“기업 회복탄력성의 최전선” CISO 역할의 전략적 전환

회복탄력성이 예방을 제치고 보안 리더와 기업의 최우선 과제로 부상하면서, 전략적 전환을 이미 단행한 CISO들이 실천 방안을 공유했다.

CISO는 조용히 기업의 사실상 최고 회복탄력성 책임자 자리에 올라 있다. 본래 예방 중심이었던 역할이 사고 대응과 비즈니스 연속성·복구 강화로 진화한 결과다.

온엑스(OnX)와 CBTS의 컨설팅 CISO 존 브루거만은 IT 분야를 거쳐 올라온 경험 있는 CISO라면 누구나 운영 마인드셋, 즉 가동 시간에 대한 사고방식을 갖추고 있다고 말했다. 기업이 완전히 멈춰 기능을 수행하지 못하는 상황을 막는 방법을 끊임없이 고민한다는 것이다.

브루거만은 4만 명 규모의 글로벌 기업부터 직원 75명에 연매출 3억 달러 규모의 중소기업까지 다양한 기업에서 30년 경력을 쌓으며 사이버 보안 책임을 지는 CISO가 직면하는 도전을 몸소 겪어왔다.

브루거만에 따르면, CISO는 항상 회복탄력성 마인드셋을 갖춰왔으며, 이제는 그 개념이 명시적으로 불리며 전사 운영의 기반을 이루고 있다. 기업과 개인 CISO 모두에게 리스크는 어느 때보다 높아졌다.

실제로 크라우드스트라이크는 글로벌 장애 사태 이후 최초로 최고 회복탄력성 책임자를 선임했다. 고객과 규제 당국, 투자자에게 운영 강화 의지를 보여주는 메시지였다.

그러나 회복탄력성 전담 C레벨 직책을 신설하는 기업은 많지 않다. 대다수 경우 그 역할은 점점 더 CISO에게 귀속되고 있으며, 보안 리더도 적극적으로 대응하고 있다.

브루거만은 사업 연속성 계획과 비즈니스 영향 평가를 수립할 때 회복탄력성을 출발점으로 삼는다고 밝혔다. 대다수 기업에서 핵심 질문은 시스템이 다운됐을 때 발생하는 손실 규모와 매출 영향으로 귀결된다.

브루거만은 회복탄력성 같은 용어를 이사회 논의에 적극 활용해야 한다고 확신한다. CISO가 사이버 운영에 필요한 예산 승인을 얻어내는 방편이 된다는 것이다. 브루거만은 “가트너가 회복탄력성을 거론하면 CEO가 같은 말을 하고, 이사회도 같은 말을 하게 된다. 그러면 CISO는 자신이 그동안 주장해온 것에 대한 예산을 확보할 수 있다. ‘백업’이라는 단어를 ‘회복탄력성’으로 바꿔야 한다면 망설임 없이 그렇게 하면 된다”라고 말했다.

회복탄력성의 재정의 : 가동 시간을 넘어서

전통적으로 회복탄력성은 가동 시간이라는 좁은 의미로 정의됐지만, CISO의 역할이 비즈니스 운영 지원으로 확장되면서 그 정의도 바뀌고 있다.

트랜센드(Transcend) 컨설턴트 겸 CIO·CISO 에이미 카드웰은 회복탄력성이 단순히 장애 이후 시스템을 복구하는 것 이상의 의미를 지닌다고 본다.

카드웰은 회복탄력성을 시스템 다운타임 복구와 토큰화·암호화를 통한 데이터 탈취 방지 두 축으로 측정해야 한다고 봤다. 그러나 두 요소가 항상 동등한 비중으로 다뤄지지는 않았으며, 기업은 통상 시스템 복구에 집중하는 경향이 있다. 또한 민감 데이터의 위치와 노출 수준 파악도 간과해서는 안 된다고 카드웰은 지적했다.

의료·금융 서비스 등 규제가 강한 업계에서는 규제 위반에 따른 제재나 고객 신뢰 손실 때문에 가동 시간보다 데이터 보호를 우선시하는 경우가 많다. 카드웰은 “은행이라면 데이터 손실 없이 하루 혹은 이틀 다운되는 편이 낫다. 40분 만에 복구하더라도 데이터가 유출됐다면 브랜드 신뢰도가 치명적으로 훼손되기 때문”이라고 말했다.

