랜섬웨어에 감염된 회사, 경영진이라면 뭐부터 해야 할까

“회사가 랜섬웨어 공격을 받았습니다. 핵심 업무 시스템이 멈췄고, 고객정보까지 유출됐을 가능성도 있습니다. 당신이 C레벨(핵심 경영진)이라면 뭐부터 하시겠습니까?”

쉽지 않은 질문이다. 같은 경영진이라도 맡은 업무에 따라 판단이 달라질 수 있다. 최고정보보호책임자(CISO)는 공격 확산을 막기 위해 시스템 중단을 고려하지만, 최고운영책임자(COO)는 서비스를 유지해야 한다. 최고재무책임자(CFO)는 영업 중단에 따른 손실과 복구 비용까지 따져야 한다. 여기에 고객정보 유출에 따른 신고와 고객 안내, 외부 전문가 투입 여부까지 결정해야 한다. 침해사고 대응 과정에서 기술적 판단과 경영상 판단이 충돌하는 이유다. 경영진은 피해 상황을 완전히 파악하기 어려운 상황에서도 결정을 내려야 한다. 어떤 결정을 언제 내리느냐에 따라 피해 규모와 복구 기간이 달라질 수 있다.

침해사고 대응 전문기업 플레인비트(대표 김진국)와 복구 전문기업 피닉스24(Fenix24), 보험중개기업 에이온(Aon), 법률회사 워튼커니(Wotton Kearney)는 3일 서울 그랜드 인터컨티넨탈 서울 파르나스에서 ‘사이버 복원력 포럼’을 열고, 기업 경영진의 침해사고 대응 의사결정을 다루는 시뮬레이션을 진행했다.

김진국 플레인비트 대표는 “사고가 발생한 다음에 갑자기 의사결정을 해야 한다고 해서 그 능력이 생기는 건 아니다”라고 강조했다. 그는 “사고 현장에서는 피해 범위와 공격자의 움직임을 완전히 파악하기 어렵다”며 “불완전한 정보 속에서도 경영진이 적절한 시점에 결정을 내려야 한다”고 설명했다.

사이버 복원력은 공격 예방부터 피해 확산 차단, 사고 조사, 시스템 복구, 사업 정상화까지 아우르는 조직의 대응 역량이다. 기업 내부의 보안 역량뿐 아니라 외부 전문가들과 사전에 협력 체계를 갖추는 것도 중요하다.

시스템 전부 멈춰야 하나, 엇갈린 판단

랜섬웨어가 기업의 핵심 시스템에 침투했다면 가장 먼저 결정해야 할 문제 중 하나는 ‘시스템 차단 범위’다. 모든 시스템을 중단할 것인지, 감염된 시스템만 격리하고 나머지는 운영할 것인지 판단해야 한다.

시스템을 전면 중단하면 공격 확산을 막는 데 유리하지만 영업활동도 멈춘다. 반대로 감염된 시스템만 차단하고 나머지를 운영하면 당장의 손실을 줄일 수 있다. 다만 공격자가 다른 시스템으로 침투했을 가능성을 고려해야 한다.

이날 현장 시뮬레이션에서는 전문가들의 판단이 엇갈렸다. 장원희 플레인비트 팀장은 “제조업에서 랜섬웨어 사고가 발생하면 전면 차단을 우선 권고한다”고 말했다. 다만 시스템 중단에 따른 매출 손실과 사업 위험을 고려해야 하는 만큼 최종 결정은 경영진의 몫이라고 설명했다.

침해사고 대응 전문기업 나루씨큐리티의 한 임원은 “현실적으로 살아 있는 부분들은 계속 운영하고 문제가 되는 부분들은 차단해 격리시키는 게 합리적이라고 생각한다”며 “실제 침해사고 현장에서는 기업이 서비스를 전면 중단하기 어려운 경우가 많다”고 설명했다.

피닉스24는 복구 관점에서 기술적 문제를 짚었다. 닉 차우한(Nik Chauhan) 피닉스24 아시아태평양 지역 총괄은 “이미 암호화가 진행 중인 서버의 전원을 무작정 끄면 이후 복호화 도구를 사용하는 데 문제가 생길 수 있다”며 “공격 확산을 막기 위한 네트워크 통신 차단과 서버 자체를 종료하는 조치는 구분해야 한다”고 강조했다.

결국 시스템 중단 여부는 감염 범위와 복구 가능성, 사업에 미치는 영향을 함께 판단해야 한다. 침해사고 대응 전문가는 기술적 위험을 분석하고 대응 방향을 제시하지만, 경영진은 그에 따른 사업 손실까지 고려해 결정을 내려야 한다.

“사고 조사부터 고객 통지까지”…전문가 협력이 꼭 필요한 이유

시스템 차단 이후에도 기업이 결정해야 할 문제는 이어진다. 누가 사고를 조사할 것인지, 손상된 시스템은 어떻게 복구할 것인지, 고객과 임직원에게 어떤 내용을 알릴 것인지 판단해야 한다.

사고 조사에서는 기존의 정보기술(IT) 운영업체와 외부 침해사고 대응 전문기업의 역할을 구분할 필요가 있다. 기존 운영업체는 기업의 시스템 구조를 잘 알고 있어 초기 조치에 유리하다. 서울시스템 관계자는 “외부 업체는 시스템 파악부터 시간이 오래 걸리다 보니 초기 대응이 느려질 수 있다”고 설명했다.

