최근 개인정보 유출 사고가 잇따라 발생하면서 디지털 보안의 중요성이 날로 커지고 있죠. 이번 편에서는 포스코그룹의 디지털 보안을 책임지는 포스코DX의 보안기술그룹을 만나봅니다. 포스코그룹의 보안 전문가가 만드는 안전한 디지털 세상, 지금 만나보세요!

안녕하세요. 포스코DX 보안기술그룹의 김진욱 프로입니다. 보안기술그룹은 보안기획섹션, 포항보안섹션, 광양보안섹션으로 구성됩니다. 보안 시스템과 네트워크 시스템, 프로세스 컴퓨터, 데이터센터와 관련된 운영을 하고 있습니다. 그룹사들의 보안SM* 업무도 수행하고 있고요.
*SM(System Management) : 시스템을 운영하고 장애를 예방·대응하는 역할

안녕하세요. 보안기술그룹 최종철 프로입니다. 관제센터에서는 포스코그룹의 취약한 서버들이 노출되어 있지는 않은지 상시 점검하고 있습니다. 동시에 내부로 들어오는 공격에 대해서도 탐지를 하고 있고요. 이메일을 통해서 악성코드가 많이 들어오는데, 일일이 점검하면서 관리하고 있습니다.

안녕하세요. 보안기술그룹 화이트해커 김종완 프로입니다. 화이트 해킹팀은 모의해킹 업무를 주로 합니다. 웹, 인프라, 모바일 앱 대상으로 공격자의 관점으로 취약점을 진단하고 조치합니다.

포스코그룹을 대상으로 하루 평균 약 3천여 건의 해킹 공격이 일어납니다. 지금 이 순간에도요. 분당 2회가량 해킹 시도가 발생하는 것이죠. 이에 포스코그룹은 내부도 안전하지 않다고 보는 ‘제로 트러스트(Zero Trust)’*라는 개념에 따라 대응하고 있습니다. 하지만 모든 시스템을 다 검증해야 해서 많은 비용이 들어갑니다. 최소한 4~5년에 걸쳐서 대규모의 투자가 동반되어야 하고요. 2027년을 목표로 그룹사의 제로 트러스트 보안모델 체계를 확산해나갈 계획입니다.
*제로 트러스트(Zero Trust): ‘아무도 기본적으로 신뢰하지 않는다’는 원칙에 기반한 보안 모델이다. 내부·외부를 구분하지 않고 모든 접근 요청을 검증하며, 최소 권한 부여와 지속적인 모니터링을 통해 위협을 차단한다.

‘정보보호 3요소’라는 게 있습니다. 기밀성, 무결성, 가용성 세 가지인데, 산업 현장은 장애가 발생하더라도 생산 라인이 멈추면 안 되기 때문에 가용성이 특히 중요합니다. 그러다 보니 취약점이 발생해도 쉽게 조치를 취하지 못하는 어려움이 있습니다.

업데이트가 어려운 패치가 오래된 자산들은 보안이 취약할 수밖에 없습니다. 이에 외부로부터 내부로의 침입 경로를 차단하기 위해 망 분리나 차단을 꾸준히 해야 합니다.

2017년 5월 ‘워너크라이(Wanna Cry) 랜섬웨어’가 확산됐던 게 기억에 남습니다. 해외에서부터 확산되기 시작해 전 세계 20만 대 PC가 감염되기까지 2시간이 채 걸리지 않았는데요. 포스코그룹은 이에 선제적으로 대응하기 위해 관련된 악성 정보들을 수집했습니다. 악성 통신을 하는 서버의 IP, 워너크라이 랜섬웨어의 해시코드 등을 미리 수집해서 회사 내부로 침투하지 못하도록 선제적인 방어 조치를 취했습니다.

코딩을 잘하면 도움이 됩니다. 공격이나 유출에 대해서 프로그램을 통해 빠르게 자동화할 수 있어서 코딩을 하면 확실히 도움이 되고요.

시작하는 단계에서는 기본적으로 기술적 보안에 대해서 학습이 필요합니다. 많은 보안 장비들이 네트워크 기반으로 동작하기 때문에 네트워크의 기본적인 개념을 알고 있어야 합니다.

