보안정책의 수립
1. 보안정책의 수립
2. 종합적인 보안정책의 필요성
3. 보안정책 집행결과 보고

3. 보안정책 집행결과 보고

기업의 보안책임자는 경영진에게 보안정책의 집행결과에 대해 보고를 하고, 기업의 경영전략 수립에 참조할 수 있도록 해야 한다. 보안정책의 집행결과에 대한 보고는 최소한 분기마다 하는 것이 효과적이다. 보안의 취약성, 보안사고 사례, 보안사고로 인한 손실, 보안사고로부터 얻은 교훈, 유사사례 방지대책, 보안부서의 노력 등이 포함돼야 한다. 경영진에게 산업보안의 중요성을 인식시키는 것이 보고의 목적이다. 따라서 보고내용뿐만 아니라 방법도 고민해야 한다.

CSO에게 효율적인 커뮤니케이션 능력을 요구하는 이유를 알아야 한다. 보고도 구두보고에서부터 시작해 문서보고, 프리젠테이션(presentation), 브리핑(briefing) 등 다양하다. 보고서의 내용도 어떻게 쉽게 표현하는 것이 잘 이해할 수 있는지 고민해야 한다.

보안사고의 사례를 통해 기업에 미친 손해의 정도를 파악할 수 있도록 할 수 있다. 보안취약성은 미래의 손실이 어느 정도 일어날 수 있는지 예측하는 데 도움을 준다. 가급적이면 정성적인 자료보다는 정량적인 자료를 제시해야 하고, 측정하기 어렵다면 추정치라도 포함시켜야 한다.

보안정책 집행결과를 보고함에 있어 주안점을 둬야 하는 것은 보안에 투입된 비용이 불필요한 업무에 낭비된 것이 아니라 기업의 정상적인 경영활동을 보장하고, 손실을 예방하는 보험이라는 인식을 갖도록 하는 것이다. 직원의 횡령이나 배임에서부터 안전사고, 화재나 시설붕괴, 직원의 건강과 작업집중도 등 다양한 위협요인으로부터 기업의 이익을 보호하는 것이 보안의 목적이고 이를 달성하는 지침이 보안정책이 돼야 한다.

(산업보안학ISS – 민진규 저(국가정보전략연구소소장) p72)