데이터를 어떻게 다루느냐 엿볼 수 있기도 하고
두 다른 회사의 보안 인프라 합치는 것도 관심사
[보안뉴스 문가용 기자] 2018년이 시작하자마자 보안 산업에는 대형 M&A가 두 건이나 기록됐다. 시스코가 스카이포트 시스템즈(Skyport Systems)를 사들였고, 아마존이 스쿼럴(Sqrrl)을 인수한 것이다. 이 두 과정 속에 사이버 보안의 수준이 주요한 고려 대상이 되었다는 소식이 있다.
모든 M&A가 그렇지만 인수하는 기업은 인수 대상이 되는 기업에 대해 모든 정보를 샅샅이 알고 싶어 한다. 그래야 거래의 조건이 결정되기 때문이다. 이건 모든 산업의 공통된 부분이다. 그래서 모두가 조심스럽고, 시간도 오래 걸린다. 듀 딜리전스(due diligence)라는 ‘상당한 주의’가 발동되는 게 당연하다.
이 ‘듀 딜리전스’ 과정 속에 기업은 재정 능력, 성장 가능성, 시장 점유율, 회사 자체가 가지고 있는 능력, 파트너사 현황 등을 자세히 조사한다. 즉 이 기업을 이 돈 주고 살 때, 미래에 얼마나 더 많은 돈을 벌 수 있느냐, 가 문제의 핵심이었다는 것이다.
그런데 최근 여기에 한 가지 항목이 더 추가됐다. 바로 사이버 보안이다. 주거래 은행과 법무 파트너사까지 M&A 계약서 초안 작성에 참여하는데, 여기에 사이버 보안이라는 분야까지 고려되기 시작했다.
실제로 ‘듀 딜리전스’ 과정에 있어 ‘위협 첩보’를 요구하고, 게다가 중요한 요소로까지 생각하는 현상이 빈번해졌다. 인수하려는 회사의 보안 관련 위험을 평가하는 데 있어 위협 첩보를 기준으로 삼기 때문이다. 다크웹의 동향을 파악할 능력이 되는지, 해커들의 포럼에 들어가 범죄자들의 동향을 알아보고, 그에 대한 방어력을 갖출 수 있는지, 과거 공격 사례를 통해 어떤 보안 관련 노하우를 축적하고 있는지, 앞으로 어떠한 사고가 일어날 가능성이 크고 작은지, 내부자 위협의 수준은 어느 정도인지 등이 전부 ‘위협 첩보’에 속하기 때문에 어찌 보면 당연하다.
현재 사이버 보안과 위협 첩보는 M&A를 위한 정보 수집 단계 초기부터 고려 대상이다. 인수 예비 후보들을 일렬로 나열해놓고 하나하나 살펴볼 때 보안과 관련된 보고서를 요청하고, 또 상세히 들여다본다. 잘 하면 좋고, 못 하면 할 수 없는 그런 옵션이 아니기 때문이다. 기업 평가가 갈라질 수 있는 그런 묵직한 요소다.
물론 사이버 보안이 별로 중요한 요소가 아니라고 하더라도, 어떻게 해서든 회사 가치를 높여야 하는 기업 입장에서는 ‘잘해야 하는 건 마찬가지’다. 하지만 검토 과정의 초기에 요구된다는 것과 후기에 곁들여서 요구가 된다는 건 차이가 크다.
이러한 맥락에서 새롭게 떠오르는 고민거리가 있으니, ‘사이버 보안 상태를 정확하게 평가하는 방법이란 무엇일까?’이다. 위에서는 ‘위협 첩보’를 검토함으로써 그 수준을 가늠한다고 했는데, 사실 현재로서는 그만한 방법이 없다. 한 기업이 보유하고 또 관리하고 있는 위협 첩보를 통해 이 회사가 사이버 보안에 대해 어떤 자세로 임하고 있는지, 뭘 빠트리고 있으며, 뭘 잘 하고 있는지를 알 수 있다.
