- 농협, 현대캐피탈 사태를 바라보며

최근 언론에 매 뉴스타임마다 보도되고 있는 금융권 보안사고들이 정보보안 분야를 강의하고, 일생의 업으로 삼는 필자의 눈길을 끈다.

사건 발생 초기 발표와 뉴스에 따르면, 이러한 보안사고의 원인이 내부자의 보안의식 불감증으로 원 바이러스에 감염되어 발생하거나 또는 저장된 데이터베이스 자료를 암호화하여 보관하지 않아 발생한 것으로 보도 되다가, 이내 며칠 지나서는 여타 보안사고의 발생원인과 근본적으로 다를 바 없이 정보보호 관리체계 상의 초보적인 허점이 다수 있었음이 하나 둘씩 노출되고 있다.

중요한 시스템에 로그인하는 비밀번호를 숫자 한 자리 '1'이나 0000과 같은 단순반복적 숫자, 계정 이름과 동일한 경우 등 개인이 PC 로그인용 암호로도 쓰지 않을 단순한 암호를 중요한 금융서버에서 7년 가까운 장기간 동안 변경없이 사용하고, 중요서버 운용지역에서만 사용하는 노트북이 충분한 반입, 출입 통제관리 없이 외부로 반출 가능했던 점, 이미 점검작업이나 내부인력의 보고 등으로 기술적 보안조치가 필요함이 인정되었던 사안들이 비용 부담을 우려하는 경영부문의 거부로 실현되지 못했던 점 등 임직원 개개인의 작은 방심과, 해당조직의 관리기능 미비가 어우러져 커다란 문제를 만들었다는 정황이 여러 경로로 알려지는 중이다.

백업체계의 허술함도 간과할 수 없는 사실이다. 주요기관, 시스템, 서비스의 경우 영구보관용 백업부터 월간/주간/일간/증분 백업 등을 수행하고, 내부 오프라인 환경에 한 세트 보관하고 원격지에 소산 보관하는 것이 기본이다. 그러나, 해당 기관에서는 이를 전혀 수행하지 않았다 하니 너무나 답답한 마음이다. 더구나 복구절차가 제대로 갖추어져 있기나 하는지, 예방 및 대응훈련을 해 보았는지도 궁금할 뿐이다.

그런데, 해당 기관들은 정보보호관리체계에 관련한 국제표준인 ISO 27001과 KISA ISMS 정보보호관리체계 인증을 2005년부터 연속적으로 부여받았다. 정보보호관리체계의 인증심사라는 것이 초기년도부터 완벽하게 보안대책을 세우고 운용하기가 어렵다 하고, 시스템의 세세한 모든 부분과 업무프로세스 전체를 빠짐없이 검토하지 못하고 일부 샘플링 수준에서 심사하고 인증서를 수여하나, 최초 인증서 발행 이후 지속적으로 중간점검 혹은 사후관리를 받았음에도 불구하고 위와 같은 보안관리 수준이었다면 인증서를 수여한 쪽이나, 인증서를 받고 자랑한 쪽이나 부끄러워해야 할 것이다. 

그러한 인증서를 취득하고 회사 홈페이지나 IR(투자처관리)자료 등으로 활용하는 기업들은 마치 학생들이, 실무적 경험을 충분히 쌓은 후에 자연스레 취득할 수 있는 자격증들을 족보라 불리는 시험정보 '소스'들만을 벼락치기 식으로 외워서 취득하여 자랑하는 행위와 별반 다른 점이 없는 것 같다.

아직 사회에 진출하기 전, 내공을 쌓고 있는 우리 대학생/대학원생들은 IT 보안이나 다른 어떤 분야로 직업을 정하던지 단순히 자격증 취득 자체를 목표로 삼지 말고, 해당분야 저변의 기반적, 전문적 지식을 기초부터 튼튼히 쌓을 것을 권고하며, 대학 교직원 모두 학생들의 각 전공별 학문 연마가 내실있게 기본을 다져주도록 교육 방향을 맞춰 주었으면 하는 바람이다.