최근 많은 기업들에서는 기업의 정보보안을 중요한 전략의 하나로서 인식하고 있다. 이러한 추세는 단편적으로 기업들이 컴퓨터 바이러스로 인해 얼마나 많은 비용을 지불하는지 알수 있다.
<위기관리경영 - 글 | 편집부>

완벽한 보안 이루어질 수 없다
현재의 ‘인터넷’은 전세계를 하나의 네트워크로 이어주며 비즈니스에 있어서 중요한 부분으로 자리잡았음을 부정하지는 못한다. 그만큼 기업에게 있어서 인터넷은 또 다른 가상의 세계이면서 사업의 교류와 확장, 투자에 있어서 좋은 장소가 되고 있는 것이다. 또한 기업뿐만 아니라 이미 생활이 깊숙히 네트워크화 되어 가고 있는 것을 보면 앞으로의 미래에 인터넷이 차지하는 비중이 어떻게 될 거라는 것은 쉽게 예측해 볼 수가 있다. 그렇다면 이 시점에 기업의 정보보안 전략의 네트워크에 대해 현재의 상황을 짚고 넘어가야 할 필요성이 있다.

현재 네트워크 인트라가 잘 구축되어 있는 기업은 그만큼 정보보안에도 많은 노력을 기울이고 있다. 이제 방화벽(Firewall), 침입차단시스템(IDS:Intrusion Detection System)은 기업의 정보보안 전략에 있어서 중요한 역할을 담당하고 있으며, 기타 다양한 방법으로 외부로부터의 자산을 지키기 위하여 각 기업의 정보보안 담당자들은 많은 고심을 하고 있다. 그러나 정보보안에 대한 많은 투자에도 불구하고 보안사고는 끊임없이 발생하고 있다. 방화벽, IDS, 취약점 스캐너, 백신 소프트웨어 등을 이용한 보안정책을 강구하고 있지만 이 모든 것들이 정보보안 전략을 모두 만족시켜 주지는 못한다. 아무리 좋은 보안전략을 가지고 있다고 하더라도 100% 완벽한 보안은 이루어질 수가 없기 때문이다.

보안의식 변화필요
기업의 정보보안 전략에 있어서 시스템 정책도 중요하지만 이 보다 앞서 선행되어야 하는 것이 정보보안의 개인 의식 변화다. 즉, 각 기업에 설치되는 하드웨어, 소프트웨어들도 중요하지만 개인의 의식 변화가 따라주지 않는다면 이런 것들을 무의미하게 만들지도 모른다. 이러한 것에 동조를 할 수 있는 것이 바로 “Human Vulnerability” 이다. 아무리 좋은 시스템과 전략, 정책이 있다 하더라도 개인의 정보보안 의식의 부족으로 인한 문제는 항상 발생할 수 있다.

예를 들어, 방화벽에 의해 보호 받고 있는 내부시스템의 클라이언트 PC 중 하나가 보안패치가 되어 있지 않아 내부 전체에 웜을 감염시키는 상황이나, 사용자가 다운 받은 파일을 무심코 실행시켜 보는 행동과 같이 한 사람에 의해서도 보안체계를 무력화 될 수 있는 상황이 발생할 수 있는 것이다. 물론 이것은 극단적인 상황의 예로, 분명 보안 체계가 잘 갇추어져 있는 곳은 피해를 최소화 할 수가 있다. “Human Vulnerability”로 인하여 발생 가능한 예로, 웜 바이러스를 들어보도록 하겠다.

웜은 소수의 사람들에 의해 순식간에 다수의 사람들에게 병이 옮겨지는 것과 같은 전염병의 특성을 가지고 있다. 이러한 전염병을 연구한 의학 전문가들이 만들어 낸 용어 중에 티핑포인트(Tipping Point)라는 것이 있다. 전염병이 이 티핑포인트 시점에 도달하면 그 직후부터 폭발적인 확산을 하게 된다는 것으로 마치 시소의 한 지점과 같이 생각할 수 있다. Malcolm Gladwell 이 집필한 "The Tipping Point" 에서는 티핑포인트 앞쪽으로 압력이 가해지는 경우 그 영향은 한정적이게 되지만, 티핑포인트를 넘어서서 B 점과 같이 압력이 주어지는 경우에는 결과가 매우 극명하게 차이 난다는 것이다.

웜 바이러스 또한 마찬가지로 이 티핑포인트 개념을 적용할 수 있는데, 일정한 수의 사람들이 감염이 되면 그 순간부터 감염 매개체에 따라 달라지지만 급속히 확산될 수 있으며, 이런 감염이 점진적인 형태가 아니라 급속하게 이뤄진다는 것이다. 이렇게 누군가에 의해 감염된 웜은 전체에 큰 피해를 가져다 줄 수 있게 되며, SQL Slammer웜과 RPC 의 취약점을 이용한 Blaster웜이 일부 초기 감염 이후에 급격하게 확산되었던 것을 하나의 예로 들 수 있다.

보안 근본적 변화 요구되야
이제 보안에 근본적인 변화가 요구되는 시점이다. 이런 근본적인 변화에는 시스템, 정책의 변화와 더불어 각 개인의 보안의식의 변화가 포함되며, 기업들은 의식 변화를 의한 정보보안 교육 정책을 같이 진행해야 할 것이다. "Human Vulnerability"를 무시하고 넘어갈 수 없기 때문이다. 앞으로도 기술 변화는 끊임없이 이어질 것이며, 인터넷이 기업에게 주는 그 위협은 점점 확대될 것이다.

이러한 기술의 변화에 따라서 기업들의 정보보안 전략은 시대에 맞춰 변화해 가고 있으며, 앞으로도 계속 그러할 것이다. 정보보안을 위한 기술과 다양한 제품들은 현 상황에 맞춰 변화되어 가고 있지만, 각 개인의 정보보안 의식은 정체가 되고 있는 시점에서 이제는 기업의 정보보안 전략에 있어서 사람 이 안전한 인프라스트럭처 구축에 차지하는 역할에 대해 명심할 필요가 있을 것이다.