2018.03.06

'사이버공격 겪고도 보안 전략 그대로' 전세계 응답자 46%

Jennifer O'Brien | CIO Australia
사이버공격을 겪고 나서도 기존 사이버보안 관행을 고수해 보안 전략을 거의 변경하는 않는다는 보안 전문가가 약 절반(46%)으로 조사됐다.



이는 보안 업체 사이버아크가 최근 발간한 글로벌 고위협 전망 보고서 2018(CyberArk Global Advanced Threat Landscape Report 2018)의 내용으로, 이 수준의 '사이버보안 관행'은 공격에 대한 회사의 취약성을 높이고 민감한 데이터, 인프라, 자산을 위험에 빠뜨릴 수 있음을 나타낸다.

이 설문 조사는 전세계 7개국에서 시장조사기업 밴슨본이 1,300명의 IT보안 의사결정권자, 데브옵스, 앱 개발 전문가, 경영진을 대상으로 했으며, 글로벌 고위협 전망 보고서 2018은 11번째 발간된 연례 보고서다.

조사 결과에 따르면 가장 큰 사이버보안 위협으로는 피싱 공격(56%), 내부자 위협(51%), 랜섬웨어나 악성코드(48%), 보호되지 않은 특정 계정(42%), 클라우드에 저장된 보안되지 않은 데이터 (41%) 등이 꼽혔다.

전반적으로 조직은 클라우드, 엔드포인트, IT환경에서 권한있는 계정과 크레덴셜을 보호하지 못하는 것으로 파악됐다.
 
한편, 2016년 조사에서 62%였던 엔드포인트 기기에 대한 로컬 관리자 권한을 가진 사용자 비율은 2018년에 87%로 크게 상승했으며, 이는 보안 베스트 프랙티스를 따르기보다는 유연성에 대한 직원의 요구를 반영한 것으로 풀이됐다. 지난해 워너크라이와 낫페트야 같은 첨단 악성코드 공격이 많았는데, 공격자가 네트워크에 우회에 공격하려는 시도를 막으려면 크레덴셜 도용 차단과 관련해 좀더 높은 수준의 보안 정책이 필요할 수 있다.

데이터 손상을 초래할 수 있는 보안 관행
조사 결과에 따르면 보안 관행은 사이버공격을 막을 수 없으며 오히려 이로 인해 위험이 발생할 수 있는 것으로 나타났다. 다음은 조사 결과 중 우려스러운 부분이다.

-응답자 46%는 공격자가 내부 네트워크를 공격해 침입하는 것을 막을 수 없다고 말했다.
-응답자 36%는 관리자 크레덴셜이 회사 PC의 워드나 엑셀 문서에 저장돼 있다고 보고했다.
-응답자 절반(50%)은 고객의 개인 정보나 개인식별정보(PII)가 합법적으로 필요한 기본 사항보다 훨씬 더 많은 데이터를 수집해 위험에 처할 수 있다고 인정했다.
 
클라우드와 개발자 작업에 내재된 자동화된 프로세스는 권한있는 계정, 크레덴셜, 회사 기밀 정보 등이 빠르게 생성되고 있음을 의미한다. 공격자가 한번 침입해 네트워크, 데이터, 애플리케이션에서 중요한 데이터에 관해 우회 접근을 시도하거나 불법 암호화 마이닝 활동을 위해 클라우드 인프라를 사용할 수 있는 중요한 점을 제공할 수 있다. 조직은 점점 더 보안 위험을 인식하지만 여전히 클라우드 보안에 대한 안이한 접근 방식을 가지고 취하는 것으로 조사됐다.

-약 절반(49%)의 조직은 클라우드 권한 계정에 관한 보안 전략이 없다.
-2/3 이상(68%)은 클라우드 보안을 공급 업체에 맡겼다.
-38%는 클라우드 업체가 적절하게 보안을 제공하지 않는다고 말했다.
 
보안 문화 변화

사이버공격 후에도 과거의 관행을 고수하려는 이른바 ‘사이버보안 관성’을 극복하려면 조직의 전략과 행동의 중심이 돼야 한다.

IT보안 전문가의 86%는 보안이 정기적으로 이사회의 안건이 돼야 한다고 의견을 모았다. 44%는 IT보안 위반을 막는데 도움이 되는 직원을 인정해 주고 보상하는 제도가 필요하다고 말했다.

사이버아크 글로벌 비즈니스 개발 부사장인 아담 보스니안은 "공격자가 전술을 계속 발전시키지만 조직은 공격자가 선호하는 사이버보안 관성을 극복하지 못하고 있다"고 지적하며 "공격에 대해 탄력적인 사이버보안을 구축하는 데 더 크고 시급한 조치가 필요하다. 그러려면 우선 확장된 권한있는 계정 보안 공격에 대해 이해하고 조직이 위험에 처하게 되는 방식을 이해해야 한다. 성공적으로 관성을 극복하려면 강력한 리더십, 책임, 명확하게 정의되고 전달된 보안 전략, '공격자 사고방식'을 채택할 수 있는 역량이 있어야 한다”고 강조했다. ciokr@idg.co.kr
 
2018.03.06

'사이버공격 겪고도 보안 전략 그대로' 전세계 응답자 46%

Jennifer O'Brien | CIO Australia
사이버공격을 겪고 나서도 기존 사이버보안 관행을 고수해 보안 전략을 거의 변경하는 않는다는 보안 전문가가 약 절반(46%)으로 조사됐다.



