중요 인프라 조직의 83%가 보안 침해를 당한 것으로 2021년 사이버 보안 연구에서 밝혀져

공급망 및 제3자 위험이 OT (Operational Technology) 에 대한 주요 위협으로 부각

보도 자료 요약

- 지나친 과신, 향후 침해 예고: CIO 및 CISO의 73%는 내년에 OT 침해를 당하지 않을 것을 "매우 확신" 한다고 응답

- 사이버 보안은 여전히 사후적인 고려 사항일 뿐: 응답자의 40%가 사이버 보험이 충분한 해결책이 된다고 생각

- 복잡성으로 인해 보안 위험 증가: 응답자의 78%가 멀티벤더 기술 복잡성으로 인해 어려움을 겪고 있다고 답변

캘리포니아주 산호세, 2021년 11월 12일 /PRNewswire/ -- 스카이박스 시큐리티(Skybox Security) 사의 새로운 연구 조사에 따르면, 지난 36개월 동안 운영 기술(OT) 사이버 보안 침해 피해를 입은 기업은 조사 대상 기업의 83%에 달하는 것으로 나타났다. 또한 이 조사에서 기업이 사이버 공격의 위험을 과소평가하고 있는 것으로 드러났는데, 응답한 최고정보책임자(CIO)와 최고정보보안책임자(CISO)의 73%가 내년에 자사가 OT 보안 침해를 입지 않을 것을 "매우 확신"한다고 답변한 바 있다.

Skybox Security 창업자인 기디 코헨(Gidi Cohen) CEO는 "기업들만이 OT에 의존하는 것이 아니라 일반 대중 또한 에너지와 물을 포함한 중요한 서비스를 제공받기 위해 이 기술에 의존하고 있습니다. 하지만 불행히도 사이버 범죄자들은 중요한 인프라 보안이 일반적으로 취약하다는 사실을 너무나 잘 알고 있어서, OT에 대한 랜섬웨어 공격이 성공을 거둘 가능성이 매우 높다고 믿고 있습니다."라며 "악이 무관심 속에서 더 크게 번성하는 것과 마찬가지로, 우리가 아무런 조치도 취하지 않는다면 랜섬웨어 공격은 계속해서 OT 취약성을 악용할 것입니다."라고 말했다.

OT에 대한 사이버 보안 위험이 심각하게 과소평가 됨이라는 제목의 이 새로운 연구는 네트워크 복잡성, 기능 사일로, 공급망 위험 및 취약성을 개선할 수 있는 옵션의 제한 등 OT 보안이 직면하고 있는 힘든 싸움에 대해 밝혀내고 있다. 사이버보안 위협 행위자는 이러한 OT 약점을 이용하여 개별 기업에 위해를 가할 뿐만 아니라 공중 보건, 안전 및 경제를 위협한다. 

Skybox Security research finds that organizations with OT environments underestimate the risk of a cyberattack. (PRNewsFoto/Skybox Security)

2021년 연구의 주요 내용은 다음과 같다:

• 기업들은 사이버 공격의 위험을 과소평가하고 있다. 전체 응답자의 56%가 내년에 자사의 OT가 보안 침해를 당하지 않을 것을 "매우 확신"한다고 답변했다. 그러면서도 응답자의 83%는 또한 지난 36개월 동안 자사의 OT 보안 침해 사례가 적어도 한 건 이상 있었다고 답변했다. 이러한 시설의 중요성에도 불구하고 보안 관행이 취약하거나 아예 없는 경우가 많다.
• 최고정보보안책임자의 인식은 현실과 괴리되어 있다. 응답한 최고정보책임자(CIO)와 최고정보보안책임자(CISO)의 73%가 내년에 자사의 OT가 보안 침해를 당하지 않을 것을 "매우 확신"한다고 답변했다. 이는 같은 질문에 대해 사이버 공격의 영향을 직접 경험한 공장 관리자 중 37%만이 "매우 확신"한다고 응답한 것과 대비된다. 일부는 자사의 OT 시스템이 취약하다고 믿기를 거부하는 반면, 다른 사람들은 다음 침해가 코앞에 다가왔다고 한다.
• 규제 준수는 보안과 동일하지 않다. 현재까지 규제 준수 표준은 보안 사고를 예방하는 데 불충분한 것으로 입증되고 있다. 규제 및 요건을 준수하는 것이 모든 응답자의 가장 공통된 최우선 관심사로 나타났다. 최근 중요 인프라에 대한 공격을 고려해 볼 때 규제 준수 요건은 계속 증가할 것으로 보인다.
• 복잡성은 보안 위험을 증가시킨다. 응답자의 78%는 멀티벤더 기술로 인한 복잡성이 자사의 OT 환경을 보호하는 데 어려움을 가중시킨다고 답변했다. 또한 전체 응답자의 39%는 보안 프로그램을 개선하는 데 가장 큰 걸림돌은 중앙 부서의 조율된 감독 없이 개별 사업부에서 의사결정이 이뤄지는 것이라고 말했다.
• 일부는 사이버 책임 보험으로 충분하다고 생각한다. 응답자의 34%는 사이버 책임 보험이 충분한 해결책이 되는 것으로 생각한다고 답했다. 하지만, 사이버 책임 보험은 설문 응답자들의 3대 관심사 중 하나인 랜섬웨어 공격으로 치루게 되는 값비싼 "사업 손실"에는 적용되지 않는다.
• 노출 및 경로 분석은 사이버 보안의 최우선 과제이다. 설문에 응답한 CISO 및 CIO의 45%가 실제 노출을 파악하기 위해 환경 전반에 걸쳐 경로 분석을 수행할 수 없다는 것이 3대 보안 문제 중 하나라고 답변했다. 또한 CISO 및 CIO는 OT 및 IT 환경 전반에 걸쳐 일관성없이 구성되어 있는 아키텍처(48%)와 IT 기술의 융합(40%)이 자사가 직면하고 있는 3대 보안 리스크 중 두 가지에 해당된다고 말했다.
• 기능 사일로는 프로세스 갭과 기술 복잡성을 유발한다. CIO, CISO, 설계자, 엔지니어 및 플랜트 매니저 모두 OT 인프라 보안과 관련하여 해결하여야 할 가장 중요한 과제 중 하나로 기능 사일로를 꼽고 있다. OT 보안 관리는 팀 스포츠와 같다. 같은 팀 선수들이 서로 다른 플레이 북에 따라 경기에 임하면 함께 승리하기 어렵다.
• 공급망 및 제3자 리스크는 주요 위협 요인이다. 응답자의 40%는 네트워크에 대한 공급망/제3자 액세스가 최상위 3대 보안 위험 중 하나라고 답변했다. 그럼에도 불구하고 자사가 OT에 적용되는 제3자 액세스 정책을 보유하고 있다고 답변한 응답자는 46%에 불과했다.

