카드사 등으로부터 대규모 고객정보가 유출된 지 벌써 2년여가 지났다.
그동안 금융사들은 국내 인증제도인 '정보보호 관리체계(ISMS;Information Security Management System)'를 비롯해 정보보호 표준 국제 인증인 'ISO27001 인증', '정보보호 최고책임자(CISO;Chief Information Security Officer) 지정'를 통해 정보보안을 강화해 왔다.
각 제도들이 갖고 있는 한계점, 보완되어야 할 점들이 무엇인지 3편에 걸쳐 살펴봤다.
◇ ISO27001이란?
ISO 27001 정보보호 경영시스템 인증은 ▲정보보호 정책 ▲지적자산관리 ▲물리·환경적 보안 등 14개 분야 114개 글로벌 정보보호 관리 기준에 대해 심사를 거쳐 검증된 기업만이 인증을 획득할 수 있다.
ISO27001은 정보보호분야 가장 권위 있는 국제표준인증이다. 원래는 영국표준이던 BS7799였는데, 2005년 ISO 표준으로 승격됐다. ISO는 국제표준화기구로 국제전기기술위원회(IEC)에서 ISO 27001를 인정하고 있다.
인증범위는 정보보호정책과 통신 및 운영, 접근통제, 정보보호사고 대응 등의 항목을 얼마나 잘 계획하고 구현하며 점검하고 개선하는지 평가한다.
국내 ISO인증 및 관리는 산업통상자원부 국가기술표준원에서 하고 있으며, 미국 인정기관인 ANAB 등이 ISO27001 인증현황을 감독하고 있다. 국내에선 BSI코리아가 ISO 인증업무의 70% 가량을 차지하며 가장 많은 인증을 해주고 있다.
◇ ISO27001인증 기업은?
BSI코리아에 따르면 지난 13일 기준으로 한국투자증권 등 98개 기업이 ISO27001 인증을 획득했다. 이 인증은 해외에서 상대국이 요구해 취득하는 경우가 대부분이라고 한다.
ISO27001을 인증받은 주요 금융회사는 한국투자증권, 신한은행, 미래에셋생명, 신한금융투자, 현대카드, HMC투자증권, 삼성생명, 한국씨티은행, 부산은행, 롯데손해보험, 대구은행, 롯데카드 등이 있다. 금융사들이 해외 진출에 그다지 적극적이지 않은 점 때문에 ISO27001 인증도 더디게 이루어지고 있다.
BSI코리아 관계자는 "글로벌 거래환경에서 해외 기업들이 공급 및 협력 기업들에게 자신들의 정보보호가 올바로 되고 있는지 검증하기 위해 국제적인 ISO27001 인증 획득을 요구하고 있다"며 "국내 대부분의 ISO27001 인증 취득 기업들은 이 같은 요구사항을 반영하고 있다"고 설명했다.
신한금융그룹의 경우 신한은행을 비롯해 신한신용정보, 신한캐피탈, 신한아이타스, 신한BNP파리바자산운용, 신한금융투자 등 계열사들도 ISO27001 인증을 취득했다.
◇ ISO27001-ISMS 상호인증 필요성 대두
ISO27001도 ISMS와 마찬가지로 인증을 받는데 시간도 필요하고 비용도 적지 않게 들어간다. 인증을 받기 위해 컨설팅비용 등을 감안하면 수천만 원이 들고, 촘촘하게 정보보호 체계를 갖추려면 기업 규모에 따라 억대의 금액이 필요하다.
이렇다보니 ISMS와 ISO27001과의 상호인증이 필요하다는 요구의 목소리가 높다.
ISO27001 인증을 받은 기업은 ISMS 인증 심사를 받을 때 심사기간을 3일에서 1일로 단축하거나 겹치는 심사항목은 생략하는 식이다.
올해 6월부터는 정보통신망법 개정으로 영업유형과 상관 없이 연간 매출액 1천500억 원 이상인 기업은 반드시 ISMS인증을 받아야 하며 앞으로 계속 확대될 전망이다.
ISMS와 ISO27001의 뿌리는 같지만 보는 관점이 다르다. 전문가들에 따르면 ISO27001은 기업의 경영 관점에서 접근하는 반면, ISMS의 경우 기술적으로 굉장히 깊이 들어가는 경향이 있다고 한다.
오익균 카이스트 사이버보안연구센터 실장은 "글로벌 비즈니스를 하는 기업은 산업기술이 유출되는 것을 방지하기 위해 대부분 ISO27001을 받는다"며 "환자 의료정보를 보유한 대학병원(종합병원) 등이 ISO27001과 별도로 ISMS 인증을 받아야 하기 때문에 제일 예민하다"고 말했다.
오 실장은 또 "앞으로 2년 후에는 상장된 회사 모두 ISMS를 인증받아야 할 것 같다"며 "정부가 ISO27001과 ISMS간 상호 인증하는 방향으로 가야 할 것"이라고 덧붙였다.
[소비자가만드는신문=윤주애 기자]
