기업은 자사의 정보보호 수준을 이해하고 문제점을 파악하고 대응하는 다양한 방법을 활용할 수 있다. 특히 기업의 경영진은 다음과 같은 세가지 질문을 통해 자사의 정보보호에 대한 기초적인 자가진단을 수행할 수 있다.·직원들은 자신이 다루는 정보나 시스템과 관련한 어떤 행위가 적절하고 부적절한지를 판단할 수 있는가.·직원들은 부적절한 행위 발생시 이를 보고하고자 하는 명확한 입장을 가지고 있는가.·직원들은 부적절한 행위 발생시의 보고 절차와 방법에 대해 정확히 이해하고 있는가.이와 함께 점검해야 할 것이 직원들에 대한 정보보호 인식제고 프로그램 가동 여부와 정보보호 인식을 강화하기 위한 활동을 지지하는 문화의 존재 여부다. 이같은 질문에 긍정적인 대답을 한다면, 새로운 기술의 물결 속에서 적절한 정보보호를 수행할 능력을 가지고 있다고 말할 수 있다. 하지만 만약 어느 하나라도 부정적인 답이 나온다면, 기업 내에 구축돼 있는 파이어월, IDS 등 다양한 보안 솔루션도 그다지 소용이 없을 것이다. 왜냐하면 적절한 정보보호 수준을 유지할 기초적인 틀을 가지지 못했기 때문이다. 이와 같이 기업에 있어 정보보호 수준에 대한 자가진단법은 정보보호에 대한 직원들의 기본적인 인식이 확보돼 있는가를 묻는 동시에 정보침해 사고의 발생시 신속한 대응을 할 수 있는가를 파악하도록 함으로써 기업의 대응 능력 수준을 측정할 수 있다. 따라서 경영자의 관점에서 기업의 중요 정보에 대한 생성, 가공, 저장, 활용, 유통, 폐기를 수행하는 직원들의 인식이 적절하게 갖춰져 있는지를 검증하는데 크게 도움이 된다. 그러나 이런 자가진단법은 상세한 진단 방법이나 객관적인 기준, 체계화된 방법을 제공하지는 않으며, 따라서 실제로 진단을 수행하고자 할 경우에는 진단의 세부적인 방법에 있어 기업마다 주관적이고 다를 수 있다. 따라서 객관적이고도 지속적으로 활용할 수 있는 기업의 정보보호 수준 측정방법을 마련하기 위해서는 보다 구체적이고 방법론적인 접근이 필요하다.효율적인 정보보호 수준 자가진단 방법정보보호 수준 진단방법으로는 위험분석 기법은 매우 효과적인 방법이다. 위험분석은 기업의 정보자산에 대한 위협과 취약성, 그리고 대응책 간의 함수관계를 활용하는 방법으로, 기업이 보유한 정보자산에 내재한 취약성의 영향 범위와 이에 대응하고 있는 위협의 빈도와 강도, 그리고 위협에 대한 대응책의 적용정도를 분석해 종합적인 정보위험수준을 평가하는 방법이다. 위험분석의 수행기법에는 기본통제선 접근방법(Baseline Approach), 상세 위험분석 접근방법(Detailed Approach)와 두 가지를 혼용하는 방법 등이 있다. 기본통제선 접근방법은 기본적으로 준수해야하는 정보보호 대책을 체크리스트로 개발해 활용하며, 체크리스트의 준수 여부가 정보보호 수준을 결정한다. 따라서 이 방법은 체크리스트를 구성할 수만 있으면 쉽게 활용할 수 있는 장점이 있다. 그러나 체크리스트로 활용하도록 공개돼 있는 일반적인 정보보호 대책 항목들은 해당 기업의 특성에 적합하도록 구성된 것은 아니므로 기업의 실질적인 정보보호 수준을 정량적으로 정확히 드러내기는 어렵다. 상세 위험분석 접근방법은 정보자산을 중심으로 해당 기업에 최적화된 위험분석을 실시하는 것이다. 이 방법은 정보자산별 취약성과 대응하고 있는 위협, 적용한 정보보호 대책 간의 함수 관계를 통해 기업의 정보위험 수준에 대한 정량적, 정성적 분석과 해당 기업에 최적화된 대응방안을 제시해 준다는 장점이 있다. 