경연진들, “보안이 너무 강력해 셀링 포인트로 작용할 지경”
CISO들, “그냥 저냥 만족할 정도”...“두 번째 공격 막을 수 있을까”
[보안뉴스 문가용 기자] 기업의 운영진들은 실무진들보다 보안에 대해 긍정적인 생각을 가지고 있는 것으로 나타났다. 도메인 등록소인 노미넷(Nominet)이 최근 미국과 영국의 CISO, CIO, CTO 등 IT 관련 고위급 인사 300명을 대상으로 ‘보안 상태에 대한 자신감’을 물은 결과라고 한다.
이번 조사에 참여한 사람들 중 70%가 “보안 시스템이 잘 갖춰져 있다는 것이, 고객들과 파트너사들에게 셀링 포인트가 되고 있다”고 답했다. 하지만 보안을 직접 담당하고 있는 CISO들은 정 반대의 의견을 표출했다. 보안 담당자들 중 34%가 “그냥 저냥 만족할 수준”이라고 답했고, 33%는 “아주 조금 자신감이 있는 정도”라고 했다. 점수를 매기라고 했을 때 거의 대부분이 80점 미만을 줬다.
노미넷의 부회장인 스튜어트 리드(Stuart Reed)는 “같은 C레벨 임원인데 한쪽은 보안을 두고 ‘셀링 포인트’라고 부를 정도로 자신감이 넘치고, CISO를 필두로 한 다른 한쪽은 80점도 되지 않는 점수를 중 정도로 자신감이 없는 상태인 것이 놀라웠다”고 말한다. “결국 두 그룹 간 소통과 이해가 부족하다는 뜻밖에 되지 않습니다.”
또한 이번 조사를 통해 많은 CISO들이 사업을 이끄는 경영진들보다 실제 권한이 낮고, 따라서 많은 경우 보안을 타협할 수밖에 없는 위치에 서게 된다는 점이 드러났다고 노미넷은 분석한다. “문제는 그 경영진들의 보안 이해도가 낮을 수밖에 없다는 것이죠. 보안을 잘 모르는 사람들이 현장에서 보안을 좌지우지 한다는 게 현실입니다.”
리드는 “CISO들이 보안에 대해 자신감을 낮게 가질 수밖에 없는 위치에 있긴 하지만, 그렇다 해도 ‘그냥 저냥 만족한다’거나 ‘어느 정도만의 자신감만 있을 뿐’이라는 응답자가 각각 1/3 정도밖에 되지 않는다는 건 그리 좋은 현상이 아니”라고 설명한다. “경영진과 CISO들 간의 의견이 이렇게나 갈린다는 건, 걱정해야 할 일이고, 따라서 조치를 취해야 할 일입니다.”
CISO들의 자신감이 낮을 수밖에 없는 이유 중 하나는 솔루션의 구매 결정권이 없다는 것이다. 제안을 할 수는 있지만, 결국 마지막에 결재 권한을 발휘하는 건 CFO나 CEO 등 경영진이다. 그렇다는 건 보안 솔루션이나 장비 구매가, 온전히 보안이라는 이유로 구매되거나 거절되지 않는다는 것이다. “경영진이 결정하는 것이니, 비용, 효율성, 이용성 등의 다른 요인들도 고려사항이 됩니다.”
리드는 “CISO들이 자신감을 가지고 보안을 강화할 수 있게 해줄 방법이 필요하다”고 주장한다.
보안 업체 라드웨어(Radware)도 비슷한 조사를 진행한 바 있다. 당시 CISO의 20%가 보안 솔루션이나 장비를 구축한 이후에는 실험 가동을 해보지 않거나, 실험 여부를 파악하지 못하고 있다고 답했다. 리드는 이 조사 내용을 언급하며 “솔루션과 장비의 성능을 마음껏 실험해볼 수 있게 해주는 것도 CISO의 자신감을 높여줄 수 있다”고 말했다.
