“여전히 자원 부족하지만…보안 문화는 성숙 중” 텔스트라 퍼플 보고서

IT 서비스 업체 텔스트라 퍼플(Telstra Purple)의 제10회 연례 정보 보안 성숙도(Information Security Maturity) 조사에 따르면, 대다수 CISO는 지난 1년간 조직의 전반적인 보안 태세의 품질이 하락했음에도 불구하고 내부 보안 문화가 긍정적으로 개선됐다고 답했다.
 

이번 조사는 텔스트라 퍼플 산하의 글로벌 민간 회원 포럼 클럽CISO(ClubCISO) 회원 182명을 대상으로 실시됐다. 보고서 집필팀은 CISO가 보고받은 중요 침해 사고가 2022년보다 감소했으며, 60%는 경영진의 지지로 인해 조직 보안 문화가 크게 개선됐다고 답했다며, 올해 보안 전망을 낙관했다.

다만 긍정적인 결과에도 불구하고 자원 부족, 보안 예산 감소, 우선순위 경쟁, 인력 부족과 같은 여러 요인이 여전히 CISO와 보안팀의 발목을 잡고 있는 것으로 나타났다. 

조직의 보안 문화에 영향을 미치는 요인

응답자의 80%는 조직 내 보안 문화가 어느 정도 올바른 방향으로 나아가고 있다고 답했다. 보안 문화가 ‘잘 발전하고 있다’고 느낀 응답자는 62%로, 전년보다 소폭 늘었다. 응답자들은 경영진의 지지와 함께 신고 시 책임을 묻지 않는 사전 예방적인 정책(41%), 모의 피싱 훈련(38%), 맞춤형 교육(37%)을 보안 문화를 개선하는 주된 요소로 꼽았다.

그러나 점점 늘어나는 우선순위 목록과 제한적인 자원으로 인해 보안 문화는 저해되고 있는 것으로 나타났다. 지난 12개월 동안 보안 문화에 부정적인 영향을 미친 상위 3가지 요인은 ‘너무 많은 경쟁 우선순위(61%)’, ‘보안팀 업무 과중(44%)’, 보안 인식/행동/문화 장려를 위한 자원 부족(26%)’이었다. 또한 작년보다는 감소했지만 여전히 부족한 인력으로 인해 목표 달성에 영향을 받는다고 생각하는 CISO가 많았다(2023년 50%, 2022년 57%). 

흥미로운 점은 현재의 보안 문화가 베스트 프랙티스라고 생각하는 응답자는 2022년보다 감소했다는 것이다. 보안 업체 사이젠타(Cygenta) CEO이자 보고서 기고가인 제시카 바커는 “보안 문화의 우수성이 감소했다는 의미일까? 그보다는 베스트 프랙티스 사례가 된다는 것이 무엇을 의미하는지, 문화를 개선하는 데 얼마나 많은 시간이 걸리는지에 대한 이해가 깊어졌기 때문일 가능성이 훨씬 커 보인다”라고 말했다. 

보안 태세 품질 하락에도 불구하고 침해율 감소 

많은 CISO가 조직의 전반적인 보안 태세 수준을 작년보다 낮게 평가했다. 2022년에는 응답자 46%가 보안 태세가 평균 이상이라고 평가한 반면, 올해는 38%로 줄었다. 주요 보안 목표를 달성할 수 있을지 확신하지 못한 CISO도 13%가량이었다. 하지만 위협에 대한 회복탄력성은 개선된 것으로 보인다. 대부분 응답자는 지난 12개월 동안 중대한 침해(76%)와 사이버보안 사고(60%)가 발생하지 않았다고 답했는데, 이는 2022년의 68%와 54%에서 크게 증가했다.

보안 자원 부족의 일반화

보안팀 자원 부족은 올해에도 많은 CISO가 공통으로 지적한 문제다. 보고서에 따르면, 보안 예산이 증가하더라도 그 속도가 느려지는 것으로 보인다. 응답자 절반 이상은 보안 예산이 작년보다 증가했다고 답했지만, 2022년 조사 결과와 비교했을 때 증액 비율이 대체로 낮았다. 지출 증가의 주요 요인은 사이버 위협 환경의 진화(39%), 경쟁사 따라잡기(21%), 채용 및 교육에 대한 투자(18%)였다. 한편 예산이 제한된 대표적인 요인은 경기 침체(34%), 손익 압박(30%), 지정학적 불안(17%)이 대표적이었다.

보안 컨설팅 기업 사이버해시UK(Cyberhash UK)의 사이버보안 팀 책임인 마노즈 바트는 “보안 자격증명에 대한 이해가 높아지고 기준이 까다로워지면서 이제는 사이버보안이 수익 창출원으로 인식되고 있으며, 기업에 경쟁 우위를 제공할 수 있다”라고 말했다. 

피할 수 없는 사이버 보험

올해 보고서에서는 더욱 복잡하고 비싸며 다양해지는 등 사이버 보험 환경이 변하고 있음을 알 수 있었다. 대부분 응답자(72%)가 사이버 보험에 가입했지만, 가입하지 않거나 사이버 보험의 혜택을 믿지 않는다는 사람도 일부(15%) 있었다. 사이버 보험에 가입한 사람 중 18%는 보험금 청구를 시도한 경험이 있었다. 이중 29%는 보험금 청구 결과와 갱진 가격에 만족, 38%는 보험금 청구 결과에는 만족하지만 갱진 가격에는 불만족, 33%는 보험금 청구 결과에 전혀 만족하지 않는 등 보험금 청구에 대한 인식은 뚜렷하게 나뉘었다. 특히 보험금 청구 결과에 만족하지 않는다고 답한 응답자는 0%였던 작년보다 크게 늘었다. 또한 응답자의 절반(54%)은 사이버 보험이 랜섬웨어 문제를 어느 정도 악화시키는 데 동의했다. 

대부분 응답자는 사이버 보험이 조직을 보호하는 데 중요한 역할을 한다고 생각하지만, 보고서 기고자인 클럽CISO 회장 스티븐 칸은 정책의 결과에 대한 명확성은 개선될 필요가 있다며, “회원들은 사이버 보험이 전문가의 조언과 신뢰할 수 있는 공급업체의 지원을 통해 사내 역량을 보완해야 한다고 생각한다”라고 지적했다.
editor@itworld.co.kr