국가정보전략연구소

보안정책의 개념

1.    보안정책의 개념과 수립 시 주의사항

2.    보안정책의 성공도 사람에서 출발

3.    기업의 손실을 보호하는 보안정책

4.    보안정책 내용의 비밀유지가 가장 중요

1.    보안정책의 개념과 수립 시 주의사항

보안정책(Security Policy)은 기업의 보안, 즉 관리적 보안, 물리적 보안, 기술적 보안 등 전 영역에 적용할 수 있는 정책과 지침을 말한다. 보안정책은 보안관리자가 어떻게 보안을 관리할 것인지에 대해 기업의 모든 이해관계자에게 말하고자 하는 내용을 포함해야 한다.

기업보안이 만약에 일어날 가능이 있는 모든 기업의 보안위협으로부터 보호하는 것을 말하므로, 모든 직원이 준수할 수 잇는 보안정책의 수립이 매우 중요하다. 그럼에도 불구하고 많은 기업이 보안정책에 대해 특별한 기준이나 방향을 설정하지 못할 뿐만 아니라 보안정책을 특정 보안에 한정된 지엽적인 부문으로 이해하고 있어 안타까움을 금할 수 없다.

보안정책을 수립하기 위해서는 보안서비스의 수준, 편리성의 정도, 투자비의 한계 등을 고려해야 한다. 직원이 활용하는 서비스를 늘리게 되면 보안의 취약성은 높아지게 된다. 따라서 업무의 종류와 필요성을 감안해 어느 수준까지 허용할 것인지 판단해야 한다. 다음 직원이 업무를 수행함에 있어서 어느 정도 편리를 봐 줄 것인지도 고민해야 한다.

보안을 위한 제약사항이 하나도 없으면 직원이 업무를 하는 데 있어 제일 편하지만 정보의 유출 가능성이 높아지고 자산이 위험에 처해진다. 그리고 완벽한 보안을 위해 가급적 많은 예산을 투입하면 좋지만 효율성이 떨어지므로 투자대비 효율성을 검토해 한계를 정하는 것이 좋다.

따라서 보안정책은 모든 직원이 지킬 수 있도록 만드는 것이 중요하다. 보안에 대한 최소한의 투자로 최대한의 효과를 얻을 수 있는 최적의 방안을 찾는 과정이 보안정책에 반영돼야 한다. 또한 보안정책은 현재의 위협뿐만 아니라 미래의 위협변화도 대처할 수 있어야 한다. 보안정책은 국가의 헌법과 마찬가지로 가장 기초적이면서 모든 업무에 적용될 수 있도록 수립되어야 한다.

(산업보안학ISS – 민진규 저(국가정보전략연구소소장) p59)

보안전문가에게 필요한 기능과 미래

보안전문가에게 필요한 기능

1. 보안전문가가 가져야 할 지식

2. 보안전문가가 가져야 할 7가지 자세

3. CSO에게 요구되는 기능

4. CSO의 업무와 성공요소

보안전문가의 과거이력과 기회

5. 보안전문가의 다양한 과거이력

6. 보안전문가에게 열려 있는 기회

7. 보안과 보안부서의 미래

보안전문가에게 필요한 기능과 미래

보안전문가에게 필요한 기능

1. 보안전문가가 가져야 할 지식

2. 보안전문가가 가져야 할 7가지 자세

3. CSO에게 요구되는 기능

4. CSO의 업무와 성공요소

보안전문가의 과거이력과 기회

5. 보안전문가의 다양한 과거이력

6. 보안전문가에게 열려 있는 기회

7. 보안과 보안부서의 미래

보안전문가에게 필요한 기능과 미래

보안전문가에게 필요한 기능

1. 보안전문가가 가져야 할 지식

2. 보안전문가가 가져야 할 7가지 자세

3. CSO에게 요구되는 기능

4. CSO의 업무와 성공요소

보안전문가의 과거이력과 기회

5. 보안전문가의 다양한 과거이력

6. 보안전문가에게 열려 있는 기회

7. 보안과 보안부서의 미래

5. 보안전문가의 다양한 과거이력

<그림 11> 보안책임자의 과거이력(책 참조)

미국의 보안전문가의 과거이력을 <그림11>에서 살펴보면 매우 다양하다. 현재 보안책임자의 과거이력을 보면 경찰, 군대, 기업관리부서, 보안컨설턴트, 탐정, 시설관리, 전문가/기어보안, IT, 재무/위험관리, FBI(Federal Bureau of Investigation, 연방수사국), 다른 정부기관, 인사관리, CIA(Central Intelligence Agency, 중앙정보부)/정보기관, U.S.비밀업무, 교육, 물류관리, 법 등이다.

경찰은 업무 특성상 범죄조사에 전문성을 가지고 있으므로 기업의 보안사고 예방과 조사에 과거의 경험을 활용할 수 있어, 무려 보안책임자의 47.2%가 경찰 출신이다. 그리고 다음으로 군 출신이 32.7%인데, 일반 군인보다는 군 정보 관련 업무를 한 예비역이 해당된다. 과거 보안전문가란 출입문의 경비라는 인식이 높았고, 이를 증명이나 하듯이 전체의 약 80%가 ‘평화유지’를 주업으로 하는 경찰이나 군대에서 보안경력을 쌓았다. 보안컨설턴트, 탐정, IT, 위험관리, FBI와 같은 이력을 가진 사람이 보안책임자가 된 경우는 거의 비슷한 수준이었다. 소소하게 기업의 법무나 CIA와 같은 비밀정보기관에서 근무한 사람도 아주 소수가 있는 수준이다.