하지만 자체적으로 적용하기 위해서는 높은 수준의 전문가와 위험분석의 효율성을 제고해 줄 수 있는 자동화툴이 필요하며, 상당한 노력도 요구되므로 국내에서 기업이 자체적으로 수행하기에는 아직 어려운 면이 많다.이 두가지 방법을 혼용하는 방법은 정보보호 컨설팅 서비스를 제공하는 컨설턴트들이 업무의 효율과 중요 정보자산에 대한 세부적인 분석을 위해 프로젝트에서 종종 활용하는 방식으로, 효율성의 측면에서는 기본통제선 방식과 기업에 최적화하는 측면에서는 상세 위험분석 방식을 병행해 사용하는 것보다 복잡하다. 따라서 기업의 정보보호 수준 측정을 위한 다양한 방법들 중 자가진단을 위해 활용 가능한 기본통제선 위험분석 방법을 이용해 자체적으로 현재의 보안 수준을 진단해 볼 수 있는 방법을 알아보겠다. 기본통제선 접근방법에서 가장 중요한 것은 기업별로 다르게 나타나는 정보보호의 이슈와 관심사를 어떻게 적절한 평가 항목으로 정리하는가이다. 우선 일반적인 기업이라면 중요하게 생각해야 할 정보보호 관련 이슈들을 전반적으로 다룰 수 있도록 자가진단 평가항목의 영역에 대해 정의하고, 기업의 보안 담당자가 어떤 항목들을 점검해야 할지 알아보자. 아울러 세부 평가항목에 대해서는 영역별로 그 예를 간략히 설명함으로써 실제 기업에서 자가진단을 수행하는데 도움이 되도록 하고자 한다. 체크리스트 작성으로 시작하는 보안 진단참고로 (표 1)은 필자가 실제 프로젝트를 진행하면서 작성한 자체 진단용 체크리스트의 예를 제시한 것이다. (표 1)은 정보자원에 대한 적정 수준의 통제가 조직 내에서 이뤄져 조직 내에서 필요로 하는 적정한 정보보호 수준의 달성할 수 있도록 하기 위한 항목들을 포괄하고 있다. 체크리스트는 정보시스템의 기획, 구축, 활용, 폐기에 이르는 라이프 사이클을 전반적으로 포괄하도록 구성해야 하며, 일반적으로 추천할 수 있는 진단의 영역 구성은 다음의 예와 같이 제시할 수 있다. 1. 경영층의 정보보호 관련 활동에 대한 적극적 지지 : 경영층의 적극적인 지지에 기반해 정보보호를 위한 활동이 기획되고 운영되며 모든 임직원은 경영층의 의지로 정보보호 활동이 이뤄지고 있음을 인지하는가.2. 적절한 정보보호 정책의 수립 : 정보보호를 위해 준수해야 할 사항이 무엇인지를 적절히 제시하고 있으며, 허가된 행위와 허가되지 않은 행위에 대해 명확히 설명하고 있는가.3. 기획과 실무 능력을 갖춘 정보보호 조직 : 정보보호 활동을 전담하는 조직과 이를 지원하는 조직, 각 업무조직 내의 정보보호를 위한 책임자와 실무자가 정의돼 있는가. 그리고 이런 조직들 간의 의사소통을 위한 조직적 배려가 있는가.4. 정보자산의 분류와 중요도에 따른 통제 : 정보자산을 하나의 통일적인 기준에 의해 분류하고 있으며, 분류된 자산의 중요도를 평가해 이에 따른 보호 우선순위와 통제의 적용이 이뤄지고 있는가.5. 임직원, 임시고용인 등 인원에 대한 보안 : 내부자로 볼 수 있는 모든 인원에 대해 등급별로 세분화해 파악하고 있으며, 해당 인원에게 부과되는 정보보호의 임무와 역할을 정의하고 있는가.6. 중요 공간에 대한 물리적, 환경적인 보호 : 정보자산이 위치하고 있는 공간에 대해 중요도에 따라 구분하고 있으며, 중요한 공간에 대해 추가적인 출입통제 수단을 적용하고 있는가. 중요 정보처리 공간에 대해서는 환경적인 문제가 발생하지 않도록 항온항습, 화재방지 등의 대책을 도입하고 있는가.
