증가한 사이버보안 예산, 그러나 보여주기식 대처

 

증가한 사이버보안 예산, 그러나 보여주기식 대처

사이버 보안에 대한 예산이 증가했다고 하더라도 CISO(Chief Information Security Officer)들은 잘못된 기대에 직면하고 있습니다. 위험 및 사이버 보안 솔루션 업체인 BSS의 최신 연구 결과에 따르면, 대부분의 CISO들은 예산 증가는 보안 전략적인 투자보다는 어떤 사건에 대해서 보여주기 위한 비용으로 지출되고 있다고 말하고 있습니다.

BSS가 150명의 보안 리더를 대상으로 실시한 설문조사에 따르면, 대부분의 CISO들은 보안 예산이 증가했다고 하지만, 예산 담당자들의 비현실적인 기대로 인해 전략적이고 비즈니스 중심적인 보안 투자보다는 헤드라인을 장식하는 비용으로 소비되고 있다고 응답하고 있습니다.

또한, 정보 보안 성숙도 보고서에 의하면 작년 대비 예산이 커진 보안 리더의 비율은 절반 이상이지만, 증가 수준은 낮았습니다. 사이버 위협 환경의 변화, 경쟁사와의 경쟁, 채용 및 교육 투자 등을 주된 지출 증가 원인으로 지목하고 있습니다.

이러한 상황에서 BSS 보고서에 따르면 보안 예산이 늘어났다고 응답한 보안 리더의 비율은 61%에 달하며, 연간 예산이 50~100만 파운드인 CISO가 가장 많은 비중을 차지하고 있습니다. 하지만 절반 이상의 CISO들은 예산 증가로 인해 전략적이고 비즈니스 의사결정에 참여하는 것보다는 언론에 보도된 문제를 해결하는 데에 비용을 할당해야 했다고 말하고 있습니다.

 

BSS의 이사 크리스 월킨슨은 예산 담당자들이 기업을 타겟으로 한 위협을 충분히 이해하지 못한 상황에서 비현실적인 기대를 갖고 있기 때문에 이런 현상이 발생했다고 지적하고 있습니다. 이런 이유로 정보 보안에 대한 기업의 이해도와 전략적인 투자에 대한 부족이 드러나고 있다고 말했습니다.

또한, BSS 보고서는 정보 보안이 이사회에서 충분한 중요성을 받지 못하고 있는 상황 때문에 문제가 더 악화되고 있다고 지적합니다. 이자회의에서 정보 보안이 상위 3가지 중요한 안건으로 다뤄지는 비율은 9%에 불과하며, CISO가 비즈니스 전략과 의사결정에 적극적으로 참여한다고 밝힌 비율은 22%입니다.

보고서는 사이버 사고로 인해 보안 인식이 높아졌다는 사실을 활용하여 CISO들이 이사회를 교육하고 경각심을 심어야 한다고 조언하고 있습니다. "보안 리더가 이사회에게 가장 중요한 위협과 그로 인해 비즈니스에 미칠 수 있는 잠재적인 영향에 대해 교육할 수 있는 좋은 기회"라고 말하며, 이러한 기회를 통해 비즈니스 전략과 핵심 의사결정에 대한 이해를 높일 수 있다고 전해졌습니다.

이렇게 CISO들이 이사회와 사이버 보안에 관련한 이야기를 잘하고 처리하는 것은 중요한 도전 과제입니다. 이를 효과적으로 수행하지 못하면 이사회, 보안 부서 및 기업 내 다른 구성원들 간의 혼란과 결속력 부족을 초래할 수 있는데, 지나치게 기술적인 보안 용어를 사용하거나 위험의 영향에 너무 많은 관심을 기울이는 등의 실수를 자주 저지르는 경향을 가지고 있습니다.