"IT보안, 뚫릴 수 있다는 관점에서 접근해야"

보안, 기술적 관점 접근보단 전체 프로세스의 관점에서 봐야
금융당국, 보안 중시 기조 변함 없어…사후 점검 강화할 것

신수정 KT 전무가 IT 보안에 대한 인식 전환이 필요하다고 설명하고 있다. 사진=한국IBM

IT 보안에 대한 인식의 전환이 필요하다는 의견이 나왔다. 보안은 '어떤 공격이든 막아내야 한다'는 생각에서 '뚫릴 수도 있다'는 쪽으로 변화가 필요하다는 것이다.

신수정 KT 정보보호단 전무(CISO)는 지난 24일 열린 한국IBM 솔루션커넥트에서 "공격에 대한 방어라는 관점에서 보안이 뚫릴 수도 있다는 방식으로 인식을 전환해야 한다"고 강조했다.

이는 보안에 대한 위협이 내·외부에 혼재돼 있고, 보안 시스템을 강화해도 그것을 우회할 수 있는 해킹 기술 등이 계속해서 나오고 있기 때문으로 풀이된다.

신 전무는 "IT를 아는 사람들이라면 현재 인프라를 뛰어넘어 우회할 수 있는 방법을 찾아낼 수 있고, 이 방법은 또 다양하게 있을 수 있다"며 "기업이 보안관리 체계 수립 및 자체 위험 평가를 하고, 몇 차례에 걸쳐 기술적인 방어를 하고 있어도 보안사고가 없을 것이라고 장담할 수 없는 이유"라고 설명했다.

또 IT 서비스를 준비하는 기업은 편리성과 보안은 불가분의 관계로 둘 중 하나라도 부족한 회사, 서비스의 경우에는 사용할 수 없단 인식을 가질 필요성도 있다.

신 전무는 "보안이 되면서 편리하지 않으면 쓸 수 없는 것과 마찬가지로, 편리해도 보안이 받쳐주지 못하면 쓸 수 없다"며 "아무리 좋은 회사, 서비스라도 애플이 보안 기술을 일정 수준 확보하지 않은 상황에서 간편결제를 제공했다면 문제가 됐을 것"이라고 말했다.

기업이 금융 사고가 일어나기 전, 보안에 최선을 다했을 경우에는 책임을 묻기보단 사후 보상 및 재발 방지를 할 수 있는 환경을 조성해야 한단 의견도 제시됐다.

조규민 금융보안연구원 본부장은 25일 "보안에 최선을 다했다는 전제 하에, 개인 또는 기업에 책임을 묻는 게 반드시 옳진 않다"며 "보안을 기술적 관점에서만 살펴볼 게 아니라 전체 프로세스의 관점에서 접근할 필요가 있다"고 말했다.

조 본부장은 이어 "기술이라고 해서 언제나 완벽한 것은 아니다"라며 "금융 보안사고 시 피해자에게 적절한 보상을 하고, 회사의 명백한 과실이 아닐 경우 책임 추궁 및 처벌은 지양하는 방향으로 가야 한다"고 덧붙였다.

금융당국은 어떤 서비스든 보안을 중시할 것이며, 이상금융거래탐지시스템(FDS) 도입 등 보안을 강화할 수 있는 방안을 지속적으로 강구할 방침이다.

금융당국 관계자는 "보안 중시 기조는 이어갈 것이며, FDS 등 보안 관련 규격을 도입하는 등 보안 관련 정책은 금융위원회와 금융감독원 등 금융당국이 유기적으로 협의·공조할 것"이라고 밝혔다.

금융당국 다른 관계자 역시 "지난달 27일 발표한 'IT 융합 지원방안'에서 언급한 것처럼 금융보안을 토대로 소비자 보호를 할 계획"이라며 "기업은 제공하는 서비스가 정보보안을 토대로 하지 않을 경우 오래가지 못할 것을 직시해야 하고, 당국은 선진형 보안 규제방식 도입을 통해 사후 점검 및 책임 구분을 명확히 설정할 것"이라고 설명했다.

업계는 보안에 대해 자만하지 않고 지속적으로 확인이 필요하다며 변화하는 서비스 환경에 맞춰 보안도 지속적으로 공유·업그레이드 해나갈 것으로 보인다.

IT업계 관계자는 "IT기술의 특성상 절대적으로 완벽한 보안이란 있을 수 없다"며 "언제든 더 나은 해킹 기술 등이 개발될 수 있음을 염두에 두고 보안 환경 개선 및 향상에 지속적으로 신경 쓸 것"이라고 전했다.

보안업계 관계자는 "과거에는 정보를 공유해봤자 타사에 고급 정보만 새 나간다는 인식이 있었다"며 "현재는 보안을 혼자 해나갈 수 있는 시대가 아닌 만큼, 다른 회사들과 현재 보안 이슈·동향 등을 함께 의논하는 방향으로 갈 필요가 있다"고 지적했다.

박종진 기자 [e-mail]

<세계파이낸스>