보안 운영을 개선하면 비용을 절감할 수 있는 이유

보안 운영은 엔터프라이즈 기술 환경의 중요한 요소이지만, 조직이 최신 기술 솔루션 도입에 집중하다 보면 간혹 보안이 뒷전으로 밀릴 수 있습니다.

2020년과 같이 업무 수행 방식과 기술 제공 방식에 많은 변화가 있는 해에는 보안 운영(또는 SecOps)이 필요한 투자를 받지 못한 채 방치될 수 있습니다.

크고 작은 조직에서 보안 문제를 뒷전으로 미루고 새로운 기술이나 다른 곳에 투자하기 위해 자금을 지출하는 리소스 문제입니다.

그러나 위협 환경을 무시하거나 소홀히 하면 보안 운영에 적당하고 충분한 투자를 하는 것보다 훨씬 더 많은 비용이 들 수 있으므로 이는 비생산적인 접근 방식이 될 수 있습니다. 즉, 보안 관제를 개선하면 비용을 절감할 수 있습니다. 그 이유를 알아보려면 계속 읽어보세요.

콘텐츠:

1. 보안의 중요성이 점점 더 커지고 있습니다.
2. 실마리는 숫자에 있습니다
3. 관심과 준비 부족
4. 보안을 소홀히 할 때의 위험과 비용
5. 비용이 많이 드는 보안 침해의 실제 사례
6. 위험에 대한 분석
7. 올바른 보안을 위해 해야 할 일
8. 보안 문제를 해결하고 비용을 절약하세요

점점 더 중요해지는 보안 운영

기술 개선은 새로운 기능, 효율성 향상 등 다양한 이점을 가져다줍니다. 하지만 기술은 보안 결함에 취약할 수 있으며, 조직이 기술에 더 많이 의존할수록 이러한 취약점을 이용하려는 악의적인 공격자에게 더 취약해질 수 있습니다.

실마리는 숫자에 있습니다.

취약점의 폭발적인 증가를 가리키는 증거를 찾는 것은 어렵지 않습니다. 국가 취약점 데이터베이스에 인용된 수치를 생각해 보세요. 지난 10년 동안 매년 보고된 취약점은 연간 4,000개에서 최대 8,000개에 달했습니다.

하지만 이러한 상황은 2017년을 기점으로 급격히 바뀌었습니다. 그 해에만 보고된 취약점이 14,000건에 달할 정도로 급격하게 증가했습니다. 이후에도 이러한 높은 수준이 유지되어 2020년에는 18,000건 이상이 보고되었습니다.

이러한 방대한 수의 취약점은 모두 보안 침해로 이어질 수 있습니다. 사이버 보안 회사인 Imperva는 소프트웨어에서 발견되는 결함의 거의 절반이 해커가 이용할 수 있는 익스플로잇을 가지고 있다고 말합니다.

여기에는 2019년에만 Linux 커널에서 발견된 170개 이상의 취약점이 포함됩니다. 이러한 취약점에는 아직 익스플로잇이 공개되지 않은 경우에도 실제 위험이 존재합니다.

관심 및 준비 부족

IT 보안 문제와 취약성이 점점 더 큰 문제가 되고 있는 것은 분명합니다. 예를 들어, 2020년 한 해 동안 컴퓨터 보안 위협이 빠르게 증가했음을 보여주는 이 보고서를 살펴보세요. 조직이 이를 따라잡기 어려운 이유는 부분적으로는 한정된 IT 리소스에 대한 또 하나의 요구이기 때문일 수 있습니다.

많은 조직에서 보안 위험은 눈에 보이지 않는 위험이며, 사이버 보안 상태는 일단 침해가 발생하고 눈에 보이는 손실이 발생한 후에야 눈에 보이는 문제가 됩니다. 이는 위험한 비용 절감 접근 방식이며, 해킹을 피할 수 있을 만큼 운이 좋아야 한다는 도박과도 같습니다.

위협 행위자들이 점점 더 자동화를 사용하여 취약한 조직을 찾아내려는 시도를 하고 있는 상황에서 이러한 도박은 잘못된 선택입니다. 실제로는 리소스의 문제가 아니라 사이버 보안 전략이 무시되는 경우가 많습니다.

