악성코드 공격은 무려 91%, 침해사고 대응은 고작 17.1% 불과

[보안뉴스 김경애 기자] 많은 국내 기업이 침해사고 경험이 있지만 신속한 신고 등의 대응은 여전히 미흡한 것으로 조사됐다. 특히, 침해사고를 당해 신고된 기업의 피해 정도가 매우 심각한 수준으로 드러났다. 더욱이 신규 서비스에 대한 보안정책이 시급하지만, 이에 대한 보안 투자는 턱없이 부족한 것으로 조사됐다.


[이미지=iclickart]

침해사고 ‘심각’, 신고율은 ‘미비’
한국인터넷진흥원이 조사한 ‘2016 정보보호실태조사 기업부문’에 따르면 국내 사업체의 침해사고 경험률은 전년대비 1.3%p 상승한 3.1%로 나타났다. 특히, 신고한 기업의 66%는 침해사고 피해정도가 심각한 수준으로 확인됐다. 더욱이 침해사고를 경험한 사업체 중 관계기관에 문의 또는 신고한 사업체는 9.2%에 불과한 실정이다.

이에 대해 민간기업의 한 보안담당자는 “침해사고를 신고하는 경우는 피해규모가 매우 큰 경우로, 대부분의 기업에서는 침해사고가 크지 않으면 회사업무 마비 등의 이유로 가급적 신고하지 않으려는 경향이 있다”며 “기업 규모에 따라 내부적으로 보안사고를 인지하고, 처리하는데 다소 차이가 날 수 있다. 특히, 소규모 기업의 경우 예산이 없어 보안을 강화하기가 현실적으로 쉽지 않다”고 말했다.

보안 강화를 위한 세부활동으로는 ‘긴급연락체계 구축’이 7.2%, ‘대응 활동을 외부전문기관에 위탁’이 5.8%, ‘사고복구조직 구성’이 5.7%, 침해사고 대응 계획 수립이 5.6%, 침해사고 대응팀(CERT) 구축 및 운영이 4.1%, 침해사고에 대비한 정보보호 관련 보험 가입이 1.3% 순으로 집계됐다.

기업들은 침해사고 대외협력 채널로 ‘인터넷서비스 제공자’ 23%, ‘시스템 개발/유지 보수업체 10.3%, 정보보호 업체 7% 등을 활용하고 있는 것으로 조사됐다.

하지만 더욱 심각한 문제는 기업에서 침해사고 대응활동을 적극적으로 하지 않고 있다는 점이다. 침해사고 대응활동을 시행하는 비율은 17.1%로 전년대비 0.4%p 감소한 것으로 조사됐다.

익명을 요청한 보안전문가는 “랜섬웨어에 대량 감염되고도 신고하지 않고 기업 자체적으로 해결하려는 경우도 상당수”며 “개인정보 유출 기업들의 과징금 부과사례를 교훈 삼아 경영진이 정보보안에 과감히 투자하겠다는 의지를 천명하는 것이 중요하다”고 강조했다.

고려대학교 이상진 교수는 “침해사고가 일어나면 근본적인 원인을 규명하여 대책을 세우기 보다는 임시방편으로 대응하는 경우가 많다”며 “악성코드가 있으면 침입경로를 찾기보다 삭제하거나 시스템을 재설치하는 단순 대응을 하는 것이 대표적인 사례”라고 지적했다.

이어 이 교수는 “근본적인 원인 치료가 없으면 사고는 반복된다”며 “침해사고는 보안 장비 설치만으로 해결되는 것이 아니라 해당 장비의 특성을 재대로 알고 적재적소에 배치해 효율적으로 운영하는 우수한 인재가 있어야 하고, 우수한 인재가 적절한 예산을 사용해 근본적인 취약점을 제거해야 효율적으로 차단할 수 있다”고 설명했다.

