2015.03.27

가트너 기고 | 정보 보안, 어느 정도의 수준이 적절한가

Rob MacMilan | CIO KR
적절한 수준의 정보 보안을 제공하는 것은 기업과 정부의 의무다. 하지만 정보 보안 의무가 적절하게 다뤄지고 있는지 여부와 그 평가 기준은 규정하기 어렵다.

오늘날 법조계에서는 최고정보책임자(CIO: Chief Information Officer)나 정보보호최고책임자(CISO: Chief Information Security Officer)가 충분한 주의를 기울였는지에 대한 정성적, 정량적 기준을 찾고 있다. 가트너는 기술과 비즈니스가 복잡해지기 때문에 2020년까지는 어떤 법으로도 적절한 수준의 정보 보안을 규정할 수 없을 것으로 보고 있다.

실무자 입장에서 ‘적절한’ 조치라는 개념은 부정확할 뿐더러 때와 상황에 따라 의미가 달라지는 개념이다. 업계 표준을 만족시키고 제3자 감사를 통과한다면 파장을 완화 할 수는 있겠지만 이것이 합리적인 조치를 완전히 대신할 수는 없다.

결론적으로 기업이 적합한 수준의 보안을 규정하기 위해서는 각자 처한 상황을 평가하고 여러 요인을 고려해야 한다.

규제 준수보다 위험 관리에 집중하라
적절한 수준의 보안을 법으로 규정하지 않는 이유는 3가지다. 먼저, 모든 사례와 산업, 기업에 적용되는 솔루션을 제공하는 것이 불가능하고 기술이 빠르게 발전하기 때문이다.

다음으로 보안을 위협하는 환경이 매우 빠르게 변하기 때문에 ‘적합한’ 수준의 보안을 규정하는 것은 일시적일 수 밖에 없다.

마지막으로, 기업별로 보안 위협에 대한 인식이 다르며 이는 기업 문화, 비즈니스 전략과 직접적인 관련이 있다.

일반적인 기준 없이 적절한 보안을 정의하기는 어렵다. 그런데 안타깝게도 시장은 보안과 관련된 다양한 기준들로 매우 혼란스럽다.

미국국립표준기술연구소(U.S. National Institute of Standards and Technology)와 같은 정부 부처는 정부나 상업 부문에서 활용되는 보안 기준을 만든다. 웹 서비스 보안과 같은 기술 기준, 클라우드 컴퓨팅과 같은 신기술에 대한 신규 기준과 가이드라인도 있다. 국제표준화기구(IOS: International Organization for Standardisation)와 국제전자기술위원회(IEC: International Electrotechnical Commission)에서 제정한 ISO/IEC 27001:2013은 일련의 규제뿐만 아니라 상황별 맞춤형 정보 보안 관리 프로그램 개발을 위한 가이드를 제공한다.

여기서 핵심은 이러한 가이드들이 말 그대로 참고용이라는 것이다. 가이드를 준수해야 하지만 잘 따르는 것 만으로는 충분하지 않다. 마찬가지로 표준 인증을 획득해야 하지만 그 자체로는 충분하지 않다.

강력한 보안 프로그램은 효과적으로 보안 위협에 대응할 수 있어야 한다. 규제당국과 감사관이 감시하는 것은 궁극적으로 이 과정이 효과적으로 이뤄지고 있는지 여부다.

보안 위협 평가 방법
모든 기업과 정부 기관은 보안 위협이 내⋅외부적으로 가져올 잠재적 피해에 대한 포괄적인 평가를 실시하고 적합한 절차를 통해 허용할 수 있는 보안 위협 수준으로 낮춰야 한다.

명심해야 할 점은 보안 위협 신고서와 같은 형식의 프로파일을 최대한 구체적으로 작성해야 한다는 것이다. 프로파일을 작성하지 않은 상태에서 치명적인 보안 유출 사고가 발생한다면 정보 보안 책임자는 과실에 대한 책임을 면할 수 없게 된다.

일반적으로 어떠한 과실이 발생하면 개별적 요소로 구성된 명확한 구조가 뒤따른다. 이는 관련 전문지식을 가진 법무팀의 소관이지만 IT와 보안 담당자도 기업의 보안 위협 대응이 외부에서 어떻게 평가되고 있는 지에 대해 파악해야 한다. 정보 보안 담당자가 고려해야 할 점은 다음과 같다.

1. 보안 사고로 인해 발생할 수 있는 조직 내⋅외부 피해를 모두 고려해야 한다.

2. 잠재적 보안 위협을 파악해서 어떻게 작용하고, 어떤 결과가 발생할지 모델링 해야 한다.

3. 예측 가능한 보안 사고인지 고려해야 한다.

4. 처리 비용이 보안 위협이 초래할 결과보다 더 큰지 확인해야 한다.

가트너 조사에 따르면 기업은 평균적으로 IT 예산의 3-7%를 정보 보안에 지출한다고 한다. 기업이 향후에 정보 보안 지출을 더 늘리거나 줄여야 하는 경우에는 적절한 수준의 지출을 하고 있는지 파악해야 한다. 이를 위해서는 자사의 보안 프로파일을 검토하고 다른 비슷한 기업의 정보 보안 지출 비용과 비교해야 한다.

무엇보다도 적절한 수준의 보안에 대한 정의가 앞으로도 달라질 것이기 때문에 정기적인 재평가가 이루어져야 한다. 기술과 업계 관행, 대중의 기대치는 변화할 것이다. 외부의 기대가 시간이 지나면서 변화한다는 인식을 갖고 이러한 변화에 대응해야 한다.

