interview ∣ 농협생명 배문하 본부장(CISO)

즐겨찾기추가

2024.06.03 (월)

기상청 제공

해당된 기사를 공유합니다
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사
- 가나다라마바사

ROUNDTABLE

interview ∣ 농협생명 배문하 본부장(CISO)

보안정책, 독립운영 방식으로 선제적 대응책 마련하겠다

방창완 편집국장 기자
등록 2015.06.26 16:04
조회수 3,438

interview ∣ 농협생명 배문하 본부장(CISO)

보안정책, 독립운영 방식으로 선제적 대응책 마련하겠다

“농협생명의 정보보호를 위해 최선을 다할 것입니다. 무엇보다 안정성 확보를 위해 직원들의 역량을 고도화해 나갈 것 입니다”지난해 5월 7일자로, 농협생명에 부임한 배문하 본부장(CISO)은 정보보호 최고 책임자로서 보안 안정성과 함께 보안수준을 높이기 위해 최선을 다할 생각이라고 말했다. 농협생명 보안최고책임자인 배문하 본부장을 만나 농협생명의 보안정책과 방향에 대한 이야기를 나눴다.

방창완 편집국장 bang@ciociso.com


▲ 농협생명 배문하 본부장(CISO)

농협생명이 2013년 10월에 신보험시스템을 오픈하면서, 기존에 은행과 연계된 전산망이 분리되면서 이제는 자체적으로 독립된 시스템의 면모를 갖추게 됐다.

이에 따라 이제는 보안정책도 독립적인 운영방식을 통해 선제적으로 대응해야한다는 내부적인 의식이 고취된 상태이다. 배문하 본부장은 신시스템을 오픈하면서 수많은 과정을 거쳤다. 그는 지난 시간을 회고하며, ‘마치 새롭게 회사를 설립 하는 것과 같았다’는 입장을 밝혔다.

신보험 시스템을 오픈하면서 법적 요구에 부응하고, 지금껏 자체적인 단일 시스템 구축에 많은 노력을 기울여 왔다. 초기에는 외부 감독기관의 요구에 부응하느라 그때 그때 시스템을 갖춰나가는 방식을 채택했지만, 이제는 적응기가 지나고 나서 회사의 전체 마스터플랜을 수립할 필요성을 느꼈다. 지난해 새롭게 임명된 이후 배 본부장은 마스터플랜을 시작으로 내부 시스템을 구축하면서, 사람과 프로세스, 기술이 조화를 이루는 기술적인 관점에서의 보안 체계를 마련했다.

안정화 이후 사람에 의한 보안운영이 중요하다

올해는 내부 보안 프로세스 체계를 확립하고, 보안 거버넌스를 공고히 해나갈 계획이다. 그는 금융보안이 선진국 수준으로 발전하기 위해서는 외부 침입에 대한 정기적인 취약점 점검과 함께 필요한 전문 인력과 조직 및 능력을 구비할 필요가 있다고 말했다. 하지만 모든 것이 충족된 상태에서 프로세스 체계가 마련되기는 어려운 현실을 반영해 부족분은 아웃소싱을 통해 충당해 나갈 계획이다.

배문하 본부장은 “내부 보안조직을 통해 전체적인 보안 총괄을 맡고 있지만, 인프라 영역은 기존의 IT조직에서 진행하고 감수를 정보보호실에서 운영한다. 서로 협업체계를 공고히 해 전체적인 보안수준을 높여나갈 계획”이라고 말했다. 현재 농협생명의 시스템은 독립되고 분리됐으며 보안체계도 안정화에 접어들었다. 하지만 늘 배 본부장이 고민하는 것이 사람에 대한 부분이다.

배문하 본부장은 현재 농협생명은 다양한 문화를 경험한 인력들이 모여 있어서, 이런 경험의 자원을 활용할 여력은 되지만, 개개인의 능력을 결집시켜 보안 분야에서 성숙도를 높이는 과정이 필요하다고 강조했다. 기술적인 역량 외에도 비즈니스 마인드를 키워 업무를 진행하는 조직 구성원들이 혁신적인 관점에서 보안업무를 수행해 선제적으로 대응체계를 갖추는 노력이 필요하다는 것이다.

배 본부장은 기술도 중요하지만 이를 효과적으로 현실에 적용하기 위해서는 조직역량을 키워야 할 필요가 있다고 지적했다. 그는 “현재 농협생명은 내부적으로 독립적인 경영체제가 이뤄진 만큼 의사결정이 빠르고 단순화 됐다. 이런 환경적인 변화에 부응해 다양한 인력들이 역량을 결집해 혁신적인 마인드로 업무에 임할 수 있다면 기업의 보안 성숙도는 높아질 것”이라고 말했다.

CIO, CISO 긴밀한 협업체계 마련돼야

이와 함께 기업의 IT 성숙도를 높이기 위해서는 CIO와 CISO 조직이 서로 긴밀하게 협업하는 공조체제가 마련돼야 한다고 강조했다. 보안 사고는 경계영역에서 발생할 수 있기 때문에 보안 프로세스의 실행을 CIO 조직에서 한다면, 보안에 대한 기준과 책임은 CISO 조직에서 맡는 역할 정립이 필요하다는 것이다.

보안관련 유지관리 부분은 인프라에 귀속시키고, 정기적인 보안 피드백과 개선에 대한 요구가 보안 조직에서 이뤄져야 할 것으로 보인다. 또한 취약점에 대한 조치가 이뤄졌는지를 서로 확인해야한다. 결국 IT 인프라와 보안은 서로간에 뗄레야 뗄수 없는 상호 공존하는 체계로 구성돼야 효율적으로 업무를 수행할 수 있다고 그는 강조했다.

또한 앞으로는 IT의 속성이 임베디드 형태의 구조를 띠고 가기 때문에 IT 인프라 영역에 보안이 얹혀 나가는 구조가 될 것이며, 이를 관리하기 위해서는 서로의 공조체계를 공고히 하고, 혹시나 모호한 영역에 있어서는 가급적이면 CISO가 책임을 지는 방향으로 가야 보안사고를 미연에 방지할 수 있다고 말했다.

배 본부장은 앞으로 기업의 보안 수준을 높이기 위해 조직과 인력에 대한 역량을 높이는데 주력할 계획이다. 농협과 기존 생명보험사 및 다양한 보험사에서 영입한 인력들이 서로 조화를 이루고 업무에 매진하며, 성숙도를 높이기 위한 다양한 제도적인 장치를 마련해 나갈 계획이다.

방창완 편집국장 기자의 전체기사 보기