SKT 정보보호 강화책 내놓는다…투자확대·거버넌스 강화

SK텔레콤이 연간 1000억원 이상으로 정보보호 투자액을 확대한다. 또 최고정보보호책임자(CISO)를 최고경영자 직속으로 두는 조직개편을 단행할 전망이다.

SK텔레콤은 이같은 내용을 골자로 한 사이버 침해사고 후속조치를 마련했다. 기업 내부 통제 체계와 투자 전략을 전면 재정비하고 업계 최고 수준의 보안 거버넌스를 구축해 조직 신뢰도 회복에 나서겠다는 것이다.

23일 업계에 따르면 SK텔레콤은 정보보호 투자 확대를 포함한 재발방지 대책 초안을 마련하고 국회·정부와 세부 조율에 돌입했다. 최종 발표 시점은 이달 말 정부 민관합동조사단 조사 결과 이후가 될 예정이다.

이번 종합 대책에는 정보보호 투자 증액을 비롯 제로트러스트 보안 구축, 내부 침해 대응 프로세스 고도화 내용이 담긴다.

우선 정보보호 투자는 업계 최대 규모로 대폭 확대한다. 투자액은 아직 내부 의사결정이 마무리되지 않았지만 3년간 누적 4000억원 규모로 조율 중인 것으로 알려졌다. 국내 기업 중에는 삼성전자 다음으로 큰 액수다. 지난해 SK텔레콤의 정보보호 투자액은 838억원 수준이다.

인력 운영도 대폭 손본다. 외주에 의존하던 보안인력 상당수를 내재화한다. SK텔레콤 정보보호 전담인력 343.3명 중 외부인력은 268.2명으로 전체의 78.1%를 차지한다. 보안 전문인력 육성책을 마련하고 자체 인력을 2배가량 늘릴 방침이다.

보안 거버넌스도 강화한다. SK텔레콤은 AT·DT센터와 네트워크인프라센터에 별도의 정보보호실을 두고 있다. 정보보호실장이 최고정보보호책임자(CISO)를 맡고 있지만 등기임원도 아닌데다 CEO에 직보하는 체계를 갖추지 못했다.

이에 따라 정보보호 거버넌스 개편을 통해 CISO 조직을 최고경영자(CEO) 직속조직으로 편제하고 책임과 역할을 강화할 방침이다. 경쟁사인 KT와 LG유플러스는 이미 정보보안단과 정보보안센터를 각각 CEO 직속 조직으로 운영 중이다. SKT도 회사 정보보안을 책임지는 상위 리더십 체계를 구축해 의사결정 속도를 높이고 대응력을 확보한다는 구상이다.

기술적 대응도 강화한다. SK텔레콤은 망 보안 체계를 제로트러스트 원칙에 맞춰 전면 재정비한다. 법으로 정해진 암호화 대상 외에도 내부 중요 데이터를 추가로 암호화하고, BPF도어 대응을 위해 전체 시스템에 백신·악성코드 탐지 솔루션(EDR)을 설치한다. 네트워크 주요 경로에 이상 트래픽 감지시스템(NDR)도 도입한다.

SK텔레콤 이번 대책 발표 이후 보안 체계 전반에 대한 외부 검증과 평가도 병행할 방침이다. 외부 자문단 운영과 주기적 모의해킹을 통해 보안 취약점을 선제 파악하고 내재화한다는 구상이다.

업계 관계자는 “유영상 SK텔레콤 대표가 이번 위기를 보안에 강점을 지닌 기업으로 거듭나는 계기로 삼자는 메시지를 내부에 공유한 것으로 안다”면서 “이번 대책도 보안 경영을 최우선으로 보안 체계를 재정비해 고객 신뢰를 회복하겠다는 의지를 담은 것”이라고 말했다.

박준호 기자 junho@etnews.com