'현업-IT 상생'을 위한 기술 위험 접근법

그러나 하이저에 따르면, 불행히도 위험을 개념화 할 방법은 없다. 가트너를 포함해 많은 기업과 단체들이 위험 프로파일과 시나리오를 정립하기 위해 많은 노력을 기울이고 있지만, 이를 정량화할 좋은 방법은 없다.

하이저는 "경쟁사가 특정 연도에 특정 서비스를 통해 기업 데이터에 접근을 할 수 있는 확률이 5%라고 주장하고, 이에 대한 입증 자료로 통계를 제시해 의사결정을 내릴 수 있다. 그러나 그렇다 하더라도 이는 정성적인 결정이다"라고 말했다.

3. 위험과 보상(이익)에 대한 비교분석을 시작한다
새 시스템에 데이터 침해 및 오작동 사고가 초래됐을 때 발생할 수 있는 '나쁜 일'들만 걱정하면, 합리적으로 좋은 의사결정을 내릴 수 없다. 따라서 신기술 도입에 따른 이득과 위험 증가를 비교 분석하고, 신기술을 도입하지 않았을 때 초래될 비즈니스 위험, 기회나 경쟁력 상실 등을 조사하는 것이 현명한 IT 관리 방법이다.

보험 수가 총액이 6억 달러가 넘고 102년의 역사를 보유하고 있는 재산 및 상해 보험 회사인 아메리저 인슈어런스(Amerisure Insurance, 파밍톤 힐스 소재)의 CIO를 지냈으며, 현재는 미시간주 파밍톤 힐스(Farmington Hills)에 본사를 둔 경영 컨설팅 회사인 X 바이 투(X by 2)의 CIO 고문 변호사로 재직 중인 프랭크 피터스마크는 CIO들이 더 정확히 큰 그림을 파악해야 한다고 조언했다.

그는 "기술적인 위험을 비즈니스 측면에서 분석해야 한다. 데이터 침해 사고가 발행해, 고객 관련 정보가 유출됐다면, 고객들은 어떤 생각을 할까? 매출과 이익에는 어떤 영향을 미칠까? 이런 부분들을 분석해야 한다"라고 말했다.

이는 새로운 CIO들이 맡아야 할 역할 가운데 하나다. 그는 "CIO라는 자리는 진화를 거듭했다. 조명이 깜박거리는 방에서 다른 사람들 모르게 일하는 기술자가 CIO 1.0이라 할 수 있다. 그러나 지금은 CIO 6.0 정도의 시대가 됐다. 다른 경영진들과 동등한 입장의 비즈니스 파트너로 발전을 해가고 있는 것이다. 따라서 소속 회사의 비즈니스와 현업 사람들을 알 것을 요구 받는다. 근거는 명백하다. 기술이 구현 요소가 될 수도, 그렇지 않을 수도 있기 때문이다. 현재 회사는 이런 IT 리더를 원한다"라고 설명했다.

4. 기술 위험 프로파일을 개발한다
기업 경영을 책임진 리더는 재무 분야의 전문가와 함께 투자 시 감수할 위험을 판단한다. 어느 정도의 손실을 용인할 수 있는지 결정하는 것이다. 이들은 개인 투자에도 동일한 원칙을 적용할 확률이 높다.

지금은 기술에도 이런 원칙을 적용해야 하는 시기이다. 피터스마크는 IT 책임자가 다른 C레벨(CEO, CIO, CMO 등) 경영진을 찾아가 "조금 더 위험을 감수하면 시장에 더 큰 파장을 불러올 수 있는 방법이 있습니다. 모두 함께 이 방법을 생각해봤으면 합니다. 그리고 시장에 미칠 파급, 비즈니스 측면의 이득, 손실을 분석했으면 합니다"고 말해야 한다고 제안했다.

그는 "현명한 조직이라면 CIO가 로마의 군주처럼 모든 것을 단순히 결정하도록 놔두기보다는 이런 방식을 수용할 것이다"라고 설명했다.

5. 이중성을 수용하는 법을 배운다
하이저는 "클라우드를 수용했다면, '이중성(ambiguity)' 또한 수용해야 한다. 이를 위해서는 성숙한 기업이 되어야 한다"고 말했다.

그는 "의사 결정자가 이런 결정이 '이중성'이 있는 결정이라는 사실을 제대로 이해하고 있다면, 그리고 수용 가능한 수준의 위험을 감수할 수 있다면, 좋은 결정을 내릴 수 있다. 기업은 모호한(이중성이 있는) 결정을 처리할 수 있는 건강한 문화를 조성해야 한다. CIO가 '문제가 발생하면 내 책임이야'라는 생각을 가지면 안 된다"라고 덧붙였다.

또 뭔가 잘못됐을 때 발생할 수 있는 나쁜 사건에 있어서도 이중적인 시각을 가져야 한다. 타깃의 사례가 큰 관심을 끌기는 했지만, 모든 침해 사고가 동일하지는 않기 때문이다. 하이저는 "파악하지 못한 보안 문제가 산재하지만 어찌어찌 굴러가고 있지 않는가?"라고 말했다.

그러나 일부 IT 리더들은 기업 네트워크는 물론 자신의 일자리 보호에 크게 주의를 기울인다. 가능한 최대한 '안전하게' 만들려 노력을 하는 것이다. 하이저는 "수용 가능한 위험이라는 개념 자체가 모순이라고 생각하는 기술자들도 일부 있다. 이들은 완벽주의자들이다"고 말했다. 반대로 기본적인 보안이면 충분하다고 생각하는 이른바 '피그 리퍼(fig leafer)'들도 있다.

그는 "이렇게 상충되는 부분을 관리할 수 있어야 성공적인 기업이 될 수 있다. 문제에 대한 정답은 이런 극단적인 부분의 중간에 위치해 있기 때문이다"라고 말했다.

6. 칭찬과 비난을 나눈다
좋은 결과에 대한 칭찬과 나쁜 결과에 대한 비난을 공평하게 배분하지 않는 것이 위험 관리 방식에 있어 뿌리 깊은 문제 중 하나다. 예를 들어, 비즈니스 부서가 원하는 새로운 클라우드 서비스를 IT가 승인했다고 가정하자. 그리고 이 서비스를 활용한 결과, 매출이나 다른 방식으로 기업의 수익이 증대됐다.

이 경우, 칭찬과 금전적 보상을 받게 되는 부서는 비즈니스 부서일 확률이 높다. 반대로 새로 도입한 시스템 때문에 보안 문제나 다른 문제가 초래됐다면, 비난을 받는 부서는 IT일 것이다.