사이버 보안 위험, 어떻게 측정할 수 있을까?
『How to Measure Anything in Cybersecurity Risk』는 응용 정보 경제학(Applied Information Economics)의 창시자인 도글러스 허버드(Douglas Hubbard)가 다양한 산업 분야에 자신의 측정 방법론을 적용한 사례를 담은 저서입니다. 이 책의 핵심 메시지는 명확합니다. 아무리 복잡하고 불확실하며 정의하기 어려운 문제라도 검증된 방법을 통해 측정할 수 있다는 것입니다.
무엇이든 측정할 수 있다는 원칙
허버드에 따르면, 어떤 것이든 측정이 가능합니다. 관찰할 수 있는 방법이 존재한다면, 그 관찰 자체가 일종의 측정 방법을 제공하기 때문입니다. 측정 결과가 아무리 '모호(fuzzy)'하더라도 새로운 정보를 알려준다면 그것은 충분히 측정으로 인정받을 수 있습니다.
사이버 보안 조치란 무엇인가?
온라인 환경에서 데이터를 보호하기 위해 사용되는 방법을 통칭하여 사이버 보안 조치라고 합니다. 대표적인 보안 조치는 다음과 같습니다.
- 강력한 비밀번호 사용: 추측하기 어려운 복잡한 비밀번호로 계정을 보호합니다.
- 접근 권한 통제: 승인된 사용자만 중요 데이터에 접근할 수 있도록 관리합니다.
- 방화벽 설정: 외부의 불법적인 접근을 차단합니다.
- 보안 소프트웨어 활용: 백신 프로그램 등으로 악성 코드를 방어합니다.
- 정기적인 업데이트: 시스템과 프로그램을 최신 상태로 유지합니다.
- 침입 모니터링: 비정상적인 접근 시도를 지속적으로 감시합니다.
- 보안 인식 교육: 구성원 전체의 보안 의식을 높입니다.
대표적인 사이버 공격 유형으로는 피싱(phishing), 도청 공격(eavesdropping), 멀웨어(malware), 서비스 거부 공격(DoS) 등이 있습니다.
사이버 위험(Cyber Risk)의 정의
사이버 위험이란 정보 기술 시스템에 대한 무단·고의적 접근으로 인해 재정 손실, 비즈니스 중단, 기업 평판 훼손이 발생할 수 있는 모든 위험을 의미합니다. 즉, IT 시스템의 실패가 비즈니스 전반에 미치는 잠재적 손실을 포괄하는 개념입니다.
위험 계산 공식
위험을 정량화하는 가장 기본적인 공식은 다음과 같습니다.
위험(Risk) = 발생 확률(Probability) × 손실(Loss)
또는 다음과 같이 표현하기도 합니다.
위험 = 발생 가능성(Likelihood) × 영향(Impact)
위험은 크게 위협(Threat), 취약점(Vulnerability), 결과(Consequence)라는 세 가지 구성 요소로 설명할 수 있습니다. 좀 더 정교한 계산식으로는 사건의 위험(또는 잔여 위험)을 다음과 같이 나타낼 수 있습니다.
(위협 ÷ 취약점) × 발생 가능성 × 영향 × 통제 효과
IT 위험은 IT의 사용, 소유, 운영, 채택 과정에서 발생하는 비즈니스 위험의 한 형태로 분류됩니다.
사이버 위험 스코어링(Cyber Risk Scoring)
사이버 위험 점수를 활용하면 조직의 보안 태세(security posture)를 객관적으로 평가할 수 있습니다. 정성적인 평가 결과를 이해하기 쉬운 위험 점수로 변환하면, 조직은 자산의 안전 수준과 개선이 필요한 영역을 한눈에 파악할 수 있습니다.
사이버 보안 KPI와 핵심 측정 지표
KPI(핵심 성과 지표), KRI(핵심 위험 지표), 보안 태세를 함께 분석하면 보안 팀의 운영 효율성과 사이버 보안 노력의 효과가 개선되고 있는지, 아니면 악화되고 있는지 판단할 수 있습니다. 이는 비즈니스 이해관계자와의 커뮤니케이션에도 큰 도움이 됩니다.
사이버 보안의 대표적인 측정 지표는 다음과 같습니다.
- 시스템 침입 시도 횟수
- 사고 발생률, 심각도 수준, 대응 시간, 사고 해결 소요 시간
- 취약점 패치 적용 소요 시간
- 데이터 및 애플리케이션 접근 수준별 사용자 수
- 기업이 하루에 생성하는 데이터의 양
사이버 보안 위험 평가 단계별 가이드
체계적인 위험 평가는 다음 순서로 진행하는 것이 좋습니다.
1단계: 평가 범위(Scope)를 정의합니다.
2단계: 보호 대상 자산을 식별하고 목록화합니다.
3단계: 잠재적인 사이버 보안 위협을 파악합니다.
4단계: 취약점을 진단하고 내부 통제 체계를 분석합니다.
5단계: 위협 발생 가능성과 잠재적 영향을 분석합니다.
6단계: 위험 수준을 결정하고 우선순위를 지정합니다.
7단계: 모든 위험을 문서화하고, 예방 비용 대비 자산 가치를 비교 평가합니다.
보안 통제 모니터링은 일회성 작업이 아니라 지속적으로 수행해야 하는 프로세스라는 점을 기억해야 합니다.
무형 자산은 어떻게 측정할까?
브랜드 가치나 보안 수준 같은 무형 자산은 주로 태도와 인식을 통해 측정합니다. 실무에서 많이 쓰이는 방법은 응답자에게 5점 척도(매우 동의 ~ 매우 비동의)로 평가를 요청하는 것입니다. 척도의 중간 지점은 중립점 역할을 하며, 이렇게 수집한 데이터를 다양한 수준으로 분류해 분석할 수 있습니다.
『How to Measure Anything in Cybersecurity Risk』 오디오북
이 책은 Audible에서 무삭제(unabridged) 오디오북으로도 만나볼 수 있습니다. 이 책은 현재 업계에서 널리 사용되는 사이버 위험 관리 방식이 왜 실패했는지 날카롭게 지적하고, 보안을 개선하고 취약점을 메우기 위한 일련의 실질적인 기법을 제시합니다. 더 나은 측정을 갈망하는 현대 비즈니스 환경에서 허버드는 경영자들의 눈을 열어준 저자로 평가받고 있습니다.