英 정부, “최종적 방어 실패 책임은 CEO에 있다”

[보안뉴스 김형근 기자] 최근 영국 주요 기업들을 노린 사이버 공격이 빈번해지고 피해 규모가 커지고 있는 가운데 영국 사이버보안센터(NCSC)가 기업 경영진에 강력한 경고 메시지를 보냈다.

NCSC는 경영진은 디지털 복원력(Cyber Resilience)을 위해 최선을 다 해야 한다며 “최종적인 책임은 CEO에 있다”고 강조했다고 파이낸셜타임스가 14일(현지시간) 보도했다.

리처드 혼 NCSC 센터장은 NCSC 연례 보고서에서 “그동안 사이버 보안은 기술 직원들만의 문제로 여겨졌지만, 이제는 이런 인식이 바뀌어야 할 때”라며 “사이버 공격으로 운영이 멈추는 최악의 시나리오에 대비가 되어 있어야 한다”고 말했다.

[자료: 연합]

이 권고는 실제로 최근 큰 사이버 공격을 겪었던 영국 대형 유통기업 코업(Co-op)의 시린 쿠리-하크 CEO의 공개 서한과 함께 발표됐다. 이 서한에서 쿠리-하크는 경영진에 대해 방어뿐 아니라 최악의 시나리오에 대비해야 한다고 경고했다.

올해 영국은 주요 기업이 잇달아 사이버 공격의 표적이 됐다. 코업 외에도 대형 유통 기업인 마크앤스펜서와 해로즈, 자동차 제조사 재규어 랜드로버(JLR) 등이 공격을 당했다.

특히 JLR은 6주 동안 생산을 중단해야 했고, 피해를 완화하기 위해 2조8000억원 규모의 정부 지원 대출까지 받아야 할 정도였다.

이러한 위협 환경 때문에 영국 보안 기관 MI5도 사이버 범죄자들의 주요 표적이 된 민간 기업들과 협력을 강화하고 있다.

NCSC 연례 보고서에 따르면, 2024년 8월까지 12개월 동안 영국에서 법 집행 기관이 정의한 ‘국가적으로 중대한 사고’(Nationally Significant Incidents)는 204건 발생했다. 그중 ‘매우 중대한’(highly significant) 사고는 18건으로 이전 12개월 대비 50% 증가했다.

영국 정부는 재무장관과 경제부 장관을 포함한 네 명의 장관 명의로 FTSE 350 CEO들에게 서한을 보내 경계를 당부했다.

또 이달 말에 상정될 ‘사이버 보안 및 복원력 법안’(cyber security and resilience bill)을 통해 민간 부문 전반에 걸쳐 보안 표준을 법적으로 강화할 계획이다. 이 법안이 통과되면, 규제 대상 기업들은 사이버 공격을 당했을 때 24시간 이내에 NCSC에 의무적으로 신고해야 한다. 공격 경로로 자주 악용되는 공급망 보안 강화도 법적으로 강제될 예정이다.

[김형근 기자(editor@boannews.com)]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)