<오늘의 보안이야기 No.30>
오늘은 어느곳도 문제를 제기하거나 되짚어 보는곳이 없기에 "보안이야기"에서는 성역처럼 여겨지는 말도 많고 탈도 많은 감사부서 vs 정보보호 부서의 칼날에 대해 얘기해 보고자 합니다.
이를 흔히 "양날의 칼날"이라고 부르기도 합니다.
2000년 미국의 Association of Certified Fraud Examiner (ACFE) 설문조사에 의하면 기업 임직원의 부정으로 인한 1년의 금전적 손실액은 4천억달러 (약 500조 이상)로 추정된다고 발표했습니다. 이 수치는 미국기업의 연 매출액의 6%에 달하는 금액으로 종업원 들이 하루에 9달러씩 회사의 공금을 횡령하는 것에 상응 하는 금액으로 나타났으며, 도산기업의 30 퍼센트는 임직원의 부정에 의한 것으로 밝혀졌습니다. 이런 재무적 손실 이외에도 부정이 기업에 미치는 영향은 여러 가지가 있을 수 있는데 대표적인 것으로는 부정 발생시 문제 해결을 위한 시간적 손실과 인적자원의 비생산적 활용으로 인한 조직의 비효율성 유발, 부정예방과 조사를 위한 외부전문가에게 지불되는 비용, 윤리 및 도덕성 측면에서 기업 평판 실추로 인한 금전적 또는 비금전적 손실, 임직원의 사기저하, 유능한 직원의 이직 가능성 및 경영진과 종업원간의 상호 신뢰붕괴 등이 있습니다.
정보보호업무를 수행하는 우리 스스로 생각해보면 기업 비밀이라는 굴레속에 방치하거나 방조, 묵인하고 있지 않은지? 물론 회사 특허나 기술개발등은 보호되고 철통 보안 유지가 철칙이지만 이러한 부정인 요소까지 눈감아야 하는 것에 대해 그동안 정보보안 업무를 하면서 의구심이 생기는 것이 있습니다. 무엇을 그리 감추고 싶고 시쳇말로 캥기는 것이 많은지 정보보안 전문가가 함께 수행하면 안되는지 그러므로써 우리 스스로는 이들 요청부서에 데이터 자료나 뽑아 주는 그런 역활자로 전략하게 만들었 는지 곰곰히 생각해봐야 하는 문제이기도 합니다.
우리들은 기업의 정보 담당자들로 정·재계, 금융, 언론 등을 망라한 정보보안 전문가로 업무를 수행중에 있습니다.
그러나 우리 스스로 공범자가 되고 있는 것은 아닐까?하는 이 생각을 지울수가 없습니다.
기업 내부 인력들의 도덕적 헤이로 인한 공금횡령, 배임, 산업기술 유출, 기업기밀 유출 등은 심각한 수준에 도달해 있지만 자체적으로 이러한 기업 내부 문제를 해결할 수 없는 기업이 있다는 것은 정말 우리 스스로 면죄부를 주고 있는것은 아닐런지요?
예전 감사부서에 근무하는 인력들은 대부분 경영,회계부문 전문가들이었으나 요즈음은 법률 종사자들이 대거 포함 되어 있으나 역추적과 이 해결의 실마리를 풀어줄 정보보안 전문인력은 없습니다.
전문성을 확보한다는 감사의 요구에 따라 변호사 등의 자격을 가지고 있는 사람들을 직원으로 채용하는 기업이나 외부위촉을 통해 선임하는 일이 비일비재합니다.
그러나 이들이 전문성과는 거리가 멀다는 것이 입증되는 것은 이들 스스로 전문성이 부족하면 비싼값으로라도 그때그때 데려다가 “용역”을 쓰면 됩니다. 대다수 감사부서 직원들은 무슨 사정기관 기관원처럼 행동하고 자체 일상감사가 외부감사에 대비하여 자체적으로 문제점을 파악하여 잘못되었거나, 미비한 것을 보완하기 위한 근본 목적보다는 특정부서, 특정인을 겨냥하여 이른바 ‘표적감사’의 성격이 아주 강한일을 하고 있습니다. 또한 제대로 감사가 진행되지 않으면 감사기간을 연장하면서 까지 ‘먼지털기’를 계속하거나 직원이 직원을 범죄인 취급 하는 조직, 감사라는 칼을 잡는 이것이 과연 정상적인 조직일까요?나중에 뒷감당을 어떻게 할지?
감사가 독립적인 기구라는 미명 아래 감사의 칼날이 공정 하면, 성역이 없어야 하며 감사부서도 예외가 될 수 없다고 생각합니다.
감사의 역할은 무엇이고 감사부서 직원은 또한 어떠한 존재 인가를 곰곰이 되새겨 보아야할 때입니다.
언제부터 감사실이 무소불위(無所不爲)-못하는 일이 없이 다함-의 권력집단이 되었던가요?
