보안

사이버 범죄와의 전쟁, 왜 기업들은 승리하지 못하는가?

Taylor Armerding | CSO 2013.06.28


산업별 보안 정보 교류 필요
이 보고서를 통해 미국 국토안보부(Department of Homeland Security)가 주관하는 정보 공유 및 분석 센터(Information Sharing and Analysis Centers, ISACs)와 미국의 주요 산업 부문들 사이의 상호교류 역시 미흡한 수준에 머무르고 있으며 더욱이 보안 인식 및 활용 수준은 지난 3년 간 별다른 발전을 보여주지 못했다는 사실 또한 확인됐다.

이 보고서는 그나마 은행과 금융 산업만이 ISAC를 제대로 인식하고 활용하고 있었다고 밝혔다. 또한 보고서는 이와 같은 상황의 원인으로 공공 부문이 제공하는 정보를 '질과 정확성, 시의성 모두 제각각인' 것으로 바라보는 보안 및 비즈니스 전문가들의 인식을 지적했다.

인식적 문제와 더불어 사이버 보안 계획 테스트에 미흡한 기업들의 경우에는 사이버 범죄 의심 사례가 발생하더라도 그 문제를 어떤 정부 기관에 보고해야 할 지를 이해하지 못하게 되는 상황 역시 ISAC가 제 기능을 못하는 하나의 원인일 것이다.

미 FBI조차 "민간 부문과 정보 상호 교류할 것"
FBI는 보고서에 대한 별다른 언급을 피했지만, 기관의 범죄, 사이버, 대응, 및 서비스 분과(Services Branch) 행정보좌관 리처드 A. 맥필리(Richard A. McFeely)가 국회 증언을 통해 민간 부문과의 보다 긴밀한 협력을 약속하는 모습을 보여줬다.

맥필리는 국회 증언에서 "과거 사이버 범죄에 대한 FBI의 대응은 민간 부문이 범죄 피해를 보고하면 조사를 진행하는 방식으로 이뤄졌다. 하지만 우리가 모든 정보를 되찾아 줄 수 있었던 것은 아니다. FBI 전략에는 결점이 있었다"고 말했다.

또한 맥필리는 "정보는 일방적으로 흐를 수 없다. 민간 부문이 우리에게 정보를 제공했듯 우리 역시 민간 부문에게 정보를 전해줘야 하는 것이었다. 이제 FBI는 기업들에게 위협의 유형이나 공격자들이 이용하는 도구 등에 관한 정보를 제공하고 있다"고 설명했다.

이런 FBI의 노력이 성공을 거두기 위해서는 민간 부문의 신속한 대응 역시 중요한 역할을 할 것이다. 이 보고서는 한 전직 FBI 요원의 말을 인용하며 이들 기관은 신속한 정보 공유 체계를 갖추고 있지만, 이것을 제대로 이용하는데 필요한 대응 체계를 갖춘 기업은 얼마 되지 않는다고 지적했다.

테크놀로지 빚, 하루빨리 청산해야 한다
마지막으로, 기업에서는 "테크놀로지 빚(technology debt)" 문제를 해결해야 한다. 조사 결과에 따르면 테크놀로지 빚은 조만간 1조 달러에 육박할 것이라 추정된다.

조사 결과는 "기업들은 새롭게 떠오르는 비즈니스 테크놀로지에만 IT 예산을 사용할 뿐 정작 IT 인프라스트럭처는 시스템에 기본적인 데이터 보안 기능조차 지원하지 못할 정도로 낡아가도록 놔두고 있다"며 이를 미국 내 교통 인프라스트럭처를 등한시 한 것에 비유했다.

이와 더불어 방화벽, ID 관리 시스템, 운영체제, 하드웨어, 기업 애플리케이션, 라우터 및 스위치 등을 점검하고 낡은 것이 없는지 확인하라고 조언했다.

시설 유지를 게을리하는 것은 흔히 있는 일이지만, "이제는 해커들의 공격에 기업들이 감당해야 할 리스크가 커졌다"는 것이 조사의 결론이었다.

버그는 사이버 공격을 분석함으로써 공격자들이 어떤 경로를 통해 기업의 인프라스트럭처에 침입했는 지를 확인할 수 있다고 강조한다. 도한 "단기적 예산 문제로 유지, 보수, 폐기가 미뤄지고 있는 구형 운영체제, 하드웨어, 소프트웨어 등의 취약성은 모두 공격자들의 좋은 표적이 된다"고 지적했다. editor@itworld.co.kr
 

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.