IBM, "해킹피해 막으려면 자동화된 보안 필요"

[파이낸셜뉴스] 해킹 등으로 인한 데이터 유출 피해를 방지하려면 공격을 예방 및 탐직하고 이를 막을 수 있는 자동화 보안 시스템이 필요하다는 주장이 제기됐다.

매튜 글리처 IBM 아태지역(APAC) 보안사업부 부사장은 13일 서울 글래드 호텔에서 열린 '2020 아시아태평양경제협력체(APEC) 중소벤처기업 정보보안 포럼’에서 기조연설을 통해 이같이 밝혔다.

매튜 글리처 부사장은 “현재 시각 새벽 2시 30분. 해킹으로 당신의 제조공장이 생산을 멈추고 웹사이트에 접속도 불가능하다.

주문을 받지 못하고 상품 발송도 불가능하다면 어떻게 하겠느냐”며 현재 닥친 보안 위험에 대한 화두를 던졌다.

그는 “사이버 범죄는 두려움, 불안, 불확실성과 같은 감정을 이용해 협박하는 것에 기반해 이루어진다”면서 “코로나바이러스 확산 이후 스팸매일이 증가하고 해킹 공격이 늘고 지난 3~4개월간 랜섬웨어 공격 역시 급증했다”고 말했다.

랜섬웨어는 해커가 사용자의 컴퓨터를 마비시키고 돈을 요구할 때 이용하는 해킹 프로그램이다. 마비된 사용자가 돈을 보내지 않으면 컴퓨터가 복구되지 않거나, 내부 데이터가 유출되는 경우도 있다.

매튜 글리처 부사장은 “랜섬웨어 공격으로 제조업종이 타격을 입었고 교육기관 역시 가상수업을 진행하며 타깃이 됐다”면서 “특히 아시아와 북아메리카 지역이 집중적으로 피해를 입었다”고 설명했다.

IBM은 데이터 유출로 인한 피해를 비용으로 산출했다. 총 17개국 524건의 데이터 유출 사례를 살피고 피해 비용을 계산했다.

매튜 글리처 부사장은 “데이터 유출 사례를 살펴본 결과 한국의 경우 유출에 따른 평균 총 비용은 38억 달러로 지난해 대비 7% 늘었다”면서 “데이터 침해의 50%는 악의적 공격으로 발생했고, 이러한 공격중 19%는 클라우드 애플리케이션 오류와 관리 미숙으로 인한 것이었다”고 지적했다.

그는 “도난당한 데이터 기록에 개인식별정보(PII)가 있다면 데이터 유출에 대한 비용이 더 많이 들게 된다”면서 “조사 케이스 중 80%가 개인식별정보와 같은 중요한 데이터를 포함하고 있었다”고 말했다.

데이터 유출 식별에 걸리는 평균 시간도 216일에서 223일로 7일 늘었다. 데이터 유출을 막는데 걸린 시간도 71일에서 78일로 일주일 늘어난 것으로 나타났다. 데이터 유출을 사전에 예방하거나 탐지하고 대응하는 과정이 순탄치 않았다는 얘기다.

그는 “보안을 자동화 하지 않은 상태에서 플랫폼을 구축했을 때 이런 위기 상황이 발생하면 큰 영향에 미친다는 것을 알게 됐다”면서 “오케스트레이션 자동화 기능을 이용하면 데이터 유출에 대한 비용을 최대 358만달러까지 절감할 수 있었다”고 주장했다.

그는 “현재에도 세상에는 수십억개의 데이터 기록이 도난당할 위기에 있고, 앞으로 2년 안에 사이버 범죄로 인해 최대 6조 달러의 손실이 발생할 것”이라며 “중소기업들은 보안을 자동화 하고 조화롭게 운용하기 위해 어떤 도구를 올바르게 사용할지 고민해야 한다”고 말했다.

그는 보안 문제에 대해 무관용 원칙으로 대응해야 함을 강조했다.

시스템을 신뢰하지만 검증 받는 개념이 아니라 ‘전혀 신뢰하지 않고 상시 검증받는 체제(Never Trust, always verify)’가 필요하다는 얘기다. 이를 ‘제로 트러스트(Zero Trust)’라고 한다.

그난 마지막으로 “IBM은 미래에 대응하기 위해 몇가지 모색을 해왔는데 그중 양자 컴퓨팅은 능력을 향상시킴과 동시에 보안과 암호하의 핵심을 위협한다는 점에서 세계에 엄청난 기회를 제공한다”면서 “앞으로는 양자컴퓨터를 이용한 해킹을 막는 방법과 AI시스텍의 취약점 극복방안 등을 잘 살펴야 할 것”이라고 말했다.

[e-mail] 김성환 기자