금융회사의 정보보안정책 위반요인에 관한 연구: 내부직원과 외주직원의 차이

Abstract

금융회사의 정보보안사고는 정당한 접근 권한을 가진 내부자에 의해 발생하는 사례가 증가하고 있으며, 특히 외주직원에 의한 사고가 증가하고 있다. 금융회사의 외주용역 증가에 따라, 내부자 위협 관점에서 정당한 권한을 가진 외주직원은 조직의 정보보안정책을 위반할 수 있는 위협적인 존재가 되고 있다. 본 연구의 목적은 내부직원과 외주직원의 차이를 분석하고 정보보안정책의 위반요인을 확인하여 금융회사의 정보보안정책이 바르게 작용할 수 있도록 하기 위함이다. 금융회사 조직원의 정보보안정책에 대한 위반요인에 대해 계획된 행동이론, 일반억제이론 및 정보보안인식을 기초하여 연구모형을 설계하고, 내부직원과 외주직원 간의 차이를 분석하였다. 분석에 사용된 설문은 온라인과 오프라인으로 수집된 363개의 샘플이 사용되었으며, 그룹 간 차이를 분석하기 위해 내부직원 246명(68%)과 외주직원 117명(32%)을 두 그룹으로 나누어 다중 집단 분석을 이용하였다. 차이 분석을 수행한 결과, 외주직원은 내부직원과 달리 정보보안정책에 대한 위반의도가 정보보안정책에 대한 주관적 규범에 영향을 받지 않고 정보보안정책에 대한 행동통제에 영향을 받아 억제되는 것으로 나타났다. 이는 외주직원은 자신이 스스로 할 수 있다고 여기는 자기효능감과 같은 요인에 의해 정보보안정책에 대한 위반의도가 통제되는 것을 나타내는 것이며, 외주직원관리에 이를 응용하여 정보보안교육을 내부직원과 달리 정보보안정책에 대한 조직의 기대를 강조하기보다는 스스로 지킬 수 있을 정도로 외주직원이 기술을 가지고 있음을 강조하고 쉽게 지킬 수 있다는 것을 강조하면 더욱 효과적일 것이다. 결론적으로 금융회사의 외주직원에 대한 정보보안교육 프로그램은 정보보안정책에 대한 이해도를 높일 수 있도록 하여야 하며, 외주직원관리에서는 외주직원이 스스로 지킬 수 있도록 쉬운 보안체계를 유지하는 것이 효과적이라 할 수 있다.