동양생명이 성대규 대표이사가 주재하는 ‘위기대응위원회’를 구성해 사이버 공격에 대비한 관리체계를 운영하고 있다고 8일 밝혔다. 해외에서 발생하는 사이버 공격과 도용 시도를 막기 위해 내부망과 주요 서비스 접점의 해외 IP 접속을 차단하는 등 전방위 대응에 나섰다.
■ 핵심 내용
정보보호최고책임자(CISO)와 주요 임원진은 보안 위협과 조치 현황을 수시로 점검하고 이상 징후가 발견되면 신속히 대응할 수 있도록 전사적 협업체계를 유지하고 있다. 위기 상황에서 보고와 의사결정이 원활히 이뤄지도록 대응 절차도 정비하고 있는데, 지난해에는 대표이사와 주요 임원진, 유관 부서장이 참여해 대형 로펌과 함께 사이버침해 사고 관련 컨설팅을 받고 전사 대응 매뉴얼을 구축했다. 이어 가상의 보안사고를 설정한 모의 도상훈련을 통해 사고 인지부터 보고, 의사결정, 부서별 대응과 후속 조치까지 실제 상황을 가정해 점검했으며, 각 조직의 역할과 부서 간 협업 절차도 함께 살폈다. 이 자리에서 성대규 대표이사는 “정보보호는 과하다 싶을 정도의 철저함만이 고객의 신뢰를 지켜낼 수 있다”며 임직원들에게 보안 의식 강화를 당부했다.
■ 주요 수치
동양생명은 평상시에도 정보보안 점검과 훈련을 병행하고 있다. 전자금융기반시설 취약점은 연 2회 점검하고, 침해사고 대응 훈련은 연 1회, 악성코드 이메일 대응 훈련은 연 3회 실시하며, 개인신용정보 상시평가와 영업현장의 개인정보보호 실태점검도 매년 진행한다. 임직원 교육은 일반 임직원 대상과 IT·정보보호 담당자 대상으로 나눠 운영하는데, 지난해 교육 대상자 1013명 전원이 교육을 수료해 3년 연속 이수율 100%를 달성했다. 동양생명은 지난해 12월 정보보호 및 개인정보보호 관리체계 인증인 ‘ISMS-P’도 취득했다.
동양생명은 정보보호 예산을 지속적으로 편성하고 금융보안원 등 유관기관과 협력해 실무자 교육, 시스템 점검, 보안 모니터링도 이어가고 있다. 동양생명 관계자는 “정보보호는 단기간의 대응만으로 완성되는 것이 아닌 만큼, 앞으로도 지속적인 투자와 교육·훈련을 통해 변화하는 보안 위협에 대응할 수 있는 체계를 꾸준히 강화해 나가겠다”고 말했다.
