[Special Report] 2부_“컨설팅은 보안의 우선순위를 조언하는 것”

최근 개인정보보호법을 비롯해 기업이 직면한 보안 관련 법적 이슈가 증가하면서 보안 컨설팅에 대한 수요가 늘고 있다. 하지만 그 많은 컨설팅 업체 중에서 보안 전문 컨설팅 업체는 손가락에 꼽을 정도다. 내로라하는 보안 솔루션과 업체는 많지만, 보안 컨설팅을 제공하는 전문 업체가 많지 않은 이유는 무엇일까?

보안 컨설팅을 고려한다면 검증된 컨설팅 능력은 물론, 비밀 유지 측면에서 믿을 수 있는 업체를 찾는 것이 관건이다. 안랩 관리컨설팅팀은 차별적인 보안 컨설팅과 이에 따른 합리적인 보안 솔루션 도입을 원스톱으로 제공한다.
전체 IT 시스템을 조망하는 관점에서 실질적이고 효과적인 보안 체계를 구축하고자 하는 기업을 위해 안랩 관리컨설팅팀 김형준 팀장에게 조언을 구했다. 김형준 팀장은 일반 IT 시스템 솔루션 개발 및 공급 기업부터 안랩의 솔루션 지원팀까지 두루 거치며 쓴맛 단맛 모두 겪은 보안 컨설팅 분야의 전문가다.

 

안랩 관리컨설팅팀 김형준 팀장

 

 

보안 컨설팅은 일반적인 컨설팅과 무엇이, 어떻게 다른가?

보안 컨설팅은 ‘체계 수립 컨설팅’과 ‘개인정보보호 컨설팅’으로 구분할 수 있다.

 

일반적으로 보안 체계를 만드는 것이 ‘체계 수립 컨설팅’이다. 체계 수립 컨설팅은 정보 자산을 구분하는 것부터 시작된다. 기업 내부의 정보는 어떤 것들인지, 문서는 어떤 것들이 있는지, PC 내의 파일뿐만 아니라 DB 내의 정보를 파악한다. 특히 기업 평판을 기반으로 중요한 정보를 구분하고 있는지도 점검한다.

 

정보에 대한 파악이 완료되면 취약점 판단을 진행한다. 서버에 취약점이 있는지, 내부 직원의 부주의로 인한 보안 위협 여부와 외부 위협, 즉 해킹 등 공격이나 물리적인 침입에 의한 위험도를 산정한다. 가장 심각한 위협부터 비교적 위험도가 낮은 위협까지 구분한다.

 

이렇게 산정한 위험도를 토대로 고객사의 보안 책임자와 논의를 통해 어느 정도의 위험 수준까지 수용할 것인지를 결정한다. 덜 중요한 자산에 대해서는 어느 정도 위험을 감수하고, 위험이 심각하게 우려되는 부분에 대해서는 위험 해결을 결정하는 등의 내용을 포함한 보호 대책서를 작성한다. 이때 솔루션 구축을 위한 지침서와 직원 교육 방안까지 마련한다. 고객의 조직을 기반으로 누가, 무엇을, 어떻게 해야 하는지를 구체적으로 정리하여 제시한다.

 

‘개인정보보호 컨설팅’은 조금 다르다. 개인정보 보호와 관련된 법적 요구 사항은 일반적인 법적 요구 사항과는 다르기 때문이다. 개인정보 보호를 위해서는 개인정보의 흐름, 즉 개인정보의 라이프사이클(Lifecycle)에 대한 분석이 핵심이다. 개인정보가 온/오프라인에서 어떻게 수집됐는지, 수집 과정에서 동의 및 목적에 대한 정리가 적절했는지, 개인정보가 어떻게 저장되고 누가 사용하고 있는지, 위탁 업체 등 어떻게 외부로 나가고 어떻게 폐기되는지까지 개인정보의 흐름 과정에서의 위험도를 평가한다. 그렇기 때문에 개인정보 보호 컨설팅은 여러 가지 요소를 고려해야 하고, 좀 더 많은 시간이 소요된다.

 

 

기업들에게 보안 컨설팅이 꼭 필요한가?

사실 조직의 문제는 해당 조직이 제일 잘 안다. 기업 스스로 내부에 어떤 중요 정보가 있는지 파악하고 어떻게 보호할 수 있는지 알고 있다면, 이는 가장 이상적인 형태이며 보안 컨설팅이 필요치 않을 수도 있다. 현실적으로 그것이 불가능하기 때문에 전문가의 조언이 필요한 것이다. 물론 보안 컨설팅이 필요한지 판단하는 것은 기업의 몫이다. 컨설턴트는 현황을 파악하고 가이드만 제시할 뿐이다. 제시된 가이드에 따라 실제로 보안 체계를 구축하는 것은 해당 기업의 몫이다.

 

 

보안 컨설팅 수행 시 어려운 점은 무엇인가?