‘2025 Locked Shields’*에서 3일 동안 39개국 18개 팀과 공격과 방어를 하면서 점수를 획득하는 방식으로 훈련을 진행했습니다. 지난해에는 13위를 기록했는데, 올해에는 6위라는 기록을 달성할 수 있었습니다.
*락드 쉴즈(Locked Shields) : 나토 사이버방위센터가 주관하는 세계 최대 규모의 국제 사이버 방어 훈련. 나토 회원국 간 사이버 위기 대응 역량 강화를 목표로 2010년부터 매년 개최하고 있다.

보안기술 업무는 이익을 창출하지는 않지만, 회사에 이득을 줄 수는 있다고 생각합니다. 보안 사고가 발생하면 100억 원가량의 과징금이 부과될 수도 있기 때문에 사고를 미리 사전에 예방하고, 대비해 이에 따른 손실을 막을 수 있습니다. 모든 IT 기술의 근간은 보안으로 부터 시작됩니다. 포스코DX은 보안기술그룹은 앞으로도 흔들림없는 보안 기술로 포스코그룹 DX 전환에 단단한 기반을 만들어 갈 계획입니다.

포스코그룹은 날로 높아지는 보안 위협 속에서도 쉽게 뚫리지 않을 견고한 안전망을 유지하고 있는데요. 포스코그룹의 디지털 보안을 책임지는 포스코DX 보안기술그룹에 많은 관심 부탁드립니다!

▼포스코그룹의 디지털 보안 현황 만나보러 가기

최근 디지털 정보의 급증으로 사이버 위협과 산업 기술 유출이 증가하고 있다는 뉴스를 심심치 않게 접할 수 있습니다. 이에 따라 기업 경영에서도 정보보호가 중요한 과제로 떠오르고 있습니다. ESG 경영 측면에서도 정보보호는 기업의 사회적 책임과 투명성을 보여주는 중요한 지표로 주목받고 있는데요, 포스코퓨처엠의 사례로 정보보호의 중요성을 알아봅니다.

I ESG 경영의 주요 평가 지표인 ‘정보보호’

ESG 평가 기관별로 차이가 있지만, 정보보호는 보통 ESG 경영의 3가지 요소인 환경(Enviroment), 사회(Social), 지배구조(Governance) 중 사회(S) 부문에 포함됩니다. 국내 대표 ESG 평가 기관인 한국ESG기준원은 ‘고객 개인정보 보호’, ‘데이터 보안’ 등을 ESG 평가 지표로 다루고 있고, 미국 금융정보 제공기관 S&P글로벌도 자사 ESG 평가인 다우존스지속가능경영지수(Dow Jones Sustainability Indices, DJSI)’에서 IT보안, 사이버보안 거버넌스 등을 평가 지표로 삼고 있습니다.

I 포스코퓨처엠에게 정보보호가 중요한 이유는?

▲포스코퓨처엠 광양 양극재 공장에서 생산된 양극재.

그럼 정보보호가 왜 중요할까요? 보안 사고 및 정보 유출은 고객, 협력사 등 이해관계자에게 피해를 줄 뿐만 아니라 기업의 신뢰성과 평판에도 악영향을 미칠 수 있기 때문입니다. 포스코퓨처엠은 에너지소재사업, 기초소재사업 등 기술 보호가 필수적인 사업들을 펼치고 있는데요, 특히 에너지소재사업에서 하이니켈(니켈 함량 80% 초과) 양극재 제조기술은 국가핵심기술에도 등록되어 있어 정보보호가 특히 중요합니다.

▲13개 분야 76개 국가 핵심기술.

국가핵심기술은 국내외 시장에서 차지하는 기술적·경제적 가치가 높고 산업의 성장잠재력이 높아 해외로 유출될 경우 국가의 안전보장 및 국민경제의 발전에 악영향을 줄 우려가 있는 산업 기술을 뜻합니다. 산업부는 2024년 7월 기준 반도체·전기전자·철강 등 13개 분야 76개 기술을 국가핵심기술로 지정 및 고시하고 있습니다.

