연구에 따르면 기업 대상 사이버 공격의 위험은 지속해서 증가하고 있으며 형태도 다양해지고 있습니다. 사이버 공격은 지난 5년 간 75% 증가했으며, 랜섬웨어 피해액은 2021년 200억 달러에서 2031년 2,650억 달러로 증가할 것으로 예상됩니다. 기업은 매년 44건의 주요 사이버 사고를 겪고 있으며, 대부분의 조직은 문제를 발견하고 대응하는 데 평균 6개월 이상이 소요됩니다. 해커들은 최신 기술을 활용해 공격 속도와 규모를 높이고 있어, 사이버 위협의 가능성과 영향이 커지고 있습니다.
EY는 연구 결과를 분석해 설문에 응답한 기업 중 효율적인 사이버 보안 시스템을 갖추고 높은 성과를 달성한 기업은 ‘선제 대응 기업(Secure Creators)’으로, 반면 보안이 취약한 기업은 ‘후속 대처 기업(Prone Enterprises)’으로 구분했습니다. 응답 기업 중 선제 대응 기업은 42%, 후속 대처 기업은 58%였습니다.
선제 대응 기업은 다음과 같은 특징을 가지고 있습니다.
- 새로운 기술을 신속하게 채택하고 자동화를 활용해 사이버 보안 기술을 조율하며, 프로세스를 단순명료화합니다.
- 클라우드, 온프레미스와 서드 파티(Third party) 전반에 걸쳐 복잡한 공격 표면(Attack Surface)을 관리할 수 있는 구체적인 전략을 확보하고 있습니다.
- 최고 경영진부터 전체 임직원, 사이버 보안팀 자체까지 조직의 세 가지 계층 모두에 사이버 보안을 연계했습니다.
선제 대응 기업과 후속 대처 기업은 사이버 보안과 관련한 주요 지표에서도 차이를 보였습니다. 사이버 공격을 탐지하고 대응에 걸리는 평균 시간을 살펴보면 선제 대응 기업은 5개월이 걸린 반면 후속 대처 기업은 11개월이 걸렸습니다. 이외에도 2022년 평균 사이버 사고 발생 건수는 32건 대 52건이었으며, 전반적인 사이버 보안 접근에 만족하는 비율은 51%와 36%, 조직이 위협에 잘 대비하고 있다는 것에 동의하는 비율은 53%와 41%로 나타났습니다.
‘2023 EY 글로벌 사이버 보안 리더십 인사이트 연구’는 사이버 공격 위협에 효과적으로 대응하는 조직을 분석했습니다.
효율적인 사이버 보안 조직은 ‘단순화를 통해 새로운 기술을 도입’하고, ‘사이버 공격 범위에 대한 커버리지를 미리 확보’하며, ‘사이버 보안에 유기적 비즈니스 시스템을 구축’한다는 특징을 보였습니다. 그리고 이러한 사이버 보안 강화는 단순히 기업의 보안 부문을 강화하는 것을 넘어서 궁극적으로 기업의 평판을 개선해 새로운 가치를 만드는 수준까지 끌어올리고 있었습니다.
결과적으로 높은 수준의 사이버 보안 체계를 구축한 기업은 고객과 공급업체 간 신뢰를 개선해 거래의 안정성을 확보할 수 있습니다. 또한 효과적인 사이버 보안은 명확한 가이드라인과 안전한 보호 장치를 통해 전사적인 자원을 위험 관리가 아닌 새로운 아이디어에 집중할 수 있도록 유도합니다.
단순명료화를 통한 새로운 기술 도입
선제 대응 기업은 새로운 사이버 보안 기술을 도입하는 데 집중하고 있습니다. 이들은 새로운 기술이 검증될 때까지 기다리지 않고 자체적으로 새로운 기술 분야를 개척하는 성향을 가지고 있습니다. 특히 인공지능, 머신러닝, DevSecOps(개발 프로세스의 모든 단계에서 보안 테스트를 통합하는 방식) 및 SOAR(Security Orchestration, Automation and Response: 보안 오케스트레이션, 자동화, 대응)을 포함한 자동화에 중점을 두고 신기술을 도입하고 있습니다.
대부분 기업은 새로운 사이버 보안 기술 도입으로 인해 더 커진 규모와 복잡성으로 새로운 취약점이 발생하고, 해커가 동일한 기술을 악용해 공격하는 일을 겪고 있었습니다.
이런 문제를 해결하기 위해 사이버 보안 리더는 새로운 기술을 도입할 때 단순명료화를 통해 보안을 확보하고 다음의 사항을 수행해야 합니다.
기업이 새로운 기술 도입 시 사이버 보안 리더가 고려해야 할 사항
- 기존 사이버 보안 기술을 단순화하고 합리화해 총 소유 비용을 줄이고 원활한 운영을 위한 플랫폼을 신속하게 구축
- 기술 현대화의 일환으로 중복되거나 제대로 통합되지 않은 레거시 시스템을 검토
- 여러 개의 독립적인 구성이 아닌 단순화되고 자동화된 사이버 보안 프로세스를 채택
- 새로운 위험을 초래하거나 전체 기술 환경을 복잡하게 구성하지 않고 새로운 기능을 더 빠르게 채택
- DevSecOps(개발 프로세스의 모든 단계에서 보안 테스트를 통합하는 방식) 및 SOAR(Security Orchestration, Automation and Response: 보안 오케스트레이션, 자동화, 대응)을 포함한 자동화 주도 접근 방식을 고려
- 인프라를 단순화하고 가시성을 개선하는 동시에 비용 효율성을 향상하는 공동 소싱, 관리형 서비스 접근 방식을 추구
요약
- ‘2023 EY 글로벌 사이버 보안 리더십 인사이트 연구(EY 2023 Global Cybersecurity Leadership Insights Study)’에 따르면 급증하는 사이버 위협에 대응하기 위해 많은 기업이 사이버 보안 투자를 확대하고 있지만 사이버 보안 체계의 수준에 따라 ‘선제 대응 기업(Secure Creators)’과 보안 체계가 취약한 ‘후속 대처 기업(Prone Enterprises)’으로 구분됐으며, 두 집단은 주요 보안 관련 사안에 대해 상반된 특징을 가지고 있었습니다.
- 선제 대응 기업은 사이버 보안 전략을 최고 경영진부터 임직원, 보안팀까지 통합해 유기적으로 운영합니다. 또한 새로운 사이버 보안 기술을 신속하게 채택하고 자동화를 활용해 기술을 조율하며, 프로세스를 단순명료화하는 등 효율적인 전략을 전사적으로 구축하는 특성을 가지고 있습니다.
