39초마다 사이버 공격이 발생합니다. 정부는 과연 이에 맞설 준비가 되었을까요?

이 기사는 VMblog에 게재되었던 내용을 업데이트하여 이곳에 다시 발행한 것입니다.

‍

사이버 보안 인식의 달이 아무리 지나가고, 엘리트 보안 전문가들이 아무리 투입되며, 블랙홀처럼 막대한 자금이 사라져도 대규모 데이터 유출 문제는 매년 악화되기만 하는 것 같습니다. 이제는 재앙 수준이 아니면 주류 뉴스에 나오지도 않을 만큼 흔한 일이 되었습니다. 2020년에는 360억 건 이상의 기록이 노출되는 악의적인 사이버 공격이 발생했으며, 2021년에는 또 얼마나 많은 데이터가 탈취될지 지켜봐야 하는 상황입니다.

위협 행위자들은 끊임없이 기회를 엿보고 있으며, 모든 공격이 재앙적인 것은 아니지만 평균적으로 39초마다 공격이 발생합니다. 우리는 이 싸움에서 승리하기에는 아직 갈 길이 멀며, 공격자들은 데이터 방어자들보다 훨씬 유리한 위치에 있습니다.

하지만 변화의 조짐도 보입니다. 바이든 행정부는 임기 초부터 사이버 보안을 최우선 과제로 삼고 100억 달러의 추가 예산을 투입하기로 했습니다. 이는 분명 올바른 방향으로 나아가는 발걸음이지만, 점점 더 빈번하고 정교해지는 사이버 범죄를 실제로 줄일 수 있을까요?

사이버 위협 해결을 위해서는 전 세계적인 협력이 필요합니다

점점 강력해지는 사이버 공격에 대한 효과적인 방어는 소수의 국가만이 담당할 수 없으며, 안타깝게도 오랫동안 전반적인 통합 전략이 부족했습니다. 그러나 국가 차원의 위협이 증가함에 따라 많은 정부가 이를 심각하게 받아들이기 시작했습니다.

미국 정부에 영향을 미친 솔라윈즈(SolarWinds) 공격은 발생 가능한 위협을 명확히 경고했으며, 주요 기반 시설이 침해될 경우 발생할 수 있는 잠재적 파괴력을 보여주었습니다. 최근 FBI는 플로리다 상수도 시스템이 공격받았다고 경고했습니다. 공격자는 원격으로 상수도 공급을 오염시킬 수 있었습니다. 심각한 피해가 발생하기 전에 저지되었지만, 더 고도화된 공격자였다면 수많은 생명을 위협할 수 있는 대규모 파괴를 일으켰을 것입니다.

전 세계 정부는 느리지만 확실하게 사이버 방어에 대한 투자를 늘리고 있습니다. 영국은 사이버 보안 분야에 기록적인 투자를 단행하고 새로운 태스크포스를 구성했습니다. 호주는 사이버 보안 전략을 강화했으며(특히 인프라 분야), 이스라엘과 덴마크는 최고 수준의 사이버 프로그램을 운영하는 국가로 평가받습니다. 일본은 사이버 방어 분야에서 5위를 차지했습니다. 이는 2018년 당시 사이버 보안 담당 장관이었던 사쿠라다 요시타카가 컴퓨터를 한 번도 사용해 본 적이 없다고 발언했던 것과 비교하면 환영할 만한 변화입니다. 싱가포르 정부는 최근 발표를 통해 미래 통신 인프라의 AI 및 사이버 보안 연구에 5천만 달러를 투자하겠다고 밝혔으며, 이는 디지털 안전과 무결성을 공고히 하기 위한 미래지향적인 조치입니다.

우리가 미래 기술로 빠르게 나아가는 상황에서 강력하고 조율된 전 세계적인 사이버 보안 대응은 필수적이며, 모든 정부 기관은 이를 핵심 과제로 삼아야 합니다.

예산 증액이 곧 문제 해결을 의미하지는 않습니다

지난 몇 년간 정부 주도의 사이버 보안 및 전문성 강화에 투자를 늘린 미국, 영국, 호주의 사례를 보면 보안이 드디어 우선순위가 되었고, '선한 세력'이 싸움에서 이기는 데 필요한 자원을 확보한 것처럼 보일 수 있습니다.

물론 도움이 되기는 하지만, 이는 전체의 일부일 뿐입니다. 그 자금으로 전문가 팀을 구성하고(바이든의 자금 투입 사례처럼), 포괄적인 버그 바운티 프로그램을 운영하며, 재앙적인 침해 발생 시 최고 수준의 사고 대응 및 완화 조치를 취할 수 있습니다. 하지만 태스크포스와 위협 대응에 아무리 많은 돈을 쏟아부어도 이러한 방식의 사이버 방어만으로는 최소한의 진전밖에 거둘 수 없습니다.

모든 정부는 사후 대응적인 보안 조치를 넘어 예방적 전략에 상당한 노력과 자금을 투입해야 합니다. 성공적인 사이버 공격을 막기보다 발생한 공격에 대응하는 데만 집중한다면, 아무리 많은 돈을 들여도 증가하는 위험을 줄일 수 없습니다. 진정한 의미의 선제적 보안 접근 방식은 인프라 강화에 예산을 배정하고, 처음부터 공격 표면을 최대한 줄이기 위해 효과적인 보안 교육과 역량 강화 프로그램을 시행하는 것입니다.

사이버 보안 인력 부족 문제는 해결되지 않을 수 있지만, 낭비되는 잠재력은 존재합니다

고도로 훈련된 전문 보안 인력은 전 세계적으로 수요가 매우 많으며, 사이버 전문가가 넘쳐나는 상황은 오기 어려울 것입니다. 하지만 바로 그렇기 때문에 정부와 조직은 더욱 창의적이고 지혜롭게 가용 자원을 활용해야 합니다.

진정한 예방적 사이버 방어는 소프트웨어 개발 및 인프라 프로세스에 참여하는 모든 사람이 자신의 역할에 맞는 보안 인식을 갖추는 것에서 시작됩니다. 특히 개발자에게는 보안 코딩이 프로세스에 내재화될 수 있도록 적절한 보안 역량 강화 교육과 최적의 도구가 필요합니다. 이는 일반적인 취약점이 드러나기 전에 해결하는 데 큰 도움이 됩니다. 이것만으로도 소프트웨어 개발 수명 주기 후반의 부담과 재작업을 줄일 수 있는 강력하고 비용 효율적인 단계가 됩니다.

우리는 사람 중심의 사이버 보안 모범 사례를 강화해야 합니다. 이는 자동화나 도구에 과도하게 의존하거나 이미 발생하여 고착화된 문제에 사후 대응하는 것보다 훨씬 더 나은 결과를 가져올 것입니다. 오늘날 발생하는 침해 사고의 수를 보면 현재의 전략은 분명 효과가 없습니다.