포티넷 "사이버 탄력성이 곧 비즈니스 연속성"

“사이버 보안 솔루션은 최대한 해커를 고통스럽게 만들어야 한다. 사람, 프로세스, 기술 등의 취약성을 파고드는 해커에게 스스로 노출돼 방어할 수 있을 정도가 되는 것이다. 이렇게 되면 회사는 사이버 탄력적인 회사로 자리매김할 수 있으며, 곧 비즈니스도 안정성을 얻게 된다.”

앨빈 로드리게스 포티넷 아태지역 최고보안전략가(부사장)은 최근 기자와 만나 이같이 말했다.

그는 “오늘날 최고경영자는 비즈니스를 통해 수익을 거두기 위해 연속성 혹은 탄력성을 유지해야 하는 중대 과제를 안고 있다”며 “비즈니스 탄력적인 회사, 곧 사이버보안을 잘하는 회사가 되려면, ‘준비-탐지 및 예방-복구-학습’ 4단계에 걸친 구축과정을 필요로 한다”고 설명했다.

그는 ▲기업 네트워크 가시성 확보 ▲트래픽 출처 감독 ▲정기적인 감사와 실사 ▲현업과 IT팀 간의 핫라인 구축 ▲직원 대상 교육 ▲경영진과 이사회의 사이버위협 심각성 인지 빠른 대응체계 마련 ▲사고 보고와 해결책 도출 위한 프로세스 등을 사이버 탄력성의 조건으로 삼았다. 그러면서 이같은 조건을 모두 충족하고 있는 회사는 없다고 밝혔다.

준비 단계는 직면할 수 있는 모든 사이버 위협 시나리오에 미리 대비하는 것이다. 그러나 반드시 모든 것에 준비할 필요는 없다.

그는 “기업은 다양한 가치를 고객에게 제공하기 위해 백엔드에 많은 자산을 갖고 있다”며 “모든 백엔드 자산이 중요하지만, 비즈니스 핵심가치와 목표에 관련되는 중요도에 따라 자산에 우선순위를 매겨야 한다”고 설명했다. 이어 “공격 가능성과 비즈니스에 미치는 영향 등을 기준으로 자산에 우선순위를 살펴보면, 보안 예산을 어디에 집중적으로 투자할 지 명확해진다”고 말했다.

그는 “비즈니스에 미칠 수많은 사이버 리스크가 있지만, 모든 리스크가 모든 회사에 닥치는 게 아니다”라며 “특정회사의 특정 조직에 위협되는 특정된 리스크가 있어서 회사 특성 상 취약할 수 있는 리스크를 잘 판단하면 어떤 솔루션을 도입할 지 그림을 그릴 수 있게 된다”고 강조했다.

그는 직원의 입장이나 최고임원진의 입장에서 어떤 위협이 존재하는지 충분히 이해해야 한다고 지적했다. 회사 전반의 네트워크를 모니터링하고, 트래픽의 출처를 파악해 적절한 대비책을 마련할 수 있는 프로세스, 즉 위기관리 시스템을 구축하라고 조언했다.

2단계인 사이버 위협 탐지 및 대응의 관건은 신속성이다. 공격을 중단시키고, 차단하며, 혹 조직 내로 침투한 공격을 봉쇄하는 등의 작업을 신속하게 진행할 수 있어야 한다. 만약 현 시스템으로 충분한 보안을 하지 못한다면, 즉각 현황에 대한 신속한 평가를 내릴 수 있어야 한다.

이를 위해서 필요한 게 위기관리 시스템이다. 그는 “보안 시스템 내에 관련된 모든 벤더와 기술을 총 취합해야 한다”며 “이들 모두를 조율해서 현재 임박한 공격에 적절한 방어책을 수립하고, 규제당국이나 소비자, 언론 등 이해당사자에게 공격과 통제, 마무리 등의 노력을 제대로 알려야 한다”고 설명했다.

그는 “다음으로 해당 공격에 대해 사건 보고서 형태로 모든 내용을 기록하고, 소비자에게 회사의 핵심 자산을 잘 보호하기 위해 적절한 조치와 통제를 했으며, 적절한 지침과 규제를 준수했다는 사실을 알려야 한다”며 “트래킹과 모니터링을 진행해 네트워크 내 트래픽 행동을 파악하고, 제대로 분석해 다음 공격 지점일 수 있는 빈틈을 파악해 선제적 조치를 해야 한다”고 강조했다.

3단계는 사이버 공격으로 입은 피해를 제대로 복구하는 것이다. 이 단계의 경우 여러 위협에 대한 평가를 알아보고, 현재 멀웨어가 남아 있지 않다는 것을 확인하게 된다. 이 단계서도 2단계와 마찬가지로 업데이트와 복구 사실을 이해당사자에게 알리고, 모니터와 트래킹을 통해 다음 공격에 대비할 수 있어야 한다.

4단계는 각 단계에서 사건사고에 대한 모니터와 트래킹을 총망라하는 보고서를 분석하는 단계다. 6하원칙에 따라 공격을 파악해 시스템을 보완하는 것이다. 이 과정에서도 이해당사자에게 업데이트를 제공해야 하고. 내부의 사람, 프로세스, 기술 개선 등을 함께 이뤄가야 한다.