기술 지원
문서
로그인
문의하기
이 블로그 글의 AI 요약으로 바로 가기 
데이터 유출을 억제하고 근절하는 데 드는 비용은 분명히 필요하지만, 데이터 유출로 인한 예상치 못한 암묵적 매출 손실도 데이터 유출의 부작용입니다. 데이터 유출의 영향은 모든 조직 부서에 걸쳐 있으며 외부 공급업체 및 계약업체와의 파트너십에도 영향을 미칠 수 있습니다. 또한 고객 신뢰의 손실은 수년에 걸쳐 지속될 수 있으므로 데이터 유출로 인한 비용은 즉각적인 금전적 비용 이상의 의미를 갖습니다. 직원, 공급업체, 계약업체, 고객 및 홍보에 오래 지속되는 영향을 미칩니다.
콘텐츠:
데이터 유출이란 무엇인가요?
데이터 유출의 정의는 분명해 보이지만, 종종 보안 유출과 혼동되는 경우가 있습니다. 보안 침해가 데이터 유출로 이어질 수 있지만 항상 그런 것은 아닙니다. 예를 들어, 공격자가 애플리케이션을 다운시켜 서비스 거부를 일으킬 수 있는 서버가 침해될 수 있지만 데이터에 액세스하지 못하면 공격자는 애플리케이션 장애 및 다운타임으로 인한 금전적 손실만 발생시킬 수 있습니다.
일부 국가가 후원하는 공격은 경쟁사나 정부 기관의 가동 중단을 초래하는 서비스 거부(DoS) 상태를 유발하는 것을 목표로 하지만, 다크넷 시장에서 돈을 벌려는 공격자에게 보안 침해는 데이터 유출에 따른 막대한 보상을 가져다주지는 않습니다. 개인 데이터에 접근할 수 있는 공격자는 이를 다크넷 마켓에서 판매하거나 신용 및 금융 계좌 개설을 위한 신원 도용에 사용하거나 피싱 공격에 사용할 수 있습니다. 특히 기밀 정보나 지적 재산인 경우 개인 기업 데이터는 훨씬 더 가치가 높습니다.
보안 침해는 DoS를 넘어 데이터 유출로 이어질 수도 있습니다. 예를 들어 공격자가 중요 인프라에 멀웨어를 설치할 수 있다면 이 악성 소프트웨어는 데이터에 대한 액세스 권한을 부여하는 다른 공격에 사용될 수 있습니다. 비밀번호 유출은 공격자에게 사용자 자격 증명의 일반 텍스트 버전을 제공하는 무차별 대입 공격일 수 있습니다. 피싱 캠페인이 성공하면 암호화폐를 지불하는 대가로 데이터를 인질로 잡는 랜섬웨어를 포함한 네트워크 침해로 이어질 수도 있습니다. 이러한 침해의 대부분은 패치되지 않은 서버 소프트웨어에서 시작됩니다.
데이터 유출로 인한 공공 비용
데이터 유출로 인한 예상치 못한 가장 큰 후유증 중 하나는 대중의 눈에 비친 조직의 평판 손상입니다. Equifax는 공격자들이 수백만 건의 개인 기록을 유출한 대규모 데이터 유출 사고의 희생양이 되었습니다. 몇 년이 지난 지금도 사람들은 대부분의 금융 데이터와 주민등록번호를 공격자에게 유출한 기관으로 에퀴팩스를 연상하고 있으며, 민감한 의료 소비자 데이터가 유출된 Welltok 데이터 유출 사건과 의료 기록 노출에 대한 우려로 인해 계정을 동결하고 금융 정보를 면밀히 관찰해야 했던 HealthEC 데이터 유출 사건에서도 비슷한 장기적인 영향이 관찰되었습니다. 많은 대중이 에퀴팩스에 대한 신뢰를 잃고 더 이상 데이터를 신뢰하지 않게 되었습니다. 이러한 데이터 유출의 부작용은 계정 및 제품 판매를 위해 사용자 정보를 수집하기 위해 신뢰가 필요한 조직에게 치명적일 수 있습니다.
에퀴팩스 데이터 유출 사건 이후, 포네몬은 사이버 범죄자에게 고객 정보를 공개했을 때 대중의 평판이 기업에 미치는 영향에 대한 연구를 수행했습니다. 그 결과, 조직이 대중의 부정적인 평판을 회복하는 데 최소 10개월이 걸린다는 사실을 발견했습니다. 또한 조사에 참여한 조직의 50%가 생산성 저하를 겪었고 41%는 고객 충성도를 잃었다고 답했습니다. 최근의 또 다른 예로, 전 세계의 조직들이 기술적 손실뿐만 아니라 공개 지연으로 인해 대중의 감시를 받았던 MOVEit 데이터 유출 사건도 있습니다.