사실 이건 ‘보안’만의 일이 아니다. 위협 첩보를 통해 기업의 상태를 가늠한다는 건, 그 기업이 고객의 데이터, 기업의 지적재산, 계정 정보, 크리덴셜 등 사업을 진행하는 데 있어 중요한 정보를 어떻게 다루고 있는지를 알 수 있게 된다는 뜻이 된다.
그렇기에 요즘 사이버 보안과 관련된 M&A 자리에서 등장하는 질문들은 다음과 같다.
1) 보안 인프라 구조는 어떻게 구성되어 있습니까?
2) 현재 운영되고 있는 보안 프로세스에 대해 설명해 주십시오.
3) 최근 몇 년 간 실제로 경험한 사이버 공격이나 유출 사고에 대해 설명해 주십시오.
4) 내부자 위협으로 인한 문제가 발생한 적이 있나요?
5) 확인된 적대 세력이 있습니까?
6) 서드파티 업체들에게 요구하는 필수 보안 관련 사항들에는 무엇이 있나요?
그런데 M&A의 보안 평가는 여기서 끝나지 않는다. 인수될 기업의 평가 후에도 남는 문제가 있다. 사실 이것 역시 사이버 보안이 M&A의 중요한 화두가 되어가는 이유다. 그것은 바로 두 기업의 전혀 다른 사이버 보안 시스템을 하나로 합쳐놓아야 한다는 것이다. 이메일 도메인을 합하고, 네트워크를 합하며, 각 요소에 위치한 리스크들과 결합부분에서 생기는 새로운 리스크도 전부 고려한 상태에서 평가를 이뤄내야 한다.
M&A의 결과가 어떻게 나올지는 아무도 모른다. 확실한 건 첩보를 평소에 어떻게 다루고 관리하느냐, 또 이걸 어떤 식으로 제출하고 요구하느냐가 M&A 협상 테이블의 중요한 토론 주제가 되고 있다는 것이다. 그러므로 첩보 데이터에 더 익숙해져야 할 때다.
글 : 알론 아르바츠(Alon Arvatz)
[국제부 문가용 기자(globoan@boannews.com)]
두 다른 회사의 보안 인프라 합치는 것도 관심사
[보안뉴스 문가용 기자] 2018년이 시작하자마자 보안 산업에는 대형 M&A가 두 건이나 기록됐다. 시스코가 스카이포트 시스템즈(Skyport Systems)를 사들였고, 아마존이 스쿼럴(Sqrrl)을 인수한 것이다. 이 두 과정 속에 사이버 보안의 수준이 주요한 고려 대상이 되었다는 소식이 있다.
[이미지 = iclickart]
모든 M&A가 그렇지만 인수하는 기업은 인수 대상이 되는 기업에 대해 모든 정보를 샅샅이 알고 싶어 한다. 그래야 거래의 조건이 결정되기 때문이다. 이건 모든 산업의 공통된 부분이다. 그래서 모두가 조심스럽고, 시간도 오래 걸린다. 듀 딜리전스(due diligence)라는 ‘상당한 주의’가 발동되는 게 당연하다.
이 ‘듀 딜리전스’ 과정 속에 기업은 재정 능력, 성장 가능성, 시장 점유율, 회사 자체가 가지고 있는 능력, 파트너사 현황 등을 자세히 조사한다. 즉 이 기업을 이 돈 주고 살 때, 미래에 얼마나 더 많은 돈을 벌 수 있느냐, 가 문제의 핵심이었다는 것이다.
그런데 최근 여기에 한 가지 항목이 더 추가됐다. 바로 사이버 보안이다. 주거래 은행과 법무 파트너사까지 M&A 계약서 초안 작성에 참여하는데, 여기에 사이버 보안이라는 분야까지 고려되기 시작했다.
