사이버 위험 점수란 무엇인가요?

사이버 위험 점수는 조직이 사이버 범죄에 노출된 정도와 IT 취약점으로 인해 발생할 수 있는 법적 책임을 파악해 줍니다. 사이버 위험 점수를 사이버 보안을 위한 일종의 신용 점수로 생각하면 됩니다. 리스크 점수 보고서는 조직의 IT 자산 관리 프로그램이 얼마나 탄탄한지를 대내외적으로 전달하는 데 유용한 수단이 됩니다.

조직들은 사이버 위험 점수를 활용하여 공급업체를 평가하고 내부 취약점 관리를 수행합니다. 민간 부문에서는 사이버 위험 평가가 비즈니스 운영의 일상적인 부분이 되어가고 있으며, 던앤브래드스트리트(Dun & Bradstreet)는 자사의 비즈니스 정보 서비스에 ‘ ’ 사이버 위험 등급( ) 상품을 추가하기까지 했다.

기업의 사이버 위험 점수는 인수합병 기회에서부터 보험료율에 이르기까지 모든 측면에 영향을 미칠 수 있습니다. 사이버 위험 점수를 모니터링하고 이를 개선할 방안을 모색하는 것은 사이버 보안에 있어 필수적인 요소가 되었으며, 최고정보보안책임자(CISO)의 핵심 업무가 되었습니다.

사이버 위험 점수는 신용 점수와 마찬가지로 수치로 표시될 수도 있고, 백분율로 제시될 수도 있으며, 이 경우 100%는 해당 조직의 모든 사이버 보안 취약점에 대한 완전한 가시성을 의미합니다. 이 점수는 효과적인 패치 관리, 및 모니터링 도구와 같은 통제 수단을 통해 위험의 몇 퍼센트가 해소되었는지를 보여줍니다. 남은 것은 허용된 위험, 즉 조직이 감수할 의사가 있는 잔여 위험의 수준이다.

[관련 기사: 이 사람의 공식을 통해 사이버 위험을 (정확하게) 예측하는 것이 훨씬 쉬워졌습니다]

조직이 수용할 수 있는 위험 수준은 해당 조직의 사이버 보안 예산, 알려진 취약점을 완화하기 쉬운 정도, 그리고 위험 허용 한도에 따라 달라집니다.

사이버 위험 점수는 어떻게 산정되나요?

사이버 위험 점수를 산정하는 첫 번째 단계는 IT 자산을 우선순위별로 분류하고, 각 자산에 대한 위험 요인( )을 평가하여( ) 조직 전반에 내재된 위험의 전체적인 현황을 파악하는 것입니다. 이 평가에는 다음 사항이 포함되어야 합니다:

• 클라우드 데이터. 클라우드는 데이터를 공유해야 하는 팀에게 매우 유용한 도구이지만, 가시성 부족으로 인해 데이터 유출 위험이 커질 수 있습니다.
• 취약점 평가. 먼저 시스템 내의 잠재적인 취약점을 파악해 보십시오.
• 현재 시행 중인 통제 조치 및 계획 중인 통제 조치. 귀 조직에서는 취약점 관리를 위해 이미 어떤 조치를 마련해 두었으며, 어떤 추가적인 통제 수단이 필요한가요?
• 자산 가치. 데이터 자산이 조직 운영에서 수행하는 역할에 따라 그 중요도를 평가할 수 있으며, 사이버 보안 계획 수립 시 핵심 데이터에 우선순위를 두어야 합니다.

“사이버 위험 점수 평가는 중견 및 대기업에게 있어 ‘있으면 좋은’ 것이 아니라 ‘반드시 갖춰야 할’ 필수 요소입니다.”