통제받지 않은 권력은 부패하기 마련입니다. 감사부서 직원은 별종이 아니라 언젠가는 다른 부서에서도 근무해야 하는 평범한 직원일 뿐입니다.
이처럼 대표이사 직속부서는 항상 비서실이나 감사부서가 맡고 있습니다. 정보보안부서나 정보보안 인력이 포함되면 무슨 문제가 발생하는 것일까요? 그러한 비서실이나 감사부서의 문제를 지적할만한 부서 또는 대항할 수 있는 조직도 없습니다. 그러다보니 무소불위의 조직으로 탈바꿈 해버리곤 합니다.이들 부서 인력이 만능도 아니고 최소한 문제가 없다고 인정한다면 정보보호 인력도 함께 수행해야 한다는 논리입니다. 우리 스스로 자리를 못찾고 있지는 않은지요?
우리는 비밀유지와 정보유출 두 개의 문제에 있어 정보 보안부서가 착안하여 문제 발생 사전에 기업 리스크를 예방 , 효과적으로 관리할 수 있도록 기업내부감시 서비스를 제공하면 안되는 큰 이유가 있는지 다시한번 자문자답 해야할 이유가 여기에 있습니다.
예전에 데이터 수정을 한참 많이 하던 시절이 있었습니다. 이력관리도 없이 그냥 하던 시절, 그 이후로 ERP시스템이 도입되었지만 무용지물에 가까운 시스템으로 전략하고 말았습니다.
우리의 업무는 기업의 이미지가 훼손되지 않도록 하는 신속한 사후 조치와 함께 사건 수습이 이루어지도록 적절한 조사를 통해 기업의 경영리스크를 줄여 나갈 수 있는 것이 하나의 임무라고 재조명하고 결론을 도출해야 합니다.
Security 업무 중 가장 어려운 업무 중의 하나가 부정비리 관련 조사활동입니다.
모든 임직원이 인지된 모든부정행위(Wrongdoing) 에 대해 보고할 수 있는 툴을 개발해야 합니다.
Special Investigation Security 업무.즉, 부정 비리 관련 조사활동입니다. 같은 직장 내에서 동료를 조사하는것 자체가 쉬운 일이 아니지만 이 부정비리는 그 성격과 유형에 따라 상하 직급과 부서를 가리지 않고 회사 전반적 으로 발생합니다.
직장생활함에 있어 가장 안타까운 일은 직원들이 행한 일이 회사의 규율을 위반했는지 잘못된 일인지를 본인들이 모르는 경우가 많습니다. 회사는 신입사원부터 관리자, 현장직원, 임원 등 전 직원에 대해 해당사항에 대해 정기적 이고 지속적으로 교육을 할 수 있는 체계를 구축해야 합니다.
기업의 경영환경이 더욱 복잡, 다변화되면서 기업이 직면한 위험요소는 매우 다양해 지고 있습니다.특히 기업 임직원의 부정직성에 의한 부정, 절도, 보안침입, 산업스파이로 인한 기업비밀 유출, 자금세탁 등은 이미 심각한 수준에 달하고 있으며, 이와 같은 위험에 대하여 적절치 못한 대응 및 예방이 이루어 진다면 직접적으로는 금전적 피해에서부터 임직원의 사기 저하, 기업이미지 실추에 이르기까지 기업 경영 전반에 걸쳐 광범위한 손실을 근본적으로 예방할 수 있는데 말입니다.
이제는 알것같습니다.부정(Fraud) 이란 사적으로 금전 이나 기타 이익을 취할 목적으로, 또는 기업이나 조직의 경영성과를 과대·과소 공표하거나 채무의 은폐 및 축소를 목적으로 허위신고, 사실왜곡, 관련 서류의 위·변조 및 데이터 조작 등의 부당한 행동이나 일 ” 로 정의해 볼 수 있습니다.
정보보호담당자가 감사부서나 비서실에 포함될 수 없는 것은 정보의 흐름을 누구보다도 잘알고 있고 또 알았을경우 손상될 위험 RISK가 많기에 업무과정 위험은 영업활동, 권한위임에 따른 위험, 임직원의 부정 및 무결성, 정보기술 및 재무위험이 있기 때문에 영업관련 정보, 재무관련 정보, 전략수립관련 정보등 기업의 불법행위, 종업원의 부정, 경영진의 부정, 기업 평판의 실추 및 비권한자에 의한 기업 주요 자산과 기밀사항의 부적절한 접근 혹은 오용을 사전차단 하기 위함이 아닐까 생각합니다.
그래서 위에서 언급한 기업 임직원의 부정은 일반 민·형사 상 범죄와는 달리 매우 복잡하고 전문적으로 고도화 되어 있으므로 쉽게 노출되지 않을 뿐 아니라 내부감사 조직에 의해서도 탐지가 어려운 경우가 많은 이유중에 하나입니다. 특히 범행유형이 단독범행이 아니고 유관 조직이나 내외부 관련자와 공모한 것이라면 탐지는 더욱 어려워집니다.
