[정보보호/시큐리티톱뷰]<122>신호철 EMC 상무

“국내 기업 보안담당자는 환자가 아니라 의사가 돼야 합니다. 보안 솔루션이 알려주는 위협에 대응하는 것이 아니라 근본적인 위험을 스스로 찾아 진단해야 합니다.”

신호철 EMC 상무(RSA사업부)는 기업은 사이버 위협을 막는 데 역량을 집중하지만 찾아내고 대응하는 건 미약하다고 지적했다. EMC는 RSA를 인수해 보안 사업으로 영역을 넓혔다. RSA는 ‘인텔리전스 주도 보안(Intelligence Driven Security)’를 내세운다. RSA는 2010년부터 2015년까지 대응력 향상을 위해 지속적으로 요소기술을 가진 기업을 인수합병(M&A) 했다.

“과거 기업 내 시스템에 머물렀던 IT인프라는 클라우드로 바뀌고 있습니다. 쉐도우 IT라 불리는 비인가 된 기기가 증가하고 있습니다.”

신 상무는 날로 복잡해지는 IT인프라와 마찬가지로 보안과 위험(Risk)도 함께 높아진다고 설명했다.

“위협탐지와 대응, 사기와 사이버범죄 방지, 계정·접근 관리, 컴플라이언스 준수까지 지켜야 할 것이 너무 많습니다.” 그는 기업은 이미 수많은 보안 솔루션에 투자했지만 위험은 줄지 않는다고 지적했다.

“투자 우선순위를 바꿔야 할 시점입니다. 현재 보안 투자는 침입을 방지에만 집중돼 있습니다. 안으로 들어오는 것을 막으려고 높은 벽을 쌓고 큰 자물쇠를 다는데 열중합니다. 찾아내고(모니터링) 대응하는 데 소홀합니다.”

RSA 조사에 따르면 현재 보안 투자의 80%는 침입방지에 집중됐다. 모니터링과 대응은 각각 15%와 5%다. 그는 인텔리전스 주도 보안은 ‘침입방지·모니터링·대응’ 삼박자를 갖추는 일이라고 표현했다.

RSA는 기업 내 모든 자산을 관리하는 저사자원관리(ERP)처럼 모든 보안 이슈를 한 눈에 파악하는 ‘거버넌스·리스크·컴플라이언스(GRC)’를 강조했다.

신 상무는 “기존 보안 솔루션은 알려지지 않은 새로운 공격을 막아내지 못하고 로그를 탐지하고 경고를 주는 데 그친다”며 “조직이 스스로 위험을 인지하고 관리해야 한다”고 말했다.

그는 “GRC는 IT, 재무, 경영, 법무 등을 아우르며 조직 위험을 효과적으로 관리한다”며 “업무 생산성과 보안을 동시에 지원해 최고정보보호책임자(CISO)가 기업 보안 이슈를 한 눈에 보며 비즈니스 관점에서 의사 결정하게 돕는다”고 설명했다.

김인순기자 insoon@etnews.com