간단한 예가 있습니다. 포네몬 연구소는 사이버 공격에 성공한 피해자의 60%가 완벽하게 효과적인 패치가 있는 알려진 취약점을 패치하지 않는 등 피할 수 있는 오류로 인해 피해를 입었다는 사실을 발견했습니다.

조직의 사이버 보안 태세가 주요 측면에서 부족할 수 있는 데에는 몇 가지 이유가 있습니다:

• • 사용 가능한 도구가 사용되지 않을 뿐입니다. 일반적으로 사용 가능한 도구를 사용하면 대규모 사이버 위협에 효과적으로 대응할 수 있습니다. 네트워크 및 애플리케이션 방화벽부터 자동화된 침투 스캔 및 실시간 패칭까지. 하지만 인식 부족이나 단순한 노력 부족으로 인해 이러한 도구가 배포되지 않는 경우가 있습니다.
  • 행동으로 옮기지 않는 리더십. 널리 사용 가능한 명백한 도구가 사용되지 않는 이유는 무엇일까요? 이는 종종 최고 경영진이 조직 전체에 보안 우선 의제를 추진하지 않는 리더십 부재 때문입니다. 이는 경영진이 사이버 보안을 IT 부서의 업무로만 인식하기 때문에 발생할 수 있는데, 오늘날에는 보안 운영이 조직 전반의 문제입니다.
  • 상충되는 우선순위. 기술 부서가 사이버 보안 의무에 실패할 수 있는 이유는 부분적으로 기술 팀이 IT의 가용성을 책임져야 하기 때문입니다. IT의 제약 때문이 아닙니다. 즉, IT 보안 노력에 내포된 제한으로 인해 기술 솔루션을 출시하고 기술에 액세스할 수 있도록 하려는 노력이 좌절될 수 있습니다.
  • 노력이 충분하지 않습니다. 많은 조직이 사이버 위협으로부터 보호하기 위해 많은 노력을 기울이고 있지만, 사이버 보안 활동이 충분히 철저하지 않은 경우가 많습니다. 해커는 작은 실수 하나만 있어도 기회를 잡을 수 있습니다. 자동화를 포함한 도구는 철저한 노력을 기울이는 데 도움이 될 수 있습니다.
  • 사이버 보안 문화가 부재합니다. 철저한 사이버 보안 노력의 핵심 요소 중 하나는 조직에서 일하는 직원들의 마음가짐입니다. 즉, 사이버 보안의 중요성을 항상 염두에 두고 모두가 함께 노력할 때 SecOps는 훨씬 더 효과적입니다.

조직이 사이버 보안의 위협을 무시하는 것이 아니라 리소스 부족, 상충되는 우선순위, 사이버 보안에 충분히 집중하지 않는 리더십이 모두 복합적으로 작용하여 SecOps가 필요한 만큼 대우받지 못한다는 의미일 수 있습니다.

보안 운영을 소홀히 할 때의 위험과 비용

위에서 설명한 이유 중 일부는 비용 관리와 밀접한 관련이 있으며, 비용 관리가 비합리적인 우선 순위는 아닙니다. 그러나 보안 관제를 소홀히 하여 발생하는 위험은 보안 관제 예산을 줄임으로써 절약되는 비용보다 훨씬 더 큰 실제 비용을 초래할 수 있습니다.

사이버 공격으로 인한 직접적인 손실부터 평판 손상 및 규정 준수 실패로 인한 비용까지, 보안 침해로 인한 비용은 막대할 수 있습니다.

비용이 많이 드는 실제 침해 사례

2020 IBM 데이터 유출 비용 보고서에 명확하게 요약되어 있습니다. IBM은 일반적인 데이터 유출 비용은 386만 달러이며, 기업이 사이버 공격을 식별하고 차단하는 데 최대 280일이 소요된다는 사실을 발견했습니다.

사이버 침해로 인해 발생할 수 있는 위험과 비용을 분석하기 전에, 조직이 사이버 침해 문제를 해결하기 위해 막대한 비용을 지출할 수 있는 실제 사례를 몇 가지 살펴봅시다.

