|
SK C&C는 연례행사로 진행하고 있는 'IT 현안 설명회'의 2012년도 첫 강연으로 자회사인 SK인포섹의 개인정보보호 사업을 소개했다. 지난 2월 23일 저녁에 개최된 이번 행사에는 SK인포섹 컨설팅사업본부 허경석 수석이 나와, 개인정보보호 시장 현황과 인포섹의 포트폴리오를 설명했다.
현재 개인정보와 관련된 보안사고는 업종 가리지 않고 전방위적으로 이루어지고 있다. 이미 개인정보 유출사고가 빈발한 관계로 개개인들의 피해사례가 다수 보고되고 있는 실정. 여기에 요즘에는 과거부터 문제시 되어 오던 APT 공격이 표면적으로도 이슈가 되어 보안에 대한 우려를 더욱 증폭시키고 있다.
이러한 보안사고 증가 이유는 크게 네 가지다. 먼저 개인 정보에 대한 의존도가 증가했다. 또한 개인정보 취급자 역시 증가했다. 여기에 더해 개인정보 유출경로 다양화와 복잡한 개인정보 가치사슬이 사고 위험성을 높였다. 일례로 앞서 2011년도에는 5만7천건의 명의/민번 도용사례가 보고되었는데, 이는 포털 등에서의 유출사고 여파가 크다. 이렇게 유출된 개인정보를 이용하는 범죄가 늘어나는 추세다.
▲ SK인포섹 컨설팅사업본부 허경석 수석
허경석 수석은 국내에서 개인정보보호법이 제정된 이후에 다섯 가지 특이점이 보고되고 있다고 밝혔다. 그가 소개한 특성들은 다음과 같다.
1. 보호대상 확대
민간, 공공 등 모든 사업자들이 적용대상으로 되었으며, 수기문서도 보호범위에 포함되었다. 내부 직원의 정보도 보호대상으로 확대되었다. 이러한 변화로 인해 최근 보안 컨설팅에서는 개인정보 사업자가 아닌 경우에도 의뢰가 많다.
2. 적용대상 사업자 확대
정보통신망법 : 정보통신 서비스 제공자 (영리 목적의 사용자가 대상)
개인정보보호법 : 공공기관/비영리기관, 금융기관, 개인정보 보유기업 (업무 목적이라면 모두 대상)
3. 정보주체의 권리 보장 강화
유출된 개인정보 유출통지제도가 도입되었다. 이는 포렌식 등이 이 제도 도입과 맞물려 활성화될 것 기대되는 부분이다. 또 단체소송 도입과 정보주체의 개인정보 열람/정정/삭제요구권 등이 대두된다.
4. 벌칙 및 양벌규정 강화
형사처벌 및 벌금 조항이 추가되었으며, 과태료가 상향되었다. 법인 대상으로 양벌사항이 규정되어, 이제는 법인 뿐만 아니라 대표이사에게도 형 부과가 가능해졌다.
5. 개인정보 과실 처리에 대한 책임 강화
기업 입증 책임 강화, 최소한의 개인정보 수집에 대한 입증 책임 강화 등이 주된 변화점이다. 또 정보주체의 동의 없이 처리할 수 있는 개인정보에 대한 입증 책임도 생겼다.
▲ 각종 개인정보 침해사고가 이어지면서, 이에 따른 보호책 마련이 시급하다.
개인정보보호가 큰 화두가 되면서, 업계에서도 이에 따른 발빠른 변화가 보이고 있다. 대표적으로 틈새시장의 활성화가 있는데, 이는 전문로펌의 등장이 대표적인 사례다. 컨설팅할 때 법률자문단과 협업해 하는 일들이 존재하는데, 최근에는 유명 법률법인에서 이 분야 비즈니스 개척을 하거나 성과를 내는 중이다.
개인정보보호 예산이 비 IT 부서(마케팅, 준법감시, 총부 부서 등)에서 집행되는 것도 새로운 현상이다. 타 부서과 관련되면서 새로운 시장이 생기고, IT 범위를 벗어난 곳에서의 일들이 생기고 있다. 또한 방화벽 설치, 암호화 등만 해서 되는 게 아니라 그 이상의 경우를 감안하고 선제적으로 투자해야 된다는 점도 최근 트랜드다. 컴플라이언스 솔루션 호황도 예상되고 있으며, 암호화/접근제어/로깅 등은 법에서 요구하는 핵심적인 부분으로써 이 부문 투자도 강화될 전망이다.
