[보안, 해법은 투자다-5 끝]기업 정보보호책임자 필수

기업 전반에 걸친 보안 위협에 대응할 수 있는 보안담당자가 없어 해킹 피해를 부추긴다는 지적이 일고 있다. 국내 대부분의 기업들이 정보보호문제를 책임지고 관리하는 전문임원을 두지 않아 해킹 사고에 무방비일 수 밖에 없다는 것.

최근 오픈마켓, 기업 사이트, 공공기관 등 민간·공공분야를 막론하고 해킹의 표적이 되고 있다. 하지만 이들 업체 역시 정보보호를 전담 관리하는 담당자를 두지 않아 해킹 사고후, 상당한 혼란을 겪었던 것으로 드러났다. 주먹구구식 보안정책 수립 뿐만 아니라 보안 사고 발생후 책임 소재 논란도 끊이지 않고 있다.

해킹을 당한 기업이 뒤늦게 부랴부랴 정보보호전담 조직을 신설하고, 정보보호책임자(CSO)를 배치했지만, 이미 상당한 정보를 유출시킨 뒤라 '소잃고 외양간 고친 격'이 돼버린 경우도 있다.

국정원 사이버안전센터 관계자는 "전사적으로 보안 대책을 수립하고, 고객 정보 등 기업의 주요 자산이 침해당하지 않도록 정책을 마련·관리하는 일이 시급하지만, 대부분의 기업·기관에서 중요성을 인식하지 못하고 간과하는 경우가 많다"고 지적했다.

◆기업 100곳중 6곳만 CSO 임명

최근 정보(IT)기술의 발달로 해킹 등 각종 보안위협이 증가한 데다 내부정보유출 사고가 빗발치고 있지만, 이를 책임지고 관리할 담당자를 별도로 두고 있는 사업체는 극소수에 불과한 것으로 조사됐다.

실제 한국정보보호진흥원(KISA)이 2007년 기업 정보보호실태 조사를 실시한 결과, 국내 민간기업의 CSO 임명비율은 전체 6.4%였다. 기업 100곳중 6곳만이 CSO를 두고 있는 것.

중소규모 사업체의 사정은 더욱 열악하다. KISA가 2007년 CSO가 없는 사업체를 대상으로 정보보호 업무 담당자가 있는지 여부를 조사한 결과, '없다'고 응답한 사업체가 35.4%를 차지했다. 3개중 1개 기업이 정보보호담당자 자체를 두고 있지 않은 것으로 나타났다.

설사 정보보호담당자가 있더라도 총무과, 정보관리책임자(CIO) 등을 겸임하는 경우가 다반사였으며, 심지어 대표이사가 정보보호책임자를 맡는 사례도 있었다.

IBM, 마이크로소프트(MS) 등 글로벌 IT기업이 이미 2000년대 초반 CSO 제도를 도입하고, 구글·애플 등의 기업이 최고 보안전문가를 영입해 보안을 강화하는 것과는 천지차이다.

한국침해사고대응팀협의회 심상현 사무국장은 "상당수의 기업이 IT관련 부서에서 정보보호를 담당하고 있지만, 정보보호 업무와 기존 IT업무는 성격이 상이한 측면이 있다"며 "검증된 보안전문가를 영입, 민간·공공 모두 보안 정책을 수립하고 사고에 대비할 수 있도록 하는 것이 시급하다"고 말했다.

◆"개인정보보호법, 보안의식 높이는 촉매제"

개인정보보호책임자(CPO)에 대한 인식 역시 낮기는 마찬가지. 2006년 12월 웹사이트를 통해 개인정보를 수집·관리하고 있는 사업체 중 CPO를 임명한 사업체는 34.1%에 불과한 것으로 조사됐다.

또 국내에서는 정보보호책임자(CSO)와 개인정보보호책임자(CPO)에 대한 명칭조차 생소하게 받아들이는 경우가 많은 것으로 나타났다.

정태명 한국CPO포럼 회장은 "CSO가 기업 전반에 대한 정보보호체계를 관리한다면, CPO는 고객의 개인정보를 보호하는 역할"이라며 "최근 인터넷 등을 통해 개인정보가 유출되는 사례가 급증, CPO의 역할이 부각되고 있다"고 말했다.

최근 민간·공공분야 모두 정보보호에 대한 중요성이 커지면서 장기간 국회에서 잠을 자던 개인정보보호법이 연내 제정을 목표로 추진되고 있다. 관련업계는 개인정보보호법이 시행되면, 기업들의 개인정보보호 수준이 한층 강화될 것으로 전망하고 있다.

개인정보보호법(안)에 따르면 기업은 개인정보의 안전한 처리를 위한 기술적·관리적 보호조치를 의무화하며, 개인정보 유출시 이를 정보주체에게 즉시 통지하고 이에 따른 책임을 져야하기 때문.

행정안전부 개인정보보호과 김기원 서기관은 "공공기관별 CPO 내부점검을 실시해 개인정보관리를 강화하고, 그간 부족했던 개인정보보호 인력에 대한 교육을 의무화할 방침"이라며 "개인정보보호법 제정을 근간으로 정보보호에 대한 인식이 강화될 것으로 기대한다"고 말했다.

서소정 기자의 다른 기사 보기

• '보안'없는 IT인프라는 오히려 '독'

• 방화벽·IPS는 기본 구축해야