[법과 상식 사이] 왜 요즘 보안사고가 끊이지 않을까

[지디넷코리아]요즘은 한 기업의 보안사고가 채 잊히기도 전에 또 다른 사고가 이어진다.

개인정보가 유출되고, 서비스가 멈추며, 내부 자료가 외부로 빠져나간다.

기업들도 보안 조직을 만들고 시스템을 점검하며 적지 않은 비용을 쓴다.

그런데도 사고는 좀처럼 줄지 않는다.

왜일까.먼저 공격자의 의도와 방법이 달라졌다.

과거의 해킹이 일부 개인의 호기심이나 실력 과시에서 시작됐다면 지금은 금전을 목적으로 움직이는 범죄조직과 국가의 지원을 받는 공격집단까지 기업을 노린다.

해킹이 수익성 높은 범죄가 되면서 공격은 개인의 일회적 행위에서 벗어나 역할과 기술을 나눈 조직적 산업으로 변했다.생성형 AI는 공격의 속도와 정교함을 더욱 높이고 있다.

자연스러운 피싱 메일을 만들거나 특정인의 말투를 흉내 내는 데 그치지 않고, 소프트웨어의 취약점을 찾아 공격 가능성을 검증하는 데까지 활용될 수 있다.

앤트로픽이 발표한 ‘클로드 미토스 프리뷰’는 과거 숙련된 전문가가 많은 시간과 노력을 들여야 했던 취약점 발견과 검증 작업을 AI가 빠르게 수행할 수 있음을 보여주었다.

공격에 필요한 시간과 전문성의 문턱이 낮아지고 있는 것이다.기업의 업무 구조도 달라졌다.

과거에는 회사 내부의 전산망과 업무용 컴퓨터를 주로 보호하면 됐지만, 지금은 클라우드와 외부 프로그램을 이용하고 여러 협력업체와 업무를 나눈다.

임직원이 회사 밖에서 시스템에 접속하고, 판매자와 물류업체, 결제업체가 하나의 서비스 안에서 정보를 주고받는 일도 일상화됐다.2021년 국내 한 연구기관에서는 외부 접속에 사용하던 가상사설망(VPN)의 취약점을 통해 신원불명의 외부인이 내부 서버에 접속한 사실이 확인됐다.

업무 편의를 위해 만든 외부 접속 통로가 공격자의 침입 경로가 된 것이다.이처럼 기업 밖으로 연결되는 시스템과 계정이 늘어나면서 공격자가 노릴 수 있는 지점도 많아졌다.

기업 내부의 보안이 비교적 철저하더라도 협력업체의 계정이 탈취되거나 외부 프로그램에 취약점이 생기면 사고로 이어질 수 있다.

공격자는 기업의 모든 보안을 뚫을 필요가 없다.

수많은 연결 지점 가운데 가장 약한 한 곳만 찾으면 된다.공격은 빠르게 발전하고 공격할 지점은 늘어났지만 기업의 보안 관리는 그 변화를 충분히 따라가지 못했다.

사용하지 않는 계정이나 퇴직자의 접근 권한이 남아 있고 오래된 시스템의 교체나 협력업체 점검이 미뤄지기도 한다.새로운 공격 기술이 주목받지만, 실제 사고는 오래 방치된 기본적인 빈틈에서 시작되는 경우가 많다.

지난해 국내 한 통신사에서는 수년 전 내부망에 침투한 악성 프로그램이 뒤늦게 발견되면서 대규모 개인정보 유출로 이어졌다.

침투 사실이 장기간 발견되지 않은 관리 공백이 피해를 키운 것이다.이러한 문제를 보안 담당자의 역량 부족으로만 돌릴 수는 없다.

시스템을 교체하고 보안 인력을 늘리려면 비용과 시간이 필요한데 이를 결정하는 것은 결국 경영진이기 때문이다.

사업 확장의 성과는 곧바로 나타나지만, 보안 투자의 성과는 ‘아무 일도 일어나지 않은 것’이니 눈에 잘 띄지 않는다.

당장 문제가 없다는 이유로 보안이 뒤로 밀리기 쉬운 이유다.이러한 현실을 반영해 법도 보안을 기술 부서만의 업무가 아니라 경영진이 책임져야 할 기업 관리의 문제로 보기 시작했다.

오는 9월 시행을 앞둔 개정 개인정보보호법은 일정한 반복적·대규모 개인정보 침해에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다.동시에 개인정보 보호를 위한 예산과 인력, 설비 등에 미리 투자한 경우에는 이를 과징금 감경 사유로 인정하도록 했다.

처벌을 강화하는 데 그치지 않고 기업이 사고 전에 투자하도록 유도하려는 것이다.개정법은 사업주나 대표자를 개인정보 처리와 보호에 관한 최종 책임자로 명확히 하고 개인정보 보호책임자의 역할과 권한도 강화했다.

법이 묻는 것은 사고가 발생한 직접적인 원인만이 아니다.

필요한 인력과 예산을 배정했는지, 낡은 시스템을 방치하지 않았는지, 외부 업체의 위험을 평소에 제대로 관리했는지도 기업의 책임을 판단하는 기준이 된다.왜 보안사고는 줄지 않을까.

공격은 더 정교해졌고 공격할 곳은 더 많아졌지만 보안 관리는 그 속도를 따라가지 못했기 때문이다.

보안사고는 IT 시스템에서 발생하지만, 그 위험을 사전에 줄일 것인지는 경영이 선택하고 책임져야 할 때다. ...