높아진 기업의 보안 사고 우려…가장 큰 취약점은 '사람'

[IT동아 권택경 기자] 글로벌 기업의 정보보호최고책임자(CISO)들이 최근 코로나19 대유행 초기만큼 높은 보안 위협을 느끼고 있는 것으로 조사됐다. 진화하는 공격 수법, 경기 침체로 인한 보안 예산 긴축, 퇴사자들에 의한 정보 유출 등이 주요 요인으로 꼽힌다.

글로벌 보안 기업 프루프포인트는 18일 서울 강남구 삼성동 위워크에서 기자간담회를 열고 ‘CISO의 목소리 보고서(Voice of the CISO report)’를 발표했다. 프루프포인트는 지난 2000년 설립된 미국 실리콘밸리 기반 보안 기업으로, 미국 경영 전문지 포춘이 선정한 1000대 기업 중 50% 이상을 고객사로 두고 있다. 국내에는 지난해 지사를 세우고 진출을 본격화했다.

이날 프루프포인트가 발표한 보고서는 16개 국가의 다양한 기업 CISO 1600명을 설문조사한 결과를 담은 연례 보고서다. 특히 올해 보고서에는 처음으로 한국 시장에 대한 조사 결과도 담겼다.

보고서에 따르면 CISO들 중 68%는 향후 12개월 내 중대한 사이버 공격을 당할 위험이 있다고 생각하는 것으로 나타났다. 이는 48%였던 지난해보다 대폭 상승한 수치로, 코로나19 유행이 한창이던 2021년(64%)보다 높아졌다.

프루프포인트 이베트 레진스 아시아지역 담당 CISO는 “하이브리드 근무가 어느 정도 자리 잡고 노하우가 쌓이면서 CISO들이 한때 안도감을 느꼈지만, 최근에는 진화하는 보안 위협 환경에 비해 인력이 부족하고 예산도 감축하고 있기 때문에 다시 긴장을 느끼고 있다”고 설명했다. 실제 CISO의 58%가 최근 경제 상황으로 인해 사이버 보안 예산이 삭감되는 등 부정적 영향을 받았다고 답하기도 했다.

CISO들이 가장 걱정하는 보안 위협 유형으로는 이메일 사기와 내부자 위협이 꼽혔다. 클라우드 계정 침해와 디도스(DDoS) 공격 등은 그 뒤를 이었다. 국내 CISO들은 이메일 사기와 함께 랜섬웨어 공격을 가장 우려하는 것으로 나타났다.

프루프포인트 측은 대부분의 사이버 공격이 네트워크 취약점보다는 이메일 사칭처럼 사람의 취약점, 즉 인적 오류를 노리는 방식으로 이뤄진다고 지적했다. 프루프포인트 코리아 이석호 대표는 “대부분의 사이버 공격은 인프라보다 사람을 공격하기 때문에 기술적인 부분은 오히려 이차적 보호사항이 되어야 한다. 보안 프로그램이 성공하려면 사람 중심적이어야 한다. 그래야 보안 리스크를 최소화할 수 있다”고 덧붙였다.

퇴사자나 이직자에 의한 정보 유출도 심각한 문제로 꼽혔다. 보고서는 CISO의 63%가 지난 1년 동안 민감한 데이터 유출 문제를 처리한 경험이 있으며, 82%는 퇴사 직원들이 데이터 유출 사고와 무관하지 않다고 답했다. 코로나19 시기 나타난 대규모 퇴사 현상인 이른바 대퇴사와 경기 침체 우려로 인한 정리해고 사태 등이 영향을 미친 것으로 분석됐다.

레진스 CISO는 “근로계약서에 데이터에 대한 기업 소유권을 명시하고 있음에도 퇴사하며 데이터를 가져가는 일이 많이 발생하고 있다”면서 “데이터를 갖고 경쟁사로 이직하는 경우도 많기 때문에 매우 큰 문제다. 데이터 보호 솔루션이 필요한 이유”라고 말했다.

실제로 지난 2021년 미국 제약회사 화이자의 직원이 경쟁사 이직을 준비하는 과정에서 내부 신약 데이터를 빼돌리다 프루프포인트의 ‘내부자 위협 관리(ITM)’ 솔루션에 감지되면서 덜미가 잡히기도 했다.

국내 CISO 중 인력 위험을 주요 위협 요인으로 인식하는 비중은 34%로, 글로벌 평균인 60%보다 낮았다. 다만 이석호 대표는 “퇴사자들에 의해 내부 지적 재산권이나 특허가 유출되는 사례가 국내에도 많이 발생한다”면서 “회사에서 생산하는 데이터를 자신의 것이라고 인식하는 경향이 한국에도 나타난다”고 말했다.

프루프포인트 라이언 칼렘버 사이버 보안 전략 담당 부사장은 “내부자들이 민감 데이터 유출 주범이 되는 사례가 증가하고 있는 상황에서 인력과 데이터를 보호하는 CISO 역할은 매우 어려운 과업”이라면서 “각 CISO는 조직 내 사이버 보안 회복력 관련 우선순위에 올바르게 집중하고 있는지 확인해야 한다”고 조언했다.

글 / IT동아 권택경 (tk@itdonga.com)