또한 미국의 CISO들이 영국의 CISO들보다 더 긍정적이라는 사실도 드러났다. 특히 보안 장치들의 효과 측면에서 미국의 CISO들은 더 높은 자신감을 보였다. 노미넷은 “문화 차이가 작용하는 것 같다”고 해석했지만, “이번 조사 대상이 된 미국 기업들은 대체로 솔루션 구매에 있어 보다 자유로운 대기업이라는 점도 고려해야 한다”고 덧붙였다.
또한 지난 12개월 사이에 보안 침해 사고를 경험했던 기업들 중 68%가 보안 능력에 대해 상당히 회의적이거나 불안한 상태라는 것도 드러났다. 이런 기업에 속한 경영진과 CISO들은 “다시 한 번 공격이 발생했을 때 제대로 막을 수 있을지 의심스럽다”고 답했다. 물론 여기서도 미국의 CISO들은 영국의 CISO들보다 더 긍정적인 면모를 보였다.
리드는 “미국과 영국인들 사이의 문화 차이가 분명 존재하며, 이는 같은 요소를 얼마나 심각하거나 얼마나 가볍게 받아들이냐를 결정한다”며 “CISO가 느끼는 자신감과 실제 회사의 보안 능력은 반드시 비례하지 않는다”는 걸 알 수 있다고 결론을 내린다. “실제 보안에 대한 투자가 얼마나 되든, 자신감이 있을 사람은 있고, 없을 사람은 없습니다. 경영진과 CISO들이 같은 마음과 생각을 가지고 보안을 강화하는 것이 보안 실무자들의 자신감을 높이는 데 더 도움이 되지 않을까 합니다.”
3줄 요약
1. 기업 경영진들은 보안에 대해 자신감 넘쳐 흐름.
2. CISO 등 보안 담당자들은 그에 비해 자신감 현저히 부족.
3. 이 간극을 줄이는 것이 CISO의 자신감을 올리는 길.
[국제부 문가용 기자(globoan@boannews.com)]
CISO들, “그냥 저냥 만족할 정도”...“두 번째 공격 막을 수 있을까”
[보안뉴스 문가용 기자] 기업의 운영진들은 실무진들보다 보안에 대해 긍정적인 생각을 가지고 있는 것으로 나타났다. 도메인 등록소인 노미넷(Nominet)이 최근 미국과 영국의 CISO, CIO, CTO 등 IT 관련 고위급 인사 300명을 대상으로 ‘보안 상태에 대한 자신감’을 물은 결과라고 한다.
[이미지 = iclickart]
이번 조사에 참여한 사람들 중 70%가 “보안 시스템이 잘 갖춰져 있다는 것이, 고객들과 파트너사들에게 셀링 포인트가 되고 있다”고 답했다. 하지만 보안을 직접 담당하고 있는 CISO들은 정 반대의 의견을 표출했다. 보안 담당자들 중 34%가 “그냥 저냥 만족할 수준”이라고 답했고, 33%는 “아주 조금 자신감이 있는 정도”라고 했다. 점수를 매기라고 했을 때 거의 대부분이 80점 미만을 줬다.
노미넷의 부회장인 스튜어트 리드(Stuart Reed)는 “같은 C레벨 임원인데 한쪽은 보안을 두고 ‘셀링 포인트’라고 부를 정도로 자신감이 넘치고, CISO를 필두로 한 다른 한쪽은 80점도 되지 않는 점수를 중 정도로 자신감이 없는 상태인 것이 놀라웠다”고 말한다. “결국 두 그룹 간 소통과 이해가 부족하다는 뜻밖에 되지 않습니다.”
또한 이번 조사를 통해 많은 CISO들이 사업을 이끄는 경영진들보다 실제 권한이 낮고, 따라서 많은 경우 보안을 타협할 수밖에 없는 위치에 서게 된다는 점이 드러났다고 노미넷은 분석한다. “문제는 그 경영진들의 보안 이해도가 낮을 수밖에 없다는 것이죠. 보안을 잘 모르는 사람들이 현장에서 보안을 좌지우지 한다는 게 현실입니다.”
