[인터뷰] 박종철 국제변호사 “보안 문제, ESG 경영처럼 경영의 상수로 인식해야”

(박소은 기자 gogumee@)

“보안 문제를 더 이상 전산실, 보안 부서에서만 대처하는 것으로 생각해서는 안 된다. 최근 화두인 ESG 경영처럼 경영진과 임직원이 경영의 상수로 인식해야 한다. 임직원의 보안인식 제고가 가장 중요하다.”

박종철 국제변호사는 20일 이투데이와 만나 보안컨설팅 전망에 대해 이와 같이 진단했다. 박 변호사는 한화투자증권에서 현장 CISO(정보보호 최고책임자)와 CPO(개인정보 최고책임자) 역할을 맡았다. 다양한 분야에서 두루 보안 실무 경험을 쌓은, 잔뼈 굵은 전문가다.

최근 박 변호사는 ‘보안 컨설팅과 보안 실무’를 집필했다. 기업들이 현장에서 품고 있는 고민과 그 대안에 대해 전하는 것. 그렇게 보안 컨설팅과 보안실무를 주제로 정리한 최초의 책을 펴냈다.

그는 “보안 실무 전문가뿐 아니라 보안컨설팅을 담당하는 컨설턴트마저 도제식으로 교육을 받고 업무를 수행한다”라며 “그간 보안 컨설팅에 대해 체계적으로 정리한 책이 없어 답답함을 해결하고자 책을 발간하게 됐다”라고 설명했다.

저자들의 현장 경험이 집필의 원동력이다. 그동안 회사 전산망 관리에는 상대적으로 큰 품이 들지 않았다. 회사 전산망·서버와 연결되는 하나의 문(Gate)만 관리하면 돼서다. 코로나19를 겪으며 비대면 근무와 거점 근무가 활성화됐고, 이제 보안 담당자들은 회사 전산망으로 들어오는 수억 개의 문을 지켜야 한다.

그는 “미국에서 직장을 가지고 있는 친구와 자녀 중에도 한국에서 비대면으로 근무하는 경우를 많이 목격한다”라며 “외국 서버와 국내 서버를 연결하는 차원이나 급변하는 경영·보안 환경에서 다양한 문제가 발생하는데, 국내 기업들과 조직들이 어느 정도 대응하고 있는지 솔직히 의문”이라고 지적했다.

데이터의 중요도를 새로 분류하고 관리해야할뿐더러, 접근 권한도 전면 손질하는 작업이 필요하다는 것. 저자들은 더 이상 과거의 방식이나, 전문화된 소수 인력에 의존해서는 안 된다고 누차 강조했다.

실제 세계 최대규모 보안 행사인 RSA Conference 2018 키노트에서 글로벌 사이버보안 연구소(SANS)는 가장 위험한 다섯 가지 사이버 공격으로 △클라우드 보안 설정 소홀 등 허점 공격 △해커의 빅데이터 활용 △암호화폐 채굴 공격 △하드웨어 취약점 공격 및 산업제어 시스템에 대한 사이버 공격을 꼽았다.

이듬해부터 3년여에 걸쳐 다섯가지 유형의 사이버 공격이 모두 발생하기도 했다.

박 변호사는 “보안 문제는 조직의 지속가능성과 생존을 좌우하게 되는 가장 중요한 상수”라며 “아차 하는 실수 또는 단순한 판단 실수로 수십 년간 쌓아 놓은 기업의 평판을 한 순간에 망가뜨릴 수 있다”라고 진단했다.

기업의 고민을 해결할 방안들이 저서에 고스란히 담겼다. 보안사고 인지 단계부터 초기대응 방법, 유출 통지 및 신고를 해야 하는 정부관계기관과 이후 후속조치까지 안내했다. 현장조사가 이뤄질 경우 제공해야 하는 접속로그, DB구성도, 해킹 기법 및 사고 발생 후 사후조치 등에 대해서도 현장 용어를 기반으로 풀어냈다.

박 변호사는 “실제 보안 전문가들이 경영진에게 보안 사고 보고 시 전문 용어를 위주로 설명해 어려움을 겪는 경우가 있다”라며 “신속한 의사결정이 이뤄져야 하는 사안인 만큼, 보안 컨설팅에 대한 이해를 통해 이런 간극을 좁힐 수 있을 것”이라고 조언했다.

보안 컨설팅에 대한 이해뿐 아니라 분야별 보안요구사항과 사고 사례도 다뤘다. △Home IOT △핵심기술유출방지 보안 △제조업 보안 △금융 보안 등 최근 4차 산업혁명을 추동하는 분야의 보안 문제도 분석했다.

마지막으로 “분야가 보다 다양해지고 전문화될수록 이에 수반되는 보안 사고도 다양해진다”라며 “언제 어디서 어떻게 공격해오는지 알 수 없는 상황에서 기업 경영목표에 가장 도움을 줄 수 있는 보안 방어 전략과 솔루션을 도출해야 한다”라고 당부했다.