|
피플/칼럼 |
한국산업은행, '직원과 함께 정보 보안'내부통제 및 PC자가보안진단 체계 구축, 직원들의 참여와 협조로 운영 |
|
한국산업은행은 보안 위협을 크게 ▲외부로 부터의 직접적 위협(해킹) ▲외부로 부터의 간접적 위협(악성코드) ▲내부 및 협력업체 직원 등 내부자에 의한 위협(고객핵심 정보유출)으로 구분하고 이에 대응하기 위한 내부통제, 보안관제 및 PC자가보안진단 체계를 구축했다.
한국산업은행은 특히, 내부통제 시스템 구축으로 내부자에 의한 정보유출 사고의 발생 가능성이 현저히 감소됐다. PC자가진단의 효과로 직원들의 보안에 대한 관심을 유도하고, 이른바 ‘직원들과 함께하는 보안’ 체제를 전사적으로 구현할 수 있게 된 것이다.
직원들 불편 감수…‘정보유출 가능성 줄어’
한국산업은행의 내부통제(정보유통 경로 통제)시스템은 외부로부터 간접적 위협과 내부자에 의한 위협을 방어하는데 중점을 둬 구축됐다. 국정원 보안 사고의 통계 결과 81.5%의 보안 사고가 퇴직 사원(62.2%), 현직 사원(19.3%) 등 내부 임직원에 의해 일어나는 것을 염두해 2007년 내부 통제 시스템을 구현했다는 게 은행 측의 설명이다.
시스템의 주요 기능은 ▲저장매체 통제(PC반입 시 PC반출입 통제 및 PC보안 SW 설치로 저장매체 통제) ▲프린터 출력물 제어 ▲인터넷을 통한 정보유출 경로 통제 ▲반출입 노트북 통제 ▲저장매체 폐기통제 ▲IP통제 및 PC보안 강화(웜감염 PC 발견 시 즉시 네트워크 사용 못하도록 강제) 등이다.
한국산업은행은 “인가된 정보교환 수단이 필요해 내부통제 시스템을 구현했다. PC를 반입할 때부터 내부통제는 시작되며 외부 방문자에게도 공통 적용된다. 모든 내부 직원들이 PC보안 툴을 설치하고 있으며 인터넷에 대해서도 유해사이트, 이메일, 메신저, P2P서비스, 업무시간 중 증권사이트 차단 등을 하고 있다”고 전했다.
또한 “내부 통제 시스템 구현으로 내부자에 의한 정보유출 사고 발생 가능성은 감소했다고 본다. 그러나 사용자 입장에서는 일일이 승인을 받아야 하는 불편함을 겪어야 했다. 불편을 호소하는 직원들의 참여를 높이기 위해 불가피하게 금융위 이름을 많이 도용하기도 했다”고 밝혔다.
PC보안 점검결과 확인시켜 ‘참여율&조치율 향상’
한국산업은행은 ESM(Enterprise Security Management) 시스템 기반의 통합보안관제를 하고 있다. 부천 재해복구센터에서 계열사인 대우증권까지 24 시간 관제를 하고 있으며 본사 침해사고대응담당자와 보안담당자도 모니터링하고 있다.
ESM 도입을 통해 산재된 보안 시스템에 대한 통합로그 관리로 인한 보안 인력 및 업무효율성이 증대되는 효과를 보고 있다. 자동화된 이벤트 분석, 통합 실시간 모니터링, 보고서 생성 등으로 보안관리자의 모니터링, 보고서 산출 등의 단순 업무가 줄었기 때문이다. 뿐만 아니라 능동적이고 신속한 보안 침해사고 대응 체제가 마련됐다.
이 밖에도 한국산업은행은 직원 본인 PC의 보안상태 인지 및 조치를 통한 보안에 관심을 유도하고 금융위원회 ‘사이버 보안 진단의 날’ 행사를 이행하기 위해 PC자가보안진단을 하고 있다. 그룹웨어(WAVA)에서 알림이를 클릭하면 팝업창이 떠 바로 PC보안점검 프로그램을 실행할 수 있다. 매달 PC보안점검과 PC내 개인정보 보유 여부를 점검하게 되어 있으며, 부서별 참여율과 조치율이 얼마인지 점검결과를 확인할 수 있어 직원들과 함께하는 보안이 가능해졌다고 한다.
한국산업은행 정보보호팀이 자체적으로 개발한 보안점검프로그램과 PC내 개인정보 보유 점검 프로그램은 금융위 지침에 의해 지난 1월-2월 IT센터에서 시범적용한 후 전사 확대 적용됐다.
한국산업은행의 정보보호 사례는 지난 21일 개최된 '지급결제 및 정보보호' 세미나에서 <금융기관의 내부통제 및 PC 자가 보안진단 모범사례>로 발표된 바 있다.
< 저작권자 © BI KOREA 무단전재 및 재배포금지 > |
|
|
|
|
|
|
|
