한 해를 마무리하며 돌아보면, 정말 격동의 한 해였습니다. 대규모 데이터 유출, 치명적인 제로데이 취약점, 새로 발견된 랜섬웨어 변종까지, 한 달도 거르지 않고 어딘가에서 사이버 보안 사고가 터졌습니다. 사이버 보안은 이제 세계 뉴스에서 빠지지 않는 단골 주제가 되었습니다.
그렇다면 여러분은 얼마나 안전하다고 느끼시나요? 다양한 형태의 사이버 보안을 얼마나 신뢰하십니까? 전 세계적으로 사이버 보안에 대한 확신이 줄어들고 있다면, 그 신뢰는 어떻게 회복할 수 있을까요?
사이버 보안 확신도 조사 결과
Tenable Network Security가 발표한 두 번째 연례 국제 정보보안 전문가 설문조사가 완료되었습니다. 이 보고서는 7개 산업 분야의 보안 실무자 700명의 의견을 수집하여, 글로벌 사이버 보안에 대한 전반적인 확신도를 반영하는 글로벌 지수 점수를 기준으로 각국을 평가했습니다.
전체 평균 점수는 70%로, 지난해보다 6% 하락했습니다. 이에 따라 글로벌 확신도는 사이버 보안 성적표에서 'C-'를 받았습니다. 좋은 점수는 아니지만, 아직 최악은 아니라는 평가입니다.
끊임없이 진화하고 확장되는 위협 환경은 이러한 문제를 더욱 복잡하게 만듭니다. 2년 연속 보안 전문가들이 꼽은 최대 난제입니다. 기술적 복잡성이 높아질수록 공격자가 보안 공백을 악용할 기회도 늘어나며, 보안에 얼마를 투자했든 모든 조직이 침해와 유출에 노출될 수 있습니다.
보안 실무자들의 피드백과 보고서 전체는 결코 읽기 편한 내용이 아닙니다. 다가오는 한 해에 대한 확신을 심어주지 못하며, 사이버 보안이 심각한 위기에 처할 수 있음을 시사합니다.
국가별 불안감: 영국과 독일의 충격적 하락
영국의 경우, 사이버 보안 문제와 위협을 정확히 평가할 수 있는 능력에 대한 자신감이 73%에서 59%로 떨어졌습니다. 이는 조사에서 가장 큰 폭의 하락 중 하나입니다. 14%포인트 감소가 모든 것을 말해주지는 않지만, 영국 사이버 보안 기업들이 앞으로 마주할 어려움과 2016년 내내 이어진 위협의 고조를 잘 보여줍니다. 물론 영국만의 문제는 아닙니다.
독일은 '2017년 조사 대상 국가 및 산업 중 가장 극적인 단일 하락폭'을 기록했습니다. 독일의 위험 평가(Risk Assessment) 점수는 69%에서 44%로 추락했으며, 25점이라는 감소폭은 'F' 등급으로 이어졌습니다. 흥미롭게도 영국과 마찬가지로 전반적인 보안 확신도 자체는 상대적으로 높은 편으로, 오히려 5포인트 상승한 79%를 기록했습니다.
반면 인도는 2017년 사이버 보안 확신도 성적표에서 가장 높은 점수를 받으며 첫 선을 보였습니다. 인도의 보안 확신도(Security Assurance)는 보고서 전체에서 유일하게 'A' 등급을 받았고, 전체 점수 역시 2위인 미국보다 6포인트 앞섰습니다.
숫자 뒤에 숨은 의미
보고서가 제시하는 수치와 등급만으로 사이버 보안 확신도 전체를 판단하기는 어렵습니다. 글로벌 사이버 보안 성적표는 비즈니스 중심의 지표로, 보안 전문가들이 보안 효과성을 측정하고 보안 활동을 비즈니스 목표와 연계할 수 있는 능력에 대한 확신을 측정합니다.
기업의 두려움과 소비자의 두려움은 서로 다르지만, 본질적으로 연결되어 있습니다. 흥미로운 점은, 잇따른 국제 데이터 유출 및 해킹 사건이 미국 대중에게 본격적으로 무게감 있게 다가오기 시작했다는 사실입니다.
2015년 10월 ESET/NCSA 보안 설문조사에서 응답자의 49%가 가정용 네트워크와 인터넷 연결 기기에 대해 '강하고 확실한 신뢰'를 느낀다고 답했고, 추가로 30%가 '확신한다'고 답했습니다. 이는 직전 12개월 동안 미국 가구 5곳 중 1곳이 데이터 유출 통지를 받았다는 사실에도 불구한 결과입니다. 게다가 50% 이상은 통지를 두 번 이상 받았습니다.