반면 특별히 민감한 데이터를 보유하지 않은 기업은 방정식이 달라진다. 카드웰은 아마존을 사례로 들었다. 아마존은 신용카드 번호를 토큰화하기 때문에 데이터 침해가 발생하더라도 금융·의료 정보가 아닌 이름, 주소, 이메일만 노출된다. 카드웰에 따르면 민감 데이터 스펙트럼 어디에 위치하느냐에 따라 회복탄력성의 우선순위가 달라지며, 매 분 막대한 손실이 발생하는 아마존 같은 기업은 빠른 복구가 최우선일 수밖에 없다.

카드웰은 CISO가 시스템 복구 시간뿐 아니라, 어떤 종류의 데이터를 얼마나 잃을 것인지에 대한 허용 기준도 명시적으로 설정해야 한다고 주장했다. 평균 복구 시간을 산정하는 훈련과 마찬가지로, 데이터 손실에 대해서도 동일한 논의가 이뤄져야 하며, 아직 그렇게 하지 않는 CISO라면 반드시 논의 의제에 추가해야 한다고 카드웰은 조언했다.

AI의 급속한 도입도 CISO에게 새로운 회복탄력성 시험대가 되고 있다. 잠재적 데이터 노출 리스크를 증폭시키면서, 이론적 논의였던 데이터 손실 문제를 현실의 운영 과제로 만들고 있다.

카드웰은 한 의료기관에서 15년치 환자 데이터가 유출된 사례를 소개했다. 침해는 핵심 시스템이 아닌 회계 폴더를 통해 발생했다. 규모가 작은 의료 청구 업체로서 대형 기관에 인보이스를 발행하던 이 기관은 수년간의 청구서에 환자 이름, 번호, 상태를 기재해 왔으며, 아무도 보안 조치를 취하지 않은 위치에 수년치 파일이 무방비 상태로 보관돼 있었다.

카드웰은 왜 회계 폴더에 그토록 많은 의료 데이터가 쌓여 있었는지 반문하며, 어떤 경계 방어로도 잡아낼 수 없는 섀도 데이터 문제라고 지적했다.

카드웰은 “CISO이 오랫동안 ‘데이터 위치를 모르면 보호할 수 없다’고 목소리를 높여왔다. 섀도 IT도 있고, 섀도 데이터도 있다. AI는 이 문제를 열 배로 키우고 있다. 대형 기업에서 모든 데이터의 위치와 사용 방식을 파악하는 것은 사실상 불가능에 가깝다”라고 말했다.

카드웰은 데이터 확산을 억제하려면 역할 기반 접근 제어(role-based access control)를 통한 민감 데이터 보호가 필수라고 강조했다. 다만 현실에서는 모범 사례와 실제 수준 사이에 상당한 격차가 존재한다.

또한 “모든 CISO가 역할 기반 접근 제어가 기업이 할 수 있는 가장 중요한 조치라고 말할 것이다. 그러나 동시에 70% 이상 제대로 구현한 기업은 한 번도 본 적이 없다고도 말할 것”이라고 전했다.

최고 회복탄력성 책임자가 데이터 보존 정책 같은 일부 기능을 담당할 수 있겠지만, 업무 범위가 이미 명확한 경계를 가진 기존 역할들과 충돌한다. 감사·개인정보보호·법무 기능은 경계가 분명하지만, 회복탄력성은 평균 복구 시간을 담당하는 CIO는 물론 최고 데이터 책임자(CDO)와도 직접 충돌할 수 있다. 카드웰은 명확한 경계 설정 없이는 회복탄력성 관련 의사결정 체계가 복잡해질 수밖에 없다고 지적했다.

회복탄력성 마인드셋의 실행

커밋볼트(CommVault) CSO 빌 오코넬은 회복탄력성은 기업의 최소 실행 가능 운영 범위를 정의하는 것에서 시작한다고 밝혔다. 그다음은 무엇을 우선시하고, 무엇을 보호하며, 문제 발생 시 무엇을 먼저 복구할지를 역으로 도출해 반복 훈련하는 과정이다. 오코넬은 비즈니스의 최소 기능 단위를 정의한 뒤, 복구 우선순위와 훈련을 그 기준으로 구성해야 한다고 조언했다.

