행정기관용 정보보호관리체계 인증제도인 ‘G-ISMS(가칭)’가 신설된다고 합니다. 민간에서 이뤄졌던 KISA ISMS 인증제도가 공공기관까지 적용되게 되었습니다. 이는 바람직한 내용이라 생각합니다. 필자가 ISMS 인증심사원 활동을 하면서 느낀 것은 바로 정보보호에 대한 체계가 바로 서 있지 않다는 것입니다.
정보보호관리체계는 하나의 프로세스로 처음 수립하기는 어렵지만 한번 수립되면 그 기준에 따라 잘 이행할 수 있습니다. 이런 프로세스 정립이 안 되어 있으면 일시적인 보안 솔루션 도입에 그치는 경우가 많은데 시간이 지나면 여러 문제점이 발생하게 됩니다.
보안솔루션 도입도 중요하지만 그것을 관리하고 운영하는 것이 더 중요할 수도 있다는 것입니다. 이런 관리·운영에 관한 모든 활동을 절차에 맞게 움직이는 프로세스를 정보보호관리체계(ISMS)라 하겠습니다.
비유하자면 흐트러진 창고를 차분히 앉아 정리하면서 먼저 어떤 것이 소중하고 어떤 것이 버릴 물건인지 판단해 목록을 만드는 것과 같습니다. 잘 정리된 목록은 창고에 들어서는 물건들을 어떻게 다룰 것인지 쉽게 파악할 수 있는 도우미가 됩니다.
많은 기업이나 조직은 어떤 물건이 자산으로 잡혀 있는지, 어떤 자산이 우선순위가 높은지 관리하지 않고 있습니다.
정보보호관리체계를 수립하게 되면 자산에 대한 위험평가를 하고 순위가 높은 것부터 위험을 감소시키는 대책을 세우는 것입니다. KISA ISMS의 경우 15개 통제항목에 446개 세부항목을 가지고 있어 주어진 체크리스트에 의해 관리항목이 통제되고 있습니다.
이런 일련의 정보보호 체계수립과 활동이 공공분야에 적용된다면 조직의 보안과 관리는 한결 수월하고 체계적으로 운영될 것입니다. 앞으로 공공기관 ‘G-ISMS’ 제도가 잘 정착되기를 기대해봅니다.
크게보기
작게보기
프린트 
스크랩 
메일 .jpg)
.jpg)
.gif)
.gif)