이는 보안 업체 사이버아크가 최근 발간한 글로벌 고위협 전망 보고서 2018(CyberArk Global Advanced Threat Landscape Report 2018)의 내용으로, 이 수준의 '사이버보안 관행'은 공격에 대한 회사의 취약성을 높이고 민감한 데이터, 인프라, 자산을 위험에 빠뜨릴 수 있음을 나타낸다.

이 설문 조사는 전세계 7개국에서 시장조사기업 밴슨본이 1,300명의 IT보안 의사결정권자, 데브옵스, 앱 개발 전문가, 경영진을 대상으로 했으며, 글로벌 고위협 전망 보고서 2018은 11번째 발간된 연례 보고서다.

조사 결과에 따르면 가장 큰 사이버보안 위협으로는 피싱 공격(56%), 내부자 위협(51%), 랜섬웨어나 악성코드(48%), 보호되지 않은 특정 계정(42%), 클라우드에 저장된 보안되지 않은 데이터 (41%) 등이 꼽혔다.

전반적으로 조직은 클라우드, 엔드포인트, IT환경에서 권한있는 계정과 크레덴셜을 보호하지 못하는 것으로 파악됐다.
 
한편, 2016년 조사에서 62%였던 엔드포인트 기기에 대한 로컬 관리자 권한을 가진 사용자 비율은 2018년에 87%로 크게 상승했으며, 이는 보안 베스트 프랙티스를 따르기보다는 유연성에 대한 직원의 요구를 반영한 것으로 풀이됐다. 지난해 워너크라이와 낫페트야 같은 첨단 악성코드 공격이 많았는데, 공격자가 네트워크에 우회에 공격하려는 시도를 막으려면 크레덴셜 도용 차단과 관련해 좀더 높은 수준의 보안 정책이 필요할 수 있다.

데이터 손상을 초래할 수 있는 보안 관행
조사 결과에 따르면 보안 관행은 사이버공격을 막을 수 없으며 오히려 이로 인해 위험이 발생할 수 있는 것으로 나타났다. 다음은 조사 결과 중 우려스러운 부분이다.

-응답자 46%는 공격자가 내부 네트워크를 공격해 침입하는 것을 막을 수 없다고 말했다.
-응답자 36%는 관리자 크레덴셜이 회사 PC의 워드나 엑셀 문서에 저장돼 있다고 보고했다.
-응답자 절반(50%)은 고객의 개인 정보나 개인식별정보(PII)가 합법적으로 필요한 기본 사항보다 훨씬 더 많은 데이터를 수집해 위험에 처할 수 있다고 인정했다.
 
클라우드와 개발자 작업에 내재된 자동화된 프로세스는 권한있는 계정, 크레덴셜, 회사 기밀 정보 등이 빠르게 생성되고 있음을 의미한다. 공격자가 한번 침입해 네트워크, 데이터, 애플리케이션에서 중요한 데이터에 관해 우회 접근을 시도하거나 불법 암호화 마이닝 활동을 위해 클라우드 인프라를 사용할 수 있는 중요한 점을 제공할 수 있다. 조직은 점점 더 보안 위험을 인식하지만 여전히 클라우드 보안에 대한 안이한 접근 방식을 가지고 취하는 것으로 조사됐다.

-약 절반(49%)의 조직은 클라우드 권한 계정에 관한 보안 전략이 없다.
-2/3 이상(68%)은 클라우드 보안을 공급 업체에 맡겼다.
-38%는 클라우드 업체가 적절하게 보안을 제공하지 않는다고 말했다.
 
보안 문화 변화

사이버공격 후에도 과거의 관행을 고수하려는 이른바 ‘사이버보안 관성’을 극복하려면 조직의 전략과 행동의 중심이 돼야 한다.

IT보안 전문가의 86%는 보안이 정기적으로 이사회의 안건이 돼야 한다고 의견을 모았다. 44%는 IT보안 위반을 막는데 도움이 되는 직원을 인정해 주고 보상하는 제도가 필요하다고 말했다.

사이버아크 글로벌 비즈니스 개발 부사장인 아담 보스니안은 "공격자가 전술을 계속 발전시키지만 조직은 공격자가 선호하는 사이버보안 관성을 극복하지 못하고 있다"고 지적하며 "공격에 대해 탄력적인 사이버보안을 구축하는 데 더 크고 시급한 조치가 필요하다. 그러려면 우선 확장된 권한있는 계정 보안 공격에 대해 이해하고 조직이 위험에 처하게 되는 방식을 이해해야 한다. 성공적으로 관성을 극복하려면 강력한 리더십, 책임, 명확하게 정의되고 전달된 보안 전략, '공격자 사고방식'을 채택할 수 있는 역량이 있어야 한다”고 강조했다. ciokr@idg.co.kr
 
X