[리뷰, 도서] 팀장부터 CEO까지 알아야 할 기업정보 보안 가이드

안녕하세요, 성조입니다.

24년에 한참 도서 대여하던 도서관이 리모델링 공사를 시작해서 그동안 도서 대여에 제한이 다소 있었는데 집 근처 다른 괜찮은 도서관을 찾게 되어서 오랜만에 대여하고 읽었던 해당 책에 대해 독후감으로 생각을 정리하는 시간을 가지게 됐어요.

---

'팀장부터 CEO까지 알아야 할 기업정보 보안 가이드'란?

IT 서비스 비즈니스를 하는 모든 구성원들 또는 영리 목적의 기업 행위를 하는데 전자상 데이터를 단 하나라도 보관하는 사람들에게 책 제목처럼 가이드. 즉, 지침서 느낌의 글을 전하는 책이다.

 

책을 고른 이유

요즘 AI 성능이 너무 빠르고 좋다 보니 여기서 모든 것을 자율 자동화 하는 것보다 보안 인프라 공부를 통해 조금 더 효율적으로 코딩은 AI가 법률적인 또는 내가 책임져야 하는 소재나 어떤 것들이 존재하는지 판별 내리는 기준선은 스스로 적립할 수 있도록 만드는 것이 좋을 것이라 판단하게 되어 지속적으로 관심 갖고 있다가 시간이 생겨서 대여하게 됐다.

 

 

'팀장부터 CEO까지 알아야 할 기업정보 보안 가이드'를 읽으며 생긴 생각들

1. 보안 거버넌스의 중요성

IT 전산을 통한 데이터 확보는 어떤 채널이든 중요한 자산으로 조직 예산 인력 등을 배치 확보하여 서비스를 운영해야 하는 것을 깨닫게 됐다. 실제 스타트업이나 여력이 부족한 팀이더라도 정보의 중요성과 보안 관점은 매우 중요하기 때문에 이런 문제점들을 해결하기 위한 핵심 부분의 가치들을 다시 생각해 보게 되는 시점이었다.

 

2. 실전 위기관리 및 규제 대응

기업 규모에 비례한 타격 비례라고 판단된다. 책에서는 연습은 실전처럼 실전은 발생되지 않기를 바라고, 실제 금융적인 문제로 인해서 보안 사고를 해커들이 탈취하여 악용하는 상태를 가급적 안 발생되도록 기도하는 부분도 있었지만, 가능하면 이런 문제들은 내가 충분히 제어하려 노력해도 제어할 수 없는 영역이라 판단되기에 발생된 시점에는 어떤 조치를 취해야 하는지 등을 가볍게 확인할 수 있어서 좋았다. 딥한 부분은 조금 더 전문적인 자격증이나 사례로 학습을 하는 것이 더 좋을 것으로 판단된다.(책이 나온 시점과 기간이 다소 지나갔기에 최신 선례에 AI를 덧붙인 경우가 비교적 적은 것 때문에 위와 같이 생각하게 됐다.)

 

3. 팀이라면 부서 전체의 협업 중요성

기업에 아무리 좋은 실력을 가진 팀이 내부에 있다해도 보안팀은 협조 없이는 혼자 할 수 있는 게 미약하다. 그렇기 때문에 하나의 조직 또는 협업 구조를 가져가는 기업이라면 적극적으로 보안 부서와 기획, 디자인, 개발 팀등의 다양한 부서끼리 올바르게 협업하고, 소통할 수 있도록 지원해야 된다 생각했다. 이런 구조들을 챙겨가기 위해서는 실제 실무진 위에 임원급 인원들이 적극적으로 해당 부분들을 반영해줘야 한다고 생각하게 됐다.

 

 

 

'팀장부터 CEO까지 알아야 할 기업정보 보안 가이드'를 내 삶에 어떤 방식으로 반영할 수 있을까?

