SolarWinds 해킹, 사이버보안을 이사회 최우선 과제로 만들어야 하는 이유

2020년 12월 발생한 SolarWinds 해킹 사건은 조직이 강력한 사이버보안 정책을 갖추지 못했을 때 소프트웨어와 시스템 공급망이 얼마나 쉽게 침해될 수 있는지를 여실히 보여주었습니다.

CISA(사이버보안 및 인프라 보안국)의 공식 성명에 따르면, APT(지능형 지속 위협) 행위자가 2020년 3월부터 미국 정부 기관, 중요 인프라, 민간 기업을 표적으로 삼기 시작했으며, 이는 인내심, 작전 보안, 정교한 수법을 보여줍니다. CISA는 이 행위자를 침해된 환경에서 제거하는 것이 매우 복잡하고 어려울 것이라고 경고합니다. 자세한 감염 경로와 완화 조치는 CISA 성명에서 확인할 수 있습니다.

이러한 세부 사항은 embedded.com과 EE Times의 통찰과도 일치하며, IoT 보안의 중요성과 반도체 업계 보안 전문가의 전문성이 필수적임을 다시 한번 강조합니다.

보안에 집착하는 정부조차 서드파티 시스템의 허술한 보호 조치로 인해 취약해질 수 있다는 사실은 놀랍습니다. 저는 과거 영국 정부 계약자로 일하면서 엄격한 보안 교육과 인식을 요구받았습니다. 잠긴 차 안에 노트북을 두지 않고, 항상 소지하거나 시야 안에 두는 관행은 간과되기 쉬운 인적 요소를 잘 보여줍니다.

결국 SolarWinds 사태는 근본적인 정책 공백을 드러냅니다. 사이버보안을 하드웨어와 소프트웨어 설계자의 전적인 책임으로 둘 것인가, 아니면 기업 거버넌스의 최상위 수준에 내재화해야 할 것인가?

선도적인 기업 금융 자문사인 Woodside Capital Partners는 Nishant Jadhav 상무이사가 작성한 CEO, 이사회 멤버, 사모펀드사를 위한 7가지 교훈이라는 보고서를 발표했습니다. 이 보고서는 SolarWinds 공급망 공격이 임원진과 이사회 차원에서 사이버보안에 대한 더 깊은 이해가 시급함을 보여준다고 주장합니다. 지능형 지속 위협이 보이지 않게 잠복할 수 있는 시대에 평판과 기업 가치를 보호하는 것이 그 어느 때보다 중요해졌습니다.

보고서는 이사회 구성원이 자사의 사이버 보증이 견고함을 평이한 언어로 확인할 수 있어야 한다고 강조합니다. 다음은 7가지 교훈입니다.

교훈 1: 컴플라이언스 퍼스트가 아닌 시큐리티 퍼스트 마인드셋 채택 – 톱다운 접근

시큐리티 퍼스트 접근법은 경영진과 이사회가 자사가 직면한 구체적 위험과 고객 및 파트너에게 초래하는 위험을 이해하는 것을 의미합니다. 컴플라이언스 퍼스트 태도는 단순히 규제 체크리스트를 충족시키는 데 그치며 고정된 단기적 안전망만 제공합니다. 사이버 위협은 빠르게 진화하므로 분기별 이사회 차원의 위협 태세 승인이 필수적입니다.

교훈 2: CISO를 경영진 리더십 팀의 일원으로 포함

효과적인 CISO는 IT를 넘어 고객 대면 역할의 의도치 않은 데이터 유출, 신기술 도입으로 인한 위험 등 모든 잠재적 위협 벡터를 고려합니다. CISO에게 임원급 책임을 부여함으로써 보안 권고사항이 실행되고 위험 노출이 지속적으로 측정되도록 보장합니다.

교훈 3: 지속적 보호와 복구를 위한 CISO KPI 설정

침해 발생 후 CISO를 해임하는 대신, 적절한 보안 예산 배정 능력, 조직 전반의 사이버보안 인식 제고, SolarWinds 같은 외부 위협에 대한 대응 모델링 능력에 초점을 맞춰야 합니다. KPI는 운영 가동 시간뿐만 아니라 공격 완화 및 복구 능력을 반영해야 합니다.

교훈 4: 신뢰할 수 있는 파트너가 보안을 보장하지 않는다

SolarWinds 사례는 어떤 파트너도 위험으로부터 자유로울 수 없음을 입증합니다. 신제품 개발을 위한 에어갭 환경 구현은 신뢰할 수 있는 벤더로부터의 침투 위험을 줄일 수 있습니다.

교훈 5: 보안 타협은 수익 창출 수단이 아니다

Woodside Capital은 기술 투자, 교육, 지속적 보호 정책, 신속한 복구를 반영하는 평가 지표로 '사이버 등급'을 제안합니다. 높은 사이버 등급은 높은 기업 가치와 연관됩니다. 사모펀드사는 단기 수익성보다 사이버 등급을 우선시해야 합니다.

교훈 6: 이사회 차원에서 사이버 보험 재검토

많은 보험 상품이 데이터 유출로 인한 금전적 손실을 보장하지만, 공급망 공격이나 국가 주도의 위협은 제외될 수 있습니다. CISO는 이사회와 협력해 이러한 시나리오와 공격의 장기적 여파를 보장하는 보험을 확보해야 합니다.

교훈 7: 지속적인 평판 보호

침해는 언제든 발생해 비즈니스 성과에 영향을 미칠 수 있습니다. 기업은 지속적 투자, 교육, 투명한 복구를 통해 사이버보안을 핵심 차별화 요소로 입증해야 합니다. 사이버 보증을 확립하고 이를 고객과 파트너에게 전달함으로써 장기적으로 평판을 지킬 수 있습니다.

Woodside Capital 보고서는 리스크 관리부터 사이버 보험까지 포괄적인 사이버 보증 솔루션을 제공하는 성장 단계 기업들도 나열하고 있습니다. 전체 보고서는 여기에서 확인할 수 있습니다.