침해사고 예방 쉽지 않네…중소기업 여전히 `시름`, 왜?

실시간
뉴스

보안

침해사고 예방 쉽지 않네…중소기업 여전히 '시름', 왜?

디지털데일리 발행일 2024-04-01 11:00:00

김보민 기자

URL복사

[디지털데일리 김보민기자] 사이버 침해 공격이 늘고 있지만 중소기업 대비 태세가 여전히 미비하다는 진단이 나왔다. 정부 산하기관은 이들 기업이 방어력을 갖출 수 있도록 세부 단위 별로 지원을 강화하겠다는 계획을 밝혔다.

임진수 KISA 한국인터넷진흥원(KISA) 침해예방단장은 지난달 29일 "황사가 심해지면 마스크를 끼고 기관지를 보호하듯, 정보기술(IT) 시스템 또한 예방이 필요하다"며 "해킹 위험이 커진 만큼 개발, 점검, 관리, 지원 등 세부 단계 별로 예방 체인(chain)을 갖춰야 한다"고 말했다.

KISA에 따르면 지난해 사이버 위협은 전 영역에서 증가세를 보였다. 침해사고 신고 건수는 2020년 630건에서 지난해 1227건으로 4년간 약 2배 증가했다. 디도스 공격은 2020년 213건에서 2021년 123건과 2022년 122건으로 줄었다가 지난해 213건으로 다시 늘었다. 통신사와 웹호스팅사를 대상으로 공격이 늘면서 2년 만에 다시 증가 추세로 전환한 것으로 풀이된다.

반면 랜섬웨어 신고는 2022년 325건에서 지난해 258건으로 줄었다. 다만 2020년에는 신고가 127건에 그쳤다는 점을 고려했을 때 랜섬웨어 공격에 대한 경각심은 여전히 클 수 밖에 없다.

중소기업을 겨냥한 공격도 큰 비중을 차지한 것으로 나타났다. KISA에 따르면 랜섬웨어 피해 기업 중 약 78%가 중소기업이고, 전체 침해사고 약 81% 또한 중소기업이 차지했다. 임 단장은 "(사이버 위협이) 뚫기 쉬운 중소기업부터 노리고 금전적 이득을 취득하고 있다고 볼 수 있다"고 평가했다.

다만 중소기업 내 보안을 강화하려는 움직임은 더딘 상황이다. 대기업과 비교했을 때 보안 시스템을 강화하거나 전문 인력을 고용할 여력이 많지 않은 탓이다. 실제 침해 사건이 발생하기 전에 예방 체계를 구축하는 중소기업도 많지 않은 실정이다.

KISA에 따르면 250명 이상 직원을 보유한 기업 중 94.2%는 정보보호 정책을 보유하고 있었다. 50~249명은 78.4%, 10~49명은 35.2% 수준에 그쳤다. 기업 규모가 작을수록 보안 정책을 체계적으로 운영하지 못하고 있다는 의미다. 정보보호 조직 보유율 또한 기업 규모가 클수록 높았다. 250명 이상은 70.6%, 50~249명은 49.6%, 10~49명은 27.4%를 기록했다.

임 단장은 "실제 (보안 분야에) 예산을 확보한 곳은 행복한 기업이라고 말할 수 있다"며 "예산이 없고 정보보호를 어떻게 할지 모르는 기업도 많은 만큼, 여러가지 지원에 대한 필요성도 커지고 있다"고 말했다.

KISA는 ▲개발 ▲점검 ▲지원 ▲관리 분야에서 사이버 침해사고 예방체계를 구축해 기업을 지원할 계획이다.

먼저 개발 분야에서는 소프트웨어(SW) 개발 보안을 강화할 수 있도록 돕고 있다. KISA는 SW개발보안허브(내방형)와 중소기업을 직접 찾아가는 보안약점 진단서비스(방문형) 지원을 병행한다. 올해에는 침해사고 재발을 방지하자는 취지로 우선 점검기업을 선정하는 방식으로 지원을 추진한다.

점검 분야에서는 대상 기업이 보안점검과 조치를 확대하도록 지원한다. 현재 다수 중소기업은 인력 및 예산 부족을 이유로 보안 취약점을 관리하지 못하고 있다. 정부발 직접 지원이 필요하다는 의미인데, KISA는 모의침투와 보안 및 원격점검을 통해 빈틈을 메울 방침이다. 올해에는 국민생활 밀접 주요 사업자를 대상으로 실전형 모의침투 지원을 확대한다. 해킹이 발생할 때 국민·고객사로 피해가 확산될 수 있는 교통·통신 등 주요 사업자가 대상이다.

관리 분야에서는 보안관리 체계를 고도화할 수 있도록 돕는다. 현재 정보보호 전담조직을 운영하는 기업이 많지 않은 만큼, KISA는 모의훈련이 가능한 '사이버 시큐리티' 플랫폼을 제공한다. 훈련 플랫폼 내에서는 해킹메일, 웹 취약점, 디도스, 탐지대응 등 상시 훈련이 가능하고 시나리오 작성, 훈련 결과 확인 등 자율훈련도 진행할 수 있다.

KISA는 최근 탐지대응훈련을 추가해 기능을 개선했다고 설명했다. 정기 지원은 대기업·비영리 등 참여 제한이 없지만, 상시 지원의 경우 영세·중소기업으로 한정된다.

마지막으로 KISA는 보안서비스 지원도 강화하고 있다. 사이버대피소를 운영해 영세·중소기업이 디도스 공격을 방어할 수 있도록 돕는다는 취지다. 디도스 트래픽을 사이버대피소로 우회시켜 공격 트래픽을 차단하고, 정상 트래픽만 전달해 서비스를 운영하는 방식이다. KISA는 디도스 공격 뿐만 아니라 웹 해킹 전반을 방어하는 종합보안 서비스로 강화한다.

임 단장은 "보통 디도스 공격이 발생했을 때 한 번에 끝나지 않는다는 특징이 있다"며 "2차, 3차 피해가 밀려오기 때문에 빠르게 (방어 태세를) 적용하는 것이 중요하다"고 말했다. 이어 "예산 투입이 어려운 기업은 이러한 지원책을 활용해 사전에 방어 체계를 구축해야 한다"고 덧붙였다.

한편, 예방 체인 서비스를 이용하고 싶은 기업은 KISA 보호나라에 접수를 신청하면 된다.