I. 서론

정보보호 관련 사고가 세계적으로 빈번하게 발생하고 있다. 이는 정보보호에 대한 중요성을 정부 기관이나 보안업계 뿐만 아니라 컴퓨터와 네트워크를 사용하는 모든 기업들이 중요성을 인식해야함을 의미한다.

국내 산업 보안을 총괄하는 국가정보원에 따르면 2003년부터 2013년까지 총 375건의 해외 기술 유출을 적발했으며, 특히 2013년 한 해에만 49건이 적발되는 등 시간이 갈수록 기술 유출 시도가 증가추세를 보이고 있다.

기업의 정보보호 능력을 강화하고, 이를 체계적으로 유지하는 방법 중 하나로 정보보호 관리체계 (ISMS) 도입을 꼽을 수 있다. 한국인터넷진흥원 (KISA)에서는 정보보호 관리체계를 도입한 기업 중 신청 기업을 대상으로 심사를 통해 ISMS 인증을 부여하는 제도를 시행중이다. 하지만 ISMS 인증제도가 시행된 2003년부터 2014년 8월까지 인증 건수가 336건에 불과¹⁾한 것으로 미루어보아 기업이 정보보호 관리체계를 도입하고, 운영하고, 인증 받기 까지는 많은 장애 요인들이 존재하는 것으로 추정되며, 또한 아직까지 충분한 관련 연구가 이루어지지 않았다. 따라서 본 연구에서는 기업이 ISMS 인증을 받는데 있어 존재하는 장애 요인을 탐색적 요인 분석 (exploratory factor analysis) 기법을 이용해 분석하고자 한다. 본 연구는 탐색적 요인 분석을 통해 ISMS 인증에 있어 존재하는 장애 요소들을 찾아 이를 압축하여 제시할 것이며, 앞으로 인증 과정에서의 장애 요인 해결에 있어 기초적인 역할을 할 수 있을 것으로 기대한다.

II. 선행연구에 대한 검토

현재까지 ISMS 인증 시 장애요인과 관련한 연구가 매우 부족하기 때문에, 본 연구에서는 먼저 IT 분야에서의 장애요인 또는 위험요인을 연구한 선행연구 들에서 사용한 변수들을 조사 및 분석하였다.

문용은(2002)은 IT 아웃소싱의 위험과 아웃소싱의 정도를 분석하기 위해 기술적 위험(벤더의 기술력 측정 어려움, 벤더의 성과 측정 도구 부족 등), 관계적 위험(종업원의 사기 저하, 인력의 상실, 환경변화에 대한 유연성 상실, 벤더의 불성실한 협력, 벤더와의 잦은 충돌, 공통 지식 결여), 통제적 위험(시스템 의존성, 개발 방법론에 대한 벤더의 고집, 의사 결정권의 자율권 상실 등), 경제적 위험(벤더 교체 시 추가 비용 발생, 비용을 수반하는 계약 취소와 변경, 돌발적 비용 발생, 이익보다 투입 비용 과다) 등을 변수로 이용하였다[25].

문송철(2009)은 IT 아웃소싱 수행의사에 영향을 미치는 위험요인 분석을 위해 공급업체 위험요인(공급업체의 기술력 수준, 변화하는 기술에 대한 공급업체의 대비 능력, 기업 문화 차이로 인한 문제 극복, 변화하는 IT 기술에 대한 공급업체의 전수, 노사 갈등 문제 대비 등), 환경적 측면 위험요인(유사 부문의 아웃 소싱 성공 사례 확보, IT 아웃소싱을 통한 IT 경쟁력 확보 가능성, IT 아웃소싱 서비스 품질 측정을 위한 지표 준비), IT 아웃소싱 수행 의지(IT 아웃소싱에 대한 경영진의 도입 의지, IT 아웃소싱에 대한 구성원의 도입 의지, 발주회사의 전반적인 IT 아웃소싱 도입 의지 등)을 변수로 이용하였다[17].

박경태, 신민수(2012)는 컨조인트 분석을 이용한 클라우드 컴퓨팅 서비스 도입의 장애요인을 측정하기 위하여 기술적 요인(데이터 유출 등), 경제적 요인(도입 비용, 기회비용) 등을 이용하였다[22].

박경태, 신민수(2012)는 AHP 분석 기법을 이용하여 클라우드 컴퓨팅 서비스 도입 시 장애요인을 측정하기 위하여 경제적 요인(인프라 비용 등), 사회·환경·문화적 요인(트렌드, 기업 외부 환경, 기업 내부 환경)을 이용하였다[16].