1년 후에는 미국인의 45%가 전년보다 온라인 프라이버시를 더 걱정하는 것으로 나타났습니다. 그럼에도 75%는 자신이 개인 데이터를 충분히 보호하고 있다고 믿으면서도, 기본적인 보안 작업에서는 어려움을 겪었습니다.
확신의 하락은 충분히 이해할 수 있는 일입니다. IdentityForce는 올해 내내 주요 보안 침해 사건 목록을 업데이트해왔는데, 매달 중대 사건이 하나씩 있었습니다. 일부 사건은 솔직히 말해 어마어마한 규모였습니다. breachlevelindex 역시 월별 유출된 레코드 수를 기록하는데, 2016년의 기록은 보기에도 불편할 정도입니다.
프라이버시, 신뢰 하락의 핵심
프라이버시는 많은 인터넷 사용자가 가장 먼저 입에 담는 단어입니다. 소비자들은 각종 서비스 제공자가 수집하는 데이터의 양에 불만을 품고 있으며, 방문하는 웹사이트조차 항상 신뢰하지는 않습니다. 악성 광고(malvertising), 데이터 절도, 온라인 사기의 그림자는 소비자가 안타깝게도 익숙해져야 할 일상이 되었습니다.
주목할 점은 기업과 일반 사용자 모두 온라인 서비스의 복잡성을 문제 삼지만, 그 이유는 서로 다르다는 것입니다. TRUSTe/NCSA 설문조사에 따르면 응답자의 32%가 '온라인에서 개인 정보를 보호하는 것이 너무 복잡하다'고 생각했고, 38%는 '개인 정보 삭제 절차가 명확하면 신뢰가 높아질 것'이라고 답했습니다. 같은 조사에서 소비자들은 더 많은 통제권을 원하는 것으로 드러났습니다.
- 45%는 개인 정보에 접근할 수 있는 대상에 대한 통제권 강화를 원합니다.
- 42%는 정보가 어떻게 사용되는지에 대한 통제권을 원합니다.
- 41%는 수집되는 정보의 종류에 대한 통제권을 원합니다.
- 23%는 수집된 개인 정보를 삭제할 수 있는 권한만을 원합니다.
기업들의 피드백도 비슷합니다.
글로벌 확신도의 현저한 하락은 거의 매일 이어지는 데이터 유출 헤드라인으로 보안 전문가들의 사기가 저하되었음을 보여줍니다. 여기에 신기술과 증가하는 위협을 따라잡기 위한 고된 싸움에서 오는 피로감까지 더해졌습니다. 매년 수백억 달러를 보안 제품과 서비스에 지출함에도 불구하고, 전 세계 조직은 계속해서 데이터 유출의 피해를 입고 있습니다.
우리가 원하는 것은 안전함
확신이 줄어드는 근본 원인은 기술 과부하(technology overload)에 있습니다. 다시 말해 사람들이 기술 발전 속도를 따라갈 수 없다는 뜻입니다. 발전 속도가 늦춰질 리 없고, 충분한 교육을 제공하는 것 또한 쉽지 않습니다. 우려는 실재하며 계속 커지고 있습니다.
미국인들은 온라인 생활을 관리하는 데 큰 진전을 이루었지만, 새로운 연결 기기의 폭증으로 디지털 생활과 가정의 사이버 보안을 유지한다는 의미 자체가 변했습니다.
가정 사용자가 늘어나는 기기 수에 고군분투하듯, 기업들도 클라우드 SaaS(Software as a Service), IaaS(Infrastructure as a Service), 컨테이너 플랫폼, DevOps 환경 같은 신기술에 대한 정확하고 일관된 위험 평가에 어려움을 겪습니다. 기업이 서비스를 제대로 평가하고 보호하지 못하면, 결국 소비자가 피해를 입게 됩니다.
글로벌 사이버 보안 확신도가 하락했는가? 분명히 그렇다.
그것이 위기 수준인가? 교육만이 그 답을 줄 수 있다.
여러분의 사이버 보안 역량은 충분한가요? 2017년 가장 큰 사이버 보안 우려 사항은 무엇인가요? 프라이버시와 보안을 위한 노력이 충분하다고 생각하시나요? 아래에 의견을 남겨주세요!