• 데이터의 민감도. 사이버 위험을 평가하는 또 다른 방법은 데이터 유출이 초래할 결과를 파악하는 것입니다. 소비자 개인정보 보호 규정이나 기타 규제 체계의 적용을 받는 기록의 경우, 정보 유출 시 부과되는 과징금과 대중의 신뢰 상실로 인한 비용이 막대할 수 있으므로 더 높은 수준의 데이터 보호가 필요합니다.
• IT 자산 파악. 코로나19 팬데믹 이전부터 이미 일과 사생활의 경계가 모호해져 있었다. 이제 원격 근무를 하는 사람이 훨씬 더 많아지면서, 잠재적인 사이버 보안 취약점을 초래할 수 있는 엔드포인트의 수가 증가한 동시에 IT 자산 탐지 과제 또한 커졌습니다. 재택근무자들은 종종 IT 부서의 검토를 거치지 않은 소프트웨어를 다운로드하기 때문에, 이는 추가적인 위험 요인이 됩니다. 또한, IT 관리 감독이 미흡한 직원의 경우 소프트웨어 업데이트를 설치하지 못해 애플리케이션에 심각한 취약점이 남을 수 있습니다. 지속적인 자산 탐지는 소프트웨어 인벤토리 관리 및 패치 관리에 필수적입니다.
• 위협 검토. 위협 생태계에 대한 평가는 외부 사이버 보안 위험 환경에 대한 조사 및 분석을 수반합니다.

사이버 보안 위험 프레임워크에는 어떤 것들이 있나요?

사이버 보안 위험 관리 체계란 조직이 사이버 위험을 완화하기 위해 마련한 일련의 절차와 지침을 말합니다.

사이버 보안 위험 관리 프로그램은 대개 하나 이상의 국가 사이버 보안 프레임워크( )의 요구 사항을 준수합니다.. 가장 널리 적용되는 사이버 보안 프레임워크로는 다음이 있습니다:

• 미국 국립표준기술연구소(NIST). NIST( )는 핵심 정부 자산을 보호하기 위해 ‘’ 프레임워크( )를 설계했으나, 사이버 위험 평가에 관한 ‘’ 표준( )은 어떤 조직에나 적용될 수 있습니다.
• 국제표준화기구(ISO). ISO 는 정보 보안 관리를 비롯한 다양한 분야에 대한 국제 표준을 제정합니다. 인 ISO/IEC 2700 표준 계열은 국제적인 취약점 관리 프레임워크를 제공하며, 이는 여러 국가에서 사업을 영위하는 기업들에게 매우 중요합니다.
• 일반 데이터 보호 규정. 일반 데이터 보호 규정( , GDPR) 은 EU 시민의 개인정보를 보호하기 위한 일련의 규정입니다. 이 규정은 EU 시민이 웹사이트를 방문할 때의 데이터 수집에 적용되며, 웹사이트 운영자의 소재지와는 무관하므로 전 세계 수많은 기관이 GDPR 기준을 준수하고 있습니다.
• 캘리포니아 소비자 개인정보 보호법. 캘리포니아주의 ‘캘리포니아 소비자 개인정보 보호법( , CCPA)’ 은 개인정보 보호라는 목표와 데이터 처리 요건 면에서 GDPR과 유사합니다. EU 규정과 마찬가지로, CCPA의 온라인 데이터 수집 관련 조항은 캘리포니아주 외 지역의 기업들에게도 영향을 미칩니다. 이 법의 개정안은 2023년에 발효될 예정입니다.
• 지불 카드 산업 데이터 보안 표준. 신용카드 결제를 처리하고자 하는 기관은 PCI 데이터 보안 표준( , PCI DSS)을 준수하고 있음을 입증해야 합니다. 이는 소비자 정보를 보호하고 사기를 방지하기 위해 업계에서 제정한 표준입니다.
• 건강보험 이동성 및 책임법. HIPAA는 환자의 의료 기록을 취급하는 기관을 대상으로 미국 내 데이터 보호 기준을 정하고 있습니다.
• 사이버보안 성숙도 모델 인증(Cybersecurity Maturity Model Certification). CMMC 는 국방부(Department of Defense, DoD) (DoD) 와 계약을 체결하는 모든 조직이 공급망 전반에 걸쳐 국방부(DoD) 데이터를 보호하기 위해 특정 사이버보안 규정을 준수할 것을 요구합니다.

민감한 소비자 정보를 취급하는 기업들은 종종 해당 산업 분야에 특화된 사이버 보안 위험 관리 체계를 준수해야 합니다. 필수적인 사이버 보안 위험 프레임워크를 준수하는 일련의 내부 기준을 마련하는 것은 사이버 위험 관리 계획을 수립하는 데 있어 매우 중요합니다.