개인 정보를 저장하는 기업은 가능한 모든 방법으로 신뢰를 유지해야 하며, 그렇지 않으면 충성도가 높은 고객이 대량으로 이탈할 수 있습니다. 데이터 유출을 방지하는 것 외에도 기업이 데이터 유출을 처리하는 방식은 고객 신뢰에도 영향을 미칩니다. 고객에게 유출 사실을 빨리 알릴수록 기업 평판에 더 좋은 영향을 미칩니다. 침해 사실을 수개월 동안 숨기는 조직은 소중한 신뢰를 잃고 고객 충성도를 잃을 수 있습니다. 또한 합리적인 시간 내에 위반 사실을 보고하는 것은 많은 표준 규제 기관의 규정 준수 책임이기도 합니다.
많은 데이터 유출 시나리오에서 유출 및 데이터 손상은 멀웨어에 의존합니다. 소프트웨어의 악용은 일반적으로 운영 체제, 타사 도구 또는 알려지지 않은 취약점이 있는 사용자 지정 소프트웨어 등 패치가 적용되지 않은 오래된 버전에서 발생합니다. 고객이 패치되지 않은 시스템으로 인한 데이터 침해 또는 데이터 유출의 세부 사항을 알게 되면 소프트웨어 패치가 제대로 관리되지 않은 경우 신뢰에 해를 끼칠 수 있습니다. 표준 패치 관리가 구현되지 않으면 고객은 향후 패치 관리가 이루어질 것이라고 신뢰하지 않을 가능성이 높습니다. 이러한 요소는 대량의 사용자 데이터를 저장하는 대규모 기술 기업, 금융 기관 및 기타 조직에 영향을 미치는 경우가 많습니다.
데이터 유출 발표 후 하루 만에 상장 기업의 주식 가치는 평균 7.5% 하락한 것으로 나타났습니다. 또한 연구원들은 기업당 54억 달러의 시가총액 손실과 주가가 정상으로 회복되는 데 46일이 걸리는 것을 관찰했습니다. 주가 하락과 부정적인 PR은 공급업체 관계와 파트너십에도 영향을 미칩니다. 조직이 데이터를 신뢰할 수 없다면 많은 중요한 파트너십이 파괴될 수 있습니다.
개인 비용
Equifax나 Target과 같이 유명한 데이터 유출 사고가 발생한 후 조직에 영향을 미치는 많은 공공 비용은 사적인 수익과 가치에도 영향을 미칩니다. 주가가 하락하면 비즈니스 자체도 영향을 받지만 데이터 유출과 관련된 몇 가지 사적인 비용도 발생합니다. 포네몬의 데이터 유출 비용 보고서 2020에 따르면 전 세계적으로 평균 386만 달러의 비용이 발생하는 것으로 추정됩니다. 유출이 발생한 후 다음 단계는 사고 대응 계획을 실행에 옮기는 것인데, 많은 조직이 위협을 억제하고 근절할 수 있는 제대로 된 계획을 세우지 못하고 있습니다.
전담 사고 대응팀이 없는 조직은 침해 사고에 대응하기 위해 아웃소싱 서비스를 이용해야 합니다. 이는 공격자가 더 많은 데이터를 유출할 수 있는 시간으로 이어집니다. 즉각적인 대응을 위해 많은 조직은 중요 서비스를 종료하여 침해된 시스템에서 데이터 추출을 중단해야 합니다. 중요한 서비스를 즉시 중단하면 내부 직원의 생산성과 고객 대면 포털의 수익이 감소합니다. 또한 데이터 손상과 주문을 할 수 없는 고객들의 장기적인 고객 서비스 문의로 이어질 수 있습니다.
인시던트 대응팀은 시간당 수백 달러의 비용과 출장비를 지출합니다. 조직에 인시던트 전담 팀이 없는 경우 인시던트를 근절하고 조사하는 데 수천 달러를 지출할 수 있습니다. 대부분의 IT 직원은 인프라에서 위협을 완전히 제거할 자격이 없으며, 특히 지능형 지속 위협(APT)과 관련된 인시던트의 경우 더욱 그렇습니다.
위협이 제거된 후 대부분의 조직은 하드웨어, 소프트웨어 또는 두 가지 모두에 대해 인프라를 업그레이드해야 합니다. '교훈 학습'은 사고 대응 및 재해 복구의 표준 마지막 단계로, 조직의 사이버 보안 전략의 구성 요소만으로는 위협을 막기에 충분하지 않다는 사실을 깨닫게 됩니다. 더 나은 전략으로는 피싱 공격을 차단하도록 사용자를 교육하거나, 멀웨어 방지 소프트웨어를 개선하거나, 잘못된 구성을 수정하거나, 익스플로잇을 유발한 오래된 소프트웨어의 패치 관리를 개선하는 것 등이 있습니다.
파급 효과는 비즈니스의 모든 측면에 영향을 미칩니다. 사고 대응은 조사를 위해 당국에 넘길 파일과 감사 추적을 보관하는 데 도움이 되지만, 그 동안 추가 피해를 방지하기 위해 시스템을 중단하면 직원의 생산성과 잠재적으로 고객 영업이 중단될 수 있습니다.
