데이터 유출 후 기업들이 저지르는 실수 10가지

외부에 맡기지 않고 내부에서 해결하려 한다 데이터 침해 규모가 너무 커 회사 내부에서 처리할 수 없거나, 데이터 유출의 성격상 회사 내부 대처가 적합하지 않을 수도 있다. 따라서 필요한 경우 외부 업체의 도움을 받는 것이 좋다. 따라서 비즈니스 연속성/사고 대응 계획을 세울 때는 적어도 버라이즌 비즈니스(Verizon Business), 익스페리안(Experian), 트러스트웨이브 (Trustwave), IBM등에서 제공하는 사고 대응 서비스를 고려해봐야 한다. “서비스 수준이 다르고 다양한 솔루션이 존재하는 만큼 적당한 대행 업체 선별에는 시간이 걸린다. 특히 포렌식 전문가(forensic expert)나 레솔루션 에이전시를 선별하지 않은 상태에선 더욱 그렇다.”

외부에 자문을 구하지 않는다 브루머는 “외부 변호사를 선임할 것을 적극 추천한다. 어떤 연방법이나 규정도 모든 개인 정보 보안을 다 포괄할 수는 없다. 그 결과 어떤 연방법, 규정 혹은 지침서를 적용할 것인가는 부분적으로나마 그 정보를 수집한 주체나 수집한 정보의 종류에 따라 달라질 수 있다”고 강조했다. 따라서 회사 내부적으로 최근 법률 및 법안에 대해 꿰차고 있는 것이 아니라면, 데이터 유출에 대한 전문 지식을 갖춘 외부 법률 자문을 구하는 것도 현명한 투자라 할 수 있을 것이다.

의사 결정권자를 확실히 지정하지 않는다 “데이터 유출 대응 팀을 구성할 때는 기관의 여러 부서에서 함께 참여해야 하지만, 어쨌거나 그 팀을 이끄는 리더는 있어야 한다”고 브루머는 말했다. 전체 대응 계획을 주도하고 외부와의 연락 접점이 될 사람이 있어야 한다. 이들은 경영진부터 개인 대응 팀 팀원들에 이르기까지 모든 사람이 관련 정보에 대해 알고 있도록 회사 내부의 보고 체계를 관리하는 책임도 맡게 될 것이다.

커뮤니케이션 부족 확실한 의사 결정권자가 없는 상황과 마찬가지로, 커뮤니케이션이 부족해도 문제가 된다. 잘못된 의사 전달은 프로세스를 지연시키고 팀원들 간 혼란을 야기해 데이터 유출 대응에 문제를 초래하는 요인이 될 수 있다고 브루머는 말했다. “사고 대응 팀 구성이 끝나면 누구에게 권한을 위임할 것인지를 확실히 하고 변호사 및 외부 협력 업체들에 책임자의 연락처를 전달한다.”

커뮤니케이션 계획이 없다 커뮤니케이션 이야기가 나와서 말인데, 기업들의 또 다른 문제는 커뮤니케이션 계획이 부족하단 것이다. 커뮤니케이션 계획은 특히 미디어나 대중과 관계가 깊어 더 중요하다. “기업에서는 데이터 유출에 대비해 테스트를 거쳐 문서화 된 커뮤니케이션 계획을 준비해야 한다. 계획을 신속히 실행하기 위한 초안 및 기타 문서들이 그것이다. 전체적인 계획에 커뮤니케이션을 통합하지 못할 경우 언론 대응도 지연될 수 밖에 없어 비판적 보도에 직면하게 된다”고 브루머는 설명했다.

완벽한 정보가 나오기 전까지 아무런 행동도 취하지 않는다 데이터 유출 직후 사고에 대응할 경우 불완전하거나 빠르게 변화하는 정보를 가지고 작업해야 할 수밖에 없다. 내, 외부 보안 포렌식 팀에서 재빠르게 새로운 정보를 받아들이기 때문이다. “침입을 확인하는 즉시 유출 및 사고 대응 프로세스를 시작해야 한다. 완벽한 정보가 들어오기만을 기다리다가는 나중에 시간에 쫓기게 돼 반드시 해야 하는 일을 하지 못하게 되는 수가 있다”고 브루머는 말했다.

하나하나에 너무 꼼꼼하게 대응한다 “데이터 유출 해결안은 팀의 지원을 필요로 하는데, 유출에 지나치게 세세하게 대응하다가는 이런 지원을 이끌어내기 어렵다. 외부 자문이나 유출 해결책 업체의 의견을 믿고 여기에 기반해 사고 대응 계획을 실행해 나가야 한다”고 브루머는 조언했다.

사고 이후 장기 계획을 세워놓지 않는다 유출 문제가 해결된 이후 고객이나 일반 대중에게 이를 어떻게 설명할 지에 대한 계획을 세워둬야 한다. 또한 미래에 비슷한 사고가 일어나지 않도록 부가적 조치도 마련해야 한다. “데이터를 더 안전하게 보호하기 위해 프로세스나 인력, 기술 등에 부가적으로 투자하고자 한다면 기업 이해 관계자들에게도 이런 점을 알려 회사의 평판이나 회사에 대한 신뢰를 회복하는 데 도움을 줄 수 있다. 그렇지만 아직도 많은 기업에서는 순간적 사고 대응에만 급급할 뿐 이런 장기적 이득을 가져오는 대처 방법에 대해서는 잘 모르고 있다”고 브루머는 말했다.

고객들의 불안에 적절한 구제책을 제공하지 않는다 데이터 유출 후에는 고객을 모든 의사 결정의 중심에 놓고 생각해야 한다. 특히 재무, 의료 정보처럼 매우 민감한 고객 정보가 유출됐을 경우 고객들이 자유롭게 궁금한 점을 묻고 목소리를 낼 수 있는 콜센터를 개설하고 크레딧 모니터링(credit monitoring)을 실시하는 등 구제책을 내놓아야 한다. “설령 이보다 덜 민감한 정보가 유출됐다고 해도 고객들을 보호할 수 있는 방법이나 가이드라인을 제공해야 한다”고 브루머는 충고했다.

계획만 세워놓고 실행하지 않는다 “무엇보다도 전체 팀이 모두 계획에 참여해야 한다. 사고 대응 계획은 주기적으로 업데이트하고 보완해야 하는 ‘살아 숨쉬는’ 계획이라 할 수 있다. 정기적으로 계획에 대한 논의가 이뤄져야 다음 사고 때에도 너무 늦기 전에 제대로 대처할 수 있다”고 브루머는 지적했다.