이무석, 이정훈, 박종성(2008)은 국내 금융업 IT 아웃소싱에 영향을 미치는 위험요인을 측정하기 위해 거래 측면 위험요인(품질 위험 등), 고객사 측면 위험요인(관리 복잡성 증가, 관리자의 경험 부족, 조직의 능력 상실), 공급사 측면 위험 요인(기술 능력 부족, 계약 위반 가능성, 기업문화, 노사관계 등을 변수로 이용하였다[23].

다음으로 정보보호 관리체계가 정보보호 성과에 미치는 영향, 기업 정보보호 제도 현황 및 정보보호 관리체계 인증기준 비교, 정보보호 관리체계 평가 기준, 정보보호 관리체계에 대한 전반적인 내용과 이슈를 다룬 정보보호 관리체계 관련 문헌 등을 분석하여, IT 분야에서의 위험요인 또는 장애요인을 연구한 선행연구들을 분석한 결과를 가지고, ISMS 인증 시 장애요인이 되는지 측정이 가능한 변수로 추출 또는 조정하였다.

Table 1. Previous Studies Related to Obstacle Factors

III. 연구 설계

본 연구에서는 정보보호 관리체계에 대한 선행 연구와 IT 분야에서의 위험요인 또는 장애요인 관련 선행 연구를 조사 및 분석하여 정성적 연구를 수행하였고, 이를 바탕으로 실증적 연구를 위한 설문지를 제작하였다.

실증적 분석을 위한 기법으로는 탐색적 요인 분석을 이용하였는데, 이는 선행 연구 중에서 ISMS 인증 시 장애 요인 관련 연구가 미비하고, 알려져 있지 않은 변수들을 규명하여 차후 장애요인 관련 연구의 방향을 제시하기에 적절한 분석 기법이기 때문이다. 선행연구들을 통해 추출한 ISMS 인증 시 장애요인을 탐색하기 위한 변수로는 인증 후 기회비용, 컨설팅 업체의 컨설팅 경력, 체계 도입 뒤 가용성 저하 우려, 인증기관에 대한 신뢰, 인증 제도에 대한 평판, 심사비용, 컨설팅 업체의 영업 능력, 정보 보호 인프라 도입 비용, 컨설팅 업체의 인력 자질, 컨설팅비용, 인증 후 혜택, 심사 난이도, 심사 단계에서 기업 규모에 따른 혜택, 컨설팅 업체의 고객 응대 수준, 심사 기간, 인증 선행 사례, 체계 도입에 따른 내부 반발, 컨설팅 기간 등 18개의 요소가 ISMS 인증 시에 장애요인이 될 수 있는지 각 항목별로 5점 척도를 이용하여 중요도를 부여하는 방식으로 설문지를 작성였으며, SPSS 19.0 통계 패키지를 이용하여 요인 분석을 수행하였다.

Table 2. Previous Studies Related to ISMS

IV. 연구 결과

본 연구의 실증 분석을 위해 국내 기업 중 정보통신망을 이용하면서 IT 기기를 1개 이상 이용하는 140개 기업을 대상으로 2014년 6월 1일부터 6월 30일까지 설문조사를 진행하였다. 온라인과 오프라인을 통해 설문지를 배부하였고, 총 140 부의 응답을 받아 불성실 응답지 7부를 제외하고, 133부를 분석 하였다. 관련 문헌에서 요인분석을 위한 설문지의 필요 회수 부수를 관측 변수의 5배 이상으로 제시하고 있다. ²⁾ 따라서 본 연구를 위한 설문지 회수 부수는 적정하다고 할 수 있다.

Table 3. Respondent Statistics

4.1 요인분석 적합성 검정

본 연구의 적합성 검정을 위해 KMO-Bartlett 검정을 실시하였다. 본 연구의 KMO 측도는 ‘강한 관계를 갖는 수준’으로 해석되는 수치인 0.8 이상으로 측정되었다. 유의 확률은 0.05 이하로 측정되어 요인으로 구성된 요소들 간에는 상당한 관계가 있는 것으로 나타났다.

Table 4. KMO and Bartlett Test

4.2 요인분석

본 연구에서는 직교회전 방법 중 베리멕스 회전 (varimax rotation)을 이용하여 요인을 압축하였다. 이를 통해 고유값이 1.0 이상인 6개의 압축된 요인을 추출하였으며, 각 요인 별로 내적 일관성을 검정하기 위해 크론바흐 알파(cronbach’s alpha) 계수를 산출하였다.

