해커원

“작년에 보안에 이렇게 많이 투자했는데 우리가 얻은 게 뭡니까? 숫자로 보여줄 수 있나요?” 한 기업의 최고경영자(CEO)가 최고정보보호책임자(CISO)에게 이런 질문을 던졌다고 가정해보자. 이 질문에 CISO가 선뜻 답하기란 쉽지 않을 것이다. 기업의 보안 조직은 취약점 조치율이나 사고 발생 건수, 탐지·대응 시간 등 여러 지표로 보안 수준과 활동 성과를 측정한다. 하지만 이런 지표만으로 보안 투자로 기업이 입을 수 있었던 손실을 얼마나 줄였는지 금액으로 보여주기는 어렵다. 이때 ‘얼마를 벌었느냐’가 아니라 ‘얼마의 예상 손실을 줄였느냐’를 따져보는 개념이 ‘완화 효과(Return on Mitigation·RoM)’다.