“운이 좋았던 것인지 실력인지 구분하기 어렵다.”(조성민 NHN 이사)
경영진이 보안 수준을 가늠할 때 가장 흔히 기대는 지표가 ‘무사고 기록’과 ‘보안 예산’이다. 이데일리가 만나 보안 전문가 6인은 둘 다 방어 능력을 설명하지 못한다고 입을 모았다. 대신 이들이 제시한 질문은 대부분 숫자와 날짜로 답할 수 있는 것들이다.
보유한 정보 자산 정확히 아는 게 출발점
김동민 라온시큐어 화이트햇센터 팀장은 경영진이 정기적으로 확인해야 할 지표로 8가지를 제시했다. △외부 노출 자산 중 담당자가 없는 비율 △관리자 계정의 다중인증(MFA) 적용률과 과도한 권한 수 △오래된 접속키 수 △중요 시스템 로그 수집률 △고위험 취약점의 평균 조치 기간과 기한 초과 건수 △침해 탐지·격리까지 걸린 시간 △백업 복구시험 성공률 △모의침투에서 확인된 핵심 공격 경로의 개선·재검증 완료율 등이다.
점검의 출발점은 회사가 보유한 자산과 계정을 정확히 아는 것이다. 외부에 공개된 서버나 서비스가 있어도 관리 책임자가 없다면 취약점 점검과 후속 조치에서 빠질 수 있다. 전체 IT 자산 가운데 관리 대상에 포함된 비율과 관리자·외주·휴면계정 현황 등을 확인해야 한다.
김혁준 나루시큐리티 대표는 “경영인이 가장 먼저 확인해야 하는 것은 보이는 범위”라면서 “보이지 않는 자산이나 계정이 많다는 것은 그만큼 공격자가 머물 수 있는 사각지대가 넓다는 의미이기 때문”이라고 설명했다.
박관순 티오리 CISO도 “공격자 입장에서 침입하기 가장 까다로운 기업은 단순히 최신 보안 솔루션을 많이 도입한 곳이 아니다”라면서 “전체 자산 지형도를 완벽히 파악하고 있으며, 임직원 실수가 시스템 전체 사고로 이어지지 않도록 기술적 통제(가드레일)가 잘 갖춰진 기업”이라고 강조했다.
다만 발견한 취약점의 개수만으로 조직을 평가해서는 안 된다. 김동민 팀장은 “발견된 취약점 수만 보면 점검을 많이 한 조직이 오히려 나빠 보일 수 있다”면서 “경영진은 고객정보나 결제·인증 시스템까지 이어지는 상위 위험이 무엇인지, 누가 언제까지 줄일 것인지, 남은 위험을 누가 어떤 근거로 수용했는지를 직접 물어야 한다”라고 했다.
김혁준 대표는 “실제 사고 대응 현장에서도 최초 침투 지점보다 더 중요한 것은 공격자가 내부에서 어디로 이동했고, 어떤 시스템과 데이터를 건드렸으며, 아직 남아 있는 위협은 없는지를 끝까지 확인하는 것”이라고 말했다.
백업과 모의침투 역시 실제 결과로 평가해야 한다. 김동민 팀장은 “모의침투와 레드티밍은 침투 성공 여부만 확인하는 일이 아니라 탐지와 보고, 의사결정, 차단이 끝까지 작동하는지 시험하는 데 의미가 있다”라고 설명했다. 김혁준 대표도 “중요 데이터는 운영 환경과 분리해 백업하고, 실제 복구가 가능한지 정기적으로 테스트해야 한다”라고 조언했다.
경영진 인식, 거버넌스 체질 개선 이뤄져야
이런 지표가 실제 개선으로 이어지려면 경영진의 지원이 뒷받침돼야 한다. 박관순 티오리 CISO는 “경영진 차원에서 보안을 ‘기술팀의 실무적인 장애 수준’이 아니라 기업의 운영과 생존을 좌우하는 ‘핵심 비즈니스 리스크’로 인식하고 거버넌스 체질 개선에 나서는 주요 대기업 및 금융그룹을 모범 사례로 꼽을 수 있다”고 말했다.
조성민 NHN 정보보호정책실장은 정보보호 투자 비중과 추세, 전담 인력 규모를 살피고 이를 정기적으로 보고받는 체계를 갖춰야 한다고 강조했다. 보안 조직이 문제를 제기할 수 있는 환경인지도 함께 봐야 한다는 설명이다.
강 대표는 “보안은 보고서가 두꺼운 회사가 잘하는 게 아니라, 위험한 숫자가 오래 남아 있지 않는 회사가 잘하는 것”이라고 말했다.