첫 번째 요인은 심사 난이도, 심사 기간, 정보보호 관리체계 인프라 도입 비용, ISMS 인증 후 기회 비용, ISMS 인증제도 평판 등의 요소로 구성되었다. 하지만 정보보호 관리체계 인프라 도입 비용, ISMS 인증 후 기회비용, ISMS 인증제도 평판 등의 세 가지 요소의 요인 적재량이 .5 미만을 기록하여 이를 제외하고 요인으로 구성하여, ‘심사 난이도 및 기간’으로 명명하였으며, 크론바흐 알파 계수는 .718로 나타났다.

두 번째 요인은 외부 컨설팅 비용, 컨설팅 업체의 영업 능력, 컨설팅 업체의 경력 등의 변수로 구성되었다. 세 요소들은 모두 외부 컨설팅 업체와 관련된 성격을 갖고 있어 ‘컨설팅 업체 관련 요인’으로 명명하였으며, 크론바흐 알파 계수는 .697로 나타났다.

세 번째 요인은 ISMS 인증 선행 사례와 컨설팅 인력 자질의 변수로 구성되었다. 해당 요인은 ‘인증선행사례 및 컨설팅 인력 자질’로 명명하였으며, 크론바흐 알파 계수는 .516으로 나타났다.

네 번째 요인은 내부 직원들의 반발, 정보보호 관리체계 도입 뒤 가용성 저하, 컨설팅 업체의 고객 응대 등의 요소로 구성되었다. 해당 요인은 ‘내부적 요인’으로 명명하였으며, 크론바흐 알파 계수는 .577로 나타났다.

다섯 번째 요인은 인증기관에 대한 신뢰도, 인증 심사비용의 요소로 구성되었다. 해당 요인은 ‘인증기관 신뢰도 및 심사비용’으로 명명하였으며, 크론바흐 알파 계수는 .611로 나타났다.

여섯 번째 요인은 인증 심사 단계에서의 혜택, ISMS 인증 후 혜택의 요소로 구성되었다. 해당 요인은 ‘인증 전후 혜택’으로 명명하였으며, 크론바흐 알파 계수는 .570으로 나타났다. 변수 중 인증 후 혜택의 경우 첫 번째 요인에 대해 요인 적재량이 .499를 나타냈고, 여섯 번째 요인에 대해 요인 적재량이 .530을 나타내 두 개 이상의 요인에 비슷한 적재량을 보였다. 하지만 첫 번째 요인에 대해서 .5 미만의 요인 적재량을 기록하였기 때문에 여섯 번째 요인에 포함시키는 것이 타당한 것으로 보인다.

설문지 작성 시 구성된 요소 중 ‘컨설팅 기간’요소는 회전된 요인 행렬에서 다섯 번째 요인과 묶였으나 내적 일관성을 크게 저하시키는 관계로 요인 구성에서 제외하였다.

각 요인의 크론바흐 알파 계수 산출 시 첫 번째 요인인 ‘인증 난이도 및 기간’, 세 번째 요인인 ‘인증선행사례 및 컨설팅 인력 자질’과 네 번째 요인인 ‘내부적 요인’이 각각 0.581, 0.516, 0.577로 다소 낮게 측정되었으나 연구 결과에 크게 문제가 되지는 않는 것으로 생각한다. 그 이유는 크론바흐 알파의 계수는 각 요인에 묶인 변수가 적을수록, 응답자 수가 적을수록 낮게 측정되는데 본 연구의 경우 요인 분석을 위한 최소 필요 설문지 부수보다 많은 수를 회수하였기 때문에 단순히 묶인 변수가 적기 때문에 크론바흐 알파 계수가 다소 낮게 측정된 것으로 생각한다.

Table 5. Result of Factor Analysis

V. 결론 및 시사점

5.1 결론 및 결과 해석

본 연구는 기업이 ISMS 인증을 받고자 할 때 어떠한 장애요인이 존재하는지를 연구하였다. 이를 위해 정보보호 관리체계 관련 문헌과 IT 분야에서의 장애 요인 관련 문헌을 분석하여 설문지를 제작하여 이를 기업들에 배포한 뒤 탐색적 요인 분석 기법을 이용해 분석하였다. 요인 분석을 통해 심사 난이도 및 기간, 컨설팅 업체 관련 요인, 인증 선행 사례 및 컨설팅 인력 자질, 내부적 요인, 인증기관 신뢰도 및 심사비용, 인증 혜택 관련 요인 등 총 여섯 개의 장애 요인으로 압축하였다. 각 요인들의 설명력은 첫번째 요인은 14.306%, 두 번째 요인은 13.278%, 세 번째 요인은 9.888%, 네 번째 요인은 9.694%, 다섯 번째 요인은 8.655%, 여섯 번째 요인은 8.233%로 나타났다. 또 변수 중에서 ‘컨설팅 기간’의 경우 요인 적재량이 요인 압축을 위해 적절하지 않고, 내적 일관성을 저하시키는 요소가 되어 장애 요인 구성에서 제외하였다.