보안 컨설팅 작업에서 가장 기본이면서도 가장 어려운 부분이 정보 수집이다. 기업 보안의 가장 큰 문제는 크리티컬(critical)한 보안 이슈가 상부로 보고될수록 순화된다는 점이다. 그 결과 기업의 CEO는 정확하고 자세한 내용은 모른 채 ‘안전하다’고 믿게 된다. 보안 컨설팅 수행 시 이 같은 경우를 적잖이 맞닥뜨린다.

 

의도적이든 그렇지 않든 조금씩 왜곡되는 정보에 대한 적절한 판단은 컨설턴트에게 요구되는 핵심 소양이다. 이러한 통찰력은 오랜 컨설팅 경험과 노하우 공유를 통해 체득될 수 있다. 때문에 오랜 경험과 다양한 레퍼런스를 보유하고 있는 컨설팅 기업을 선택하는 것이 중요하다.

 

 

안랩의 보안 컨설팅 진행 방식에 대해 설명해달라.

 

보안 컨설팅은 보통 3~5개월 일정으로 진행되는데, 다양한 방법과 기준으로 고객의 보안 수준을 다각도로 진단한다. ‘통제 항목(체크리스트)’에 준한 보안 실태 확인부터 전산실을 비롯한 각 구역 및 출입구에 대한 태깅까지 확인한다. 모의해킹을 통해 보안 시스템 수준을 확인하기도 한다. 또한 기술 관점에서 각 솔루션과 체계에 대해 개별적인 분석을 수행하고, 조직 관점에서 보안 조직이나 담당자의 역할, 일반 직원들의 인식 수준과 행동을 분석하여 전체적인 보안 수준과 실태를 평가한다. 이 과정에서 실질적인 현황을 파악하기 위해 직원 인터뷰도 반드시 진행한다.

 

그러나 평가에서 그친다면, 비싼 돈을 들여 보안 컨설팅을 받는 의미가 없다. 안랩은 다각도의 분석과 평가 결과를 토대로 시기별로 구축해야 할 보안 체계를 제안한다. 당장 2~3개월 내에 해결해야 할 것, 연내에 수행해야 할 것, 향후 장기적 관점에서 추가할 것들까지 ‘우선순위’에 따라 대안을 제시한다. 즉, 보안 체계 구축을 위한 마스터플랜을 만들어 가는 것이다.

 

마스터플랜을 만들 때에는 비용 문제까지 고려해야 한다. 안랩의 보안 컨설턴트들은 대략적인 예산까지 측정해준다. 빠져나가는 정보의 가치 대비, 이를 지키기 위한 비용 투자가 어느 정도 소요되는지 알려주어야 고객이 제안 수용 여부를 결정할 수 있기 때문이다. 물론, 구체적으로 도입이 필요한 솔루션뿐 아니라, 직원 인식 교육과 홍보 이벤트 방안까지 제시한다. 때문에 보안 컨설팅은 전문가가 제시하는 보안 풀세트(Full Set)라 할 수 있다. 

 

안랩의 컨설팅이 타사와 차별되는 점은 무엇인가?

대외적으로 높은 평가를 받고 있는 안랩의 컨설팅 방법론인 ASEM(AhnLab Security Engineering Methodology)을 들 수 있다.

 

‘컨설팅 방법론’은 한마디로 컨설팅 프로세스라고 이해할 수 있다. 보안 컨설팅은 일반 컨설팅과 마찬가지로 프로세스와 체크리스트가 있으며, 결과 보고서의 틀도 일반 컨설팅과 유사하다. 일반 컨설팅과의 차이는 현재 상태(as is)와 향후 모델(to be) 사이의 ‘위험 분석’이라는 항목이다. 보안 컨설팅 프로세스의 핵심은 ‘위험 관리’라고 해도 과언이 아니다.

 안랩을 포함하여 보안 컨설팅 업체 대부분의 위험 분석 방법론은 국제 표준을 따르고 있다. 그러나 위험 분석의 흐름은 같지만 그 안의 체크리스트와 보고서 형식은 차이가 있다. 또한 컨설팅 비용, 시간, 노력 등의 항목에 대한 노하우가 차별화된 컨설팅을 만든다. 이것이 고객 맞춤형 컨설팅을 가능하게 하는 힘이다.

 

또 한 가지, 안랩은 ‘컨설팅 QA(Quality Assurance)’를 실시하고 있다. 보안 컨설팅에 대한 수요가 증가하면서 컨설턴트 또한 급증하고 있다. 하지만 이에 따라 컨설턴트 자질 및 컨설팅 서비스의 품질 저하 문제가 발생할 수 있다.

 

안랩은 컨설팅 서비스의 품질을 관리할 수 있는 조직을 별도로 구성했다. 이 조직이 컨설턴트와 컨설팅 서비스를 평가하고 관리함으로써 일정 수준 이상의 컨설팅이 가능하도록 가이드하고 있다.