반면 외부 전문기업은 다양한 침해사고 경험을 바탕으로 공격 경로와 피해 범위를 분석할 수 있다는 점에서 장점이 있다. 플레인비트 측은 “외부 전문가가 제3자의 관점에서 사고를 조사하면 기존 운영업체가 발견하지 못한 공격 흔적이나 침투 경로를 확인하는 데 도움이 된다”고 설명했다.

디지털 포렌식과 침해사고 대응(DFIR)은 서버와 컴퓨터 등에 남은 기록을 분석해 공격자의 침입 경로와 행위를 조사하는 업무다. 침해사고 대응기업이 원인과 피해 범위를 조사한다면, 복구 전문기업은 손상된 시스템을 복원해 사업을 재개하는 데 집중한다. 두 조직이 협력해야 사고 원인을 확인하면서도 복구를 진행할 수 있다.

법률 전문가의 역할도 중요하다. 개인정보 유출이 확인되거나 법정 신고 요건에 해당하면 관계기관 신고와 정보주체 통지 의무를 검토해야 한다. 고객과 임직원에게 사고 사실을 알리는 과정에서도 기업의 법적 책임과 신뢰를 함께 고려해야 한다.

피파 오스틴 워튼커니 변호사는 “사이버 사고라는 사실이 분명하다면 대중과 직원, 이해관계자에게 짧고 간결하게 알리도록 권한다”고 말했다. 피해 범위가 확정되지 않았다면 추측을 배제하고, 확인된 사실과 현재 진행 중인 대응 조치를 안내해야 한다는 설명이다.

랜섬웨어 공격자와의 협상도 기업이 직접 처리하기 어려운 문제다. 협상은 몸값 지급만을 의미하지는 않는다. 공격자가 실제로 데이터를 탈취했는지 확인하거나 사고 조사와 복구에 필요한 시간을 확보하는 수단으로 활용할 수 있다.

오스틴 변호사는 “몸값을 지급한다고 해서 기업이 지켜야 할 다른 의무까지 없어지는 것은 아니다”며 “공격자가 데이터를 삭제하거나 정상적인 복호화 도구를 제공한다는 보장도 없다. 개인정보 유출에 따른 신고와 통지 의무 역시 사라지지 않는다”고 조언했다.

사이버보험 활성화 필요, 민간 침해사고 대응 역량 키워야

사이버보험을 활성화해 민간의 침해사고 대응 역량을 키우는 방안도 제시됐다. 사이버보험은 사고로 발생한 손실을 보전하는 데 그치지 않는다. 계약에 따라 침해사고 조사와 시스템 복구, 법률 자문 등에 필요한 전문가를 연결하고 관련 비용도 보장한다.

에마 캐럴런 에이온 아시아태평양 사이버보험 보상 총괄은 “위기 상황은 새로운 대응업체를 계약하기에 가장 좋지 않은 시점”이라며 “사고가 발생한 뒤 외부 전문가를 찾고 계약을 체결하면 대응이 늦어질 수 있다”고 설명했다.

사이버보험의 보장 범위도 확대되고 있다. 에이온 측은 사이버 사고로 발생한 영업 중단 손실이 중요한 보장 영역이라고 했다. 천재용 에이온 차장(사이버 리더)은 “전세계적으로 사이버 공격이 많아지면서 사이버 보험을 찾는 기업도 점점 늘어나고 있다. 이에 맞춰서 상품도 더 다양화되고는 추세다. 일부 보험은 사고 확산을 막기 위한 시스템 중단 비용이나 복구에 필요한 추가 비용까지도 보장한다”고 설명했다.

김진국 대표는 사이버보험을 통한 전문가 연계의 중요성을 강조했다. 그는 “사고가 발생했을 때 침해사고 대응, 법률, 위기관리, 복구 전문가를 적절히 연계해 주는 게 사이버보험의 핵심이라고 생각한다”고 말했다. 그는 “나아가 국내에서도 사이버보험 가입을 의무화하고 기업의 사고 대응 책임을 강화하는 방향을 검토할 필요가 있다”고 덧붙였다.

특히 중소기업은 자체 보안 인력이나 침해사고 대응 조직을 갖추기 어렵다. 김 대표는 해외에서 중소기업이 사이버보험을 통해 민간 침해사고 대응 서비스를 이용하는 사례를 언급하며, “보험을 중심으로 민간 보안 생태계를 활성화해야 할 필요가 있다”고 강조했다. 정부가 침해사고 대응의 모든 영역을 직접 대응하기보다 기업이 자신의 위험에 책임을 지고, 민간 전문기업들이 사고 조사와 복구를 지원하는 생태계를 마련해야 한다는 것이다.

아울러 김 대표는 “이러한 협력 체계가 작동하려면 사고 이전의 준비가 중요하다. 사고가 발생한 뒤 전문가를 찾고 계약을 체결하면 대응이 늦어질 수 있다”며 “사고가 발생했을 때 그때부터 준비하면 이미 늦다. 경영진은 사고 발생 시 누가 대응을 지휘하고, 어떤 전문가에게 먼저 연락하며, 누가 최종 결정을 내릴지 사전에 체계를 정해놓아야 한다”고 덧붙였다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network