IT 위험 점수에 어떤 데이터 소스가 중요한가요?

간단히 말해, 모두입니다. 알 수 없는 자산은 통제할 수 없는 위험 요소이므로, IT 자산 탐지는 위험도 평가에 있어 매우 중요합니다.

다음은 귀하의 사이버 위험 점수에 영향을 미치는 주요 데이터 출처입니다:

• 클라우드 데이터. 클라우드는 데이터를 공유해야 하는 팀에게 매우 유용한 도구이지만, 가시성 부족으로 인해 데이터 유출 위험이 커질 수 있습니다.
• 서버. 사이버 위험을 관리하는 데 있어 조직의 서버를 내부 및 외부 위협으로부터 보호하는 것은 최우선 과제입니다.
• 직원 기기에 저장된 파일. IT 자산 목록에는 직원들이 업무 수행에 사용하는 노트북, 태블릿, 스마트폰 및 기타 엔드포인트 기기에 저장된 업무 데이터가 포함되어야 합니다. 완전하고 정확한 IT 위험 점수를 산출하기 위해서는 모든 엔드포인트를 파악하고 평가해야 합니다.
• 제3자. 제3자 관련 위험 요소로는 서비스형 소프트웨어(SaaS), 파트너와 공유하는 데이터, 그리고 귀사의 IT 생태계에 접근을 허용한 공급업체 등이 포함됩니다.

사이버 위험을 점수화하는 것의 이점은 무엇인가요?

사이버 위험을 점수화하면 복잡한 데이터 세트를 이해하기 쉬운 개념으로 전환할 수 있습니다. 위험 점수는 조직의 사이버 위험 관리 정책 및 관행의 가치를 대내외 이해관계자들에게 효과적으로 전달하는 방법입니다.

온라인화가 극에 달한 오늘날의 세상에서, 사이버 위험 점수 산정은 중견 및 대기업에게 있어 ‘있으면 좋은’ 것이 아니라 ‘꼭 필요한’ 요소입니다. 한 가지 예를 들자면, 보험사들은 사이버 위험 점수를 참고하여 해당 조직이 보험 가입 대상인지 여부를 판단합니다. 해킹과 데이터 유출은 막대한 비용을 초래하기 때문에, 사이버 보안 위험 수준이 낮은 조직은 더 낮은 보험료를 협상할 수 있게 될 것입니다.

“사이버 보안 위험 수준이 낮은 조직은 정보 유출 사고로 인해 막대한 비용이 발생하기 때문에 더 낮은 보험료를 협상할 수 있을 것입니다.”

귀사의 데이터 보호 및 사고 관리 정책 역시 금융 거래에 상당한 영향을 미칠 수 있습니다. 이는 사이버 위험 점수가 다른 기관들이 파트너 및 공급업체를 심사할 때 고려하는 지표 중 하나이기 때문입니다. 또한, 사이버 보안 전망이 부정적일 경우 M&A 협상 과정에서 걸림돌이 될 수 있습니다.

또한, 사이버 위험 점수는 CISO가 의 성능 모니터링 및 의 구성 관리 과 같은 완화 프로그램의 중요성을 다른 임원진에게 전달할 수 있는 강력한 도구를 제공합니다. 최근 발생한 주목할 만한 랜섬웨어 공격들이 최고 경영진의 관심을 끌기는 했지만, 바쁜 경영진들에게 사이버 보안의 미묘한 차이점을 제대로 전달하는 것은 여전히 어려운 과제이다. 사이버 위험 점수는 경영진이 한눈에 파악할 수 있는 데이터 지표이자, 사이버 보안 통제 체계의 개선 현황을 추적할 수 있는 척도를 제공합니다.

사이버 위험 평가란 무엇인가요?

사이버 위험 평가는 잠재적인 사이버 보안 위험, 위험을 관리하기 위한 통제 수단, 그리고 완화되지 않은 잔여 위험을 파악하는 과정입니다.