1. AI로 생성된 코드 개념들 중 보안에 노출될 수 있는 콘텐츠의 장단점 취약점 등을 확인하고 인지할 것

AI 시대에는 모두가 자동화를 외치면서 AI FOMO에 대해 이야기 또는 유발하려는 습관이 있다. 어떻게 보면 마케팅 요소이고 또 어찌 보면 그게 본인이 원하는 시점에서는 맞는 부분이 될 수 있다. 다만, 내가 해야 하는 비즈니스와 살아가는 데 있어서 얼마나 이 AI FOMO가 무기력한 것인지 다시 한번 생각해봐야 할 것이라 판단됐다. 조금 더 단단하게 사업을 운영하기 위해서는 보안에 대한 그리고, 사업은 시스템에 맞춰 단계별 올바른 권한 분리 등을 진행하면서 더 좋은 성과를 위한 작은 구멍들을 어떻게 채워야 하는지 다양한 콘텐츠들을 적극적으로 확인해 보면서 장단점들을 수집하고 학습할 예정이다.

어떤 정책이든 서비스에 내 주관이 없다면 내 사업과 시스템이 아니고, AI에게 맡겨진 할루시네이션에 불과할 것이라 판단됐다. 그렇기에 올바른 비즈니스를 위한 데이터들만 쌓기 위해 방향성과 보안에 대해 집중할 것이다. 데이터들을 쌓는 것이 비즈니스에 매우 중요한 포지션이지만, 실제 내가 사업하는데 정말 필요 없는 데이터들을 수집하는 것일 수 있고, 이 데이터가 내 사업에 있어서 법률적인 문제를 재기할 가능성이 크다는 것은 개인정보처리 방침 약관 등의 사이버 자산들을 핸들링하는 파트에서 학습했고, 이번 독후감에서 조금 더 깊이 있게 생각하게 됐다.

 

 

2. 조직간의 협업의 중요성

모든 팀이 대기업만큼 성과에 대해 보상을 지급하기는 현실적으로 어려운 부분들이 있다. 다만, 이런 현실적으로 어려운 부분들이 쌓여있다 하더라도 올바른 비즈니스 방향을 가기 위해서는 본인이 가려는 방향으로 조직이 집중에 더 집중해서 나아가야 하는 것을 깨닫게 됐으며, 어떤 한 팀이라도 비밀번호를 취약점이 강하게 나타나도록 만들거나 정보를 유출하는 사고가 난다면 언제든 배는 뒤집어지거나 법인은 최악의 경우 조직 또는 직원의 작은 실수 하나가 스노우볼 효과로 인해 파산을 맞이할 수 있게 될 것이라 생각하게 됐다. 본인도 사업을 운영해 보면서 일부 피해를 본 항목이기 때문에 이 부분에 대해 조금 더 깊게 생각하고 올바르게 문서화하지만, 해당 내용들을 가볍게 생각하지 않도록 가이들을 잡는 것들을 생각하게 됐다.

 

 

3. 정보를 수집하는 순간 연습은 없다.

연습을 실전 처럼 이라는 내용은 군대에서도 많이 생각했던 내용이다. 현재 AI와 데이터가 폭발하는 시대에 살고 있는 사람은 이런 연습은 실전처럼이란 생각보다는 연습이 실전이고, 실전은 없다.로 생각하게 됐다. 실전으로 피해를 받았다면 그것은 사후 조치에 불가할 뿐 삼진 아웃보다는 원아웃이라 생각하고 임해야겠다는 생각을 많이 하게 됐다. 작은 아웃이 쌓여서 삼진까지 규모 컨트롤이 어려워진 상황에서 혼자 해결하지 못하는 부분들이 늘어날 수는 있다. 다만, 이런 서비스가 100명일 때 사고와 1명일 때 사고가 어떻게 발생되더라도 규모의 차이는 있지만 결국 동일하게 사고가 발생돼버린 것이기 때문에 이런 문제들이 발생되지 않도록 비즈니스를 하기 위한 연습보다는 실전이라 생각하고 총 맞으면 안 된다는 마인드로 개발 코드들을 관리하는 습관들을 조금씩 키워볼 것이다.

 

 

---

감사합니다.

다음 포스트에서 뵐게요.