최고 비즈니스 보안 책임자와 글로벌 보안 운영 역할을 두루 거친 오코넬은 회복탄력성 마인드셋이란 프로세스를 문서 밖으로 꺼내 실제로 실행하는 운영 마인드셋이라고 말했다.

오코넬은 사고 대응에서 가장 힘든 부분은 거의 항상 해당 절차를 한 번도 훈련하지 않은 지점에서 발생한다는 것을 경험으로 알고 있다고 밝혔다. 또한 핵심 조치가 무엇인지, 누구에게 연락해야 하는지, 어디로 가야 하는지, 어떻게 정보를 얻는지를 사전에 반복 훈련하지 않으면 실제 상황에서 고통이 배가된다고 오코넬은 설명했다.

오코넬이 가장 경계한 것은 사업 연속성 계획과 재해 복구를 감사용 문서로만 취급하는 태도다. 장애 상황에서 누가 누구에게 어디서 어떤 정보를 전달하는지를 직접 훈련하는 것이 필수라는 것이다.

또 오코넬은 ‘ResOps’ 접근법을 제안했다. 데브옵스(DevOps)와 섹옵스(SecOps)처럼, 기업이 핵심 서비스 복구 방식을 지속적으로 테스트·훈련·개선하는 체계적인 프로세스가 필요하다는 것이다. 여기에 더해 데브옵스, 섹옵스처럼 회복탄력성 확보를 위한 체계적 프로세스, 즉 ‘ResOps’가 조직 내에 존재하는지 스스로 물어봐야 한다고 말했다.

오코넬은 방어에 지나치게 집중해 회복탄력성을 소홀히 하는 것도 경계해야 한다고 봤다. 다만 많은 CISO에게 회복탄력성 중심의 마인드셋 전환이 쉽지 않다는 점도 인정했다. 오코넬은 “방어에 덜 집중하라고 말하면 CISO은 그게 자신의 역할인데 겁부터 낸다. 하지만 방어를 소홀히 하라는 뜻이 아니다. 복구와 가용성, 회복탄력성에 충분히 투자하지 않고 있으니 균형을 맞춰야 한다는 의미”라고 말했다.

오코넬은 이사회 논의에서 리스크, 잠재적 영향, 완화 방안이라는 틀을 활용한다고 밝혔다. 비즈니스 리더와 나란히 서서 그들이 바라보는 문제와 기회를 함께 살펴보고, 사이버 보안이 그 성과를 어떻게 뒷받침하는지 설명하는 방식이다.

CISO를 위한 회복탄력성 강화 조언

브루거만은 컨설팅 경험을 바탕으로 회복탄력성을 실질적인 과업으로 만들려는 보안 리더를 위한 실용적인 조언을 내놨다. CISO가 반드시 회복탄력성 전반을 직접 책임질 필요는 없으며, GRC 및 컴플라이언스 담당 부서와 파트너십을 맺을 수 있다는 것이다. 브루거만은 양측 모두 기업의 성공을 원하지만, 접근 도구와 예산 확보 방식이 다를 뿐이라고 설명했다.

파트너십 구조에서는 CISO가 사이버·운영 리스크를 명확히 제시하고, GRC·컴플라이언스 부서가 그 리스크를 코드화·정량화하며, CFO·COO가 예산과 기업 차원의 과업으로 전환하게 된다. 단순히 문제를 넘기는 것이 아니라 공동 책임을 나누는 협력이다.

브루거만은 전담 최고 회복탄력성 책임자를 둔 기업을 아직 한 곳도 본 적이 없다고 밝혔다. 그보다는 “단독 역할보다는 파트너십에 가깝다. CIO, CISO, COO 각각이 책임의 일부를 나눠 갖는 구조”에 가깝다. 책임이 여러 포트폴리오에 분산돼 있기 때문인데, 각 책임자가 C레벨에서 위상을 높일 수 있는 기회이기도 하다.
dl-itworldkorea@foundryco.com ...