‘화씨 1·25’, 그날의 악몽이 재현되는 온도. 2003년 1월 25일은 보안업체에 쓰라림을 안겨준 악몽과도 같은 날이었다.
그날 이후-마치 9·11 테러 이후 미국과 테러단체 사이의 줄다리기가 끊이지 않는 것만큼이나-인터넷상에서 굵직굵직한 보안상의 테러(?)가 끊임없이 발생하고 있다. 최근에도 국내 주요 국가기관이 수 차례 해킹 당하면서, 그 어느 때보다 인터넷 보안에 대한 중요성이 강조되고 있다.
1·25 인터넷 대란이나 국가기관 해킹사태 등 우리에게 큰 피해를 준 일련의 사건들은 발생하지 않았으면 좋았을 악재임은 틀림없다. 그렇지만 우리는 마냥 잃기만 했을까. 긍정적으로 생각해보면 우리는 더 큰 것을 잃기 이전에 소중한 경험을 했다고 본다. 이러한 일들이 반복적으로 일어나는 것을 방지하고 시행착오를 줄이기 위해선 관리의 중요성과 함께 솔루션의 선택도 매우 중요하다는 것을 강조하고 싶다. 관리의 효율성은 두말할 나위가 없지만, 이는 반드시 적절한 보안 솔루션이 기반이 되어야 한다.
그렇다면 각각에 맞는 적절한 보안 솔루션을 어떻게 선택해야 하는가. 다른 모든 분야에서도 동일하게 적용되지만 다음과 같은 다섯 가지의 주요한 보안 솔루션 선정 기준을 세워 접근한다면 보다 나은 결과를 얻을 수 있을 것이다.
우선 제품의 보안 능력을 따져봐야 한다. 보안제품은 일단 잘 막아야 한다. 바이러스, 웜 등 늘 급속히 퍼지는 변종에 ‘사후약방문’식으로만 대응한다면 소용없는 일이기 때문이다. 기업에 필요한 것은 화질 좋은 ‘CCTV’가 아니라 철통방어로 기업의 정보를 보호해 줄 보안시스템이다. 따라서 변종 바이러스나 웜 등의 위협에 대해 사전에 미리 보안을 제공해주는 제품을 선택하는 것이 기업의 피해를 최소화할 수 있다.
둘째는 자신의 네트워크 및 시스템 규모에 맞는 성능이 지원되는가를 따져 봐야 한다. 일반적으로 관리자가 우선적으로 관심을 두는 부분이다. 각 네트워크 및 시스템에 해당 보안 솔루션을 시험기간을 두어 적용해 보는 것이 좋으나 장애에 대비한 치밀한 준비가 필요하다. 만일 변경에 매우 민감한 네트워크 및 시스템이라면 별도의 시험장을 구성하는 것도 좋을 것이다.
셋째는 효율적인 관리방안을 제공하는가의 문제다. 일정하게 주어진 보안과제를 관리자가 되도록 신속하게 적용할 수 있어야 한다. 아울러 적용된 보안에 따른 결과를 관리자에게 알기 쉽고 빠르게 전달할 수 있는가를 따져 보아야 할 것이다.
넷째는 추후 확장 방안을 고려해야 한다. 인터넷 및 인트라넷의 인프라가 발전함에 따라 이미 설치된 보안 솔루션에서 제공하는 기능 및 성능 부분에 대한 확장이 필요해질 수 있다. 보안 솔루션의 미래 대응성이 약하다면 해킹 등에 취약할 수밖에 없다.
마지막으로 다른 보안 솔루션과 광범위한 연동이 가능한가를 검토해야 한다. 투입된 비용대비 효율성은 요즈음 대부분의 기업에서 정책결정의 중요 기준이다. 따라서 가급적 여러 솔루션을 한 데 묶어 통합관리 하고자 하는 경우에는 해당 솔루션이 중앙관리와 관련된 별도의 호환 인터페이스가 있는지를 꼼꼼하게 살펴 보아야 할 것이다.
이외에도 향후 3∼5년 간 해당 보안 솔루션에 투입될 비용이 어느 정도인지(총 소유비용:TCO)와 해당 보안 솔루션 투자가 우리 기관에 얼마만큼 이익이 되는가(투자자본 수익률:ROI)도 눈 여겨 보아야 할 것이다. 무조건 비싸다고 좋은 솔루션은 아니며, 해당 기업의 IT 환경에 따라 보안 솔루션의 적용 및 관리 방법도 다르다.
그러나 위에서 언급한 사항들은 모든 기업에 보편타당하게 적용되는 솔루션 선택의 기준이며, 해당 기업에 대한 솔루션의 ‘안정성’과 ‘신뢰성’을 담보해 줄 것이다. 각 업체에 맞는 제대로 된 솔루션을 구별할 수 있는 보안 담당자의 안목 또한 인터넷 보안의 중요한 요소라는 점도 강조하고자 한다.
◆손선목 체크포인트코리아 대표 smson@checkpoint.com