블로그 | 시스코 CISO 조사 보고서에서 눈에 띄는 7가지

CIO
기업을 안전하게 보호하면서 디지털 트랜스포메이션을 추진하기란 사실 엄청난 작업이다. IT 인프라를 개설하거나 IT 네트워크와 OT 네트워크를 통합하는 일, 그리고 협력업체 및 고객들과 긴밀히 소통하여 새로운 업무 모델과 협업(예: 클라우드 앱, API, 센서, 모바일 장치 등)을 수용하게 하는 일 등은 기회 뿐만 아니라 새로운 위험도 야기한다.

시스코(Cisco)는 13개국 2,800명의 IT 결정권자를 대상으로 설문조사를 실시해 2020년도 시스코 CISO 벤치마크 보고서를 작성했다. 오늘날 보안 부문이 직면한 과제에 대한 이해를 높이기 위한 이 설문조사에서 주목할 만한 주요 결과를 소개한다.
 
ⓒ CISCO


보안 측정 지표 
소속 회사에 보안 프로그램의 효과를 측정할 견고한 측정 수단이 있다고 대답한 응답자는 10명 중 9명에 이르렀다 이것도 작년에 비하면 6% 하락한 수치다. 

명확한 측정 지표는 보안 체계의 핵심이다. 그러나 운영 개선과 보안 성과를 측정할 방법에 대해 합의를 이끌어내는 것은 어려울 때가 많다. 단, 탐지 시간이 가장 중요한 KPI라는 점에는 설문조사 응답자들의 의견이 일치했다.

보안 임원의 보편화
경영진 내에 보안 임원의 역할과 책임을 명확히 규정한 회사의 비율은 등락을 거듭하다가 2020년에는 89%에 안착했다. 사이버보안을 심각하게 인식하는 경향이 커지고 최고위급 보안 지도자에 대한 수요가 늘어나고 있는 셈이다. 최고 보안 책임자의 역할과 책임을 명확히 규정하는 것이 매우 중요하다는 인식이 보편화되고 있다. 

비즈니스 위험 평가에 기본 항목으로 자리잡은 사이버 위험 평가
회사들의 전반적인 위험 평가 전략에 사이버 위험 평가가 포함되는 빈도는 작년에 비해 5% 감소했다. 그러나 줄어든 이후의 응답 비율이 91%에 이른다.

클라우드 보호는 힘든 싸움
한 회사의 디지털화 작업은 클라우드를 이용하지 않고는 거의 불가능하다. 시스코 보고서에 따르면 2020년도에는 조직들 중 83% 이상이 자체 IT 인프라의 20% 이상을 클라우드에서 (내부적으로 또는 외부적으로) 관리할 예정이라고 한다. 그러나 기업의 자산 보호는 여전히 어려운 과제로 남아 있다. 응답자들 중 절반 이상(52%)이 퍼블릭 클라우드에 보관된 데이터를 안전하게 보호하기가 매우 또는 지극히 어렵다고 응답했다.

보안 경고 범람 속 자동화는 필수
조직들이 매일 확인하는 보안 경고의 총수가 계속해서 증가하고 있다. 3년 전에는 매일 경고 건수가 5,000건 미만인 조직들이 태반이었으나 지금은 그 비율이 36%에 불과하다. 매일 받는 경고 건수가 10만 건이 넘는 회사의 비율은 2017년의 11%에서 올해는 17%로 상승했다. 

이처럼 경고 건수가 크게 증가하고 이를 처리하기 위해 필요한 자원도 상당하기 때문에 보안 조사에 착수하는 비율은 최근 4년 중에 최저치를 기록하고 있다. 48% 미만의 회사만이 보안 조사를 꾸준히 하고 있다고 응답했다. 2017년 56%에서 하락한 수치다. 확실한 사고의 비율(26%)은 일정한 수준에 머물러 있다. 즉, 조사 결과 거짓으로 판명되는 경우가 많음을 알 수 있다.

이처럼 경고 활동이 끝없이 이어지는 현상의 가장 큰 부작용은 사이버 보안 피로라고 할 수 있다. 사이버 보안 피로가 존재한다고 응답한 회사 중에서 83%가 매일 5,000건이 넘는 받는 보안 경고를 받고 있다.

시스코 설문조사 응답자 중 상당 비율(77%)이 간소화와 위협 대응 시간 가속화를 위해 자동화 보안 솔루션 실행을 늘릴 것으로 예상된다. 놀랄 일이 아니다. 요즘 같은 상황에서는 선택의 여지가 없다.

위험에 처한 브랜드 평판
올해 최악의 보안 사고로 인해 10만 건 이상의 기록에 피해를 입은 조직의 비율은 2019년 대비 4% 상승한 19%였다. 보안 사고로 인해 브랜드 평판에 타격을 받았다는 응답자 비율은 3년전 26%에서 상승한 33%였다. 따라서, 피해를 최소화하고 신속한 복구를 위해서는, 위기 소통 계획을 회사의 더욱 광범위한 사고 대응 전략에 반영시키는 것이 중요하다.

긍정적인 측면
작년 자료 유출 사고를 자발적으로 공개했다는 응답자 비율(61%)은 최근 4년 중 최고를 기록했다. 전반적으로 회사들이 적극적으로 유출 사고를 알리고 있는 것이다. 새로운 개인정보보호 법규(GDPR 등) 때문일 수도 있고 회사 입장에서는 고객들의 신뢰와 신임을 유지하고 싶어하기 때문일 수도 있다. 사실 2가지 다일 가능성이 높다. 

* 마크 윌첵은 ICT 분야에서 20년 이상의 경력을 보유한 디지털 전략가이자 CIO 컨설턴트다. ciokr@idg.co.kr