모든 기술에는 장점과 단점, 빛과 그림자가 공존합니다. 우리가 가장 사랑하는 IT 기술도 예외는 아닙니다. 기술이 발전할수록 사이버 범죄 역시 함께 증가하고 있으며, 안타깝게도 사이버 보안의 중요성이 커지면서 오히려 잘못된 통념들도 함께 퍼져나가고 있습니다. 이러한 오해들은 우리를 끊임없이 진화하는 악성 위협으로부터 완벽하게 보호받지 못하게 만드는 주요 원인입니다.
이 글에서는 많은 사람들이 잘못 알고 있는 사이버 보안 관련 10가지 오해를 하나씩 짚어보며, 보다 정확한 이해를 돕고자 합니다.
오해 1. 나는 충분히 조심하니까 피해를 입지 않는다
방문하는 모든 링크를 꼼꼼히 확인하기 때문에 나는 안전하다고 생각하신다면, 큰 착각입니다. 사실 여러분의 웹 브라우저 자체가 가장 큰 취약점입니다. 최근의 주요 사이버 공격 상당수가 바로 브라우저의 취약점을 노린 것입니다. 수상한 링크 한 번 클릭만으로 해커에게 시스템을 넘겨줄 수 있으며, 요즘은 정상적인 웹사이트를 방문했을 때도 감염될 위험이 존재합니다.
오해 2. 우리 회사는 작은 규모라서 표적이 되지 않는다
현실을 직시해야 할 때입니다. 사이버 공격자는 규모를 가리지 않습니다. 누구나 표적이 될 수 있으며, IT 보안에 각별한 주의가 필요합니다. 실제로 2016년 통계에 따르면 사이버 공격을 경험한 기업 중 31%가 중소기업이었습니다. '우리는 작으니까 괜찮다'는 생각은 가장 위험한 방심입니다.
오해 3. 최고의 백신 프로그램을 설치했으니 모든 것이 해결된다
백신 프로그램은 분명 유용한 예방 조치지만, 그것만으로 충분하다고 볼 수 없습니다. 대부분의 백신은 시그니처 기반으로 작동하기 때문에 이미 알려진 바이러스만 탐지할 수 있습니다. 그런데 새로운 스파이웨어, 랜섬웨어, 웜은 끊임없이 개발되고 있으며, 소프트웨어나 소셜 미디어 플랫폼이 위협 확산의 통로로 악용되기도 합니다. 실제로 해커들이 구글 독스(Google Docs)와 유명 동영상 변환 프로그램인 핸드브레이크(HandBrake)를 이용해 사용자 시스템에 멀웨어를 유포한 사례도 있었습니다. 결국 지속적인 경계와 관심이 최선의 방어책입니다.
오해 4. 사이버 위협은 과대평가된 것일 뿐, 심각한 문제가 아니다
사이버 위협을 가볍게 여기는 것은 가장 큰 실수입니다. 맥아피 랩스(McAfee Labs)의 위협 보고서에 따르면, 중간 규모 조직(직원 1,000~3,000명)은 하루 평균 11~20건, 규모가 큰 조직(직원 3,001~5,000명)은 하루 21~30건, 그리고 5,000명 이상의 대규모 조직은 하루 무려 31~50건의 보안 사고를 마주한다고 합니다. 이 통계는 어떤 조직도 사이버 공격으로부터 자유롭지 않다는 사실을 명확히 보여줍니다.
오해 5. 위협은 외부인에게서만 온다
외부 해커만이 적이라고 생각하기 쉽지만, 안타깝게도 회사 내부 인물 역시 위협이 될 수 있습니다. 실제 발생한 많은 보안 사고에서 고의적이거나 실수에 의한 내부자의 개입이 확인되었습니다. 따라서 내부자든 외부자든 항상 경계를 늦추지 않는 자세가 필요합니다.
오해 6. 강력한 비밀번호만 있으면 모든 문제가 해결된다
강력한 비밀번호 사용은 물론 좋은 습관이지만, 그것만으로는 부족합니다. 비밀번호는 신원을 보호하기 위한 종합적인 보안 조치의 일부여야 하며, 여기에 2단계 인증(two-factor authentication)을 더하면 훨씬 견고한 방어막을 만들 수 있습니다. 참고로 비밀번호 변경을 너무 자주 강요하면 직원들이 비밀번호를 잊어버리고 어딘가에 적어두는 경우가 늘어나는데, 이는 오히려 새로운 보안 위험을 초래할 수 있습니다.
오해 7. 사이버 보안은 IT 부서만의 일이다, 경영진이 나설 필요 없다
강력한 보안 네트워크를 구축하는 것은 IT 부서의 몫이 맞습니다. 하지만 문서화된 사이버 보안 계획과 같은 정책과 규정을 수립하고 전사적으로 통합된 보안 체계를 만드는 것은 경영진의 역할입니다. 또한 임직원이 최신 보안 위험에 대해 숙지하고 대비할 수 있도록 교육하는 것도 필수적이며, 경영진은 사이버 보안 프로그램을 명확하고 적극적으로 지원해야 합니다.
오해 8. 우리 시스템은 인터넷과 분리되어 있으니 위험이 없다
인터넷과 연결되어 있지 않다고 해서 안전하다고 단정할 수 없습니다. 해커들이 피해를 입힐 수 있는 경로는 다양합니다. 방화벽 내부에서 업무하는 사람들이 사용하는 노트북, USB 드라이브, 외장 하드 등의 기기를 통해 멀웨어나 기타 위협에 노출될 가능성은 언제나 존재합니다.
오해 9. 사이버 보안 전문가를 고용했으니 이제 안전하다
우수한 IT 전문가를 영입하는 것은 당연히 좋은 일입니다. 하지만 그것으로 끝이라고 생각하면 안 됩니다. 현재 책임감 있는 IT 보안 전문가는 전 세계적으로 심각하게 부족한 실정이며, 공석을 메울 다른 방법을 찾아야 합니다. 외부 채용에만 의존하기보다, 회사 내부의 잠재력 있는 인재를 꾸준히 교육하고 육성하여 미래의 보안 전문가로 키우는 전략도 효과적인 대안입니다.
오해 10. 사이버 보안 계획에 쓸 예산이 없다
많은 사람들이 가지고 있는 가장 큰 오해 중 하나는 '예산이 없으면 사이버 보안을 도입할 수 없다'는 것입니다. 하지만 사이버 보안은 비용 효율적으로 구축할 수 있습니다. 오히려 구축을 소홀히 하면 조직은 각종 보안 위험에 노출되고, 결국 돈으로 환산하기 어려운 더 큰 손실을 입게 됩니다.
결론: 조직을 지키는 핵심 원칙
조직을 보호하기 위한 핵심 원칙은 명확합니다. 보안 프로그램을 통해 위험을 예측하고 완화하며, 조직 전체의 리스크를 체계적으로 관리하는 것입니다. 모든 기업과 기관은 사이버 보안의 중요성을 깊이 인식하고 반드시 보안 프로그램을 도입해야 하며, 이를 뒷받침할 견고한 정책과 규정을 함께 마련해야 합니다.