[덕] 신뢰의 두 기둥: 책임성과 투명성

사이버보안에도 거버넌스가 필요하다 (25. 03)

사이버 공격의 파도가 그 어느 때보다 거센 지금, 우리 조직을 지키는 가장 근본적인 힘은 복잡한 기술이 아닌 ‘신뢰’에서 나옵니다. 그리고 그 신뢰를 쌓는 두 개의 단단한 기둥이 바로 '책임성(Accountability)'과 '투명성(Transparency)'입니다. 이는 단순히 윤리적인 구호를 넘어, 조직의 생존과 성장을 좌우하는 좋은 거버넌스(Good Governance)의 핵심 원칙입니다.

최근 규제 기관들이 기업의 보안 활동에 대한 개방성을 요구하면서, 이 두 원칙은 사이버보안 영역에서 더 이상 외면할 수 없는 기준으로 자리 잡고 있습니다.

책임성(Accountability): ‘누가 할 것인가’를 넘어 ‘누가 책임지는가’

사이버보안에서 책임성이란 조직과 개인이 자신의 보안 관련 활동과 결정, 그리고 그 결과에 대해 명확히 답할 수 있는 의무를 의미합니다. 이는 다음의 요소들이 갖춰질 때 비로소 구현됩니다.

명확한 역할과 책임 규정: 많은 조직이 ‘업무 책임(Responsibility)’과 ‘궁극적 책임(Accountability)’을 혼동합니다. 책임이 ‘누가 그 일을 수행하는가’에 대한 것이라면, 책임성은 ‘그 일의 최종 결과까지 추적하고 책임지는 주체는 누구인가’를 정의하는 더 넓은 개념입니다. 특히, 이러한 책임성의 정점에는 반드시 최고경영층(CEO)이 자리해야 합니다. “아무도 책임지지 않는다면 아무도 수행하지 않는다”는 명제는 최고경영층의 리더십이 부재할 때 현실이 되기 때문입니다.

성과 평가와 연계: 보안 활동의 성과가 개인과 부서의 공식적인 성과 평가에 의미 있게 반영되어야 합니다. 또한 업무 보고 체계 속에서 책임 소재를 명확히 파악할 수 있어야 합니다.

결과에 대한 수용: 보안 실패나 침해 사고가 발생했을 때, 그 원인과 결과에 대해 모든 구성원이 수용할 수 있는 객관적인 상벌 체계가 마련되어야 합니다. 잘못된 보안 행위가 아무런 결과 없이 묵인된다면, 올바른 보안 문화를 기대할 수 없습니다.

투명성(Transparency): 신뢰를 쌓는 가장 정직한 방법

투명성은 조직의 보안 정책, 잠재적 취약점, 사고 대응 절차 등의 정보를 이해관계자들과 솔직하게 공유하는 것입니다. 이는 조직이 무엇을 어떻게 지키고 있는지 외부에서 명확히 보고 이해할 수 있게 하여 신뢰를 구축하는 과정입니다. 구체적으로는 보안 사고와 그 영향을 공개하고, 잠재적 위험을 소통하며, 우리가 채택한 보안 조치들을 명확히 알리는 활동 등이 포함됩니다.

책임성과 투명성은 서로를 강화하는 관계입니다. 투명성은 이해관계자들이 조직에 책임을 물을 수 있는 정보를 제공함으로써 책임성을 가능하게 하고, 책임성은 열린 소통과 보고 문화를 만들어 투명성을 촉진합니다.

도전을 넘어 신뢰로 나아가기 위한 제언

물론 책임성과 투명성을 구현하는 길은 쉽지 않습니다. 민감 정보 보호와의 균형, 정보 공개가 공격자에게 악용될 수 있다는 우려, 평판 손상에 대한 두려움 등 여러 현실적인 도전과제가 존재합니다.

이러한 어려움을 극복하고 신뢰받는 보안 체계를 구축하기 위해서는 다음과 같은 노력이 필요합니다.

명확한 소통 채널과 포괄적인 사고 대응 계획을 수립하여 책임 소재를 명확히 해야 합니다.

위험 관리 활동을 정기적으로 보고하고, 책임 있는 방식으로 취약점을 공개하며, 업계와 위협 정보를 공유하고 협력해야 합니다.

가장 중요한 것은 조직 전체에 ‘보안은 우리 모두의 책임’이라는 문화를 조성하는 것입니다. 정기적인 보안 보고서를 통해 조직의 보안 현황을 투명하게 공개하는 것은 그 시작이 될 수 있습니다.

결국 책임성과 투명성은 기술적 과제가 아닌, 문화적, 경영적 과제입니다. 민감 정보 보호와 정보 공개 사이의 아슬아슬한 줄타기를 성공적으로 해내는 조직, 책임을 명확히 하고 그 결과를 투명하게 공유하는 조직만이 고객과 투자자의 신뢰라는 가장 강력한 방패를 얻을 수 있습니다. 보안에 대한 책임 추적이 가능하고 그 과정이 투명할 때, 비로소 우리 조직의 보안은 흔들리지 않는 반석 위에 서게 될 것입니다