사이버 위험 점수를 산출하는 데 필요한 데이터를 수집하는 가장 좋은 방법은 다각적인 접근 방식을 취하는 것입니다. 신뢰할 수 있는 파트너를 통해 수행하든 내부 IT 자원을 활용하든, CISO는 먼저 부서장 및 관리자들로부터 데이터 보호 요건과 관행에 대한 의견을 수렴하는 것부터 시작할 수 있습니다. 또한 직원들에게 업무에 사용하는 기기 및 도구의 목록을 작성해 달라고 요청할 수도 있습니다. 그러나 이러한 입력 정보는 필수적이긴 하지만, 사이버 위험 점수를 정확하게 산출하는 데 필수적인 정보를 놓칠 수도 있습니다.

[관련 기사: 사이버 보안 도구는 너무 많은데 가시성은 부족한가요?]

철저한 IT 자산 현황 파악, 소프트웨어 자산 관리 및 위협 검토 계획이 없다면, 적절한 사고 대응 계획을 수립할 수 없습니다. 의 자동화된 IT 자산 탐지 도구 를 도입하면 네트워크에 대한 가시성을 높여 조직에 대한 정확한 사이버 위험 점수를 산출할 수 있습니다.

외부 사이버 위험과 내부 사이버 위험의 차이점은 무엇인가요?

외부 사이버 위험이란 기업 외부에서 발생하는 위협을 말합니다. 외부 위험 요소로는 분산 서비스 거부(DDoS) 공격, 데이터 유출, 랜섬웨어 등이 있습니다. 아무리 훌륭한 취약점 관리 전략이라 해도 어느 정도의 잔여 위험은 존재하기 마련이므로, 탄탄한 사고 대응 계획을 마련해 두는 것이 매우 중요합니다. 오늘날 대부분의 CISO에게 있어 문제는 사이버 범죄자들이 회사를 표적으로 삼을지 여부가 아니라, 언제 표적으로 삼을지, 그리고 그에 어떻게 대응할 것인가 하는 점입니다.

내부 사이버 위험은 조직 내부, 공급업체 또는 파트너로부터 발생합니다. 이러한 취약점에는 인적 요인과 IT 보안 문제가 모두 포함됩니다. 내부 사이버 보안 위험의 원인은 다음과 같습니다:

• 엔드포인트 가시성 부족. 귀사의 IT 자산 목록에는 IT 부서가 관리 및 통제하는 기기에 설치된 소프트웨어뿐만 아니라, 개인 기기를 포함하여 직원들이 업무 목적으로 사용하는 모든 엔드포인트상의 앱도 포함됩니다. 견고하고 지속적인 IT 자산 탐지 프로세스는 민감한 데이터가 적절한 보안 통제 조치 없이 승인되지 않은 기기에 저장되지 않도록 보장하는 최선의 전략입니다.
• 인적 오류. 사람들이 흔히 저지르는 실수로는 이메일을 잘못된 수신자에게 보내거나, 피싱 사기에 비밀번호를 알려주는 것 등이 있습니다. 직원들은 의심스러운 이메일을 식별할 수 있도록 교육을 받아야 하며, 강력한 비밀번호를 사용해야 합니다.. 이 교육은 악성 통신을 걸러내고 차단하는 소프트웨어와 함께 사용할 때 가장 효과적입니다.
• 승인되지 않은 소프트웨어. 직원이 CISO 팀이 검토하지 않은 소프트웨어를 다운로드할 경우, 해당 소프트웨어와 함께 악성코드가 유입될 수 있습니다. 또한 소프트웨어에 악성 코드가 포함되어 있지 않더라도 여전히 보안상의 문제를 야기할 수 있습니다. 패치 관리 프로그램은 목록에 등록되지 않은 문제는 해결할 수 없습니다. 소프트웨어 자산 관리, 특히 원격 기기에서 이를 수행하는 것은 사이버 위험을 줄이는 데 매우 중요합니다.
• 내부 방해 행위. 불만을 품은 직원이 내부에서 기밀 정보를 유출하거나 사이버 공격을 감행할 것이라고 상상하기는 어려울지 모르지만, 그러한 위험은 실제로 존재합니다. 엄격한 보안 및 엔드포인트 관리 프로토콜을 시행하고, 신속하고 철저한 해고 및 퇴사 절차를 거침으로써 직원 관련 위험을 최소화할 수 있습니다.
• 공급망 공격. 2020년 12월 에 실린 ‘’ SolarWinds 공급망 해킹 사건( )은 악의적인 행위자들이 신뢰받는 공급업체를 이용해 기업 및 정부 기관에 무단으로 침입하는 것이 얼마나 쉬운지를 여실히 보여주었습니다. 이제 외부 파트너의 사이버 위험 점수를 검토하는 것은 비즈니스 관계를 구축하는 데 있어 가장 먼저 취해야 할 조치 중 하나가 되었습니다. 외부 기관이 귀사의 민감한 데이터에 접근할 수 있도록 하는 파트너십을 체결하기 전에, 취약점을 최소화하기 위해 양측 모두 강력한 데이터 보호 정책을 갖추고 있는지 확인하는 것이 매우 중요합니다.