I 포스코퓨처엠의 정보보호 관리체계 구축

포스코퓨처엠은 기업의 사회적 책임과 지속가능한 경영을 위해 신뢰도 높은 정보보호 관리체계를 구축해 나가고 있습니다.

먼저, 포스코퓨처엠은 경영진 주관의 정보보호위원회를 정기적으로 개최해 정보보호 주요 현안과 개선방안을 모색하고 있으며, 일관되고 투명한 업무 추진을 위해 자체적인 정보보호 정책을 수립해 운영 중입니다. 내/외부 보안 사고와 정보 유출을 방지하기 위해 R&D, 생산, IT 등 각 분야에서 정보보호 진단 및 감사 활동도 강화해 나가고 있습니다.

▲포스코퓨처엠 정보보호위원회 회의 모습.

포스코퓨처엠은 국가핵심기술 보유 사업장으로서 높은 수준의 보안관리 체계 구축이 필수적입니다. 산업통상자원부와 국가정보원은 산업기술보호법에 따라 매년 국가핵심기술 보유 기업·기관을 대상으로 실태조사를 진행하고 있는데요, 세부적으로는 보안관리체계, 산업보안인식 등 7개 보안 영역과 총 250여 개 보안 준수 항목에 대해 점검합니다.

포스코퓨처엠은 양·음극재 사업에서 축적한 핵심기술 보호를 위해 생산, 연구, 관리 전반에서 정보자산 보호를 위한 프로세스를 수립하고, 보안·관리체계 구축을 위해 전사적인 노력을 기울인 결과, 매년 동종업계에서 상위권 수준의 점수를 받고 있습니다.

한편, 포스코퓨처엠은 2022년 국제표준화기구 ISO 27001(정보보호 분야 국제표준 인증) 인증을 받으며 배터리소재 핵심기술 보호를 위한 보안·관리체계를 갖췄다는 점을 인정받기도 했습니다.

▲포스코퓨처엠 ‘ISO27001 인증서’

포스코퓨처엠은 정보보호 공시 의무 기업으로서 매년 정보보호에 대한 투자, 인력, 운영 현황도 투명하게 공개하고 있습니다. 정보보호 공시는 기업의 안전한 정보통신서비스 이용과 정보보호 투자를 촉진하기 위해 마련된 제도로 정보보호산업의 진흥에 관한 법률(정보보호산업법) 제13조 제2항에 따라 사업분야, 매출액, 이용자 수 등 각 기준에 해당하는 기업은 정보보호 투자, 전담인력, 관련 활동 등을 공시해야 합니다.

I 해외에서도 양극재 제조기술 활용 가능하도록 승인받아

포스코퓨처엠은 GM 社와 캐나다 퀘백주 얼티엄캠에 연산 3만톤 규모 양극재 공장을 건설 중입니다. 해외 공장에서 국가핵심기술을 사용하기 위해서는 국가첨단전략산업법에 따라 산업통상자원부의 승인이 필요한데요, 포스코퓨처엠은 2023년 산업통상자원부가 개최한 산업기술보호위원회에서 하이니켈(니켈함량 80% 초과) 양극재 제조기술의 해외수출을 승인받았습니다. 이처럼 포스코퓨처엠은 글로벌 시장 진출을 준비하며 기술보호수준도 꾸준히 강화해 나가고 있습니다.

I 공급사 대상으로 정보보호 지원도 활발

포스코퓨처엠은 매년 공급사를 대상으로도 정보보호 수준 진단과 컨설팅도 실시하고 있습니다. 지난해에는 18개 공급사를 방문해 보안 개선사항을 함께 점검했고, 관계사 직원을 대상으로 하는 정보보호 교육 프로그램 구성을 지원했습니다. 앞으로도 포스코퓨처엠은 공급사의 정보보호 수준 향상을 위해 적극 지원한다는 방침입니다.

ESG 경영 측면에서 정보보호의 중요성과 포스코퓨처엠이 정보보호를 위해 어떤 노력을 기울이고 있는지 소개해 드렸는데요, 포스코퓨처엠은 앞으로도 기업의 사회적 책임과 지속가능한 경영을 위해 정보보호 관리체계를 보다 더 견고하게 구축해나갈 예정입니다. 포스코퓨처엠에 많은 관심과 응원 부탁드립니다!