* Rob McMilan은 가트너 책임연구원이다. ciokr@idg.co.kr 



2015.03.27

가트너 기고 | 정보 보안, 어느 정도의 수준이 적절한가

Rob MacMilan | CIO KR
적절한 수준의 정보 보안을 제공하는 것은 기업과 정부의 의무다. 하지만 정보 보안 의무가 적절하게 다뤄지고 있는지 여부와 그 평가 기준은 규정하기 어렵다.

오늘날 법조계에서는 최고정보책임자(CIO: Chief Information Officer)나 정보보호최고책임자(CISO: Chief Information Security Officer)가 충분한 주의를 기울였는지에 대한 정성적, 정량적 기준을 찾고 있다. 가트너는 기술과 비즈니스가 복잡해지기 때문에 2020년까지는 어떤 법으로도 적절한 수준의 정보 보안을 규정할 수 없을 것으로 보고 있다.

실무자 입장에서 ‘적절한’ 조치라는 개념은 부정확할 뿐더러 때와 상황에 따라 의미가 달라지는 개념이다. 업계 표준을 만족시키고 제3자 감사를 통과한다면 파장을 완화 할 수는 있겠지만 이것이 합리적인 조치를 완전히 대신할 수는 없다.

결론적으로 기업이 적합한 수준의 보안을 규정하기 위해서는 각자 처한 상황을 평가하고 여러 요인을 고려해야 한다.

규제 준수보다 위험 관리에 집중하라
적절한 수준의 보안을 법으로 규정하지 않는 이유는 3가지다. 먼저, 모든 사례와 산업, 기업에 적용되는 솔루션을 제공하는 것이 불가능하고 기술이 빠르게 발전하기 때문이다.

다음으로 보안을 위협하는 환경이 매우 빠르게 변하기 때문에 ‘적합한’ 수준의 보안을 규정하는 것은 일시적일 수 밖에 없다.

마지막으로, 기업별로 보안 위협에 대한 인식이 다르며 이는 기업 문화, 비즈니스 전략과 직접적인 관련이 있다.

일반적인 기준 없이 적절한 보안을 정의하기는 어렵다. 그런데 안타깝게도 시장은 보안과 관련된 다양한 기준들로 매우 혼란스럽다.

미국국립표준기술연구소(U.S. National Institute of Standards and Technology)와 같은 정부 부처는 정부나 상업 부문에서 활용되는 보안 기준을 만든다. 웹 서비스 보안과 같은 기술 기준, 클라우드 컴퓨팅과 같은 신기술에 대한 신규 기준과 가이드라인도 있다. 국제표준화기구(IOS: International Organization for Standardisation)와 국제전자기술위원회(IEC: International Electrotechnical Commission)에서 제정한 ISO/IEC 27001:2013은 일련의 규제뿐만 아니라 상황별 맞춤형 정보 보안 관리 프로그램 개발을 위한 가이드를 제공한다.

여기서 핵심은 이러한 가이드들이 말 그대로 참고용이라는 것이다. 가이드를 준수해야 하지만 잘 따르는 것 만으로는 충분하지 않다. 마찬가지로 표준 인증을 획득해야 하지만 그 자체로는 충분하지 않다.

강력한 보안 프로그램은 효과적으로 보안 위협에 대응할 수 있어야 한다. 규제당국과 감사관이 감시하는 것은 궁극적으로 이 과정이 효과적으로 이뤄지고 있는지 여부다.

보안 위협 평가 방법
모든 기업과 정부 기관은 보안 위협이 내⋅외부적으로 가져올 잠재적 피해에 대한 포괄적인 평가를 실시하고 적합한 절차를 통해 허용할 수 있는 보안 위협 수준으로 낮춰야 한다.

명심해야 할 점은 보안 위협 신고서와 같은 형식의 프로파일을 최대한 구체적으로 작성해야 한다는 것이다. 프로파일을 작성하지 않은 상태에서 치명적인 보안 유출 사고가 발생한다면 정보 보안 책임자는 과실에 대한 책임을 면할 수 없게 된다.

일반적으로 어떠한 과실이 발생하면 개별적 요소로 구성된 명확한 구조가 뒤따른다. 이는 관련 전문지식을 가진 법무팀의 소관이지만 IT와 보안 담당자도 기업의 보안 위협 대응이 외부에서 어떻게 평가되고 있는 지에 대해 파악해야 한다. 정보 보안 담당자가 고려해야 할 점은 다음과 같다.

1. 보안 사고로 인해 발생할 수 있는 조직 내⋅외부 피해를 모두 고려해야 한다.

2. 잠재적 보안 위협을 파악해서 어떻게 작용하고, 어떤 결과가 발생할지 모델링 해야 한다.

3. 예측 가능한 보안 사고인지 고려해야 한다.

4. 처리 비용이 보안 위협이 초래할 결과보다 더 큰지 확인해야 한다.

가트너 조사에 따르면 기업은 평균적으로 IT 예산의 3-7%를 정보 보안에 지출한다고 한다. 기업이 향후에 정보 보안 지출을 더 늘리거나 줄여야 하는 경우에는 적절한 수준의 지출을 하고 있는지 파악해야 한다. 이를 위해서는 자사의 보안 프로파일을 검토하고 다른 비슷한 기업의 정보 보안 지출 비용과 비교해야 한다.

무엇보다도 적절한 수준의 보안에 대한 정의가 앞으로도 달라질 것이기 때문에 정기적인 재평가가 이루어져야 한다. 기술과 업계 관행, 대중의 기대치는 변화할 것이다. 외부의 기대가 시간이 지나면서 변화한다는 인식을 갖고 이러한 변화에 대응해야 한다.

* Rob McMilan은 가트너 책임연구원이다. ciokr@idg.co.kr 

X