해킹된 시스템 하나가 조직 전체에 어떤 영향을 미칠 수 있는지에 대한 예로 데이터베이스 서버가 멀웨어에 감염되거나 공격자가 지속적 크로스 사이트 스크립팅(XSS) 공격을 성공적으로 실행하면 어떤 일이 발생하는지 생각해 보세요. 지속적 XSS의 경우 데이터가 손상되어 내부 시스템에 대한 액세스 권한을 얻는 데 사용될 수 있습니다. 멀웨어를 사용하면 데이터베이스가 공격자가 제어하는 서버로 데이터를 전송하여 공격자가 시스템에 원격으로 액세스할 수 있게 하거나 랜섬웨어를 사용하여 파일을 암호화할 수 있습니다. 백업에서 복구하는 데도 시간이 걸리고 시스템이 복구되는 동안 다운타임이 발생할 수 있습니다. 대기업 조직에서는 단 하루라도 다운타임이 발생하면 수천 달러의 매출 손실과 직원 생산성 저하가 발생할 수 있습니다. 초기 매출 손실은 몇 달 후에도 나타날 수 있습니다.
내부 비용
대부분의 연구자들은 데이터 유출이 회사 매출, 주가, 고객 손실, 사고 대응 비용에 미치는 영향에 대해 논의하지만, 직원과 IT 직원 간의 대인 관계에 미치는 영향에 대해서는 논의하지 않습니다. 데이터 유출은 공개적으로 발표되는 사건이기 때문에 직원들은 이 문제를 인지하고 조직 프로세스 및 교육 변경에 포함되어야 합니다.
공격의 기반이 피싱 캠페인인 경우, 공격의 대상이 된 직원들은 악성 메시지를 식별하고 이를 신고하도록 교육받아야 합니다. 직원들이 멀웨어와 악성 소프트웨어로부터 보호하는 IT를 신뢰하는 경우가 드물지 않기 때문에 피싱 캠페인이 데이터 유출로 이어진 경우에도 직원들은 비즈니스, 특히 IT에 대한 신뢰를 잃을 수 있습니다. 잘못된 구성, 비효율적인 멀웨어 방지 인프라 또는 IT의 실수로 인해 인프라 보호에 실패한 경우 신뢰 상실은 더 심각할 수 있습니다.
IT 및 보안 전문가들은 어떤 사이버 보안 전략도 위험을 100% 줄일 수 없다는 것을 알고 있지만, 내부 직원들은 사이버 위협이 어떻게 작동하는지 잘 알지 못합니다. 데이터 유출이 발생하면 일반적으로 사용자 프로세스에 오버헤드가 추가되는 절차 변경이 발생합니다. 이러한 절차는 직원의 시스템 인증 방식에 영향을 미치는 보안 시스템의 변경, 수동 프로세스의 변경 또는 추가적인 의무 교육 등이 될 수 있습니다. 직원의 일상적인 생산성에 상당한 오버헤드가 발생하면 경영진을 포함한 일부 저항에 부딪히게 됩니다. 신뢰 상실로 인해 현재 프로세스가 수행되는 방식에 대한 변경 승인을 받는 데 어려움을 겪을 수 있습니다.
대부분의 직원들이 보안을 위한 추가 단계를 수행하기를 원하지 않기 때문에 새로운 사이버 보안 시스템과 절차를 구현하는 것은 이미 어려운 일이지만, 데이터 유출이 발생하면 직원들이 새로운 시스템과 기존 시스템에 대한 신뢰를 잃게 되어 결국 절차가 생략되고 위험이 가중될 수 있습니다. 사이버 보안 훈련과 교육은 위험을 줄이는 데 도움이 되지만, 협업하고 세션을 예약하는 데 시간이 걸립니다. 경영진을 포함한 직원들은 하루 중 시간을 내어 교육에 참석해야 합니다.
결론
기업은 데이터가 소중하다는 것을 알고 있지만, 사이버 위험을 관리하는 방식이 침해 가능성에 직접적인 영향을 미칩니다. 데이터 유출은 금전적으로나 사용자 신뢰를 얻는 데 수년간의 복구 시간이 소요됩니다. 대부분의 조직은 즉각적인 금전적 피해에 초점을 맞추지만 장기적인 피해는 수년간 매출 및 기타 비용에 영향을 미칩니다.
취약점이 악용되기 전에 이를 완화하는 것이 침해 위험을 줄이는 가장 좋은 방법입니다. 이는 패치 및 유지 관리를 처리할 때 모범 사례를 의미합니다. 실시간 패치를 사용하면 조직은 취약한 오래된 서버를 재부팅하지 않고도 편리하게 패치를 적용할 수 있습니다. 라이브 패치는 취약한 서버를 패치하기 위해 몇 주를 기다려 최신 익스플로잇에 노출되는 대신 공급업체가 업데이트를 배포할 때 서버 소프트웨어와 운영 체제를 업데이트합니다. KernelCare는 주요 Linux 배포판에 대한 실시간 패치를 제공하며 패치가 적용되지 않은 서버의 기회 기간을 줄일 수 있습니다. 선택한 오케스트레이션 도구와 함께 KernelCare를 배포하고 라이브 패치의 이점을 활용하여 위험을 줄이고 최신 사이버 위협 및 익스플로잇으로부터 서버를 보호하세요.