 

 

안랩 컨설팅 사업이 벌써 13년째다. 초기 정착 과정에 어려움이 있었을 듯한데.

2000년부터 보안 컨설팅 사업을 시작했는데, 전 세계적으로도 보안 컨설팅이 막 시작되던 시기라 체크리스트는커녕 보안 컨설팅에 대한 인식도 전무한 상태였다.
 
2000년 4월 1일 주택은행에 대한 첫 컨설팅 프로젝트가 들어왔을 때는 3개월 동안 그야말로 ‘맨땅에 헤딩’할 수밖에 없었다. 전날 밤새 윈도우 체크리스트를 만들어 다음 날 고객사 담당자와 인터뷰를 진행하고, 다시 밤새 리눅스 체크리스트를 만들어 다음 날 담당자와 인터뷰하는 식이었다. 안랩뿐만 아니라 다른 업체에도 체크리스트 등이 없던 시기였다.

 

2000년이면 국외에서도 침입 탐지 시스템(IDS)이 막 출시되려던 시기로, 국내에 들어와 있는 보안 솔루션은 극히 드물었다. 사실상 보안 솔루션이라고 해봐야 방화벽과 안티바이러스 솔루션이 전부였다. 로그를 봐도 위험인지 아닌지 해석도 어려웠지만, 위험을 확인하더라도 어떤 솔루션이 필요한지, 어떻게 막을 수 있는지까지는 제시할 수 없었다.

 

그나마 코빗(COBIT) 정보처리 감리 관련 자료나 해외 자료를 겨우 참고할 수 있었고, 수많은 논문을 참고해 직접 노하우를 만들어 나가야 했다. 2001년에 BS7799가 도입되면서 다소 컨설팅이 체계화될 수 있었다. 우리나라가 정부 차원에서 컨설팅 업체에 대한 라이선스를 발급하기 시작한 것도 이 때였다. 안랩도 그때 컨설팅 전문 업체로 지정됐다.

다행히 주택은행 프로젝트가 성공적으로 마무리되면서, 같은 해 IBM을 통해 S 그룹 보안 컨설팅 프로젝트에 참여하게 되었다. 곧이어 대신증권의 컨설팅 의뢰가 들어왔는데, 이때부터 안랩이 주체가 되어 컨설팅 작업을 진행하기 시작했다.

 

 

안랩의 대표적인 컨설팅 사례를 소개한다면?

대부분 고객사들은 모범 사례로 외부에 공개되는 것을 껄끄러워한다. 요즘은 인식이 다소 바뀌었다고는 하지만 여전히 외부의 공격 목표가 될 수 있다는 우려가 있기 때문이다. 특히 민감한 시설에 대한 컨설팅 프로젝트는 더욱 공개가 어렵다.

 

최근 스턱스넷과 관련해 산업 시설 제어 시스템에 대한 컨설팅을 진행했다. 산업 시설 제어 시스템처럼 민감하고 고도화된 부분과 관련된 프로젝트는 타 업체에서는 엄두도 내지 못한다. 특히 산업 시설 제어 시스템인 스카다(SCADA) 시스템의 PLC 장비를 살펴볼 수 있는 기술을 가진 곳은 국내에서 안랩밖에 없다. 때문에 고객은 안랩에게 컨설팅을 의뢰하는 것이다.

 

 

향후 컨설팅 시장의 전망과 포부를 말해달라.

우선, 최근 개인정보보호법의 계도 기간도 끝났기 때문에 관심이 높다. 따라서 당분간 컨설팅 시장은 호황이 예상된다. 보통 기업이 예산을 책정하는 1~2월에 컨설팅 방법론을 업데이트하고 정리한다. 그러나 작년에 발생한 보안 침해 사고의 여파로 올해는 보안 컨설팅 요구가 쉴 틈이 없었다. 향후 2~3년간은 이런 상태가 지속될 것으로 본다. 새로운 위협과 취약점이 늘어나는 이상, 보안 컨설팅이 계속 필요할 것이다.

 

오늘날의 고도화된 보안 위협에 대응하기 위해서는 컨설팅 자체에 대한 노하우만으로는 부족하다.

악성코드 분석부터 실제 보안 제품, 보안 관제까지 보안에 관한 모든 것을 다 갖추고 있어야 한다. 안랩은 보안 위협의 시작점인 악성코드에 대한 분석은 물론, 실제 제품을 설치하고 운영해 본 노하우를 축적하고 있다. 이를 통해 보안 솔루션 운영에 따르는 고객들의 어려움을 감안한 컨설팅과 현실적인 가이드 제시가 가능한 것이다. 앞으로 안랩은 안랩만의 컨설팅 품질을 유지하고 타사가 따라올 수 없는 기술과 전문성을 키워가기 위해 더욱 노력할 것이다.@