보안솔루션 도입 시 CC인증 여부 가장 중요하게 생각
도입 예정 보안 솔루션으로는 DB암호화 솔루션이 가장 많은 응답

[보안뉴스 민세아] 악성코드와 해킹 수법이 점점 지능화되고 고도화되면서 이에 대응하기 위해 정보보호 솔루션들도 진화하고 있다. 기업에서는 해킹을 방지하기 위해서, 고객 개인정보 및 내부 정보를 보호하기 위해 정보보호 솔루션 도입이 불가피하다.

본지에서 기업 보안담당자 2,298명을 대상으로 정보보호 솔루션 도입 시 최우선 선정 기준에 대해 설문조사를 진행한 결과, CC인증 여부가 가장 많은 응답을 받아 CC인증이 정보보호 솔루션 도입 시 가장 중요하게 생각하는 기준인 것으로 드러났다.

현재 CC인증은 국제CC인증과 국내CC인증으로 크게 나누어진다. 미래부에 따르면 CC인증 현황은 국제CC인증 누적건수 84건, 국내CC인증 누적건수는 525건인 것으로 알려졌다.


▲정보보호 솔루션 도입 시 최우선 선정 기준, 본지 설문조사 결과(보안담당자 2,298명 대상)

이와 관련 미래부 관계자는 국내CC인증은 CCRA(Common Criteria-Recognition Arrangement, 국제상호인정협정)에 부합된 인증이 아닌 국가정보원에서 국가공공기반 분야에서의 보안적합성을 판단하기 위해 시행하는 것으로 사실상 CC인증이라고 보기 어렵다는 설명이다. 이에 미래부는 CC인증과 관련한 제도 개선작업에 나서고 있다.

미래부 관계자는 “국제CC인증은 제품의 보안성을 평가하는 것으로, 성능의 개념이 아닌 제품이 일정 수준 이상의 보안성을 가지고 있다는 것을 증명하기 위한 것”이라며, “CC인증을 받았다고 해서 기술적인 부분이 우월하다는 것이 아니기 때문에 기술경쟁력과는 다른 개념”이라고 말했다.

다음으로 보안담당자들이 중요하게 생각하는 기준은 ‘공인기관 제품 평가 및 테스트 점수’ 기준과 글로벌 보안업체 여부, 보유 고객 수, 주변 또는 지인 평가 등의 순으로 나타났다.

이 가운데 글로벌 보안업체를 선호하는 이유와 관련해 한 보안담당자는 “글로벌 보안업체의 보안 솔루션이 본연의 기능에 충실하기 때문인 것 같다”고 전했다. 국내 제품의 경우 사전에 가능하다고 설명한 부분이 실제로 적용단계에서 구현되지 않는 경우가 많다는 것.

또 다른 문제는 국내 기업들이 국내에서 제품 경쟁력을 갖기 위해 커스터마이징에 주력하는 경우가 많은데, 이 경우 기업과 고객이 계속해서 커스터마이징에 얽매여 있어 순수하게 소프트웨어를 개발하는 데 있어 제한적인 환경이 형성된다는 문제점도 지적됐다.

또한, 보안강화를 위해 도입할 예정인 개인정보보호 및 정보보안 솔루션 가운데서는 ‘DB암호화’ 제품이 가장 많은 득표율을 기록했다. 이는 개정 개인정보보호법으로 인해 지난 1월 1일부터 주민등록번호를 보관하는 개인정보처리자가 의무적으로 중요 정보를 암호화해야 하기 때문인 것으로 보여진다. 잇따른 개인정보 유출로 사용자들이 개인정보보호에 대한 경각심을 갖게 됐고, 개인정보가 유출될 경우 기업 이미지에도 큰 타격이 발생할 수 있기 때문이다.

다음으로 많은 응답을 받은 솔루션은 PC보안 솔루션, 네트워크보안 솔루션, 서버보안 솔루션, DB접근제어, APT 공격 대응 솔루션 등이다.

이는 네트워크 보안에 지속적으로 투자가 진행되면서 해커가 비교적 보안이 취약한 엔드포인트 단에 눈을 돌리고 있기 때문인 것으로 보인다. 시만텍코리아 윤광택 CTO는 “PC보안 솔루션이 많은 응답을 차지한 이유는 사고가 계속 발생하는 엔드포인트 단에서 새로운 공격을 탐지하는 기술이 필요해졌기 때문”이라고 설명했다.


▲기업 보안강화를 위해 도입 예정인 개인정보보호 및 보안 솔루션, 본지 설문조사 결과((보안담당자 2,298명 대상)

그러나 보안 솔루션 도입과 관련해서 한 가지 반드시 염두에 두어야 할 것은 보안 솔루션을 도입한다고 해서 모든 보안 위협으로부터 안전한 것은 아니라는 점이다. 지난해 10월 미국컴퓨팅기술산업협회인 CompTIA의 발표에 따르면 대부분의 직원들은 안티바이러스 소프트웨어와 같은 보안 솔루션을 설치하면 자신들의 기기가 안전할 것이라고 착각하고 있는 것으로 드러났다.

이는 결국 보안 솔루션 도입과 함께 직원들을 대상으로 한 보안교육, 그리고 보유 시스템에 대한 주기적인 취약점 점검이 병행되어야 한다는 것을 의미한다. 아무리 성능이 좋고 고가의 보안 솔루션을 도입했다 하더라도 내부 직원의 보안의식이 형편 없다면 보안 솔루션은 무용지물이기 때문이다.
[민세아 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)