보안책임자가 짠돌이 CEO를 설득하는 방법

기업을 노린 해킹 사건이 발생했다고 가정해 보자.

해당 기업 최고경영자(CEO)는 전체 기업 평판에 미칠 영향이나 비즈니스에 얼마나 타격을 입힐지 최우선 고려하게 될 것이다.

이와 달리 직접 해킹 관련 이슈를 다루는 보안 담당 팀에서는 공격자들이 어떤 경로로 들어와 어떤 데이터를 가져갔는지, 공격수법은 뭔지, 필요한 보안조치를 어떤 식으로 취해야할지 등을 고민한다.

급박하게 돌아가는 상황 속에서 CEO와 보안팀이 공동으로 해결해야할 최우선 과제는 기업 비즈니스에 미칠 수 있는 피해를 최소한으로 줄여야한다는 점에는 이견이 없을 것이다.

문제는 이들이 같은 해킹 사건을 서로 다른 언어로 이해해서 커뮤니케이션하는 경우가 종종 발생한다는 사실이다.

CEO가 경영 리스크 관점에서 해킹을 바라본다면 보안팀은 공격을 분석해 기술적, 관리적 보안대응책을 마련하기 위해 동분서주하기 때문이다.

델 EMC RSA 사업본부는 이런 격차(gap of grief)'를 줄이기 위한 방안으로 '비즈니스 중심 보안(Business-Driven Security)'을 내세웠다.

이 기업은 해킹사건에 대응할 수 있는 핵심 요소로 ▲신속한 대응 및 탐지 ▲사용자 접근 권한 통제 ▲비즈니스 리스크 관리를 꼽았다. 이들을 조합해 보안 이슈를 보다 면밀히 분석하고, 그 결과를 비즈니스 리스크 관점에서 해석해 적절한 대응방안을 찾을 수 있도록 지원한다는 생각이다.

시장조사업체 가트너에 따르면 2015년 기준 전 세계 기업들의 사이버 보안 지출 규모는 750억달러에 달한다.

이 같은 지출에도 불구하고 여전히 2천건의 데이터 보안 침해 사고가 발생한다. 7억건의 개인정보가 도난당하며 사고 당 평균 금전 손실액은 350만 달러다. 더구나 자사가 해킹됐다는 사실을 파악하는 경우는 평균 30% 미만이다.

지디넷코리아가 오는 9월12일 개최하는 '4차 산업혁명 시대의 핵심 키워드, 인텔리전스 보안'을 주제로 한 제5회 시큐리티 넥스트 컨퍼런스에서는 기업들이 보안 관련 지출을 늘리는데도 불구하고 이 같은 격차로 인해 추가적인 피해가 발생하는 이유와 이를 극복하기 위한 방안이 소개된다.

■ 보안 지출 늘리는 데 왜 피해는 끊이지 않을까

이날 델 EMC RSA 사업본부에서 한국/일본 RSA 비즈니스를 총괄하는 키시마 나오야가 기조 연설자로 나선다.

그는 비즈니스 중심 보안 전략을 수립하고, 구현하도록 지원하기 위한 방안으로 사이버 보안 솔루션을 활용해 지능형 공격을 효과적으로 탐지/대응하고, 사용자 계정 접근 권한을 관리하며, 보안팀과 비즈니스 운영팀 및 CEO를 포함한 기업 비즈니스 리더들이 완벽하게 파트너가 될 수 있는 방안을 다룰 예정이다.

이와 함께 컨퍼런스에서는 과학기술정보통신부 허성욱 과장이 새 정부의 보안산업 발전 전략에 대해 소개한다. HPE 유화현 상무는 기조발제를 통해 '비즈니스 연속성 지원을 위한 디지털 자산 보호 솔루션 전략'을 다룬다.

안랩EP사업기획실 이상국 실장은 '가시성, 고도화된 위협 대응의 시작과 끝'을 주제로 발표한다.

보안업계 베테랑인 롯데카드 최동근 최고보안책임자(CISO)는 기업 내에서 어떤 인물을 CISO로 앉혀 기업 내 보안을 책임지게할지에 대해 조언한다.

이날 오후에는 각각 콘텐트(트랙I), 플랫폼(트랙II)을 주제로 컨퍼런스가 진행된다. 이 자리에서는 머신러닝을 활용한 보안 위협 대응, 디지털포렌식, 빅데이터 기반 클라우드 보안, 워너크라이 랜섬웨어에 대한 대비책, 최근 국내외 사이버 위협 대응방안 등 다양한 주제 발표가 이어진다.