현재 국내에도 부정사례가 끊임없이 발표되고 있습니다. 고위 공직자의 부정비리에서 부터 기업 경영진의 분식회계 및 임직원의 부정비리에 이르기까지 부정비리가 우리 사회와 기업문화에 암적인 요소가 된 것은 어제 오늘의 일이 아닙니다.
범행기회로는 내부통제 시스템이 취약하거나 이직률이 높고 회계법인의 빈번한 교체, 필요 이상의 은행과 거래 관계를 갖고 있거나 부정행위에 대한 징계가 미약한 것 등이 고려될 수 있습니다.
결국적으로 내부통제 시스템의 취약성 때문에 부정이 발생 하기 때문에 경영진의 내부통제 시스템의 무시 및 간과, 임직원이 제 3자와의 공모, 책임의식의 미흡, 물리적 보안 장치의 취약, 산업의 특성, 임직원의 윤리/도덕성이 그 사례입니다.
설사 부정에 대한 내부제보 시스템이 존재하더라도 비 실효성 때문에 기업내 임직원의 부정이 줄어들지 않고 오히려 증가하고 있습니다. 현재 기업에서 운영하고 있는 제보 시스템은 내부제보자에 대한 익명성 보호장치가 불완전하고, 부정적발 전담 조직에 대한 신뢰 및 독립성의 문제, 임직원 상호간의 인간적인 유대관계 등으로 인해 임직원의 부정을 인지하고 있음에도 불구하고 실질적인 제보는 극히 제한적으로 이루어지고 있습니다.
예전에는 원장데이터가 수기였으나 지금은 전산화되어 있습니다.
그렇다면 이러한 비지니스별 부정의 유형은 어떤것이 있을까요?
1)제조업
-사전, 사후 매출할인의 임의 변경 및 적용으로 판가 조작
- 자금 횡령을 위한 가장된 전략적 제휴
- 가공의 매출로 경영실적 왜곡 및 부외 자산, 채무 누락
- 거래선 Master File 정보의 허위등록 및 부당한 변경
- 외상매출금 유용후, 부실채권화 하여 대손처리
- 금액의 과대계상 또는 이중으로 지급후 반환금 횡령
- 자금 시재액의 조작으로 공금 유용
- 주가 조작을 위해 회사의 유휴자금 사용
- 회사 주요 자산의 사적 이용
- 판관비 관련 증빙의 이중사용, 허위신고 및 위/변조
- 위장된 전문용역(세무, 경영컨설팅, 법무)을 통한 공금 횡령
- 주요 사업 기밀사항 유출 및 지적재산권의 절도
- 불량품, 반품, 폐기품에 대한 부당한 처리
- 구매 및 검수 조직과 공모 구매관련 리베이트 수수
- 공급업체와 공모 경매정보의 사전 유출 및 형식적인 경매
- 재고자산 및 집기 비품의 절도
- 구매 Master File 정보의 허위등록 및 부당한 변경
- 전산 데이터의 조작으로 기존 부정 은폐
2)금 융 업
- 무자원 전산 입금을 통해 거액의 부당 인출
- 고객의 장기 휴면구좌로부터 부당 인출
- 고객명의로 마이너스 대출 통장 불법개설후, 횡령
- 대출 권한 한도에 맞도록 대출금을 임의 분리조정
- 공과금 미 입금처리로 유용
- 고객정보관리시스템의 임의 접근, 관련 정보 변경
- 고객 증권 계좌를 통한 임의매매
- 기업 투자분석 정보의 사전 유출
- 허위 혹은 과대 투자정보 게재
- 금융자산운영에 있어 외부와 공모 (투자위험 분석의 왜곡)
- 고액 보험료의 일시납을 월납으로 변경, 유용
- 보험계약자 승인 없이 해약환급금의 자동이체로 보험료 유용
- 영수증, 청약서, 보험증서 위/변조
- 부당한 재보험 가입으로 리베이트 수수
- 허위로 약관 대출 받아 유용
3)유통업
- 가공의 매출로 성과급 받고, 유통기간 경과후 반품처리
- 현금 매출을 외상매출로 보고, 유용
- 매출대금의 변경 입금 (어음, 수표, 현금)
- 백화점의 경우 현금매출을 취소하고 카드 할부 매출로 전환
- 재고품을 반품처리 하여 현금수취 (재고실사의 취약점 악용)
- 공급업체와 공모 제품 등급 임의 변경하고 리베이트 수수
- 반품, 파손품을 파기하지 않고 등급판매 등 이외에도 산업별 부정은 많을것입니다.
정보보안이라는 울타리속에서 우리 스스로 감사부서를 욕하면서 그들과 같은 칼날과 곱지않은 시선을 드리대고 있지는 않은지 부정을 눈감아주고 있지 않은지 점검해 봐야할 때입니다. 이것이 적폐이자 근본적으로 투명화시겨야할 일 아닌지 묻고 싶은 하루입니다.
