"25년까지 전 세계 조직 45%가 공급망 공격 경험"

2025년까지 전 세계 조직 중 거의 절반은 소프트웨어(SW) 공급망 공격을 경험할 것이라는 전망이 나왔다.

글로벌 시장조사 업체 가트너는 이 같은 내용이 포함된 2022년 주요 보안 및 리스크 관리 트렌드를 8일 발표했다.

가트너는 사이버보안 분야의 지배적 트렌드로 ▲정교한 위협에 대한 새로운 대응 ▲보안 관행의 진화와 재구성 ▲기술에 대한 재고를 꼽고, 이에 따라 보안 관리 리더들이 계속해서 등장할 새로운 위협들로부터 조직을 보호하기 위해 파악해야 할 7가지 주요 트렌드를 제시했다.

가트너는 먼저 디지털 공급망 리스크가 더 커질 것으로 내다봤다. "사이버 범죄자들은 디지털 공급망에 대한 공격이 높은 투자 수익율을 제공할 수 있다는 것을 발견했다"며 "공급망을 통해 Log4j와 같은 취약점이 확산되면서 더 많은 위협이 등장할 것으로 예상된다"고 전망했다.

가트너는 2025년까지 전 세계 조직의 45%가 SW 공급망 공격을 경험하게 될 것으로 예측했다. 이는 2021년보다 3배 증가한 수치다.

대응 방안으로는 "공급업체 또는 파트너를 리스크에 기반해 세분화·점수화하고, 탄력성에 기반한 사고로 전환하는 등 새로운 완화 접근 방식이 필요하다"고 제언했다.

또, 다른 트렌드로 공격 영역의 확장을 들었다. 사이버 물리 시스템과 IoT, 오픈소스 코드, 클라우드 애플리케이션, 복합 디지털 공급망, 소셜 미디어 등이 모두 공격 영역이 될 수 있어졌다는 설명이다.

가트너는 "조직은 보안 모니터링, 탐지 및 대응에 대한 기존의 접근 방식을 뛰어넘어 더 광범위한 보안 노출을 관리할 필요가 있어졌다"며 "디지털 리스크 보호 서비스(DRPS), 외부 공격에 대한 표면 관리(EASM) 기술 및 사이버 자산에 대한 공격 표면 관리(CAASM)를 활용해 보안 커버리지 격차발견을 자동화해야 한다"고 했다.

또 의사결정 분산도 주목할 트렌드로 꼽았다. 디지털 비즈니스의 범위, 규모 및 복잡성으로 인해 중앙집중식 기능에서 벗어나 조직 구성 단위 전체에 걸쳐 사이버 보안 의사결정, 책임 및 의무를 분산시킬 필요가 있다는 설명이다. "CISO는 이사회, CEO및 기타 비즈니스 리더들이 정보에 입각한 리스크 결정을 내릴 수 있도록 책임 매트릭스를 재개념화해야 한다"고 조언했다.

이 밖에도 위협행위자들이 계정 접근 관리(IAM) 인프라를 적극적으로 공략하고 있으며, 자격 증명 오용이 현재 주요 공격 벡터가 되고 있는 점, 인간의 실수가 데이터 침해의 요인이 되고 있는 가운데 규정 준수 중심의 보안 인식 캠페인보다는 전체적인 보안 행동 및 문화 프로그램(SBCP)에 투자할 필요가 있다는 점도 새로운 트렌드로 제시했다.