보안 조치 효과적 평가 기업 15%
카스퍼스키 로고 / 이미지 = 카스퍼스키
[시사저널e=송주영 기자] 공급망 공격이 늘고 있는 가운데 전 세계적으로 기업 42%가 이에 대응하는 데 있어 숙련된 IT 보안 인력 부족과 우선순위 설정 문제를 대응의 가장 큰 장애 요인으로 꼽았다.
카스퍼스키가 4일 발표한 ‘공급망 및 신뢰 관계 위험 보고서’에 따르면 지난 1년간 기업 3개 중 1곳이 공급망 공격을 경험한 것으로 나타났다. 공격 빈도가 높아지는 가운데 대응 마련이 시급하단 지적이 나온다.
공급망 기업과 거래하는 소프트웨어·서비스·파트너사를 먼저 해킹해서 우회적으로 침투하는 사이버 공격 유형을 의미한다.
설문에 응답한 전 세계 기업 85%는 공급망 및 신뢰 관계 위험에 대한 보호를 강화해야 한다고 답했다. 반면 현재 보안 조치가 충분히 효과적이라고 평가한 기업은 15%에 그쳤다. 독일(6%), 터키(7%), 이탈리아·브라질·러시아(각 8%), 사우디아라비아(9%) 등은 이 수치가 더욱 낮게 나타났다.
아시아태평양(APAC) 지역은 인도(11%), 인도네시아(14%), 싱가포르(14%)가 낮은 보안 신뢰도를 보인 반면 베트남(21%)과 중국(34%)은 상대적으로 높은 수치를 기록했다.
공급망 위험 대응을 가로막는 가장 큰 원인으로는 숙련된 보안 인력 부족이 지목됐다. APAC 지역에서 인력 부족을 지적한 비율은 싱가포르 34%에서 베트남 57%까지 국가별로 편차를 보였다.
말레이시아의 경우 국가 사이버보안 전략 2025~2030에 따른 역량 강화 계획이 추진되고 있다. 하지만 올해까지 약 2만8000여명의 전문 인력이 필요한 데 비해 현재 인력은 약 1만6700명 수준에 머물러 수급 불균형이 심했다.
복수의 사이버보안 우선순위를 동시에 관리해야 하는 문제도 주요 장애 요인으로 꼽혔다. 인도(54%), 베트남(48%), 싱가포르(47%)에서 이를 장애요소로 꼽은 응답이 특히 높았다. 이는 보안팀이 지나치게 많은 업무를 동시에 처리해야 하는 상황에서 공급망 위협이 뒷전으로 밀릴 수 있음을 시사한다.
구조적 문제도 확인됐다. APAC 지역에서 계약 체결 시 IT 보안 의무 조항을 포함하지 않는 비율이 30~61%에 이르는 것으로 나타났다. 응답자의 25~38%는 비 IT 보안 인력이 공급망 위험을 충분히 이해하지 못하고 있다고 답했다. 가장 기본적인 보호 조치인 이중 인증의 도입률도 싱가포르 28%, 여타 국가 35% 이상으로 낮게 조사됐다.
공급망 혹은 신뢰 관계 공격을 경험한 기업은 그나마 보안 대응 수준을 높인 것으로 나타났다. 공급망 사고를 경험한 기업의 56%는 협력사에 침투 테스트 결과 제출을 요구했으며 신뢰 관계 침해를 겪은 기업은 산업 표준 준수 여부(56%) 및 협력사 공급망 정책(53%) 검증을 우선시하는 것으로 나타났다.
카스퍼스키 SOC 총괄 세르게이 솔다토프는 “보안팀이 과도한 업무 부담과 인력 부족 속에서 단기 과제에 집중할 수밖에 없는 상황이 지속될 경우 조직은 공급자 생태계를 통해 은밀히 이동하는 위협에 그대로 노출된다”고 경고했다.
이어 그는 “이 악순환을 끊으려면 표준화된 협력사 평가와 조직 간 인식 강화를 포함한 통합적이고 일관된 대응 전략이 필요하다”고 강조했다.
아드리안 히아 카스퍼스키 아시아태평양 총괄 사장도 “APAC 지역 조직들이 디지털 생태계를 확장하는 만큼, 공급망 보안도 내부 운영과 동일한 수준의 관리 체계로 다뤄야 한다”며 “파트너에 대한 명확한 보안 요구사항 설정, 지속적 검증, 일상 업무 프로세스 내 책임 내재화가 핵심”이라고 밝혔다.
댓글
0