이 모든 소란의 핵심이 무엇인지, 그래서 이게 실제 사람들에게 어떤 의미인지 궁금하시다고요? 간단합니다. 디지털 요새를 팍팍한 예산으로 지켜내야 하는 불쌍한 CISO들이 드디어 제대로 된 존중과 절실히 필요한 자원을 얻게 될지도 모른다는 겁니다. ‘위험 완화’, ‘위협 환경’ 같은 추상적인 이야기 대신, 이제는 확실한 ‘현실 금전’에 대한 이야기입니다. 패치 작업에 수백만 달러를 투자하는 것이 랜섬웨어 공격으로 수억 달러를 잃는 것보다 훨씬 저렴하다는 것을 회계 담당자들에게 증명하는 것이죠.
늘 의심 가득한 경영진들은, 그들의 이익 중심적인 마음으로, 사이버 보안을 그저 경비로 여기곤 합니다. 그들은 복잡한 기술 용어 대신 달러와 센트를 보고 싶어 하죠. 바로 이때, Resilience와 같은 회사들이 나서서 기술 현장과 경영진 사이의 마지못한 통역사 역할을 합니다. 이들은 실제 보험 청구 데이터, 즉 사이버 공격으로 발생하는 고통스러운 현실의 수치를 분기별 보고서와 주가만 생각하는 사람들에게 와닿는 재무 용어로 풀어냅니다.
누가 실제로 돈을 버는가?
우선 Resilience입니다. 이들은 컨설팅, 위험 평가, 그리고 물론 보험 판매도 합니다. 그리고 자신들의 청구 데이터를 활용해 자신들의 주장을 펼칩니다. 이것은 훌륭한 피드백 루프입니다. 더 많이 보험을 들수록, 더 많은 데이터를 수집하고, 더 나은 인수 및 자문을 제공하며, 아마도 더 많은 돈을 벌게 될 겁니다. 21세기 기술 용어로 포장했을 뿐, 아주 오래된 사업 모델이죠.
그리고 사이버 보안 벤더들도 잊지 말아야 합니다. 만약 CISO들이 갑자기 더 큰 예산을 확보하게 된다면, 누가 그 파이를 더 많이 가져갈까요? 맞습니다. 도구와 서비스를 판매하는 사람들이죠. 이 데이터는 특정 실패 지점을 조명함으로써, 타겟팅된 투자 로드맵—그리고 영업팀을 위한 로드맵—이 됩니다. 즉, CISO는 더 많은 무기를 얻겠지만, 근본적인 벤더들도 덩달아 성장할 가능성이 높습니다. 돈을 내는 회사가 되거나, 더 나쁘게는 예방할 수 있었던 공격의 피해자가 되지 않는 한, 이것은 모두에게 ‘윈-윈-윈’입니다.
제조업의 랜섬웨어 참사
이 보고서는 특히 랜섬웨어로 몸살을 앓고 있는 제조업 분야에 주목합니다. 그리고 그 수치들은… 눈을 번쩍 뜨게 만듭니다. 재무적 피해의 90%가 랜섬웨어에서 발생하지만, 실제 ‘사고’는 단 12%에 불과합니다. 이는 영향력과 빈도의 극명한 대비를 보여줍니다. 단순히 파일이 잠기는 문제가 아니라, 운영, 공급망, 그리고 솔직히 말해 적대적 국가에게 지정학적으로 이용될 가능성까지 걸린 문제입니다. 이란 연계 공격으로 Stryker가 언급된 것은 단순한 경고가 아니라, 완전한 비상벨입니다.
하지만 여기서 결정적인 부분, 즉 진짜 통찰력이 있는 곳은 이렇습니다. 보고서는 왜 이 치명적인 공격들이 발생하는지에 대한 ‘진실’을 털어놓습니다. 그것은 근본적인 두 가지 실수로 요약됩니다. 첫째, 소프트웨어 취약점. 놀랍지도 않죠. 기업들은 여전히 패치에 엉망입니다. Resilience는 이러한 알려지고 방치된 상처들이 악용되어 손실의 13%를 차지한다고 지적합니다.
