보안, 사업 운영의 큰 흐름 안에서 수립되어야 하는데
임원들의 인식 부재하고, 보안담당자들의 운영 지식 또한 부족

[보안뉴스 문가용] 이미 사이버보안을 철저히 다지는 것이 사업을 운영하는 데에 있어서 얼마나 중요한지 다들 알고 있다. 높으신 분들도 알고 있고, 그보다는 일반적인 직원들도 알고 있다. 하지만 RSA 컨퍼런스에서 발표된 연구 결과에 의하면, CISO를 여전히 ‘기술직’으로 한정해서 생각하는 경향이 여전히 팽배하다고 한다. 위기감이 변화를 이끌어내지 못하고 있다.



해당 연구는 460명의 보안전문가들을 대상으로 한 것으로 약 82%의 응답자가 ‘우리 회사 임원진들이 보안에 대해 매우 민감한 태도를 가지고 있다’고 답했다. 하지만 CISO가 CEO에게 직접 보고하는 경우는 14%에 불과했다. 63%, 즉 대부분은 CIO에게 보고하는 것으로 밝혀졌다.

“아직도 CISO는 CIO의 아랫사람인 경우가 많습니다. 결국 사업 전반에 영향을 미친다기보다 컴퓨터 보안이라는 극히 일부를 다루는 기술자로 보는 것이죠. 즉 사이버보안이 중요하다고는 하는데, 사업 전체의 일부로 인식하고 있지는 않다는 뜻입니다. 마음으로 느끼거나 혹은 입으로 표현하는 위기감과 실상의 차이가 극명하게 드러난 결과라고 볼 수 있습니다.” 이번 연구를 담당한 제니퍼 로윈스키(Jennifer Lawinski)의 설명이다.

좋은 소식이라면 응답자의 대부분이 “그래도 보안과 관련해서 정책을 정하고 실행할 때, 그에 대한 예산이 필요할 때 임원진급의 지원이 이뤄진다”고 답했다는 것이다. 하지만 정작 문제는 임원진들 자신도 보안 정책이나 표준을 잘 지키지 않는다는 점으로, 보통은 두 가지 이상의 표준이 회사 내 존재한다고 한다. 직원들에게 강조하는 여러 보안 관련 필수사항을 똑같이 지키는 임원진들은 43%에 불과했다.

하지만 사이버보안 전문가들 대부분은 먼저 소위 말하는 보안담당자들의 실력향상이 더 급한 문제라고 꼽았다. 이상현상을 탐지하고 벌어진 사건에 대한 대응에 대해 자기 팀을 신뢰한다고 답한 보안 전문가는 작년보다 12% 포인트나 내려간 것으로 나타났기 때문이다. 심지어 ‘기초적이고 간단한 보안 업무 외에는 맡길 수도 없는 상황’이라고 답한 이들도 꽤나 되었다고 로윈스키는 말한다.

또한 전체 응답자의 62%는 공석을 제대로 메우려면 적어도 3개월이 필요하다고 답했으며 59%는 공석을 차지하려는 지원자 중 절반이 자격미달이라고 답했다. 75% 정도는 보안 담당자 혹은 팀 내에서 가장 부족한 지식으로 ‘사업 전체 운영에 대한 지식’이라고 답했다. 보안이 아직 사업 운영 전체에 참여하는 비율이 낮은 것도 사실이지만, 참여할 준비가 되지 않은 것도 사실이라는 흥미롭지만 경각심을 일으키는 결과다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>