사이버 보안에서 잔여 위험이란 무엇인가요?

잔여 위험이란 통제 조치를 적용한 후에도 남아 있는 위험을 말합니다. 잔여 위험을 정량화하려면, 먼저 내재적 위험을 정확하게 평가하고, 여기에 위험 완화 조치의 효과성을 더하여 분석해야 합니다. 남은 것은 잔여 위험입니다.  의 IT 자산 파악 프로그램은 신뢰할 수 있는 잔여 위험 평가를 수립하는 데 있어 필수적인 단계입니다.

리스크 점수 산정이 랜섬웨어 예방에 어떻게 도움이 될 수 있을까요?

사이버 위험 평가 프로세스는 조직의 사이버 보안에 대한 의지를 구체화함으로써, ‘ ’ 랜섬웨어 공격 을 사전에 예방하는 데 도움을 줍니다. 건전한 사이버 위험 점수를 중요하게 여기는 조직은 취약점 관리를 철저히 수행합니다.

“CISO들에게 중요한 문제는 사이버 범죄자들이 귀사를 표적으로 삼을지 여부가 아니라, 언제 표적으로 삼을지, 그리고 귀사가 어떻게 대응할 것인가 하는 점입니다.”

사이버 위험 점수 산정을 통해 시스템의 강점과 약점을 파악할 수 있으므로, 자원을 현명하게 배분할 수 있습니다. 사이버 공격이 성공하는 데에는 소프트웨어 업데이트 미설치나 부실한 패치 관리와 같은 예방 가능한 실수가 원인이 되는 경우가 있습니다. 사이버 위험 점수 산정은 이러한 문제들이 보안 침해로 이어지기 전에 이를 파악할 수 있게 해줍니다. 이 평가는 귀사의 IT 자산 가치를 평가하고, 알려진 취약점이 초래하는 위협의 심각도를 순위별로 분류합니다. 이를 통해 표적형 랜섬웨어 방지 전략을 수립할 수 있는 증거 기반의 토대를 마련할 수 있습니다.

랜섬웨어 위협에 대처하기에 가장 좋은 시기는 공격이 발생하기 전입니다. 리스크 점수 산정을 통해 랜섬웨어 방지를 위한 실행 계획을 수립할 수 있습니다.

[Read also: Ransomware 101—what is it and how do I prevent an attack?]

위험 기반 취약점 관리는 IT를 어떻게 간소화합니까?

IT 부서에는 서로 상충되는 여러 목표가 있으며, 취약점 관리는 대개 최우선 순위에 오르지 못합니다. 위험 기반 접근 방식은 IT 관리자에게 소프트웨어 자산 관리, 패치 관리, 구성 관리와 같은 구체적인 수행 과제를 제시합니다.

또한 위험 기반 접근 방식은 IT 부서가 취약점 관리에서 수행하는 역할을 명확히 파악할 수 있게 해줄 뿐만 아니라, 개선 정도를 측정할 수 있는 지표도 제공합니다. 이를 통해 IT 부서는 명확하게 정의된 업무를 바탕으로 사이버 위험 완화에 적극적으로 기여할 수 있습니다.

사이버 위험 점수를 높이고 사이버 위험을 완화하려면 어떻게 해야 할까요?

