기업 IT 환경이 점점 더 많은 클라우드 애플리케이션을 포함하게 되고 인력이 점차 분산됨에 따라 잠재적 사이버 공격에 대한 취약성이 거의 모든 측면에 걸쳐 증가하고 있다. 체크포인트 리서치의 조사 결과에 따르면 2022년 3분기 기업에 대한 글로벌 사이버 공격 횟수는 2021년 동기 대비 28% 증가했다. 또, 세계적으로 기업당 일주일 평균 사이버 공격 횟수는 1130건을 넘었다.
다보스포럼의 2022년 글로벌 사이버 보안 전망에 따르면, 사이버 공격으로 인해 발생하는 기업의 평균 비용은 건당 약 45억원에 달하며, 이를 분석하고 대응하는 데 약 280일 또는 9개월이 소요된다고 한다.
날로 심각해지고 있는 이러한 사이버 공격의 영향으로 기업 이사회의 약 88%가 이제 사이버 보안 이슈를 기술적 리스크가 아닌 비즈니스 리스크로 인식하고 있다는 가트너의 조사 결과도 있다. 이제는 더 이상 사이버 복원력이 최고정보책임자(CIO)나 최고정보보호책임자(CISO)만의 문제가 아니게 될 것이다.
기존의 방어에 기반한 접근 방식은 높은 위험성을 지니고 지속적으로 진화하고 있는 보안 위협에 대응하기에 더 이상 충분하지 않다. 위험 요소로부터 격리하는 것에 그치지 않고 사이버 복원력을 갖추기 위해서는 사일로화 된 접근 방식을 버리고 상황을 예측, 보호, 유지, 복구할 수 있는 통합 보안 전략을 마련해야 할 필요성이 있다.
사이버 복원력은 보안과 비즈니스 연속성, 재해 복구를 모두 강화할 수 있는 견고한 리스크 관리를 필요로 한다. 이를 효과적으로 수행하기 위해서는 네 가지 역량을 검토해야 한다.
첫째, 현 사이버 준비 태세를 평가할 수 있어야 한다. 사이버 복원력의 첫걸음은 예방이며, 리스크를 선제적으로 관리하기 위해서는 조직이 가진 취약점과 잠재적인 위협 요소에 대한 가시성을 확보해야 한다. 이를 위해서는 전사적인 차원에서 사이버 복원력을 평가하고 측정할 수 있는 역량이 필요하다.
둘째, 방어적 IT 인프라 구축이 필요하다. 탄력성 확보를 위해서는 ID 액세스, 엔드포인트, 네트워크, 애플리케이션 라이프사이클 관리 등 여러 계층구조에 걸친 데이터 보호 기능을 갖춘 IT 환경의 구축이 필요하다.
셋째, 잘 조율된 대응 시스템을 마련하는 것도 중요한 요소다. 사이버 위협에 대응하기 위한 체계적인 통합 메커니즘 구축은 조직의 탄력성 확보에 필수적이다. 여기에는 위협 요소에 대한 노출을 사전에 줄여주는 고급 위협 탐지 기능이나 사고 대응 및 포렌식 기능이 등이 포함된다.
마지막으로, 간소화된 사고 복구 시스템은 보안 사고로 인한 피해를 최소화할 수 있다. 사이버 복원력의 핵심은 체계적이고 협업적인 복구 시스템을 통해 비즈니스 프로세스의 중단을 최소화할 수 있는 능력이다. 강력한 데이터 백업 서비스과 플랫폼 복구, 지속 가능한 데이터 센터, 데이터 원격 저장 서비스 등은 사고 복구 기능을 구축하는 데 도움이 된다.
네 가지 역량들은 끊임없이 새로운 기술을 도입해야 하는 오늘날의 기업 환경에서 매우 중요한 요소다. 사이버 위협 역시 끊임없이 변화하고 있고, 이에 더욱 효과적으로 대처하기 위해 기업의 IT 전략 차원에서 사이버 복원력을 아우를 수 있어야 한다.
오늘날의 사이버 위협은 기업이 IT 자산을 보호하는 방법에 있어 다양하고 어려운 선택을 하도록 강요한다. 기업들은 한정된 시간과 리소스를 가지고 사이버 복원력을 구축하고 위협 요소의 전체 라이프사이클에 보다 효과적으로 대응할 수 있어야 한다.
사이버 복원력을 구축하기 위한 첫 번째 단계는 비즈니스 연속성을 유지하기 위해 필요한 최소한의 비즈니스 프로세스들을 식별하는 것이다. 즉, 비즈니스 프로세스가 이뤄지기 위해서 어떤 기술 자산과 데이터, 네트워크, 인력 요소들이 엮여 어떻게 상호작용하는지 파악하는 것이 중요하다.
충분한 전문성을 갖춘 파트너는 이러한 일련의 보안 및 복원력에 관련한 접근을 크게 간소화할 수 있다. 사이버 보안에 있어 임시방편적인 해결책은 결과적으로 보안 격차를 오히려 심화시킬 수 있다. 때문에 기업들은 리스크 환경을 잘 이해하고 총체적인 솔루션을 제공해 줄 수 있는 파트너를 모색해야 할 것이다.
류주복 킨드릴코리아 대표 jbryu@kyndryl.com