리드는 “CISO들이 보안에 대해 자신감을 낮게 가질 수밖에 없는 위치에 있긴 하지만, 그렇다 해도 ‘그냥 저냥 만족한다’거나 ‘어느 정도만의 자신감만 있을 뿐’이라는 응답자가 각각 1/3 정도밖에 되지 않는다는 건 그리 좋은 현상이 아니”라고 설명한다. “경영진과 CISO들 간의 의견이 이렇게나 갈린다는 건, 걱정해야 할 일이고, 따라서 조치를 취해야 할 일입니다.”
CISO들의 자신감이 낮을 수밖에 없는 이유 중 하나는 솔루션의 구매 결정권이 없다는 것이다. 제안을 할 수는 있지만, 결국 마지막에 결재 권한을 발휘하는 건 CFO나 CEO 등 경영진이다. 그렇다는 건 보안 솔루션이나 장비 구매가, 온전히 보안이라는 이유로 구매되거나 거절되지 않는다는 것이다. “경영진이 결정하는 것이니, 비용, 효율성, 이용성 등의 다른 요인들도 고려사항이 됩니다.”
리드는 “CISO들이 자신감을 가지고 보안을 강화할 수 있게 해줄 방법이 필요하다”고 주장한다.
보안 업체 라드웨어(Radware)도 비슷한 조사를 진행한 바 있다. 당시 CISO의 20%가 보안 솔루션이나 장비를 구축한 이후에는 실험 가동을 해보지 않거나, 실험 여부를 파악하지 못하고 있다고 답했다. 리드는 이 조사 내용을 언급하며 “솔루션과 장비의 성능을 마음껏 실험해볼 수 있게 해주는 것도 CISO의 자신감을 높여줄 수 있다”고 말했다.
또한 미국의 CISO들이 영국의 CISO들보다 더 긍정적이라는 사실도 드러났다. 특히 보안 장치들의 효과 측면에서 미국의 CISO들은 더 높은 자신감을 보였다. 노미넷은 “문화 차이가 작용하는 것 같다”고 해석했지만, “이번 조사 대상이 된 미국 기업들은 대체로 솔루션 구매에 있어 보다 자유로운 대기업이라는 점도 고려해야 한다”고 덧붙였다.
또한 지난 12개월 사이에 보안 침해 사고를 경험했던 기업들 중 68%가 보안 능력에 대해 상당히 회의적이거나 불안한 상태라는 것도 드러났다. 이런 기업에 속한 경영진과 CISO들은 “다시 한 번 공격이 발생했을 때 제대로 막을 수 있을지 의심스럽다”고 답했다. 물론 여기서도 미국의 CISO들은 영국의 CISO들보다 더 긍정적인 면모를 보였다.
리드는 “미국과 영국인들 사이의 문화 차이가 분명 존재하며, 이는 같은 요소를 얼마나 심각하거나 얼마나 가볍게 받아들이냐를 결정한다”며 “CISO가 느끼는 자신감과 실제 회사의 보안 능력은 반드시 비례하지 않는다”는 걸 알 수 있다고 결론을 내린다. “실제 보안에 대한 투자가 얼마나 되든, 자신감이 있을 사람은 있고, 없을 사람은 없습니다. 경영진과 CISO들이 같은 마음과 생각을 가지고 보안을 강화하는 것이 보안 실무자들의 자신감을 높이는 데 더 도움이 되지 않을까 합니다.”
3줄 요약
1. 기업 경영진들은 보안에 대해 자신감 넘쳐 흐름.
2. CISO 등 보안 담당자들은 그에 비해 자신감 현저히 부족.
3. 이 간극을 줄이는 것이 CISO의 자신감을 올리는 길.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
.jpg)
.jpg)
.jpg)