미국의 자료를 검토해 보면 한국과는 판이하게 다르다는 점을 알 수 있다. 한국의 보안책임자의 과거이력에 관한 통계조사가 나와 있지는 않지만 대체적으로 기업의 다른 관리부서 출신, IT, 군대 관련 출신이 압도적으로 많다. 과거 기업보안이 관리부서의 하위업무로 자리매김한 것과 IT보안이 중요시되면서 IT출신이 CIO라는 이름으로 보안책임자가 된 경우가 많았다. 군 출신은 기무사, 정보사와 같은 정보부대 출신과 일반 부대에서 정보업무를 경험한 출신이 대부분을 차지한다. 간혹 해외에서 평화유지활동에 참여했거나 재외공관에 근무한 경험이 있는 사람도 있다.

미국과는 달리 경찰출신이 기업의 보안책임자로 있는 경우는 많지 않다. 경찰신분의 안정성 때문에 중도 퇴직하는 경우가 많지 않은 이유도 있을 것이고, 한국기업의 보안업무가 경찰 업무와 연관성이 낮은 점도 작용한 것으로 보인다. 보안관련 법률의 중요성이 커지고 있지만 법률 전문가가 보안책임자로 된 경우도 거의 없다. 국가 전략산업이나 방위산업의 경우에는 국가정보원 출신도 일부 있지만 군 출신이 대다수를 점유하고 있다.

한 가지 특이점은 미국에서 법적으로 인정된 탐정이 보안책임자의 이력 중 5위로 12.1%를 차지한다는 것이다. 국내에서는 아직 탐정이 합법화되지 않았지만 앞으로 자격증에 대한 수요가 늘어날 것으로 보인다.

(산업보안학ISS – 민진규 저(국가정보전략연구소소장) p52)

보안전문가에게 필요한 기능과 미래

보안전문가에게 필요한 기능

1. 보안전문가가 가져야 할 지식

2. 보안전문가가 가져야 할 7가지 자세

3. CSO에게 요구되는 기능

4. CSO의 업무와 성공요소

보안전문가의 과거이력과 기회

5. 보안전문가의 다양한 과거이력

6. 보안전문가에게 열려 있는 기회

7. 보안과 보안부서의 미래

4. CSO의 업무와 성공요소

CSO는 기업의 보안 최고책임자로서 다음과 같은 업무를 수행해야 한다. CSO에게 필요한 기능을 참조해 보면 CSO가 해야 할 업무를 정의하기 편하다. 먼저 기업의 보안정책과 절차(process)를 수립해야 한다. 보안부서 책임자의 조언을 받아 종합적인 기업보안정책을 집행하고 이에 관한 피드백(feedback)을 한다.

 또한 기업보안에 관련된 외부 인사, 유관 기관과 유기적인 연대를 유지해 필요시 협조를 받을 수 있도록 해야 한다. 경영진을 포함한 모든 직원의 안전을 책임지고 관리해야 한다. 마지막으로 CEO의 경영정책 수립에 관하여 보안 관련 조언을 한다.

CSO가 해야 할 업무를 참조해 ASIS가 제시한 CSO의 성공요소(key success factor) 7가지를 살펴보자

①  실질적이고 창의적인 보안 해결책을 통한 지속 가능한 경쟁우위를 세울 수 있는 능력

②  내·외부의 압력하에서 원칙을 유지하는 능력과 고결성(integrity)을 실현

③  고도의 분석기술, 관리경험, 뛰어난 관계설정능력

④  경영진으로서 전략기획과 정책개발에 풍부한 경험

⑤  조직의 방향에 중요한 내·외부의 트렌드와 변화하는 조건을 평가하고 빠르게 적응하도록 조직을 예측하고, 영향을 미치며 도울 수 있는 능력

⑥  혁신적이고 기업지향적인 반응을 위한 추천된 행동요령과 커뮤니케이션에서의 효율설

⑦  성공적인 직원역량개발을 향한 실천적 지향과 뛰어난 열정

다른 어떤 임원보다 CSO는 전사보안확립을 위해 다양한 능력과 경험을 가지고 있어야 한다. 기업의 보안이 경영에 직접적인 영향을 미침에 따라 실질적이고 창의적인 보안 해결책을 수립해 지속 가능(sustainable)한 경쟁우위를 지킬 수 있어야 한다. 보안이 불편하다는 불평과 보안지침을 완화해달라는 내·외부의 압력하에서도 원칙을 굳건히 지켜야 하고, 본인 스스로도 보안정책 준수를 솔선수범해야 한다.

보안위험요소를 분석하고 관리하기 위해서는 고도의 분석기술과 관리경험이 필요하고, 다른 부서와 원만한 관계를 유지하기 위해서 뛰어난 관계설정능력이 요구된다. 기업이나 보안조직이 설정한 목표와 방향에 중요한 트렌드와 조건을 평가하고 예측할 수 있어야 한다. 이런 노력을 통해 기업과 보안부서는 외부변화에 능동적으로 대처하고 적응할 수 있게 된다.

- 이하 생략 -

(산업보안학ISS – 민진규 저(국가정보전략연구소소장) p50)