지적재산 도난 자체는 크게 안 느는데 기업들 우려는 증가
내부자에 의한 범죄 가장 크게 경계…보안 준비된 기업 16%

[보안뉴스 문가용 기자] 딜로이트 어드바이저리 사이버 리스크 서비스(Deloitte Advisory Cyber Risk Services)는 최근 약 3천 명의 전문가들을 대상으로 지적재산과 사이버 리스크에 대한 설문을 조사했다. 58%의 응답자가 지적재산에 대한 사이버 도난이 앞으로도 꾸준히 증가해 브랜드의 명예 훼손과 사업 불안감을 조성할 것이라고 예측했다.



딜로이트 측은 지적재산의 도난을 ‘영업 비밀, 설계도나 기획서, 등록 상표가 부여된 노하우를 훔치는 행위’라고 정의한다. 지적재산은 사업체에 따라 기업 가치의 최대 80%까지 차지할 수 있다고 보고 있으며, 그러므로 지적재산의 도난에 대한 우려가 갈수록 커지고 있는 건 자연스러운 현상이라고 보고서를 통해 설명하고 있다.

하지만 산업별로 우려의 정도는 조금 달랐다. 통신과 에너지, 공익 사업이 가장 높아 약 68.8%가 우려를 표현했다. 그 다음으로는 산업 제품 및 서비스와 관련된 산업이 64.7%, 자동차 산업이 63.9%를 기록해 바로 뒤를 이었다.

지적재산의 도난에 대한 우려가 높아진다고 해서 실제 지적재산 도난 사건이 늘어난 건 아니다. 딜로이트 어드바이저리의 사이버 리스크 관리 책임자인 아드난 암자드(Adnan Amjad)는 “실제 지적재산 도난을 지난 1년 사이에 경험한 사람들은 응답자의 12%에 불과했다”고 설명한다. 그런 류의 공격을 받은 적이 없다고 응답한 사람은 44%, 잘 모르겠다는 응답자는 32.6%였다.

“실제 사이버 공격의 빈도수와 우려의 정도는 별다른 관계가 없는 것으로 보입니다. 오히려 지적재산에 대한 사이버 공격이 일어날 수 있다는 보안의식이 증가한 것이 아닐까 합니다.” 즉 여러 산업별로 사이버 공격에 대한 실제적인 걱정이 자리잡기 시작했다는 분석이다.

그렇다면 어떤 세력이 주로 공격을 할 것처럼 보이는가, 하는 질문에 20.1%가 임직원 및 내부자를 꼽아 1위를 기록했다. 그 다음으로는 경쟁사(16.3%), 국가의 후원을 받는 단체나 액티비스트들(12%), 파트너사 혹은 외주업체(11.7%), 적대적 관계에 있는 국가 정부(10.1%)가 차례로 뒤를 이었다.

재미있는 건 실제 사고를 일으키는 내부자들의 수는 해가 갈수록 증가하고 있어 이번 설문에 참여한 보안 전문가들의 우려가 매우 정확하다는 점이다. “여기에는 두 종류의 내부자가 있는데, 원래 악의적인 의도를 가지고 데이터를 훔쳐내는 부류와 회사 내에서 사용하는 계정이 해킹 당하는 바람에 자기도 모르게 범죄자들의 수단이 되어버린 사람들입니다.”

지적재산 탈취가 실제로 발생했을 때, 가장 어려운 점에 대해서 22.3%가 투자자, 고객, 클라이언트와의 관계를 유지하는 것이라고 답했다. 다음으로는 데이터 손실로 인한 피해 측정(21.8%), 지적재산의 즉각적인 회수(12.4%), 경쟁력 손실을 최소화하기 위한 지적재산 수정(10.7%)이 꼽혔다.

“많은 경우 지적재산에 대한 정확한 가치평가를 평소부터 하고 있지는 않습니다. 그렇기 때문에 실제 사고가 발생하면 뭘 잃었는지, 얼마나 잃었으며 전체 손해는 어떻게 되는지가 계산이 안 되고, 여기서부터 복구 과정이 매우 복잡하게 꼬이게 됩니다.” 예외가 있다면 보험 업계나 소프트웨어 기업들이다. “이들은 항상 지적재산에 대한 평가를 해서 보유자산을 파악하고 있는 업체들입니다.”

다행인 건 손 놓고 걱정만 해야 하는 상태가 아니라는 것이다. 아직 지적재산의 보호를 위해 더 취할 수 있는 조치들이 남아있다는 것 또한 설문을 통해 드러났다. 이미 지적재산에 대한 접근이 매우 까다롭게 설정되어 있다고 답한 응답자가 16.7%에 그쳤기 때문이다. 36.1%는 현재 보안 조치를 취하고 있는 중이라고 답했으며 12%는 사실상 지적재산을 보호하기 위한 프로그램이나 장비가 없다고 답했다.

암자드는 보안 정책 및 솔루션 등 다양한 조치를 취하려고 하는 기업들에게 “모든 지적재산을 다 보호하려고 하지 않는 게 키포인트”라고 역설적인 조언을 한다. “모두 다 보호하려다가 아무 것도 보호하지 못합니다.”

중요한 건 가장 중요한 내용물을 지키는 것이라고 그는 강조한다. “회사의 존재이유와 가장 밀접하고 직접적으로 연결되어 있는 데이터는 무엇인가를 묻고, 조직의 정체성 그 자체인 정보를 찾아내야 합니다. 답은 구체적이고 분명해야 하며, 기업의 특성을 반영할 수 있는 것이어야 합니다.”

진짜 중요한 핵심 데이터를 찾아냈다면 그 데이터의 특성에 따라 가장 올바르게 보호할 수 있는 수단을 강구하는 게 다음 단계다. 물론 솔루션을 구입하는 것도 포함되지만, 그에 따른 회사 내 보안 정책을 바꾸고 법적 컴플라이언스 사항을 확인해보는 것도 필요하다. 이런 시스템들이 갖추어지면 직원들 교육 시키는 것이 그 다음이라고 암자드는 강조한다.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>