안은 정보 시스템 보안관리 부서인 IT보안팀을 중심으로 추진되며, 무엇보다 고객정보 보호에 최우선목표를 두고 있다”고 말한다.

이를 위해 IT보안팀에서는 정보 시스템 보호 및 취약점 분석업무와 함께 온라인과 모바일 환경에서의 침해사고 예방업무에 적극 나서고 있으며, PC 보안을 위해 DRM 등 각종 보안 솔루션을 도입했다는 설명이다.

특히, IT보안팀에서는 고객정보의 유출을 원천적으로 차단하기 위해 고객정보의 열람 권한을 설정하고, 외부유출 방지 시스템을 구축했으며, 침해사고대응센터(CERT)를 24시간 운영하는 상시보안관리체계를 유지하고 있다. 이러한 노력 덕택에 지난해 9월에는 IT보안을 체계적으로 수립·이행하는지를 평가해 인증을 부여하는 제도인 ISMS(Information Security Ma-nagement System)를 통신업계 최초로 획득하기도 했다.

CoP 제도, 보안활동의 붐 조성에 기여   

이렇듯 본사 인력관리실 보안파트와 IT보안팀 그리고 각 부서 보안담당자와의 유기적인 협력관계를 바탕으로 관리적·물리적·기술적 보안업무를 수행하고 있는 SK텔레콤의 보안체계에 있어 또 한 가지 주목할 만한 특징은 바로 보안 분야 CoP(Com- munication of Practice) 제도의 활성화에 있다.

“회사의 지식경영 활동 툴인 CoP에 300여명에 이르는 보안전담인력과 보안책임자들이 참여, 자발적으로 학습하고 새로운 모델을 연구하면서 CoP 전문가그룹으로 성장해가고 있다는 사실이다. 이러한 활동들이 유·무형의 회사 정보자산 보호와 참여인원 확대를 통한 전사 보안활동의 붐 조성에 지대한 역할을 하고 있다는 게 성 파트장의 설명이다.

SK텔레콤에서는 정보자산의 취약점과 위협을 자동 탐지할 수 있는 리스크 경보체계를 구축하는데 향후 보안업무에 역점을 둘 계획이다. 이렇듯 보안강화 정책을 지속적으로 추진해 나감으로써 SK텔레콤은 대한민국을 새롭게 만들겠다는 자사의 광고카피처럼 보안도 새롭게 만들어나가고 있다.

Interview

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

성 상 현 SK텔레콤 인력관리실보안파트장,

 

“리스크 경보체계 구축에 적극 나설 것” 

국내 최대의 이동통신업체로서 보안업무에 있어 가장 중점을 두는 부분이 있다면.

국내 이동통신 분야의 선두업체로서 신규사업 창출과 관련된 정보자산의 보호와 고객정보 보호에 역점을 두고 보안업무를 수행하고 있다. 무엇보다 고객정보 보호를 위해 고객정보관리를 강화하고, 위치확인 서비스 등에 있어 더욱 철저한 보안대책을 강구하고 있으며, 고객접점부서의 직원들을 대상으로 한 보안교육을 강화하고 있다.  

SK텔레콤에서 기업기밀보호를 위해 시행하고 있는 인력보안 대책에는 무엇이 있나.

아무리 좋은 시설, 기술을 도입해도 결국 임직원 개개인이 우리 회사의 정보자산을 지켜나겠다는 의지가 없다면 모든 게 무용지물이 된다. 보안전문가들은 ‘보안은 사슬과 같다’는 표현을 쓰기도 한다. 이는 보안이 사슬의 가장 약한 고리만큼 취약하다는 뜻이며, 보안을 이루는 사슬의 가장 약한 고리는 사람이라고 할 수 있다.

이렇듯 가장 중요한 인력보안을 위해 회사에서는 신입사원들에게 고용계약 시 기업비밀보호 서약을 받고 있으며, 이와 별도로 윤리경영 측면에서 회사재산 및 정보보호 서약을 한 번 더 하도록 함으로써 기업보안의 중요성을 입사 시부터 환기시키고 있다. 또한, 협력업체와의 계약체결 시에도 비밀보호 서약서를 받도록 규정돼 있다. 무엇보다 구성원의 보안마인드 향상을 위해 순회교육 및 홍보활동을 강화하고 있으며, 온라인을 통한 보안교육을 주기적으로 실시하고 있다.  

직원들에 대한 보안교육 시 어떤 점을 강조하고 있나.

직원들에게 뚜렷한 기업관과 주인의식을 가질 것을 당부하고 있다. 이 바탕 위에서 자율보안 체계가 구축될 수 있다고 믿기 때문이다. 우리 회사는 30여개의 본부 단위로 각각 보안책임자와 담당자가 지정돼 있다. 이들을 중심으로 자율보안체계가 자리 잡을 수 있도록 연 2회 워크숍을 개최하고 있으며, 이들에 대한 보안교육에 만전을 기하고 있다.   

보안책임자로서 지금까지의 수행업무에 대해 평가한다면.

약 7년간 회사의 보안업무를 수행하면서 감시나 통제보다는 교육과 예방활동을 통해 구성원들이 보안에 쉽게 다가서고, 각 부서와 직원 간 서로 논의할 수 있는 환경을 만들었다는 점을 큰 보람으로 느끼고 있다. 수시로 부서나 현장을 방문해 문제점을 공유하고, 이를 스스로 분석할 수 있게 방향을 제시했으며, 평가 제도를 도입해 우수부서를 포상하는 등 동기부여를 함으로써 자발적인 보안체계를 구축할 수 있도록 했다는 점에서 긍정적으로 평가하고 싶다.     

보안업무의 향후 추진방향에 대해 설명한다면.

지금도 그래왔지만 향후에도 정보보안 관리체계를 지속적으로 개선시키는 일에 만전을 기할 생각이다. 이의 일환으로 부문별·자산별로 리스크를 산출해 이를 지표화하고, 단계별 대응체계를 마련할 수 있는 리스크 경보체계를 구축할 예정이다.

[권준 기자(joon@infothe.com)]

 

           <저작권자: 보안뉴스(www.boannews.com). 무단전재-재배포금지>