2016년 전망ㅣ'무대의 중앙'을 차지한 보안

내부 채용 또는 아웃소싱?
2016년에 인력을 증원할 계획이라고 밝힌 응답자 가운데 25%는 보안 이니셔티브가 인력 증원의 이유라고 설명했다. 또 33%는 2016년에 가장 채용하기 힘들 직종으로 보안 직종을 꼽았다.

면접 조사 결과에 따르면, 중소기업들은 침입 감지나 방화벽 등 특정 분야에 깊이 있는 지식을 가진 전문가 대신 IT와 보안을 폭넓게 이해하고 있는 사람들을 채용할 계획이라고 대답했다.
 

또 많은 기업들이 그 수가 꾸준히 증가하고 있는 보안 서비스 공급업자에게 보안 업무를 아웃소싱 할 계획이다. 한 CISO는 아웃소싱은 다른 기업이 내부 보안 전문가를 스카우트하는 위험을 피할 수 있는 방법이라고 말했다.

크레딧 유니온(Cabrillo Credit Union)에서 보안과 네트워킹, 프로그래밍, 일상 IT 운영 등 다양한 역할을 맡은 IT 직원 6명으로 구성된 부서를 책임지고 있는 프랭키 두에나스 CTO 또한 필요할 경우 보안 지원 업무를 아웃소싱한다고 설명했다. 두에나스는 "우리는 보안 예산을 운영하고 있다. 새로운 위협에 대비하거나, 더 발전된 보안 소프트웨어나 서비스에 투자할 때 쓸 수 있는 예산이다. 내년에는 예산이 2배로 증가한다. 해킹 공격이 빠르게 발전하고 있기 때문이다. 이에 대비해야 한다"고 말했다.

가이거의 덴험은 침입 감지와 저지 서비스를 다른 회사에 아웃소싱 하고 있다고 설명했다. 또 PCI 데이터 보안 기준(PCI Data Security Standard) 준수를 위해 외부 감사 회사와 협력하고 있다.

그는 "내부 채용이 증가하지는 않을 전망이다"고 말했다. 가이거는 필요할 때마다 외부의 서비스 공급자를 이용할 계획이다.

덴험은 "보안에는 '끝'이 없다. 모든 일을 다 처리할 수 없다. 또 모든 일을 필요한 만큼 빠르게 처리할 수도 없다. 항상 IT가 처리해야 할 일이 있다"고 말했다.

보안은 기업이 항상 중요하게 다뤄야 할 문제이다. 해커들은 항상 새로운 방법을 찾아낸다.

페이팔의 나이에 따르면, 기업들은 피싱 공격 방어에 큰 성과를 일궈냈다. 그러자 범죄자들이 몰웨어 등 다른 수단을 이용하기 시작했다.

나이는 "우리는 끊임 없이 특정 분야를 개선해 나간다. 그러나 범죄자들의 공격은 절대 사라지지 않는다. 범죄자들은 범죄 행위를 포기하지 않는다. 다른 방법을 동원해 공격할 뿐이다"고 말했다.

임원들의 인식 변화
한편, 이번 기사를 위해 인터뷰한 대부분의 보안 담당자와 CIO들이 2016년에는 이사회 임원들과의 커뮤니케이션이 강화될 것이라고 내다봤다.

익명을 요구한 제조업체의 CIO는 "3년 전만 하더라도 보안 침해 사고가 발생한 때를 제외하면 이사회에서 보안 문제를 설명하는 경우가 거의 없었다. 그러나 지금은 분기 별로 이사회에서 보안 문제를 설명한다. 이사회는 위험을 평가하고, 보안 책임자가 비용 효과적으로 회사를 보호하고 있는지 확인하기 원한다"고 말했다.

INL의 다렌 반 부벤 사이버보안 오피서는 IT리더와 고위 임원과의 커뮤니케이션 기회 및 역량이 위험 관리 및 보안 프로그램의 성공을 좌우한다고 강조했다.

그는 "비즈니스를 이해해야 한다. 비즈니스를 이해해야, 임원들이 이해할 수 있게 위험을 설명할 수 있다. 임원들이 귀를 기울이지 않는다고 불평하는 CISO가 있다면, 이를 실천하지 못하고 있기 때문이다"고 말했다.

반 부벤은 이사회 이사들은 물론이고 대부분의 상급 관리자들과 만나 정보를 공유하고, 교육을 제공한다.

정보 관리 프로그램 통합 디렉터인 호텐스 넬슨(Hortense Nelson)은 "다렌과 임원들의 1대1 회의가 보안에 대한 '헌신'에 큰 차이를 가져왔다. 이렇게 사람과 관련된 요소가 아주 중요하다"고 강조했다.

기업 외부의 보안
이런 내부 커뮤니케이션에 더해, 공급 사슬 파트너와 이들 회사의 이사회 등 외부와의 커뮤니케이션을 중시하는 제조업체의 CIO 등 IT 리더들이 증가하는 추세이다. CIO들은 벤더 관리 프로세스에 보안 질문서 등을 준비해 적용 또는 반영하고 있다.

컨설팅 회사 겸 SaaS 공급업체인 알툼(Altum)의 데이브 쿠크(Dave Cooke) 기술 책임자는 이런 보안 질의서를 받아 작성하는 쪽이다. 그는 보안 질문서를 이용하는 고객사가 증가하고 있는 추세라고 말했다. 알툼의 고객들은 보조금이나 기금을 제공하는 대형 재단과 기관들이다. 이들은 알툼의 기금 추적 소프트웨어 서비스를 이용, 기금 배포 현황, 기금 수혜자의 사용 현황 등을 감독한다.

쿠크는 "고객들은 서비스 계약에 앞서 보안 소프트웨어에 관한 질문서를 발송한다. 이 질문서를 작성해야 계약을 체결할 수 있다"고 말했다. 그는 "지난 18개월 동안 질문서를 받는 사례가 증가했다. 우리에게도 질문서가 도움이 된다. 우리 또한 질문서에 반영된 사항을 고려해야 하기 때문이다"고 덧붙였다. editor@itworld.co.kr