자사의 사이버 위험 점수를 파악한 후, 다음 목표는 통제 체계를 개선하고 잔여 위험 수준을 낮추는 것입니다. 다음은 점수를 높이는 데 도움이 될 수 있는 몇 가지 방법입니다:

• 지속적인 성능 모니터링을 구현하십시오. 사이버 위협 환경과 귀사의 취약점은 순식간에 변할 수 있습니다. 따라서 귀사의 사이버 위험 점수는 단순히 특정 시점의 단편적인 모습일 수는 없습니다. 성능 모니터링 도구를 사용하면, 시스템 내 수천 개의 엔드포인트 중 어느 곳에서든 발생하는 보안 문제에 대한 정확하고 실시간 보고서를 확인할 수 있습니다.
• 구성 관리를 최우선으로 삼으십시오. 시스템 기본 설정을 잘못 구성하면 시스템이 해커의 공격에 더 취약해지는 것을 비롯해 여러 가지 문제가 발생할 수 있습니다. 사이버 위험 완화 계획의 일환으로, 의 보안 구성 관리 점검을 정기적으로 실시하십시오.
• 소프트웨어와 자동화 도구를 활용하여 위험을 완화하십시오. 자동화를 통해 위험 수준을 지속적으로 모니터링할 수 있습니다. 이 솔루션은 잠재적인 취약점에 대해 사전 경고를 제공하므로, 새롭게 대두되는 사이버 위협에 더 잘 대비할 수 있습니다.
• 사이버 보안을 업무 문화의 일부로 정착시키십시오. 사이버 위험 완화에 대한 확고한 의지를 가진 조직에서는, 직원들이 데이터 보호가 모든 구성원의 업무 범위 내에 포함된다는 점을 당연히 여기는 업무 문화 속에서 일하게 됩니다. 사이버 보안 교육은 신입 사원 입사 시부터 시작되어야 하며, 정기적으로 복습과 재교육을 실시해야 합니다.
• 엔드포인트 제어를 적용하십시오. 직원들이 업무에 사용하는 모든 기기를 파악하고 보호하십시오.
• 사고 대응 계획을 수립하십시오. 보안 침해 사고가 발생했을 때, 신속한 사고 대응을 통해 비즈니스 데이터 손실과 평판 손상을 최소화할 수 있습니다.

사이버 리스크를 어떻게 활용하여 CISO 전략을 정당화할 수 있을까?

사이버 위험 점수 평가는 CISO에게 조직의 IT 시스템 취약성 수준을 정량화할 수 있는 훌륭한 도구를 제공합니다. 이 점수는 특정 사이버 보안 위험 요인의 미묘한 차이를 파악할 만한 기술적 지식이 부족한 내부 관계자들에게 사이버 위험 수준을 효과적으로 전달할 수 있는 방법을 제공합니다. 외부 파트너들이 귀사의 사이버 위험 평가 결과를 신뢰한다는 사실은, 해당 시스템을 안전하게 유지하기 위해 필요한 시간과 비용을 투자해야 할 타당한 근거가 됩니다.

[함께 읽어보세요: 오늘날 IT 및 사이버 보안 분야에서 가장 큰 과제는 무엇일까요?]

사이버 위험 지표는 또한 조직 내부에 사이버 보안의 시급성을 전달하는 데 도움이 됩니다. 사이버 위험 점수를 활용하면 부서장과 직원들이 사이버 보안 규정을 준수함으로써 잔여 위험을 줄이는 데 동참하도록 유도하는 데 도움이 될 수 있습니다.

사이버 위험 점수를 산출하는 데 사용하는 데이터의 품질이 궁극적으로 그 점수를 통해 얻는 가치의 수준을 결정합니다. 지속적인 위험 점수 산정은 노력이 필요하지만, 사이버 위험을 완화하는 데 드는 자원은 대규모 침해 사고 발생 시 사고 대응 비용에 비하면 미미한 수준입니다.

추가 자료:

Tool Sprawl Threatens Post-Pandemic Security Cyber Hygiene 101 Ultimate Guide to AI Cybersecurity: Benefits, Risks, and Rewards