보메트릭과 451리서치가 공동 발간한 보고서는 미국 금융 기관의 보안 전문가 100명을 포함한 전 세계 대기업의 IT 보안 전문가 1,100명을 대상으로 보안 위협에 대해 조사한 결과를 담고 있다.
451리서치의 정보 보안 수석 연구원이자 보고서의 저자인 가렛 베커(Garrett Bekker)는 “데이터를 보호하기 위한 금융기관의 보안 계획은 합리적이지 않다”며 “금융기관은 아직도 다단계의 사이버 공격으로부터 데이터를 보호하는데 효과적이지 않은 분야에 보안 예산을 투자하고 있다. 실제로 65%의 응답자들은 네트워크 보안에, 58%의 응답자들은 엔드포인트 및 모바일 단말 보안 관련 예산을 늘리고 있으며 이는 각 보안 분야 중 가장 높은 증가다. 사이버 공격이 외부적인 방어 보안 솔루션을 우회함에 따라 저장 데이터를 보호하는 보안 솔루션이 데이터 보호에 있어 가장 효과적임이 증명됐음에도 불구하고 저장 데이터 보안은 보안 분야 예산 증가 설문에서 48%로 가장 낮은 순위를 차지했다”고 말했다.
이번 보고서의 주요 내용은 다음과 같다.
◇90%의 응답자는 데이터 보호에 취약함을 느낀다고 답했다.
◇44%의 응답자는 과거 데이터 침해를 경험했으며 응답자 5명 중 1명(19%)은 작년에 데이터 침해를 경험했다고 답했다. 56%의 응답자는 보안 규제 준수가 IT보안 예산 지출에 있어 최우선 고려순위라고 답했으며 50%를 기록한 데이터 유출 사고 방지, 성공 사례 적용이 그 뒤를 이었다.
◇데이터 보안 솔루션을 보다 포괄적으로 도입하는데 장애가 되는 요인으로 68%의 응답자가 ‘복잡성’이라고 답했으며, 35%의 응답자는 ‘인력 부족’이라고 답했다.
◇긍정적인 부분은 70%의 응답자가 올해 데이터 위협에 대응하기 위한 보안 예산을 증액하겠다고 답했으며, 48%의 응답자가 올해 저장 데이터 방어 예산을 늘리겠다고 답했다는 것이다.
금융 서비스 기업들의 시스템은 전 세계 금융 정보가 저장되거나 거쳐가는 공간이기에 언제나 사이버 범죄자들 혹은 내부자들의 주요 타깃이 되는 것이 사실이다. 가장 위협적인 외부자를 묻는 설문에서 42%의 응답자들이 가장 높은 순위로 사이버 범죄자를 선택하고, 88%의 응답자들이 사이버 범죄자를 위협적인 외부자 상위 3위 안에 꼽았다.
또한 가장 위협적인 내부자를 묻는 설문에서는 시스템에 접근할 수 있는 권한 있는 사용자가 가장 높은 순위에 올랐으며, 68%의 응답자들이 권한 있는 사용자를 가장 위협적인 내부자 상위 3위 안에 꼽았다.
비즈니스 운영을 위해 수많은 규제와 컴플라이언스 준수가 요구됨에 따라 금융 분야의 IT 보안 담당자들이 데이터 보안에 있어 규제 준수에 집중하는데 민감 데이터를 보호해야 하는 이유로서 응답한 상위 3개는 ◇컴플라이언스(56%) ◇데이터 유출 사고(50%) ◇보안 성공 사례 적용(50%)이다.
그러나 문제는 미 금융 기관의 IT 보안 담당자 중 66%가 보안 규제 준수가 여전히 민감한 데이터를 보호하는데 효과적인 방법이라고 인식한다는 것이다. 그러나 사실상 사이버 위협의 변화를 따라가지 못하는 보안 규제 기준은 오늘날의 다층적, 다단계 공격을 방어하는데 도움이 되지 않고 있다.
한편, 금융 기관은 빅데이터 내 민감 데이터 이용에 대해서 가장 높은 응답률을 기록했다. 59%의 응답자는 빅데이터 환경에 민감 데이터를 저장할 계획이라고 답했다. 또한 금융 서비스 기관들은 클라우드 이용에 대해 많은 우려를 갖고 있음에도 불구하고 91%의 응답자들은 클라우드 환경에 민감 데이터를 저장할 계획이라고 답했다. 그들이 클라우드 사용과 관련해 가지고 있는 가장 큰 우려 사항은 ◇클라우드 제공업체 단에서의 데이터 유출 사고(75%) ◇공유되는 인프라로 인한 보안 취약점 증가(72%) ◇데이터와 관련된 사생활 보호 정책 혹은 사생활 보호 관련 서비스 협약 부족 (71%)으로 나타났다.
이러한 우려에 불구하고 54%의 응답자는 향후 1년 안에 SaaS 환경을, 48%는 IaaS를, 48%는 PaaS환경을 이용할 것이라고 답했다.
이번 조사에서 발견한 긍정적인 부분은 금융 기관들이 문제를 인식하고 이를 해결하기 위해 필요한 조치들을 취해 나가고 있다는 것이다.
보메트릭 글로벌 마케팅 부사장 티나 스튜어트(Tina Stewart)는 “’금융 서비스 기관은 계속해서 사이버 공격자들로부터 위협을 받고 있다”며 “금융 기관 IT담당자들은 이러한 상황을 타개하기 위해 노력하지만 적절한 솔루션을 선택하는데 어려움을 겪고 있다. 네트워크 및 시스템이 침입 당했을 때 시스템에 저장된 전 세계의 금융 정보를 보호하기 위한 가장 효과적인 방법은 데이터 보호에 투자를 강화하는 것이다”라고 말했다.
★정보보안 대표 미디어 데일리시큐!★
<데일리시큐 길민권 기자> mkgil@dailysecu.com