한편, 현재 SK인포섹이 컨설팅 부문 기준으로 보면 업계에서 3분의 1 정도의 인력을 보유한 것으로 알려져 있다. 그런데 그 수가 절대적으로는 많지 않은 상황이다. 허경석 수석은 이런 상황에서 법적으로 기업에서 전문가 채용을 의무화하면서 인력 유출이 생기는 상황이라고 언급했다. 전반적으로 전문가 부족이 이슈라는 이야기다.
정보와 개인정보는 거의 비슷하나, 개인정보는 산업별로 프로세스가 다르다는 특징이 있다. 의료, 교육 등 분야 별 비즈니스를 이해하는 보안전문가가 부족한 것이 대표적인 문제점이다. 현재 인포섹은 산업계에서 정보보안을 했거나 이해하고 있는 인력을 끌어들여 보안전문가 트레이닝 시키는 것을 추진 중이다.
▲ 공적 기준에서의 로드맵에 따라 개인정보보호 정책이 점진적으로 시행되고 있다.
2011년 3월 이후로 개인정보보호 정책이 로드맵에 따라 추진되고 있다. 허경석 수석은 이 타임라인에서, 크게 세 가지 포인트를 주목해야 된다고 말했다. 그는 시초가 되는 2011년 3월 개인정보보호법 제정 시점과 2012년 4월 개인정보보호법 계도기간 종료 시점, 2012년 12월 개인정보보호 암호화/영향평가 등의 유예기한 도래 시점 등이 보안 시장에서 가장 큰 터닝포인트가 된다고 짚었다.
특히 2012년 4월이 가까와 지면서 컨설팅 의뢰가 많아지는 추세하고 부연하고, 오는 12월이 되면 실적용을 해야만 되는 상황이 오기 때문에, 이에 따른 기업들 대비가 업계에서 가장 큰 현안이라고 설명했다.
이렇게 타임라인으로 업계 이슈가 드러나는 것은 관망, 기회 활용, 방관 등의 패턴을 보이는 업계 현실과 관련이 있다. 현재 관망과 기회 활용 등과 같이 나름대로의 준비를 하는 사업장은 전국에서 10만 개 정도로 추산되는데, 문제는 방관 상태인 350만여개 이상의 사업자들이다. 이 부분이 개인정보보호 측면에서 가장 큰 현안으로 대두되는 상황이다. 이 때문에, 업계에서는 정부 지원이나 현실적인 정책 등에 대한 요구를 차츰 드러내는 형국이다.
▲ SK인포섹은 자사의 개인정보보호 솔루션 포트폴리오를 업계에 제시하고 있다.
보안업계에서는 장차 실현될 개인정보보호 관련 정책과 관련해 각 주체 별로의 전향적인 자세 변화가 필요하다고 여기고 있다. 포털, 온라인쇼핑몰 등에서 수시로 벌어지는 개인정보 유출 및 손괴 사건들을 감안하자면, 시급하다는 것이 일반적인 통념이다. 이러한 배경에서, 허경석 수석은 세 주체 별로 다음과 같은 향후 대응자세를 주문했다.
1. 대표적으로 감독기관은 기준이 불명확하다는 현실을 직시하고, 지금처럼 규정만을 이야기하고 규정이 없으면 손을 놓는 행태에서 벗어나 규정 및 기준 제정에 더욱 노력을 기울여야 된다. 그리고 중소기업들은 개인정보보호 역량이 미흡하기 때문에 지원책이 필요하다는 점을 인식해야 된다.
2. 사업자들은 기존에 자체적인 정책 보다는 업계 관례에 따라 개인정보를 많이 수집해오던 습성에서 벗어나 개인정보 수집/보유 자체를 최소화해야 된다. 그렇게 근본적인 리스크 여지를 줄이는 게 중요하다. 그 다음에 최고 경영진 주관으로 모든 임직원들이 참여해 전사적인 대응체계를 구축해야 된다. 프로세스, 비즈니스 로직 재설계도 필수다.
3. SK인포섹과 같은 정보보안기업에는 단편적인 대응방안 제시를 지양하고, 중복/과투자 방지 방안을 제시해야 된다.
▲ 오는 2014년까지 제시된 로드맵은 국내에서 준수해야 되는 '의무'로써, 이에 대한 대비가 필요하다.
|
| 원문보기 댓글보기 |
▒ Copyright ⓒ Acrofan All Right Reserved | | | 
등록안내
등록안내