Breaking
사이버 보안(Cybersecurity)
사이버 위협 '자동화'와 '인간'의 '시너지'로만 극복 가능
2019-05-28 17:59:26
장희주
▲사이버 위협이 증가하면서 근본적인 보안 솔루션 해결이 절실해지고 있다(사진=ⓒ123rf)

[라이헨바흐=장희주 기자] 지난해 이루어진 한 통계에 따르면, 근 2년간 한 번이라도 데이터 유출을 경험했던 기업은 약 48%나 되는 것으로 나타났다. 

무려 절반에 가까운 기업들이 최소 한 번의 데이터 침해를 당한 적이 있는 것이다. '서비스나우'와 '포네몬연구소'가 수행한 이 연구에서는 응답자의 64%가 올해 더 많은 사이버 보안 인재를 고용할 것이라고 답했다.

이처럼 기술 발전과 함께 사이버 보안 위협도 증가하면서, 많은 기업이 자사의 취약점을 개선하고 자산 보호를 위해 사이버 보안에 투자를 아끼지 않는다. 

그러나 대부분은 IT팀 직원의 수를 더 늘려 사이버 보안 위협에 대처한다는 방침이어서, 근본적인 해결책이 되지 못할 것이라는 지적이 나온다.

전문가들은 단순히 보안팀 내 인력을 고용한다고 해서 100% 문제가 해결되는 것은 아니라고 설명한다. 전문가 수만 더 늘린다고 해서 사이버 보안이 자동으로 향상될 것이라는 생각은 기업들의 착각이라는 것이다. 

연구는 취약성이 지속되는 한, 해커가 시스템에 침투할 방법을 계속 찾아낼 것이기 때문에, 더 많은 인력을 고용한다고 해서 사이버 안전이 훨씬 더 좋아진다는 것을 의미하지 않는다고 분석했다. 

대신 기존의 문제점과 결함을 간파하고 바로 개선하는 것이 첫 단계가 돼야 한다고 지적했다.

이번 연구는 기업에서 사이버 보안을 담당하는 3,000명의 전문가를 대상으로 이루어졌다. 그리고 연구가 수행한 설문에 따르면, 기업의 IT 부서 한 팀에 근무하는 보안 담당 직원은 약 28명이다.

또한, 최소 8명의 보안 전문가가 기업의 취약성 관리를 담당하는 것으로 나타났는데, 이는 곧 일주일에 총 320여 시간을 사이버 보안 관리에 집중한다는 의미가 된다. 

게다가 이번 설문조사를 통해 기업의 절반가량이 올해 사이버 보안 인력을 다시 충원한다고 말한 것을 고려하면, 기업당 사이버 보안 인력 수는 앞으로도 계속 증가할 것으로 보인다.

머신러닝과 인공지능(AI), 그리고 고도의 기술 전문가

연구에서 나타난 대로 직원을 더 고용한다 한들 문제가 해결되지 않는 것이라면, 일부 기업들은 머신러닝이나 AI로 전환하는 전략에 대해서도 충분히 고려해볼 수 있다. 그러나 전문가 연구에 따르면, 이 역시 문제 해결에 가장 적합한 방법은 아니다. 

사실 사이버 보안은 AI와 머신러닝이 계속 성장하게 한 원인 가운데 하나다. 이에 AI가 추적 및 완화하기 어려운 정교한 공격을 수행하는데 분명히 도움이 되는 것은 사실이다. 

실제로 머신러닝 및 자동화를 채택하는 기업은 사이버 보안 직원을 줄이기도 한다. 그러나 전문가들은 어느 옵션도 절대적이지는 않다고 충고한다. 

결국, 가장 효과적인 보안을 이루기 위해서는 AI나 머신러닝과 함께 고도로 숙련된 기술 전문가가 한 쌍을 이룰 수 있어야 한다는 것이다.

전문가들은 AI가 보안 분석을 비롯한 침투 및 취약성 탐지를 지원하는 역할을 하는 동안, 고도로 숙련된 기술자들의 업무 역시 이러한 시스템만큼이나 필수적이라고 강조한다. 

IDC 분석가들이 수행한 연구에 따르면, 2020년까지 2000여 곳의 글로벌 기업 중 605여 곳이 AI 기반 보안으로의 전환을 계획 중이다. 

하지만, 여기에서 그치는 것이 아니라, AI 구현에 기술을 구현할 수 있는 고도의 기술 전문가들도 고려사항이 될 수 있어야 한다는 분석이다.

▲연구에 따르면, 기업의 보안팀 내 고도로 숙련된 기술 전문가의 수는 부족한 형편이다(사진=ⓒ123rf)

자동화 vs 보안 기술

도메인 툴즈의 팀 헬밍 제품 관리 이사는 "대부분의 설문 응답자들이 자동화가 IT 보안 직원의 업무 수행 능력을 향상시킬 것으로 믿고 있다"며 "오랜 시간이 걸리는 분석 작업을 자동화가 충분히 대체할 수 있을 것이라는 생각 때문이다"고 말했다. 

결과적으로, 전문 인력이 없이는 심각한 보안 취약성에 대처하고 네트워크 보안에 중점을 두기는 어렵다는 것이 전문가들의 분석이다. 

응답자의 절반 이상은 자동화가 사이버 위협을 증가시키는 해결책이 아니라고 생각하고 있다. 헬밍 이사는 "자동화 기술이 아무리 복잡하고 정교해지더라도, 인간의 직감과 실무 경험을 결코 대체할 수는 없다"고 강조했다.

연구에 따르면 현재 기업 내 숙련된 IT 보안 전문가 수는 부족한 수준이다. 이는 직원들의 많은 교육과 훈련이 필요하다는 것을 보여준다. 

이외에도 설문에 참여한 기업의 75%는 인포섹 분야의 직원이 부족하다고 대답했다. 이 분야에서의 숙련된 전문가을 찾는 것도 힘든 상황이다. 

이는 기업의 76%가 머신러닝이나 AI를 오히려 문제를 일으키는 요소로 생각하며 우려하고 있다고 답한 것에서 잘 나타난다.

결론적으로 사이버 보안 위협이 가중되는 상황에서 가장 절실한 요소는 바로 숙련된 보안 전문가지만, 사실상 가장 부족한 상황에 부닥쳐있다는 분석이 나온다. 

응답자의 41%는 이를 자동화 투자 증가로 인한 결과물이라고 인식했으며, 36%는 자동화가 인간의 실수를 수정하는 역할을 하긴 해도, 가장 좋은 해결책은 전문가와 AI가 동시에 작업하는 것이라고 인정했다.

CBT 너깃은 이러한 문제를 해결할 수 있는 가장 좋은 방법은 고용과는 별개로, 현재의 보안팀을 성장시키는 것이라고 제시했다. 

기술 발전과 기업이 직면한 위협의 급속한 진화로 인해 보안팀 역시 이제는 진화하고 적응할 필요가 있다는 것이다. 

직원들이 교육 기관을 통해 더 고급화된 기술 훈련을 받을 수 있도록 하고, 회사는 교육에 인센티브를 제공해 비즈니스 성장을 촉진할 수 있어야 한다는 설명이다. 

여기에 더해 더욱 중요한 것은 사이버 보안이 IT팀의 책임만이 아니라는 사실이다. 기업의 임원진들조차도 임박한 위험으로부터 시스템을 보호하는데 관련 지식과 대처 사항에 만발을 가할 수 있어야 한다.

[라이헨바흐=장희주 기자]