한국정보기술연구원 ‘BoB(Best of the Best)’ 프로그램을 수료한 아주대학교 사이버보안학과 전민재 씨는 “자체 보안팀을 갖춘 회사들을 제외하곤 KISA나 아웃소싱 업체에 의존해 자체 보안정책이나 체계 등을 갖추고 있지 않고 있다”며 “회사에서 자체적으로 보안정책을 확고히 수립해 놓는 게 중요하다”고 말했다.

악성코드에 의한 공격, 91%
그렇다면 침해사고를 당한 기업에서 가장 많이 경험한 침해사고 유형은 무엇일까. 바로 ‘악성코드에 의한 공격’으로 무려 91%를 차지했다.

이에 대해 보안업계 관계자는 “내부에서 악성코드가 발견됐을 때 감염 경로와 목적을 정확히 파악해야 한다”며 “감염경로를 정확히 찾아내지 못하면 언제든 다시 공격당할 수 있고, 내부자료 유출 등이 발생할 수 있다”고 지적했다. 덧붙여 그는 자체적인 대응조직을 갖추는 게 가장 좋겠지만 현실적으로 어려우면 전문기관의 도움을 받을 것을 당부했다.

다음으로는 애드웨어와 스파이웨어 감염이 19.7%로 뒤를 이었으며, 랜섬웨어가 18.7%, 해킹 4.9%, 내부인력에 의한 중요정보 유출 4.3%, 디도스 공격 2.9%, APT 2.6% 등 순으로 조사됐다.

이러한 수치는 정기적인 취약점 점검, 소프트웨어와 백신 등을 최신 버전으로 업데이트하는 등 예방조치와 관리만으로도 침해사고를 상당부분 막을 수 있다는 사실을 나타낸다.

이와 관련 하우리 김정수 센터장은 “사이버 침해사고의 피해는 기업 뿐만 아니라 2차로 기업 고객들에게도 피해가 고스란히 이어지기 때문에 예방과 대응이 무엇보다 중요하다”며 “최근 발생하는 침해사고의 경우 고도화된 APT 공격이 많으므로 보안 솔루션을 100% 신뢰하기 보단 최신 보안 위협과 동향을 바탕으로 사내 직원들에 대한 보안교육과 모의훈련 등을 꾸준히 시행하는 것이 중요하다”고 설명했다. 이와 함께 침해사고가 발생했을 경우 피해사실을 은폐하거나 자체적으로 해결하려는 것보다는 관계기관에 신속히 신고하는 것이 피해를 최소화하는 일이라고 김 센터장은 당부했다.

신규 서비스 보안투자 미흡
한편, 가상화페, 핀테크 등 각종 신규 서비스에 대한 보안투자도 미흡한 것으로 드러났다. 신규 서비스에 대한 보안투자를 하고 있는 사업체는 13.9%였으며, 무선랜 보안 투자는 12.2%, 모바일 보안 2.8%, 클라우드 보안 1.4% 등으로 나타났다.

신규 서비스 보안에 대한 향후 투자 계획이 있는 사업체는 전체의 11.5%였으며, 이 가운데 무선랜 보안 7.6%, 모바일 보안 2.7%, 클라우드 보안 1.6%, SNS 보안 1.0%, 빅데이터 보안 2.1%, 사물인터넷 1.0%등 순으로 집계됐다.

업무와 관련해 모바일 기기를 활용하는 사업체의 44.4%가 모바일 보안 강화를 위해 대응방안을 마련하고 있는 것으로 드러났다.

가장 많이 시행하고 있는 조치로는 ‘모바일 기기 보안 소프트웨어 설치 의무화’ 21.1%, ‘모바일 기기 활용 관련 보안정책 수립’ 19.5%, ‘모바일 기기 데이터의 백업 의무화’ 14.1%, ‘모바일 기기에 대한 반출입 관리’ 7.1%, ‘모바일 보안을 위한 관리 인력 배치’ 6.7%, ‘모바일 기기 접속기록 보관 등 관리시스템 구축’ 이 6.6% 순으로 조사됐다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>