사후 대응형 보안 전략, CISO에게 중대한 과제로 부상

F5의 새로운 연구에 따르면, 확립된 IT 보안 전략을 갖춘 기업은 51%에 불과합니다

싱가포르 – 오늘 싱가포르 국제 사이버 주간에서 F5 Networks (나스닥: FFIV)는 끊임없이 변화하는 오늘날의 위협 환경 속에서 CISO의 역할이 어떻게 진화하고 있는지, 그리고 전 세계 조직들이 어떤 IT 보안 접근 방식을 취하고 있는지를 다룬 종합 보고서를 발표했습니다. 보고서에 따르면 IT 보안의 중요성이 커지면서 기업 내 CISO의 영향력도 확대되고 있지만, 많은 조직의 보안 전략은 여전히 사후 대응에 치중되어 있으며 아직 비즈니스 기능과 연계되지 않은 것으로 나타났습니다.

포네몬 연구소가 수행한 이번 조사의 결과는 미국, 영국, 독일, 브라질, 멕시코, 인도, 중국 등 7개국 184개 기업의 고위급 IT 보안 전문가를 대상으로 진행한 인터뷰를 바탕으로 합니다.

F5의 최고정보보호책임자(CISO)인 마이크 컨버티노는 “이번 연구는 오늘날의 어려운 환경에서 CISO들이 어떻게 업무를 수행하고 있는지에 대한 독특한 관점을 제공합니다”라며 “CISO들이 보안 기능을 이끌고 기업 내에서 리더십 역할을 맡는 방식에서 진전을 이루고 있다는 점은 분명합니다. 하지만 많은 조직에서 IT 보안은 자산을 완벽하게 보호하고 갈수록 정교해지고 빈번해지는 공격을 방어하는 데 필요한 전략적이고 선제적인 역할을 아직 수행하지 못하고 있습니다”라고 말했습니다.

주요 조사 결과

• CISO의 책임 확대 – CISO가 조직의 고위 경영진 사이에서 행사하는 영향력의 정도는 각기 다르지만, 대부분의 CISO는 기업의 사이버 보안 위험 관리에 상당한 영향력을 발휘하고 있으며 그 영향력은 점점 커지고 있습니다. 응답자의 68%는 CISO가 모든 IT 보안 지출에 대한 최종 결정권을 갖고 있다고 답했으며, 이보다 약간 적은 64%는 CISO가 조직의 모든 보안 지출에 직접적인 영향력과 권한을 행사한다고 답했습니다. 응답자의 87%는 IT 보안 예산이 크게 증가했거나(18%), 다소 증가했거나(29%), 변동이 없었다고(40%) 답했습니다.
  
• 비즈니스와의 연계 부족 – 전사 차원의 IT 보안 전략을 갖춘 경우는 여전히 매우 드뭅니다. 응답자의 58%는 IT 보안이 독립된 기능이라고 답했으며, 보안이 다른 비즈니스 팀과 통합되어 있다고 답한 비율은 22%에 불과했습니다. 또한 45%는 보안 조직의 책임 범위가 명확하게 정의되어 있지 않다고 답했습니다. 응답자의 75%는 비즈니스 기능과의 통합 부족으로 인해 영역 다툼과 조직 간 단절 문제가 IT 보안 전술 및 전략에 상당한 영향(36%) 또는 어느 정도 영향(39%)을 미친다고 답했습니다.
  
• 보안을 비즈니스 우선순위로 인식하는 것은 사후 대응적입니다 – 응답자의 60%는 소속 조직이 보안을 비즈니스 우선순위로 여기고 있다고 답했지만, 조직에 IT 보안 전략이 있다고 답한 비율은 51%에 불과했습니다. 또한 이들 중 해당 전략이 다른 최고경영진의 검토와 승인을 거쳐 지원받고 있다고 답한 비율은 43%에 그쳤습니다. 조사 결과에 따르면 보안 프로그램의 변화는 대체로 사후 대응 방식으로 이루어지며, 다른 고위 경영진의 관심을 끄는 주요 사건 두 가지는 중대한 데이터 유출(45%)과 사이버 보안 공격(43%)인 것으로 나타났습니다.
  
• 위기 상황을 통해 경영진에 대한 영향력 강화 – 응답자의 65%는 CISO가 고위 경영진과 직접 소통한다고 답했지만, 조직이 직면한 모든 위협을 전략적으로 논의하는 경우는 드물었습니다. 또한 응답자들은 보안 사고에 관한 경영진과의 소통이 제한적이라고 밝혔습니다. 46%는 중대한 데이터 유출 및 사이버 공격만 CEO와 이사회에 보고한다고 답한 반면, 모든 데이터 유출을 이들에게 보고한다는 응답은 19%에 불과했습니다.
  
• AI는 인력 수요를 해결할 잠재적 방안 – IT 보안 인재 부족은 여전히 CISO에게 큰 과제로 다가오고 있습니다. 향후 2년 동안 IT 보안 인력은 평균 19명에서 32명의 정규직(또는 이에 상응하는) 직원으로 늘어날 전망이지만, 거의 절반(42%)은 현재 인력이 충분하지 않다고 느끼고 있습니다. 응답자의 58%는 자격을 갖춘 보안 인력을 채용하는 데 어려움을 겪고 있다고 답했으며, 가장 큰 문제로는 적격 후보자를 발굴하고 채용하는 것(56%)과 시장 수준의 급여를 제시하지 못하는 것(48%)을 꼽았습니다. 이러한 어려움으로 인해 기업들은 다른 해결책을 모색하고 있습니다. 응답자의 절반(50%)은 머신러닝과 인공지능이 인력 부족 문제를 해결할 수 있다고 믿으며, 70%는 2년 후 이러한 기술이 자사의 IT 보안 업무에서 중요한 역할을 할 것이라고 생각합니다.

F5 소개

F5(NASDAQ: FFIV)는 세계 최대 규모의 기업, 서비스 제공업체, 정부 기관 및 소비자 브랜드를 위해 애플리케이션을 더 빠르고 스마트하며 안전하게 만듭니다. F5는 조직이 속도와 제어 능력을 유지하면서 원하는 애플리케이션 인프라를 도입할 수 있도록 지원하는 클라우드 및 보안 솔루션을 제공합니다. 자세한 내용은 f5.com에서 확인하세요. Twitter에서 @f5networks를 팔로우하거나 LinkedIn 및 Facebook을 방문하여 F5와 파트너 및 기술에 대한 자세한 정보를 확인할 수도 있습니다.

F5는 미국 및 기타 국가에서 F5 Networks, Inc.의 상표 또는 서비스표입니다. 여기에 언급된 기타 모든 제품명 및 회사명은 해당 소유자의 상표일 수 있습니다.

###

본 보도자료에는 위험과 불확실성을 수반하는 미래 사건 또는 향후 재무 성과에 관한 미래예측진술이 포함될 수 있습니다. 이러한 진술은 "~할 수 있다", "~할 것이다", "~해야 한다", "예상한다", "계획한다", "기대한다", "믿는다", "추정한다", "예측한다", "잠재적", "지속한다" 등의 표현이나 이러한 표현의 부정형 또는 이와 유사한 표현을 통해 식별할 수 있습니다. 이러한 진술은 예측에 불과하며, 회사가 미국 증권거래위원회(SEC)에 제출한 서류에 명시된 요인을 비롯한 여러 요인으로 인해 실제 결과는 이러한 진술에서 예상한 것과 크게 다를 수 있습니다.