중요 인프라 조직의 83%가 보안 침해를 당한 것으로 2021년 사이버 보안 연구에서 밝혀져

공급망 및 제3자 위험이 OT (Operational Technology) 에 대한 주요 위협으로 부각

보도 자료 요약

- 지나친 과신, 향후 침해 예고: CIO 및 CISO의 73%는 내년에 OT 침해를 당하지 않을 것을 "매우 확신" 한다고 응답

- 사이버 보안은 여전히 사후적인 고려 사항일 뿐: 응답자의 40%가 사이버 보험이 충분한 해결책이 된다고 생각

- 복잡성으로 인해 보안 위험 증가: 응답자의 78%가 멀티벤더 기술 복잡성으로 인해 어려움을 겪고 있다고 답변

캘리포니아주 산호세, 2021년 11월 12일 /PRNewswire/ -- 스카이박스 시큐리티(Skybox Security) 사의 새로운 연구 조사에 따르면, 지난 36개월 동안 운영 기술(OT) 사이버 보안 침해 피해를 입은 기업은 조사 대상 기업의 83%에 달하는 것으로 나타났다. 또한 이 조사에서 기업이 사이버 공격의 위험을 과소평가하고 있는 것으로 드러났는데, 응답한 최고정보책임자(CIO)와 최고정보보안책임자(CISO)의 73%가 내년에 자사가 OT 보안 침해를 입지 않을 것을 "매우 확신"한다고 답변한 바 있다.

Skybox Security 창업자인 기디 코헨(Gidi Cohen) CEO는 "기업들만이 OT에 의존하는 것이 아니라 일반 대중 또한 에너지와 물을 포함한 중요한 서비스를 제공받기 위해 이 기술에 의존하고 있습니다. 하지만 불행히도 사이버 범죄자들은 중요한 인프라 보안이 일반적으로 취약하다는 사실을 너무나 잘 알고 있어서, OT에 대한 랜섬웨어 공격이 성공을 거둘 가능성이 매우 높다고 믿고 있습니다."라며 "악이 무관심 속에서 더 크게 번성하는 것과 마찬가지로, 우리가 아무런 조치도 취하지 않는다면 랜섬웨어 공격은 계속해서 OT 취약성을 악용할 것입니다."라고 말했다.

OT에 대한 사이버 보안 위험이 심각하게 과소평가 됨이라는 제목의 이 새로운 연구는 네트워크 복잡성, 기능 사일로, 공급망 위험 및 취약성을 개선할 수 있는 옵션의 제한 등 OT 보안이 직면하고 있는 힘든 싸움에 대해 밝혀내고 있다. 사이버보안 위협 행위자는 이러한 OT 약점을 이용하여 개별 기업에 위해를 가할 뿐만 아니라 공중 보건, 안전 및 경제를 위협한다.

Skybox Security research finds that organizations with OT environments underestimate the risk of a cyberattack. (PRNewsFoto/Skybox Security)

2021년 연구의 주요 내용은 다음과 같다:

기업들은 사이버 공격의 위험을 과소평가하고 있다. 전체 응답자의 56%가 내년에 자사의 OT가 보안 침해를 당하지 않을 것을 "매우 확신"한다고 답변했다. 그러면서도 응답자의 83%는 또한 지난 36개월 동안 자사의 OT 보안 침해 사례가 적어도 한 건 이상 있었다고 답변했다. 이러한 시설의 중요성에도 불구하고 보안 관행이 취약하거나 아예 없는 경우가 많다.
최고정보보안책임자의 인식은 현실과 괴리되어 있다. 응답한 최고정보책임자(CIO)와 최고정보보안책임자(CISO)의 73%가 내년에 자사의 OT가 보안 침해를 당하지 않을 것을 "매우 확신"한다고 답변했다. 이는 같은 질문에 대해 사이버 공격의 영향을 직접 경험한 공장 관리자 중 37%만이 "매우 확신"한다고 응답한 것과 대비된다. 일부는 자사의 OT 시스템이 취약하다고 믿기를 거부하는 반면, 다른 사람들은 다음 침해가 코앞에 다가왔다고 한다.
규제 준수는 보안과 동일하지 않다. 현재까지 규제 준수 표준은 보안 사고를 예방하는 데 불충분한 것으로 입증되고 있다. 규제 및 요건을 준수하는 것이 모든 응답자의 가장 공통된 최우선 관심사로 나타났다. 최근 중요 인프라에 대한 공격을 고려해 볼 때 규제 준수 요건은 계속 증가할 것으로 보인다.
복잡성은 보안 위험을 증가시킨다. 응답자의 78%는 멀티벤더 기술로 인한 복잡성이 자사의 OT 환경을 보호하는 데 어려움을 가중시킨다고 답변했다. 또한 전체 응답자의 39%는 보안 프로그램을 개선하는 데 가장 큰 걸림돌은 중앙 부서의 조율된 감독 없이 개별 사업부에서 의사결정이 이뤄지는 것이라고 말했다.
일부는 사이버 책임 보험으로 충분하다고 생각한다. 응답자의 34%는 사이버 책임 보험이 충분한 해결책이 되는 것으로 생각한다고 답했다. 하지만, 사이버 책임 보험은 설문 응답자들의 3대 관심사 중 하나인 랜섬웨어 공격으로 치루게 되는 값비싼 "사업 손실"에는 적용되지 않는다.
노출 및 경로 분석은 사이버 보안의 최우선 과제이다. 설문에 응답한 CISO 및 CIO의 45%가 실제 노출을 파악하기 위해 환경 전반에 걸쳐 경로 분석을 수행할 수 없다는 것이 3대 보안 문제 중 하나라고 답변했다. 또한 CISO 및 CIO는 OT 및 IT 환경 전반에 걸쳐 일관성없이 구성되어 있는 아키텍처(48%)와 IT 기술의 융합(40%)이 자사가 직면하고 있는 3대 보안 리스크 중 두 가지에 해당된다고 말했다.
기능 사일로는 프로세스 갭과 기술 복잡성을 유발한다. CIO, CISO, 설계자, 엔지니어 및 플랜트 매니저 모두 OT 인프라 보안과 관련하여 해결하여야 할 가장 중요한 과제 중 하나로 기능 사일로를 꼽고 있다. OT 보안 관리는 팀 스포츠와 같다. 같은 팀 선수들이 서로 다른 플레이 북에 따라 경기에 임하면 함께 승리하기 어렵다.
공급망 및 제3자 리스크는 주요 위협 요인이다. 응답자의 40%는 네트워크에 대한 공급망/제3자 액세스가 최상위 3대 보안 위험 중 하나라고 답변했다. 그럼에도 불구하고 자사가 OT에 적용되는 제3자 액세스 정책을 보유하고 있다고 답변한 응답자는 46%에 불과했다.