그리고, 심장을 후벼 파는 듯한 또 다른 문제는 다중 인증(MFA)의 잘못된 설정입니다. 소프트웨어 취약점 악용으로 인한 손실의 두 배입니다. 이것은 최첨단 금고 문을 만들어 놓고 열쇠를 잠금장치에 꽂아두되, 약간 구부려 놓는 것에 비유할 수 있습니다. MFA가 없는 것은 그저 어린이 풀장에 비할 수 있죠. 중요한 것은 MFA를 가지고 있느냐가 아니라, 그것이 제대로 작동하도록 설정했느냐는 것입니다.
“우선순위는 단순히 MFA를 배포하는 것을 넘어, 모든 계정에 대한 강제 적용, 우회 조건 제거, 그리고 조건부 액세스 정책의 적절한 구성을 보장하기 위해 기존 배포를 감사하는 것입니다.”
Resilience의 이 인용구는 핵심입니다. 규정 준수 체크박스를 획득하는 것과 실제 시스템을 보호하는 것의 차이입니다. 그리고 그들의 포트폴리오에서 가장 큰 손실을 기록한 BlackCat 랜섬웨어 공격은? 바로 그 아름답게 잘못 설정된 MFA 때문에 가능했습니다. 너무 파괴적이지만 않다면 거의 웃음거리가 될 지경입니다.
개발자에게 이것이 왜 중요할까?
최전선에 있는 개발자들에게 이것은 그들의 업무—혹은 업무 소홀—가 직접적으로 재무 결과와 연결된다는 것을 의미합니다. 당신이 놓친 버그? 당신이 밀지 않은 패치? 당신이 서둘러 처리한 인증 흐름? 이제 이것이 보험 보고서에 등장하고, 예산 논의에 영향을 미칩니다. 이것은 강력한 코딩 관행, 철저한 패치, 그리고 결정적으로 모든 코드 라인의 보안 영향을 이해하는 것의 중요성을 높입니다. 기능성을 넘어 재무적 결과를 생각하도록 만드는 자극이죠.
그리고 수많은 침해 사고의 ‘관문 마약’ 역할을 하는 피싱도 잊지 말아야 합니다. 이것은 송금 사기 및 이메일 침해를 통한 청구의 30%를 차지합니다. 이것은 화려하고 헤드라인을 장식하는 랜섬웨어 공격은 아니지만, 가장 약한 고리—바로 우리—를 이용하기 때문에 빈번하고 비용이 많이 듭니다. 보고서에서 권장하는 아웃오브밴드 확인 및 대규모 거래에 대한 이중 승인? 좋은 조언입니다. 특히 재무 담당자를 대상으로 한 타겟 소셜 엔지니어링 교육? 훨씬 더 좋습니다.
CISO들이 기술적인 세부 사항에 매몰되기 쉽지만, 이 데이터는 번역을 강요합니다. 이것은 실질적인 재무적 손실로 두들겨 맞은 사이버 보안의 비즈니스 사례입니다. Resilience의 Jud Dressler는 이렇게 요약합니다. 제조업체는 바퀴를 재발명할 필요가 없습니다. MFA 감사, 절차적 통제, 그리고 랜섬웨어 격리 투자는 실질적인 변화를 가져올 수 있습니다. 기본적인 것을 탁월하게 잘하는 것이 핵심입니다.
궁극적으로 이것은 사이버 보안을 IT 부서의 문제를 넘어 이사회 수준의 비즈니스 필수로 만드는 것입니다. 그리고 이를 위해 보험 청구 데이터가 필요하다면, 그렇게 하는 것이죠. 질문은 이 데이터가 유용한지 여부가 아니라, 다음번, 필연적으로 더 비싼 침해 사고가 발생하기 전에 기업들이 이에 행동할 것인지 여부입니다. 그리고 그 비활동으로 누가 가장 큰 이익을 얻을까요? 예상하셨을 겁니다.
🧬 관련 인사이트
자주 묻는 질문
