공공·제조·금융·통신…산업군별 사이버보안 도전과제는

날이 갈수록 거세지는 사이버위협은 산업 전반에 큰 영향을 미친다. 디지털화가 가속화되면서 보안은 특정산업에 관계없이 기업 조직에서 점점 더 중요한 과제가 되고 있다.

이제는 기업의 보안 책임자와 담당자뿐만 아니라 대표이사와 이사회를 비롯한 경영진 차원에서 보안위협과 보안사고로 인한 심각성을 인식해야 하는 상황이다.

하지만 현재 공공·제조·금융·통신서비스(SP) 등 다양한 산업군에 속한 기업들의 보안수준과 역량에는 차이가 있다. 특화된 IT 인프라 환경과 규제로 인한 보안위협과 대응과제도 조금씩 다르다.

시스코는 13개 국가 2900명이 넘는 정보보안최고책임자(CSO)와 보안업무(SecOPs) 담당자를 대상으로 보안역량 벤치마크 조사연구를 진행했다. 그 결과를 바탕으로 산업군별 핵심 보안과제를 도출해 최근 발간한 ‘중기 사이버보안 보고서 2017’에 담았다.

이 분석결과를 바탕으로 다양한 업종의 기업들의 사이버침해를 예방하고 대응하는데 나서는 걸림돌과 핵심과제를 정리했다.

공공 : 전문인력·예산 부족으로 보안수준 약화

공공기관과 공기업들은 한정된 예산, 전문인력이 부족한 반면에 민간부문 보다 더 엄격한 사이버위험관리 규정을 준수해야 한다. 이같은 제약사항은 공공부문이 보안수준을 강화해 사전예방 중심의 포괄적이면서도 수준 높은 보안대책을 강구하는데 한계를 노출하고 있다.

조사결과, 공공부문에서 침입테스트와 엔드포인트 또는 네트워크 포렌식 툴을 사용하고 있다고 답한 보안전문가들의 비중은 30%에 그쳤다.

보안전문가들을 제대로 확보하지 못하면 사이버위협을 제대로 조사하기 어렵다. 40%의 공기업은 하루 평균 발생하는 수천 건의 알람(경보) 중 이를 실제로 조사하는 비율은 65%에 불과한 실정이다. 그리고 조사한 알람 중 32%는 실제 침해사고로 파악됐다. 여기서 치료 조치까지 완료한 사고는 47%에 그친다.

공공부문의 보안인력 부족 문제는 심각하다. 실제 공기업 가운데 27%는 숙련된 인력 부족이 향상된 보안 프로세스와 기술을 도입하는데 중대한 장애요인으로 작용하고 있다고 답했다.

보안위협 정보공유·분석과 일상적으로 발생하는 보안 알람을 처리하는 툴이 필요하다는 것을 보여주는 수치다. 보안인력이 부족한 보안팀의 부담을 줄이기 위해서는 의미있는 보안위협 정보를 알려주고 대응조치를 할 수 있는 툴을 도입하는 것이 도움이 된다.

보안인력 부족과 이로 인한 검증된 보안 툴 미비 현상은 많은 영향을 미치고 있다. 공기업 가운데 53%가 정보유출 사고로 인해 조사를 받았다.

다만 공기업의 46%는 정보유출 사고를 계기로 보안이 크게 개선됐다고 답했다.

제조 : 취약한 노후시스템 고도화, IT와 OT 통합 과제

전통적인 제조사들의 생산시설에는 구형 장비와 시스템이 여전히 많다. 이같은 노후화된 환경에 네트워크 기반 장치나 기기를 추가하게 되면 사이버범죄자들이 악용하기 쉬운 허점을 노출할 수 있다는 것이 보안전문가들의 지적이다.

취약한 시스템과 네트워크로 인해 악성코드가 유입되면 공장 가동이 중단될 수 있는 위기를 초래한다.

제조업체 보안전문가들도 당면과제를 노후 시스템을 업그레이드해 사이버범죄자들의 침입을 막고, 사물인터넷(IoT)같은 신기술을 통합해야 한다고 지목했다. 이는 보안상의 이유 외에도 경쟁력 강화를 위해 필요한 조치로 인식하고 있다.

시스코 조사에서 제조 부문 보안전문가의 40%는 공식화된 보안 전략을 갖추고 있지 못하다. ISO27001이나 미국 국립표준기술연구소(NIST) 800-53같은 표준 정보보안 정책도 따르고 있지 않는다고 답했다. 제조 시스템을 고도화하거나 통합하려는 보안 솔루션 복잡성 문제부터 해결해야 할 것으로 보인다.

제조산업의 보안전문가의 63%는 보안 제품을 6가지 이상 사용하고 있는 것으로 나타났고, 10가지 이상 제품을 사용하는 경우도 30%에 달했다.

시스코는 제조업체들이 사내 보안전문인력을 보강하는 한편, 정보기술(IT)팀과 운영기술(OT)팀이 서로 지식을 공유·협력하거나 통합해 최신기술 관리 정책을 강화해야 한다고 지적했다.

만일 IT팀에서 진행하는 시스템 패치로 인해 구형 장비가 의도치 않게 멈추는 경우 생산이 중단되는 등 IT팀이 생산 현장에 영향을 미칠 수 있기 때문에 IT팀과 OT팀 간 갈등이 발생할 수 있다.

금융 : 다양한 보안제품 혼용 문제 가중…디지털화, 보안강화 요구 확대   

금융기관은 사이버범죄자들의 주요 표적이다.

