권고는 권함이다. 어떤 조치를 취할 것을 권유하는 것이다. 남보다 먼저 시행하기를 권고한다. 그렇다고 처음 시행하는 것도 아니다. 따라서 시행착오에 대한 염려도 덜하다. 맨 앞은 놀랍게도 제주도 서귀포시가 멀리 앞서가고 있다. 그런 이유로 서귀포시의 위상도 그만큼 올라갔다. 속초시가 벤치마킹해야 하는 지자체 중에 하나다. 바로 정보보호 관리체계를 두고 하는 말이다.
지난해인 2015년, 서귀포시는 지자체 최초로 정보보호 우수지자체로 선정되었다. 2012년에 정보보호 관리체계(ISMS) 인증을 최초로 획득하고, 매년 사후 심사를 거쳐 3년간 인증을 유지해왔다. 마침내 2015년에 갱신심사를 통과하여 정보보호 관리체계의 적정성을 재인증 받았다.
정보보호 관리체계 인증제도는 주요 정보자산 유출 및 피해의 사전예방이 목적이다. 보유하고 있는 정보자산과 관련하여 수립·운영 중인 정보보호 체계가 적합한지를 인증하는 제도이다. 정보자산의 안전과 신뢰성을 향상시키기 위해 정부가 주관하는 정보보호 인증제도로 한국인터넷진흥원(KISA)의 객관적 심사를 통해 진행된다. 인증획득 후 3년간의 인증을 보장받기 위해 2번의 사후 심사를 거쳐야 한다.
지자체 입장으로 보면 지자체 정보자산을 체계적으로 보호하고, 사이버 침해사고에 대한 예방체계의 구축을 통해 정보화 서비스에 대한 피해를 최소화하기 위한 선제적 노력이라고 말할 수 있다. 현재까지 330여개 업체와 기관이 정보보호 관리체계를 획득했는데 전국 시도·시군구 지자체에서는 부천시, 창원시를 비롯해 28개소만 획득 유지하고 있다. 아직 매우 미진한 상태이다.
이러한 정보보호 관리체계의 중요성에 대한 인식은 정보의 위험성 때문이다. 모바일, 클라우드, 사물인터넷 등 새로운 기술의 발달은 기업과 개인에 많은 편리함을 주고 있지만, 반면에 개인정보와 기업 기밀정보 탈취 또는 유출 위험성도 증가하고 있기 때문이다. 빈번한 사이버 테러공격의 범위가 넓어지고, 해킹에 의한 공격 기법이 다양화, 고도화 그리고 지능화 되고 있기 때문이다.
실제로 2012년 통신사 개인정보 유출, 2013년 3·20 사이버공격, 6·25 사이버공격, 2014년 금융 및 카드사 개인정보 대규모 유출 등 보안사고가 계속 발생했으며 앞으로도 점증할 것이다. 이는 첨단기술 유출, 기업신용하락과 고객이탈 그리고 주가하락 등의 연쇄적 파급효과로 이어져 사회·경제적으로 큰 타격을 주었다. 여러 차례 검증된 바와 같이 북한소행과 관련하여 국가안보에 커다란 위협요인으로 작용하고 있는 것이 현실이다.
올해 하반기부터 정보보호 관리체계 인증 의무대상이 더욱 확대된다. 기존 영리목적의 정보통신서비스 제공자에서 의료·교육 등의 민감한 정보를 다루는 비영리기관으로까지 확대되는 것이다. 정보보호 관리체계 인증 신규 의무대상으로 세입이 1500억원 이상인 의료법상 상급종합병원 및 고등교육법상 재학생수 1만 명 이상인 학교를 추가하도록 되어있다.
이와 함께 행정자치부와 한국인터넷진흥원이 이달 9월부터 올해 연말까지 공공기관에서 활용하고 있는 스마트폰 앱의 개인정보 처리실태 파악에 나선다. 개인정보 관리체계 영역을 살펴보겠다는 취지이다. 공공기관에서 개인정보보호법을 성실하게 준수하고 있는지 또는 개인정보 수집과 처리가공 과정에 문제점은 노출되고 있지는 않은지 등을 확인할 예정이다.
남 따라가면 뒤처진다. 속초시도 정보보호 관리체계에 신속히 대응해야 한다. 이를 위해 제목의 내용으로 권고안을 속초시 참여예산 시민제안으로 제출했다. 집행부에서 자치법규에 구체화하여 시의회와 협의하여 제도적인 방안을 모색해야 한다는 권고이다. 분명하게 다가올 현실적 문제를 먼저 나서면 그것이 경쟁력이다. 서울시도 아니고 서귀포시가 일등이니 속초시도 충분하다.
추후 정보보호 관리체계의 준수의무가 지자체에까지 적용되는 것은 시간문제다. 이를 대비하여 선제적으로 정보보호 관리체계 인증을 위한 자치법규를 마련하고 적용한다면, 시민의 정보와 자산보호에 최선을 다하고 있는 지자체, 업그레이드 정보안전 선진 지자체 속초시가 될 것이다.
최철재
경동대 교수·이학박사
|