실제로 ‘듀 딜리전스’ 과정에 있어 ‘위협 첩보’를 요구하고, 게다가 중요한 요소로까지 생각하는 현상이 빈번해졌다. 인수하려는 회사의 보안 관련 위험을 평가하는 데 있어 위협 첩보를 기준으로 삼기 때문이다. 다크웹의 동향을 파악할 능력이 되는지, 해커들의 포럼에 들어가 범죄자들의 동향을 알아보고, 그에 대한 방어력을 갖출 수 있는지, 과거 공격 사례를 통해 어떤 보안 관련 노하우를 축적하고 있는지, 앞으로 어떠한 사고가 일어날 가능성이 크고 작은지, 내부자 위협의 수준은 어느 정도인지 등이 전부 ‘위협 첩보’에 속하기 때문에 어찌 보면 당연하다.
현재 사이버 보안과 위협 첩보는 M&A를 위한 정보 수집 단계 초기부터 고려 대상이다. 인수 예비 후보들을 일렬로 나열해놓고 하나하나 살펴볼 때 보안과 관련된 보고서를 요청하고, 또 상세히 들여다본다. 잘 하면 좋고, 못 하면 할 수 없는 그런 옵션이 아니기 때문이다. 기업 평가가 갈라질 수 있는 그런 묵직한 요소다.
물론 사이버 보안이 별로 중요한 요소가 아니라고 하더라도, 어떻게 해서든 회사 가치를 높여야 하는 기업 입장에서는 ‘잘해야 하는 건 마찬가지’다. 하지만 검토 과정의 초기에 요구된다는 것과 후기에 곁들여서 요구가 된다는 건 차이가 크다.
이러한 맥락에서 새롭게 떠오르는 고민거리가 있으니, ‘사이버 보안 상태를 정확하게 평가하는 방법이란 무엇일까?’이다. 위에서는 ‘위협 첩보’를 검토함으로써 그 수준을 가늠한다고 했는데, 사실 현재로서는 그만한 방법이 없다. 한 기업이 보유하고 또 관리하고 있는 위협 첩보를 통해 이 회사가 사이버 보안에 대해 어떤 자세로 임하고 있는지, 뭘 빠트리고 있으며, 뭘 잘 하고 있는지를 알 수 있다.
사실 이건 ‘보안’만의 일이 아니다. 위협 첩보를 통해 기업의 상태를 가늠한다는 건, 그 기업이 고객의 데이터, 기업의 지적재산, 계정 정보, 크리덴셜 등 사업을 진행하는 데 있어 중요한 정보를 어떻게 다루고 있는지를 알 수 있게 된다는 뜻이 된다.
그렇기에 요즘 사이버 보안과 관련된 M&A 자리에서 등장하는 질문들은 다음과 같다.
1) 보안 인프라 구조는 어떻게 구성되어 있습니까?
2) 현재 운영되고 있는 보안 프로세스에 대해 설명해 주십시오.
3) 최근 몇 년 간 실제로 경험한 사이버 공격이나 유출 사고에 대해 설명해 주십시오.
4) 내부자 위협으로 인한 문제가 발생한 적이 있나요?
5) 확인된 적대 세력이 있습니까?
6) 서드파티 업체들에게 요구하는 필수 보안 관련 사항들에는 무엇이 있나요?
그런데 M&A의 보안 평가는 여기서 끝나지 않는다. 인수될 기업의 평가 후에도 남는 문제가 있다. 사실 이것 역시 사이버 보안이 M&A의 중요한 화두가 되어가는 이유다. 그것은 바로 두 기업의 전혀 다른 사이버 보안 시스템을 하나로 합쳐놓아야 한다는 것이다. 이메일 도메인을 합하고, 네트워크를 합하며, 각 요소에 위치한 리스크들과 결합부분에서 생기는 새로운 리스크도 전부 고려한 상태에서 평가를 이뤄내야 한다.
M&A의 결과가 어떻게 나올지는 아무도 모른다. 확실한 건 첩보를 평소에 어떻게 다루고 관리하느냐, 또 이걸 어떤 식으로 제출하고 요구하느냐가 M&A 협상 테이블의 중요한 토론 주제가 되고 있다는 것이다. 그러므로 첩보 데이터에 더 익숙해져야 할 때다.
글 : 알론 아르바츠(Alon Arvatz)
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
