안녕하세요. 인텔렉추얼데이터입니다.

최근 시스코시스템즈(시스코)는 한국 등 세계 30여 개국 보안 전문가 및 비즈니스 리더 8천 명을 대상으로 설문한 결과를 담은 '사이버보안 준비 지수 보고서'를 28일 발표했습니다. 

보고서에서는 기업의 사이버보안 준비 현황을 초기, 형성, 발달, 성숙 4단계로 분류했는데, 이 중 성숙 단계에 속한 한국 기업은 4％, 세계적으로는 3％에 불과했습니다. 국내 기업의 60％는 형성 단계에 속했고, 25％는 초기 단계였죠. 

사이버보안에 대한 관심과 투자는 지속적으로 상승

한국 응답자의 63％는 '향후 1∼2년 내 사이버보안 사고에 따라 사업에 차질이 생길 우려가 있다'고 했고, 44％는 '지난 1년 안에 사이버보안 사고를 경험한 적이 있다'고 했으며, 그중 69％가 최소 30만 달러(약 4억원) 이상의 피해를 봤다고 했습니다. 

또한 한국 내 기업 36％는 앞으로 1∼2년 안에 정보기술 인프라를 대폭 확대하겠다는 계획을 세웠습니다. 이는 지난해 조사와 비교했을 때 9％ p 오른 수치입니다. 또한 응답자의 96％는 1년 안에 사이버보안 예산 증액을 계획하고 있으며, 79％는 관련 예산이 10％ 이상 증가한다고 했습니다. 

전체적으로 한국 기업의 89％는 사이버보안 인력의 부족을 큰 문제로 인식하고 있으며, 46％는 사이버보안 관련 직무 10개 이상이 미충원 상태라고 답했는데요. 이번 조사는 제삼자 기관을 통해 사용자 신원 신뢰도, 네트워크 회복탄력성, 머신 신뢰도, 클라우드 및 인공지능(AI) 강화 등 다섯 가지 핵심 요소를 이중맹검 설문 방식으로 진행한 조사입니다.

​미국 내에서 점차 강화되고 있는 사이버보안 관련 규제와 의무

전체적으로 보안에 대한 인력 및 물적 투자가 점점 요구되는 추세임을 알 수 있습니다. 국가 단위에서의 규제나 의무 역시 상당히 강화되고 있는데요. 

미국 사이버보안 및 인프라보안국(Cybersecurity & Infrastructure Security Agency, CISA)는 현지 시각 3월 29일, 중요 인프라법에 대한 사이버 사고 보고법(Cyber Incident Reporting for Critical Infrastructure Act ,CIRCIA)에 의거한 NPRM(Notice of Proposed Rulemaking, 입법예고안)을 발표했습니다. 

이 입법예고안은 대략 447페이지 분량으로 구성되어 있으며, 특정 중요 인프라 조직은 사이버 사고를 72시간 이내에 보고하고 랜섬웨어에 대한 공격이 있으면 24시간 이내에 보고하도록 규정하고 있습니다.

사이버보안 사고 보고 의무의 범위 확대

CIRCIA에는 바이든 행정부의 「대통령 정책 지침-21」 주요 인프라 보안 및 복원력에 기술된 16개 부문을 대상으로 중소기업을 제외한 중요 인프라 내의 모든 법인에 CIRCIA 보고 요구 사항을 적용할 것을 제안하고 있습니다. 

주요 인프라 부문은 화학, 상업시설, 통신, 핵심 제조업, 댐, 군/방위산업, 응급 서비스, 에너지, 금융 서비스, 식품 및 농업, 정부 시설, 의료 및 공중 보건, 정보 기술, 원자로/재료/폐기물, 운송 시스템, 물 및 오폐수처리로 대부분의 기반시설이 포함되어 있습니다. 

흥미로운 것은 사고 보고 의무 개념이 상당히 넓어졌다는겁니다. CISA는 의회가 구상한 것 이상으로 국방부와 연방 통신국에서 이미 발행한 기존 사이버 사고 보고 의무를 포함하는 폭넓은 보고를 요구하고 있습니다. 사고 보고서와 랜섬웨어 지불 보고서 보고 이외에 이에 대한 합동 보고서를 72시간 내에 추가 제출, 추가 사건이 있을 경우 24시간 내에 즉각적으로 보충 보고서를 제출할 것을 규정하고 있습니다.

​CISA의 부문별 기준 예시안은 다음과 같습니다.

- 통신 부문 : 통신 사업자, 인터넷 서비스 제공자, 방송사, 케이블 제공자 및 위성 제공자를 포함하여 "유선 또는 무선을 통한 통신 서비스"를 제공하는 주체

- 군/방위산업 부문 : 미국 국방부에 운영상 중요한 지원을 제공하거나 해당 국방 정보를 처리, 저장 또는 전송하는 기관

- 금융 서비스 부문 : 은행, 특정 저축 및 대출 회사, 신용 조합, SEC의 규제를 받는 일부 기관 등 금융 서비스 기관을 소유하거나 운영하는 기관

- 정보 기술 부문 : 연방 정부에 IT 서비스를 제공하거나 지원하는 기관

- 교통 부문 : 화물 및 여객철도, 대중교통, 버스 운영업체, 파이프라인 시설, 항공운송업체, 공항 등의 기관, 해상운송보안법에 따라 규제를 받거나 교통보안청 사이버 보안 보고 요구 사항을 적용받고 있는 기관

- 정부 시설 : (특히 선거 과정을 지원하거나 주 및 지방 선거 결과를 보고하는 데 사용되는) IT 또는 통신 기술을 제조, 판매 또는 제공하는 기관 

- 의료 및 공중 보건 부문 : 특정 병원을 소유 또는 운영하거나 특정 종류의 의약품을 제조하는 등 필수 공중 보건 관련 서비스를 제공하는 기관

부문별 기준과 관련하여 CISA는 해당 법인이 부문별 기준을 충족하는 '개별 시설이나 기능이 아닌 전체 법인'이라고 명시했는데요. 중요하지 않은 부분이나 시설에서 발생한 사이버 사고 역시 법인 명의로 보고되어야 함을 의미합니다.

​강화되는 규정에 맞춰 보안강화와 보고절차 확인 필요

또한 CISA는 다음과 같은 사건이 심각한 사이버 사건으로 간주될 수 있다고 했는데요.

해당 대상의 서비스를 고객이 장기간 동안 사용할 수 없게 만드는 분산형 서비스 거부 공격(DDOS), 해당 주체의 핵심 비즈니스 시스템 또는 정보 시스템 중 하나를 암호화하는 랜섬웨어 사고, 위험 물질의 유출 가능성을 높이는 사고, 벌크 전기 시스템(BES) 사이버 시스템을 손상시키거나 중단시키는 사고도 포함됩니다.

정보 시스템 또는 네트워크의 가동 중지 시간을 연장하는 시도나 비즈니스 시스템에 무단으로 액세스 할 수 있는 공격, ID 인프라를 손상시키거나 플래시 드라이브나 온라인 저장소 등에 무단으로 접근하여 중요한 데이터를 의도적으로 유출하는 행위 역시 모두 포함하고 있습니다. 거의 대다수의 보안사고를 포함하고 있습니다.

4월 4일에 이 입법예고안은 관보에 정식 게재되고, 2024년 6월 3일을 의견 제안 마감일로 2025년 10월 경부터는 CIRCIA 규정이 정식으로 출범하게 됩니다. 관련 기업들은 그 이전에 보안 컴플라이언스와 침투 파악 기술을 구축하고 관련된 보고 절차를 확인할 필요가 있습니다.