이 기사는 2024년 08월 06일 14:17 thebell 에 표출된 기사입니다.

현대건설이 건설 유관협회로부터 시작된 랜섬웨어 여파에도 이른 시일 내 피해가 없다는 사실을 입증했다. 단기간 내 사태 해결에 성공한 만큼 이례적이라는 평가가 뒤따른다. 그간 정보보호최고책임자(CISO)를 필두로 꾸준히 보안 역량을 갈고 닦은 게 빛을 발했다는 분석이다.

6일 관련업계에 따르면 과학기술정보통신부가 지난 분기 랜섬웨어 피해를 입은 대기업들의 리스트를 작성한 가운데 현대건설 등 일부 건설사가 해당 명단에 포함됐다. 건설 유관협회가 랜섬웨어 공격을 받은데 이어 현대건설을 포함한 주요 회원사들까지 피해가 확산된 정황이 확인됐기 때문이다.

다만 현대건설은 얼마 지나지 않아 과학기술정보통신부의 랜섬웨어 피해 기업 리스트에서 제외됐다. 일부 랜섬웨어 공격이 시도된 사실은 포착됐으나 현대건설이 입은 피해가 전무했다는 이유에서다. 해당 리스트에도 현대건설이 랜섬웨어 공격을 무리 없이 대처했다는 의견이 실렸다.

보안업계 관계자는 "랜섬웨어 피해 기업들을 정리한 리스트에 현대건설이 이름을 올렸지만 곧바로 제외됐다"며 "오랜 시간이 걸리지 않은 만큼 이례적이라는 평가가 나왔다"고 설명했다. 그러면서 "내용도 현대건설이 랜섬웨어 공격을 잘 대처했다는 것으로 갈음됐다"고 덧붙였다.
그간 보안 역량을 고도화한 게 주효했다는 분석이 나온다. 현대건설은 2020년부터 보안협의회를 운영해 왔다. 경영지원본부장이 CISO를 겸임하는 방식으로 보안협의회를 이끌었다. 이후 CISO의 겸임을 금지하는 정보통신망법 시행령이 개정되자 책임급인 보안운영센터장에게 해당 역할을 맡기기 시작했다.

현재는 이사회 산하 투명경영위원회가 정보보호 관리 조직의 최상단에 위치해 있다. 투명위원회는 상·하반기 두 번에 걸쳐 '안전·보건 실적 보고'를 받는다. 보안운영센터장은 CISO로서 투명경영위원회 하단에 배치돼 부문·관리·기술·물리 보안 담당자와 같은 실무단을 총괄하는 업무를 수행하고 있다.

체계적인 조직 시스템 덕분에 성과도 본격화됐다. 영업비밀보호와 산업기밀보호, 개인정보보호 등에 의거해 내부 정보보호·관리 정책을 수립해 운영하고 있다. 정보보호 분야의 글로벌 인증이기도 한 'ISO 27001'도 취득했다. 대내·외 환경 변화에 즉각적으로 대응해온 게 높은 평가를 받았다.

보안관제센터도 마련했다. 점차 지능·고도화되는 사이버 보안 위협에 적극적으로 대응하겠다는 취지였다. 매년 보약 취약점에 대한 점검도 시행하고 있다. 지난해 2318건에 대한 리스크 평가를 실시한 결과 6.6%에 해당하는 153건에서 취약점이 발견됐다. 현재는 알고리즘을 강화하는 방식으로 조치를 마친 상태다.

보안인식을 제고하는 차원에서 관련 교육도 수행하고 있다. 신규 입사자를 대상으로 한 교육부터 개인정보 취급자, 본사·현장 보안 담당자 등 교육 대상을 세분화한 게 특징이다. 진급자에게도 중간 관리자가 지녀야 할 보안의식과 보안정책을 안내할 목적으로 '진급자 보안 교육'을 실시하고 있다.

최종적으로는 기본에 충실한 보안활동을 바탕으로 지속 가능성을 높이겠다는 복안이다. 최근 발행된 현대건설의 '2024년 지속가능보고서'에도 "기술혁신 선도를 위해서라도 정보보호 문화를 선제적으로 정착시킬 계획"이라며 "안전한 정보보호 환경을 갖추기 위해 매진해 나가겠다"는 내용이 담겨있다.