Classic_Blue_Note

원본 기사

www.boannews.com/media/view.asp?idx=95646

2021년 2월 현대자동차와 기아자동차의 미국 및 아랍에미리트 법인 기업정보로 추정되는 자료들이 다크웹에 공개되는 사건이 있었다. 해커조직들이 이렇게 노출한 자료들은 매우 중요한 기업정보로, 회사들은 정보 유출 사실을 감추려 하였으나, 가격협상 불발 등의 이유로 인해 정보를 공유한다며 자료를 올렸다. 해커조직들은 SQL 인젝션 공격으로 해킹했다고 알렸으며, 해당 자료의 일부를 트위터에 공개하기도 하였다.

이렇듯 해커조직들은 기업을 공격한 뒤 얻은 정보를 이용하여 금전적 이득을 보고자 한다. 그러나 일부 기업들은 협상에 응하지 않고, 결국 해커조직에서 해킹으로 유출한 정보를 다크웹에 공개하는 상황이 발생하게 된다.

기본적으로 해커조직과의 협상에는 응하지 않는 것이 원칙이지만, 주요 내부 정보가 유출될 시 입는 피해도 막대하고 한번 노출된 정보는 수습할 수 없기 때문에 기업들의 고민이 많아지게 된다.

기사에서는 발빠른 대처를 통해 추가적인 피해를 막아야 하고, 애초에 보안사고가 발생하지 않도록 보안을 강화하는 한편, 기업의 보안문화가 정착되어야 한다고 하고 있다. 특히 해외 법인과 협력업체 등을 통해 본사 자료가 유출되는 경우도 많기 때문에, 해외법인이나 협력사에 대한 보안 관리와 보안 교육이 강화되어야 한다는 말도 언급하고 있다.

만약 해당 정보들이 기업의 핵심 정보였으면 어땠을까? 기업은 울며 겨자먹기로 해킹범과 협상을 해야 했을 것이고, 결국 과거 인터넷나야나 랜섬웨어 감염 사태와 같이 해킹범에게 어마어마한 금전적 이득을 가져다 주었을 것이다. 오히려 기업 입장에서는 공격당한 정보가 어떤 정보인지 파악하고, 해킹범들이 제시한 금액만큼의 효용이 없다고 판단했을지도 모른다.

이러한 관점에서 보았을 때, 보안은 결국 경영의 핵심이 되어야 하고, 리스크 관리 측면에서 봐야 한다. 완벽하다고 생각하더라도 허점이 있을 수밖에 없고, 그러한 허점들 중 기업에 큰 리스크가 될 수 있는 문제점들은 빠르게 파악해서 고쳐나가야 한다. 이를 통해 리스크를 해소하고, 추후 발생할 수 있는 금전적인 문제들을 사전에 예방하여 결국 ROI를 극대화하는 것이 중요한 것이다. 그것이 기업이 해야 할 목표이긴 하다. 결국 100% 보안이란 불가능하고, 위험을 감수할 수 있는 범위까지 최소화하고 이익을 극대화하는 것이 최고의 보안 전략이다.

하지만 기사에서도 볼 수 있듯이 아직은 주로 형식적인 보안, 법으로 강제된 보안을 통해 이루어지는 경향이 크다고 언급하고 있다. 이처럼 보안을 일종의 규제로만 생각하고, 수익을 창출하는 컨텐츠가 아니라고 생각하기 때문에 보안에 대한 관심이 미비할 수 밖에 없다. 하지만 소를 잃고 외양간을 고치는 것은 결국 소가 사라진 후일 뿐이다. 외부에서 소를 탐내는 도둑들이 많다고 판단되면, 그 소를 지키기 위해 외양간에 투자해야 하는 것이다.

소를 잃어버리면 다시 사면 되지 않느냐, 겨우 소를 위해 외양간에 이만큼 투자해야 하느냐 라는 의문이 있을 수도 있다. 하지만, 디지털 공간으로 돌아와 보면 "겨우 소 한마리" 가 아니다. 오늘날은 데이터 경제 사회에서 살고 있다. 데이터의 양은 점점 더 방대해지고 있고, 데이터의 양이 결국 경제적 가치가 되는 것이다. 소로 비유하자면, 외양간 안에 소가 계속해서 추가되고 있는 상황인 것이다. 이런 상황에서 외양간이 부서지고, 소를 도둑맞는다면 당연히 손해가 막심할 것이고, 이러한 손해를 다시 보지 않기 위해 외양간을 고칠 것이다.

이럴 거면 미리 외양간을 고쳐 놓자는 것이다. 내 외양간은 안 부서지겠지, 그런 안일함 때문에 수많은 기업들이 손해를 본 뒤 유출 지점을 확인하고 있다. 사전에 대비하고, 위험에 대비한다면 그 손해를 없던 것으로 만들거나, 최소화할 수 있을 것이다.