본 연구 조사 결과를 뒷받침하는 발언 인용

• 나비스타(Navistar)사 정보 보안 관리자 로버트 린치(Robert Lynch): "CISO 중 일부는 자사의 보안망이 이미 뚫렸음에도 불구하고 아직 이를 파악하지 못했기 때문에 잘못된 자신감을 가질 수 있습니다. 때때로 해커들은 그들의 발판을 마련하기 위해 오랜 기간 동안 그곳에 잠적해있습니다. 악한 자들의 솜씨가 워낙 탁월하기 때문에, 자사의 보안망이 안전하다고 자신 있어 하는 것은 위험합니다."
• 스카이박스(Skybox) Research Lab 위협 인텔리전스 부서장 시반 니르(Sivan Nir): "당사의 위협 인텔리전스 분석에 따르면 새롭게 발견된 OT 취약성이 2020년 상반기에 비해 46% 증가한 것으로 나타났습니다. 하지만 이러한 취약성의 증가와 최근의 공격에도 불구하고 다수의 보안 팀이 OT 보안을 기업의 우선순위에 두고 있지 않습니다. 그 이유는 무엇일까요? 놀라운 발견 중 하나는 일부 보안 팀 직원이 자사의 보안이 취약하다는 사실은 부인하면서도 보안이 침해당했다는 것은 인정한다는 것입니다. 반대되는 증거에도 불구하고 자사의 보안 인프라는 안전하다는 잘못된 믿음은 OT 보안을 위한 조치가 불충분하게 된 결과를 초래했습니다."

더 상세한 내용을 보려면 전체 연구보고서를 다운로드하십시오.

방법론

본 연구는 미국, 영국, 독일 및 호주의 OT 보안 의사 결정권자 179명의 응답을 포함하고 있습니다. 제조, 에너지 또는 유틸리티 산업에서 매출이 10억 달러 이상인 기업이 응답자의 대다수(152)를 차지합니다. 

Skybox Security 소개 

전 세계에서 가장 규모가 크고 보안을 중시하는 500개 이상의 대기업이 동적으로 변화하는 보안 공격 지표면 환경에서 앞서가는 데 필요한 통찰력과 안전보장을 위해 Skybox를 사용하고 있습니다. Skybox는 단지 데이터와 정보만을 제공하는 데 그치지 않습니다. Skybox는 각 기업에 적절한 규모와 속도로 인텔리전스와 컨텍스트를 제공하여 고객이 추측에 의존하지 아니하고 정보에 입각한 의사결정을 내릴 수 있도록 지원합니다. 당사의 통합 보안 상태 관리 플랫폼은 완벽한 가시성, 분석 및 자동화를 제공하여, 고객의 조직 전체에 걸쳐 보안 취약성을 신속하게 매핑하여 우선순위를 정하고 문제를 개선할 수 있도록 합니다. 공급업체에 구애받지 않는 플랫폼은 모든 기업 및 클라우드 환경에서 보안 정책, 조치 및 변경 프로세스를 지능적으로 최적화합니다. 기업의 보안 팀은 Skybox를 사용하여 자사 보안 시스템의 안전을 보장받으며 가장 전략적인 비즈니스 이니셔티브에 집중할 수 있습니다. 

우리는 Skybox입니다. 더 많이 보호하고 더 적게 제한하십시오. https://www.skyboxsecurity.com/

Skybox 국내 총판 연락처 
(주)투비닉스
http://tobenix.co.kr
영업: 송창선 이사, 010-2331-2120, cssong@tobenix.co.kr 
기술: 박상욱 팀장, 010-9000-6873, lucas@tobenix.co.kr 

2021 스카이박스시큐리티(주) All rights reserved. Skybox Security 및 Skybox Security 로고는 미국 및/또는 기타 국가에서 Skybox Security, Inc.의 등록 상표 또는 상표입니다. 기타 모든 상표는 각 해당 소유주의 자산입니다. 제품 사양은 사전 고지 없이 언제든지 변경될 수 있습니다.

사진 - https://mma.prnasia.com/media2/1682289/Skybox_report.jpg?p=medium600
로고 - https://mma.prnasia.com/media2/1011662/Skybox_Security_logo.jpg?p=medium600