첫째, 2019년에는 1억 명 이상의 Capital One 고객이 사이버 공격을 당했습니다. 이로 인한 피해액은 미화 1억 달러 이상, 최대 1억 5천만 달러에 달하는 것으로 추정됩니다.

엄청난 비용을 지불해야 했던 또 다른 사례는 2016년에 해커가 사이버 방어를 뚫었다는 사실을 인정해야 했던 야후(Yahoo)였습니다. 이 단일 공격으로 30억 개 이상의 야후 계정이 영향을 받았으며 도난당한 데이터는 이름부터 생년월일, 연락처 정보까지 다양했습니다.

나중에 버라이즌이 야후를 인수했을 때 야후의 평판 손상으로 인해 수억 달러를 덜 지불했습니다.

해커가 영국항공의 시스템에 불법적으로 액세스할 수 있는 타사 자바스크립트 때문에 50만 명의 승객에게 사과해야 했던 영국항공의 사례는 전 세계 기업들에게 막대한 피해를 입혔습니다. 이 항공사는 2,500만 달러의 벌금을 지불해야 했지만 매출 손실 등 평판 손실이 훨씬 더 컸습니다.

위험에 대한 분석

사이버 침해로 인한 위험은 단순히 귀중한 자산을 도난당하는 것만이 문제가 아닙니다. 다음은 기업이 보안 관제를 충분히 심각하게 받아들이지 않을 때 직면하는 주요 문제 중 일부입니다:

• 즉각적인 비용. 이전 섹션에서 설명한 것처럼 사이버 침해 사고를 복구하는 데는 엄청난 비용이 소요될 수 있습니다. 복구해야 하는 것은 기술 리소스에 대한 피해뿐만 아니라 조직의 공개 프로필도 복구해야 하며 그 비용은 천문학적일 수 있습니다.
• 수익 손실. 대외 이미지가 나빠지면 매출에 타격을 입게 되고, 공격 중이나 공격 직후에 경험하는 매출 손실은 더욱 커집니다. 벌금이나 법적 처벌을 넘어 매출 손실은 보안관제 지출을 최소화하여 절감한 비용보다 훨씬 더 클 수 있습니다.
• 규정 준수 및 법적 위험. 조직이 고객 데이터를 안전하게 보호하기 위해 다양한 법률이 규정 준수 제도와 함께 작용합니다. 사이버 침해는 심각한 법률 및 규정 준수 문제로 이어질 수 있으며, 규정이 특히 엄격한 경우에는 조직이 비즈니스 수행 능력을 완전히 상실할 수도 있습니다.

한 번의 성공적인 침해 사고는 일관되고 완벽하며 견고한 사이버 보안 운영을 위해 필요한 투자를 완전히 초과하는 금액을 합산할 수 있습니다. 이러한 침해가 실제로 발생할까요? 이는 다른 질문이지만, 그럼에도 불구하고 위험은 매우 현실적이고 존재합니다.

올바른 보안 운영을 위해 필요한 사항

무엇보다도 사이버 보안 예산을 삭감하여 비용을 절감하려는 시도는 결코 좋은 생각이 아닙니다. 사이버 공격이 조직 운영을 중단시킬 정도로 엄청난 비용을 초래할 수 있다는 사실을 종합적으로 설명했습니다.

이는 본질적으로 잘못된 경제학이며, 환상에 불과한 비용 절감에 불과합니다. 좋은 보안 관제는 엄청나게 비싼 것이 아니므로 가장 중요한 부분은 보안 관제 예산을 올바르게 책정하는 것입니다.

물론 충분한 자금을 확보하는 것은 전략적인 문제인 동시에 실용적인 문제이기도 합니다. 다음은 사이버 보안 운영을 위해 필요한 몇 가지 전략적 사항입니다:

