자꾸만 뚫리는 상업가, 소비자의 신뢰를 얻으려면

신뢰는 튼튼한 보안으로 소비자의 프라이버시를 지킬 때 생겨

한 눈에 시스템 전체를 조망하고 직원 간 의사소통 활발해야

[보안뉴스 문가용] 최근 들어 상업가에 사이버 범죄가 늘어남에 따라 엔드포인트 보안에 대한 불신이 급격하게 퍼지고 있다. 그동안 보안에 해이했던 CEO와 사업주들에게 경종을 울리는 사태이기도 하지만 단순히 ‘경종’으로 치부하기에는 대가가 너무나 크다. 이런 뉴스들을 분명 어디선가 접해본 기억이 있을 것이다.

▲ 좋아, 산세가 한 눈에 보이는군! 근데 온 김에 우리 얘기나 좀 할까.

- 대형 쇼핑몰인 타깃(Target)의 CEO는 유출사고 이후 자리에서 물러났다.

- 슈퍼마켓 체인점인 슈퍼밸류(SuperValu)와 UPS는 각각 180개와 51개의 매장에서 유출사고가 발생했으며 그밖에 미국 내 크고 작은 기업 천여 개가 비슷한 사고를 겪은 것으로 드러났다.

- 최근엔 홈데포 또한 PoS 시스템을 통한 유출사고를 겪어야 했다. 5천 6백만 건의 신용카드 정보가 유출됐다. 아직도 수사가 진행 중이라 보다 구체적인 사안에 대해서는 밝혀진 바가 없다.

- JP 모건 체이스 또한 유출사고로 인해 7천 6백만여 건의 고객정보를 노출시켰다. 또한 7백 만 개소의 소규모 사업장에도 적지 않은 영향이 있어 근래 있었던 가장 큰 사고로 기록되었다.

이것은 드러난 일부에 불과하다. 보통 유출사고는 세상에 알려지기 한참 전부터 일어난다는 걸 감안했을 때 우린 지금 또 무슨 일이 우리 모르게 벌어지고 있는지 모른다. 포네몬이 발간한 ‘2014년 데이터 유출사고의 피해’라는 보고서에 따르면 유출사고 후 주 거래점을 바꾸는 고객의 수가 지난 해 15%나 증가했다고 한다. 이는 대중이 정보보안에 대해 보다 더 민감해지고 있다는 뜻이다. 고객의 필요에 응해야 하는 소매상들은 이를 심각하게 고민해볼 필요가 있다.

타깃만 해도 굉장히 대중들 사이에서 인기가 높은 브랜드였다. 그럼에도 사건의 여파는 적지 않았다. 작년의 4사분기 수익이 46%나 떨어진 것이다. 이는 쇼핑몰의 대목인 휴가철이 겹쳤다는 것을 고려해 봐도 엄청난 수치이다. 지금까지 밝혀진 타깃의 손실 규모는 2억 3천 5백만 달러에 달한다. 기관에 따라서는 10억 불이 넘는다고 보는 곳도 있다.

보안 + 프라이버시 = 신뢰

브랜드에 대한 소비자의 충성도는 결국 신뢰에 기반한다. 그리고 그 신뢰란 것은 결국 보안과 프라이버시라는 두 가지 요소와 밀접하게 연결되어 있다. 이 두 가지 요소 중 하나가 잘 안 되었을 때 소비자는 신뢰가 깨졌다고 느낄 것이고, 그 신뢰가 깨진 순간 결국 장기간 손해를 감수해야 하는 건 브랜드를 가지고 있는 기업이 될 수밖에 없다.

아무리 강조해도 지나치지 않은 건 보안에 있어서 방어와 감지는 대단히 중요하다는 것이다. 하지만 진실은 조금 다르다. 방어와 감지는커녕 해커들이 우리 네트워크 안에 이미 들어와 있을 가능성이 높은 것이다. 그래서 방어는 이제 실제 사건이 발생했을 시 복구 단계와 과정까지도 아울러야 한다. 더 이상 ‘아예 발도 못 디딜 만한 철벽방어’란 없다고 봐야 한다. 그렇기 때문에 방어와 감지는 최초의 공격이 아니라 그 공격과 유사한 두 번째 공격을 막는 것에 더 초점을 두어야 한다. 그리고 이런 ‘실제적인’ 노력이 이뤄지고 있다는 걸 소비자들에게 알릴 필요도 있다.

충격 감소 혹은 신속한 복구를 위해 가장 중요한 것 중 하나는 공격에 대한 감지를 빠르게 하는 것이다. 1년 전에 있었던 공격을 1년 후에 알아채고 조치를 취하는 것과 한두 시간 내에 감지하는 것에는 커다란 차이가 있다. 이는 브랜드의 신뢰나 명성에도 직접 영향을 미친다. 게다가 소비자들도 보안에 대한 지식이 늘어감에 따라 기대치 또한 높아지고 있다. 즉 이전에는 ‘어쩔 수 없었다’고 이해해주는 소비자가 많았다면 요즘에는 ‘일을 게을리 하고 있다’거나 ‘능력이 안 된다’는 식으로 받아들인다는 것이다. 그리고 이런 소비자들 중에는 정당 지도자들이나 변호사, 신용카드 임원단들도 포진되어 있다.

정보부서와 최고임원단들을 비롯한 다양한 부서에서의 정보 공유를 원활하게 하려면 먼저 안전해야 하고, 안전하려면 시스템 전체를 한눈에 볼 수 있는 통합 제어 시스템이 필요하다. 또한 사실에 기반을 둔 실시간 보고서가 원활하게 교통되어야 한다. 이는 시스템에 더해 ‘리스크’에 대한 인식이 전반에 깔려 있어야 가능하다. 이런 활발한 정보공유가 있어야 감지에 걸리는 시간이 의미 있게 줄어든다.

결국 브랜드의 가치와 신뢰도는 소비자 보기에 동일한 것이다. 고객과의 신뢰를 유지하거나 새롭게 쌓기 위해서 기업은 유출사고가 가지는 심각성을 보다 깊이 절감하고, 발생 가능성이 높은 시대라는 것을 인정하며 그에 대한 대처법을 철저하게 준비해야 할 것이다. 그것은 곧바로 사업성과 수익성에 연결된다.

글 : 댄 로스(Dan Ross)

@DARKReading

[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)