제조업 해킹 막을 보안 컨트롤타워 필요하다

'전체 산업분야에서 두 번째로 사이버 공격을 많이 받는 곳, 랜섬웨어에 감염되면 다른 곳에 비해 몸값을 지불할 가능성이 35배 높은 곳, 사이버 공격으로 인한 실제 피해액이 예측보다 9배 이상 큰 곳.' 바로 우리 제조업이 처한 현실이다.

지난해 SK인포섹이 집계한 바에 따르면 제조업은 IT업종에 이어 두 번째로 공격을 많이 받았다. 제조업이 사이버 공격에 표적이 된 이유는 해커의 금전적 요구를 들어줄 가능성이 높기 때문이다.

기업 규모가 클수록 해킹으로 인한 규모가 천문학적으로 늘어난다. 시장조사 기업인 포네몬이 2016년에 예측한 제조업의 하루 해킹 피해액은 2800만달러였다.

그러나 2018년 대만 반도체 회사가 입은 해킹 피해액은 그 9배인 2억5000만달러였다. 이렇다 보니 해커에게 돈을 주고서라도 피해를 줄이려는 경향이 큰 것이다.

잠깐 화제를 돌려보자. 2013년 미국에서 대형 할인매장을 운영하고 있는 타깃이란 기업에서 7000만건의 개인정보와 4000만건의 카드 정보가 유출됐다. 타깃은 90여건의 소송에 휘말렸으며, 최소 1억4800만달러의 피해를 봤다. 역대 개인정보 유출사고 중에서도 대규모 피해로 손꼽히는 사건이었다.

그러나 이 사건이 이목을 끌었던 것은 결국 최고경영자(CEO)가 물러나면서 사이버 보안에 대한 경각심을 심어줬다는 점이다. 비슷한 시기에 우리나라 금융회사 몇 곳에서 1억건 넘는 개인정보가 유출되자 해당 금융사 CEO가 책임을 지고 사퇴할 수밖에 없었다.

이들 사건은 그해 국내에서 최고정보보호책임자(CISO) 의무지정제도 시행에 힘을 실어준 계기가 됐다. 이후 국내 여러 기업에서 CISO가 보안의 컨트롤타워로 자리 잡게 됐다. 보안 컨트롤타워가 생기자 일정한 권한과 책임도 맡겨졌다. 이후 CISO가 있는 기업의 보안 수준이 올라간 것은 자명한 결과였다.

다시 본론으로 돌아와 국내 제조업의 현실은 어떨까. 몇몇 대형 제조기업을 제외하고, 사이버 보안의 컨트롤타워가 있는 곳은 극히 드물다. 대체로 생산시스템 엔지니어나 IT담당 부서에서 보안까지 겸하는 경우가 많은 편이다. 물론 그들에게 보안을 이유로 생산 라인에 개입할 권한까지 있는 것은 아니다.

보안은 투자가 수반된다. 국내 제조업의 99%를 차지하고 있는 중소기업이 보안에 관심을 갖고, 지속 투자하기란 더 어렵다. 그럼에도 불구하고 제조업을 노린 사이버 공격은 금전적 손실뿐만 아니라 사람까지 다치게 한다. 또 1차, 2차, 3차 협력 구조로 이뤄진 국내 제조산업에선 자칫 파트너를 공격하기 위한 숙주가 될지도 모를 일이다.

이제 정말 국내 제조업이 위기의식을 갖고 사이버 공격에 대비해야 할 때다. 먼저 지피지기로 현재 어떤 위협에 직면해 있고, 스스로 어떤 위험 상황인지를 면밀히 점검해 보길 바란다.

여건이 된다면 전문기업에 맡겨도 되고, 무료 점검을 해주는 기관도 있으니 꼭 받아보길 바란다. 그리고 나서는 보안 컨트롤타워를 만들고, 보안조직을 정비하라. 당장에 어렵다면 시스템 엔지니어건, IT담당자건 보안을 맡고 있는 구성원에게 적정한 권한과 책임을 주어야 한다.

바로 거기서부터 보안이 시작된다.

문병기 SK인포섹 Industry사업그룹장