• • SecOps 운영을 위한 전담 팀. 앞서 사이버 보안을 IT 팀에 맡기면 목표가 상충될 수 있다고 언급했습니다. 사이버 보안과 가용성이 충돌하지 않도록 하려면 가능하면 사이버 보안만을 전담하는 팀을 구성하여 SecOps를 분리하는 것이 좋습니다.
  • 레드 팀과 블루 팀. 사이버 보안에 가장 철저하게 접근하려면 사이버 보안을 테스트하고 도전하는 데 중점을 두는 (빨간색) 팀원과 방어를 담당하는 (파란색) 팀원을 분리하는 것을 고려할 수 있습니다. 이는 보안 관제를 보다 강력하게 운영하는 방법입니다.
  • 최고 경영진과 협력하세요. 보안 운영은 최고 경영진으로부터 영감을 받는 것이 가장 좋으며, 보안 운영에 고위 경영진을 참여시키면 일관된 사이버 보안 관행을 주도하는 리더십과 문화가 최고위층에서 아래로 전파되도록 할 수 있습니다.
  • 도움을 받으세요. 사이버 보안의 복잡성은 내부 인력의 전문 지식만으로는 모든 측면을 커버하기 어려울 정도로 커졌습니다. 외부 도구부터 사이버 보안 컨설턴트까지, 외부 전문 지식에 투자하여 SecOps를 강화하는 것을 고려하세요.

즉, 보안관제는 단순히 전략에 관한 것이 아닙니다. 보안 관제는 본질적으로 실용적인 문제이므로 다음 보안 관제 체크 박스에 체크할 수 있도록 직접 자금을 지원하는 것이 좋습니다:

• • 효과적인 관리. 어떤 기술이 배포되어 있는지 파악하고 효과적으로 관리하는 것은 IT 자산을 분류하고 잠재적 위험이 어디에 있는지 파악하는 핵심 SecOps 목표입니다.
  • SOC에 투자하세요. 보안 운영 센터(SOC)는 보안팀에 추가되어 실시간 정보와 시각화 도구를 활용하여 사이버 위협을 모니터링하고 대응하는 데 도움을 주는 조직으로, 위협을 탐지합니다. 철저한 보안 운영으로 많은 공격자를 차단해야 하지만 진행 중인 공격에 플래그를 지정하는 것도 마찬가지로 중요합니다. 침입자를 더 빨리 탐지할수록 실질적인 손실을 줄일 수 있기 때문입니다.
  • 노력에 자원을 투자하세요. 인력이든 보안 애플리케이션에 대한 투자이든, 조직이 충분한 자금을 투입해야만 보안 운영이 잘 수행될 수 있습니다. 실용적이고 일상적인 리소스에 비교적 적은 금액을 투자하면 향후 막대한 비용이 소요되는 침해 사고를 방지할 수 있습니다.
  • 프로세스 및 정책의 일관성. 리더십과 사이버 보안 문화와 관련하여 조직의 프로세스와 정책의 일관성은 기회의 창을 없애기 때문에 또 다른 핵심적이고 실용적인 단계입니다.
  • 지속적인 패치 적용. 마지막으로, SecOps의 가장 중요한 실용적인 측면 중 하나는 취약점이 발견되는 즉시 폐쇄될 수 있도록 일관되고 지속적인 패치를 적용하는 것입니다. 가능한 경우 실시간 자동 패치를 적용하면 패치의 연속성을 유지하는 데 도움이 되며, IT 팀의 리소스를 다른 용도로 활용할 수 있습니다.

이러한 전략적이고 실용적인 조치를 통해 큰 비용을 들이지 않고도 보안 운영을 강화할 수 있습니다.

보안 운영 개선, 비용 절감

처음에는 이상한 주장처럼 들릴 수 있습니다. 결국 사이버 보안 운영을 강화하려면 지출을 늘려야 하기 때문입니다. 하지만 보안 위험이 어떻게 막대한 비용을 초래하는 침해로 이어질 수 있는지를 분명히 알고 있습니다.

조직이 사이버 범죄를 겪지 않을 가능성은 있지만, 조직이 최적의 보안 관제를 운영하지 않는다면 그 가능성은 점점 더 희박해집니다. 대신 사이버 보안에 너무 적은 비용을 지출하면 위험이 너무 커져서 조직이 사이버 침해를 복구하는 데 SecOps에 지출한 비용보다 더 많은 비용을 지출하게 될 가능성이 높아집니다.

따라서 필요한 자금을 할당하고 리더십과 문화부터 취약성 스캐너와 실시간 자동 패치와 같은 소프트웨어 도구에 이르기까지 모든 사이버 보안 도구를 마음대로 사용하세요.