심사 난이도 및 기간 요인의 경우, 심사 난이도가 높고 까다로울수록 기업의 입장에서는 이를 통과하기 위해 준비되는 자금, 인력, 시간에 상당한 부담을 가지고 있기 때문으로 해석할 수 있다. 또 심사 기간의 경우, 난이도가 높을수록 일반적으로 심사에 상당한 시간이 소요되고, 이에 따라 외부인이 사내에 상주하는 기간이 길어지는 것을 우려하기 때문에 심사 난이도와 심사 기간이 같은 요인으로 압축된 것으로 보인다.

컨설팅 업체 관련 요인의 경우, ISMS 인증을 위해 외부 컨설팅 업체를 이용할 시 비용의 고저, 컨설팅 업체의 영업 능력, 컨설팅 업체의 경력 등에 따라 역시 ISMS 인증 시 장애요인이 될 수 있는데 해당 변수들이 모두 컨설팅 업체와 관련된 요소들이기 때문에 같은 요인으로 압축된 것으로 보인다.

인증 선행 사례 및 컨설팅 인력 자질의 경우, 같은 요인으로 묶인 요소들 간에 존재하는 공통분모를 찾기가 어려웠으나, 기업의 입장에서 생각해보건대컨설팅 인력의 자질이 뛰어날수록 인증 사례도 많아질 것인데 아직까지 사례가 많지 않은 것은 인력의 자질이 만족스럽지 못한 수준이기 때문이라고 인식하는 것으로 해석하였다.

내부적 요인의 경우 역시 같은 요인으로 압축된 변수들 간에 존재하는 공통분모를 찾기 어려웠다. ISMS 인증 획득이 가능한 정도의 수준 높은 정보보호 관리체계를 도입할 경우, 필연적으로 가용성이 이전보다 저하될 것이다. 이는 내부 직원의 반발로 이어질 것이고, 그에 따라 외부 컨설팅 업체에 불만을 표시할 것인데, 이 때 컨설팅 업체의 고객 응대 수준에 따라 장애 요인으로 느껴질 수가 있기 때문에 같은 요인으로 압축된 것으로 해석하였다.

인증기관에 대한 신뢰도 및 심사비용 요인의 경우, 보안과 같이 기업 입장에서 민감한 부문을 보여주기 위해서는 잘 알려져 있고, 전문성이 보증된 신뢰도 높은 기관이어야 하고, 심사비용 역시 해당 기관의 몫이기 때문에 같은 요인으로 압축된 것으로 해석하였다.

인증 전후 혜택의 경우, 중소기업이나 소상공인과 같이 경제력이 대기업에 비해 열악한 기업은 인증 심사 시에 심사료 할인과 같은 혜택의 유무와 그 정도가 매우 중요하고, 인증 후에도 기업의 사업 활동 수행에 있어 실질적으로 느낄 수 있는 혜택을 중요시하기 때문인 것으로 해석하였다.

5.2 시사점

본 연구의 결과가 시사하는 바는 정부에서 ISMS 인증 제도를 시행한지 만 10년이 경과하였음에도 불구하고 기업이 인증을 받기 위해서는 아직까지 많은 장애요인이 있고 이는 우리나라의 전체적인 보안 역량을 향상시키는데 분명히 걸림돌이 된다는 것이다. 하지만 본 연구를 통해 ISMS 인증 시 장애요인 연구와 ISMS 인증 보편화를 위한 연구에 방향을 제시하여 향후 다른 분석 기법들을 이용하여 어떠한 요인들이 어느 정도의 장애요인을 가지고 있는지, 더 고차원적인 연구와 함께 기업에서 실질적으로 원하는 장애요인을 완화시키기 위한 정책 연구가 다각도로 이루어져 ISMS 인증 사례를 확대하여 국가 전체의 보안 수준이 향상되기를 기대한다.