ISMS 인증 재심사 위한 증적관리를 체계적·효율적으로 수행
다양한 보안관리 항목 일목요연한 정리 가능해

[보안뉴스 김태형] 유안타증권은 지난해 자체적으로 ISMS인증을 받은 후 재심사에 대비한 증적관리 필요성이 제기됐다. 즉, 250여개 심사항목에 대해 1년간 보안활동이 제대로 수행되고 있는지, 그리고 수백가지가 넘는 법규 준수사항이 제대로 지켜지고 있는지에 대해 확인해야 할 필요성을 느낀 것. 이에 유안타증권은 ISMS인증 재심사를 대비한 증적관리를 위해서 지난 3월  정보보호 증적관리 시스템을 도입해 5월 중순경 시스템을 공식 오픈했다.



 ▲ 유안타증권이 도입한 정보보호 증적관리 솔루션은 6하 원칙에 입각한 가이드라인에     따라 정해진 양식에 내용을 기입하는 방식으로 빠르고 정확하게 업무를 수행할 수 있다.

이에 대해 유안타증권 서동일 정보보안팀 팀장은 “보안컨설팅은 높은 비용에도 불구하고 ISMS 재인증을 받는 시점까지 상시적으로 처리해야 하는 수백가지의 보안업무에 대한 밀착 관리까지 받기 쉽지 않은 측면이 있다”며 “ISMS인증 후 재인증 심사를 준비할 때까지 250여개 항목에 대해 증적관리 등을 직접 시행해야 하는 실무자들의 체계적인 관리를 도울 방법을 찾다보니 정보보호 증적관리 시스템을 도입하게 됐다”고 밝혔다.

유안타증권이 도입한 유와이즈원의 정보보호 증적관리 솔루션 ‘와이즈원ISMS’는 조직의 정보보호관리체계 표준(ISMS, PIPL, 금감원 규정, ISO27001, PIMS)을 수립, ISMS인증 획득·갱신에 필요한 증적을 체계적으로 관리하는 솔루션이다.

서동일 팀장은 “모든 금융회사가 마찬가지겠지만, 유안타증권에서 가장 중요하고 보호해야 할 정보자산은 고객서비스를 위한 고객정보, 전산센터·서버·네트워크 등정보통신 기반시설”이라면서 “이를 보호하기 위해서는 기본적으로 전자금융거래법, 전자금융감독규정, 정보통신망법을 준수해야 한다. 또한 의무적으로 ISMS인증을 받아야 하는 등 감독기관의 금융회사에 대한 요구사항이 갈수록 강화되고 있어 이러한 요건을 충족시키기 위한 보안정책을 수립하고 세부적인 활동을 위해 별도의 체크리스트를 작성해 주기적인 점검 및 모니터링을 실시하고 있다”고 설명했다.

이번 정보보호 증적관리 솔루션을 도입하게 된 배경은 ISMS인증 후 재심사를 위한 보안활동과 법규 준수사항에 대한 증적관리를 체계적으로 시스템화하기 위한 것이었다.
서 팀장은 “우리가 선택한 정보보호 증적관리 솔루션의 경우 원하는 기능, 준수항목에 대한 담당자지정·일정관리·진척관리 등이 구현되어 있었고 ISMS 항목 외에 추가로 관리가 필요한 항목은 무엇이든 확대·적용이 가능하도록 구성되어 있었다”고 말했다.

유안타증권이 도입한 정보보호 증적관리 솔루션은 6하원칙에 입각한 가이드라인에 따라 정해진 양식에 내용을 기입하는 방식으로 빠르고 완벽하게 업무를 수행할 수 있을 뿐 아니라, 회사 내 정보보호 업무를 담당하는 관리자가 전사의 지연업무, 담당자, 일정 등의 보안업무 상황을 한눈에 파악하고 지시할 수 있도록 구성돼 있다는 설명이다. 또한, 정보보호 업무가 적시에 누락 없이 수행되어 보안체계가 강화되며 문서관리의 전산화로 종이문서 보관, 관리의 어려움을 해결할 수 있었다는 것.  

아울러 ISMS 법률요건뿐 아니라, IT경영실태평가, IT 컴플라이언스, 내부보안업무관리, CISO점검항목 등의 중복업무를 한번에 관리할 수 있어 다양한 보안관리 항목을 일목요연하게 체계적으로 정리해주는 것도 큰 장점으로 평가했다.


     ▲ 유안타증권 서동일 정보보안팀 팀장
서동일 팀장은 “정보보호 증적관리 솔루션 도입 이전에는 누가, 언제, 무엇을 했는지, 안했는지 확인이 어려웠고 담당자도 본인이 해야 할 일을 누락하는 일이 많았다. 하지만 이제는 일정등록만 해놓으면 담당자에게 메일이 자동으로 발송되고 한눈에 현재 기준으로 모니터링 되기 때문에 기업의 보안활동이 제대로 되고 있다는 확신을 가질 수가 있게 됐다”고 말했다.
 
유안타증권이 이번 정보보호 증적관리 솔루션 도입 시 가장 고려했던 사항은 ‘도입해서 정말 유용하게 사용할 수 있는 제품인가’였다. 이와 같은 제품이 시장에 없었다면 개발을 해서라도 관리를 해야겠다는 생각도 했었다는 것.

유안타증권에서는 기존 솔루션에 금융회사 환경에 맞도록 추가작업을 진행했다. 대쉬보드 수정, 긍융관련 볍규 준수 항목 추가, 주요업무 처리현황 관리 등을 추가하면서 구축 과정이 2개월 정도 소요됐다.
      
서동일 팀장은 “유안타증권의 정보보안팀은 별도의 팀으로 구분되어 있으며 팀장을 포함해 총 7명으로 구성되어 있다. 여기에는 FDS 운영업무도 포함된다”면서 “현재 유안타증권은 보안강화를 위한 전사 인터넷 망분리 작업이 남아 있다. 기본적으로 지켜야 할 것들은 대부분 적용되어 운영중이지만 앞으로 전체적인 보안 프로세스의 재점검과 솔루션들 간의 운영 효율성 및 취약점 등을 연구해 더욱 강화된 보안체계를 갖추기 위한 노력을 지속적으로 해 나갈 예정”이라고 강조했다.

한편, 유안타증권은 지난 2013년 증권사 처음으로 FDS를 구축·운영중이며 현재는 고도화 작업을 진행하고 있다. 또한, 정보보호 증적관리 솔루션도 금융권 처음으로 도입해 운영하고 있다. 아울러 ISMS 인증 획득을 위한 준비도 대부분의 회사가 전문적인 보안컨설팅을 받아 취득했지만 유안타증권은 자사 인력들이 직접 준비하며, 담당업무에 대한 장악력을 키웠고, 향후 이러한 업무들을 어떻게 운영해야 할지를 알게 되었다는 점에서 모범적인 사례라고 할 수 있다.
[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>