금융 보안전문가들은 매우 엄격한 규제 요건을 준수하면서도 보안수준도 확보해야 하는 과제를 안고 있다.

다양한 사이버위협을 효과적으로 방어할 수 있는 강도높은 보안관리시스템을 구축하는데 많은 노력을 기울이고 있지만, 최근 금융권에 불고 있는 핀테크와 디지털화는 추진해야 하는 범위를 보안범위를 확장하는 동시에 복잡하게 만들고 있다.

이로 인해 다양한 핀테크 기업들과 협력하면서 새로운 보안 개선전략을 모색하고 있다. 금융기관 보안전문가들의 절반은 디지털화가 보안에 큰 영향을 미친다고 지적했다. 핀테크와 데브옵스(DevOps), IT가 보안에 큰 영향을 미친다고 응답한 보안전문가도 40%에 달했다.

금융기관들이 가중되는 보안위협에 신속하고 효과적으로 대처하기 위해서는 보안 아키텍처를 단순화해야 할 과제도 안고 있다. 금융사들은 현재 너무 많은 수의 보안 제품을 사용하고 있는 상황이다.

보안전문가의 66%는 적어도 6가지 보안 제품을 사용하고 있고, 33%는 10가지 이상의 보안 제품을 사용한다고 밝혔다. 심지어 최대 30가지의 보안업체가 제공하는 제품을 사용하는 금융기관들도 쉽게 찾아볼 수 있다.

시스코는 사용하는 보안 제품 종류를 줄이고 통합에 주력해야 한다고 조언했다. 여러 제품이 서로 단절된 채 운영돼 보안정보를 공유하고 비교하지 못하면 중복·상충되는 알람과 리포트 때문에 보안팀의 업무부담만 커지고 효과적인 보안을 구현하기 힘들기 때문이다.

실제로 금융기관 보안전문가의 46%는 하루 평균 수천건의 알람이 발생하는데, 이 가운데 실제로 조사하는 알람은 55%에 그치고 있다. 조사한 알람 가운데 28%가 실제 보안사고이지만 치료 조치까지 완료되는 경우는 43%에 그치는 것으로 확인됐다.

또한 시스코 보안전문가는 보안 솔루션 제공업체들에 보다 엄격한 보안정책을 구현할 것을 적극적으로 요구해야 한다는 점도 강조했다. 이에 따라 금융보안 수준이 달라질 수 있다는 것이다.

SP : 늘어나는 보안 제품과 협력사…주요 과제는 ‘통합’

SP 시장은 통신사와 클라우드·웹 기반 인프라·호스팅 업체 등 다양하게 구성돼 있다.

비즈니스 규모가 커지면서 이들 기업은 사이버공격 위협에 더욱 많이 노출되고 있는 상황이다. 고객 이탈률이 높은 산업군이라는 점에서, 자칫 해킹으로 인해 고객정보유출 사고라도 발생하면 매출과 브랜드 평판, 기업 신뢰도 하락에 타격을 입을 수 있다.

실제로 조사대상 SP의 34%는 지난해 사이버공격으로 인한 보안사고로 수익에 손실을 입었고, 30%는 고객이나 비즈니스 기회를 잃은 것으로 나타났다.

SP 보안전문가들의 59%는 최우선 보안과제로 자사 데이터센터 IT 인프라와 핵심 생산 네트워크 보호를 꼽았다.

이와 함께 보안 툴과 프로세스를 통합해 효과를 극대화할 방법을 강구하고 있는 것으로 조사됐다. 활용하는 보안 제품과 서비스 수가 많아지면서 실효성 있는 위협정보를 제공하지 못하는 문제가 나타나고 있기 때문이다.

66%에 달하는 SP는 6곳 넘는 협력업체들과 일하고 있고, 10곳 넘는 협력업체들에 의존하고 있다는 곳도 38%에 달했다. 사용 중인 보안 제품 수도 조사대상의 70%는 6가지를, 50%는 10가지 이상의 제품을 사용하고 있는 것으로 나타났다.

현재 많은 SP들은(71%)는 고객들에게 매니지드 보안 서비스(MSS)도 제공하고 있다.

시스코 보안전문가는 다양한 보안 제품이 제대로 통합되지 않을 경우 보안을 단계적으로 강화하는 만큼 복잡성이 커진다고 지적했다.

그나마 상당수(66%)의 SP들은 보안전략을 바탕으로 표준화된 보안관리 정책과 체계, 절차를 운영하고 있다. 이에 관한 직원들의 이해도도 높은 것으로 평가된다.

한편, 산업군 외에 대기업과 중소기업처럼 기업 규모에 따라 보안 수준과 침해가 미치는 파급효과도에도 차이가 있다. 시스코의 보안 역량 벤치마크 조사 결과, 직원 250명 이상 500명 이하 중소기업은 대기업에 비해 보안 대책이 크게 미흡한 실정이다.

중소기업은 더 적은 자원과 부족한 전문인력으로 조직을 보호해야 하기 때문에 사이버공격에 상대적으로 더 취약하다. 또한 사이버침해로 인한 정보유출같은 사고가 발생하면 보안투자 역량과 자원이 풍부한 대기업에 비해 더욱 심각한 타격을 입는다. 위협을 탐지·대응하는 것은 물론, 피해를 복구하는데 있어서도 큰 어려움을 겪을 수 있다.

<관련기사 – 보안전문가들이 꼽은 최신 사이버위협 트렌드 4가지> 

글. 바이라인네트워크
<이유지 기자>yjlee@byline.network