본 연구 조사 결과를 뒷받침하는 발언 인용

나비스타(Navistar)사 정보 보안 관리자 로버트 린치(Robert Lynch): "CISO 중 일부는 자사의 보안망이 이미 뚫렸음에도 불구하고 아직 이를 파악하지 못했기 때문에 잘못된 자신감을 가질 수 있습니다. 때때로 해커들은 그들의 발판을 마련하기 위해 오랜 기간 동안 그곳에 잠적해있습니다. 악한 자들의 솜씨가 워낙 탁월하기 때문에, 자사의 보안망이 안전하다고 자신 있어 하는 것은 위험합니다."
스카이박스(Skybox) Research Lab 위협 인텔리전스 부서장 시반 니르(Sivan Nir): "당사의 위협 인텔리전스 분석에 따르면 새롭게 발견된 OT 취약성이 2020년 상반기에 비해 46% 증가한 것으로 나타났습니다. 하지만 이러한 취약성의 증가와 최근의 공격에도 불구하고 다수의 보안 팀이 OT 보안을 기업의 우선순위에 두고 있지 않습니다. 그 이유는 무엇일까요? 놀라운 발견 중 하나는 일부 보안 팀 직원이 자사의 보안이 취약하다는 사실은 부인하면서도 보안이 침해당했다는 것은 인정한다는 것입니다. 반대되는 증거에도 불구하고 자사의 보안 인프라는 안전하다는 잘못된 믿음은 OT 보안을 위한 조치가 불충분하게 된 결과를 초래했습니다."

더 상세한 내용을 보려면 전체 연구보고서를 다운로드하십시오.

방법론

본 연구는 미국, 영국, 독일 및 호주의 OT 보안 의사 결정권자 179명의 응답을 포함하고 있습니다. 제조, 에너지 또는 유틸리티 산업에서 매출이 10억 달러 이상인 기업이 응답자의 대다수(152)를 차지합니다.

Skybox Security 소개

전 세계에서 가장 규모가 크고 보안을 중시하는 500개 이상의 대기업이 동적으로 변화하는 보안 공격 지표면 환경에서 앞서가는 데 필요한 통찰력과 안전보장을 위해 Skybox를 사용하고 있습니다. Skybox는 단지 데이터와 정보만을 제공하는 데 그치지 않습니다. Skybox는 각 기업에 적절한 규모와 속도로 인텔리전스와 컨텍스트를 제공하여 고객이 추측에 의존하지 아니하고 정보에 입각한 의사결정을 내릴 수 있도록 지원합니다. 당사의 통합 보안 상태 관리 플랫폼은 완벽한 가시성, 분석 및 자동화를 제공하여, 고객의 조직 전체에 걸쳐 보안 취약성을 신속하게 매핑하여 우선순위를 정하고 문제를 개선할 수 있도록 합니다. 공급업체에 구애받지 않는 플랫폼은 모든 기업 및 클라우드 환경에서 보안 정책, 조치 및 변경 프로세스를 지능적으로 최적화합니다. 기업의 보안 팀은 Skybox를 사용하여 자사 보안 시스템의 안전을 보장받으며 가장 전략적인 비즈니스 이니셔티브에 집중할 수 있습니다.

우리는 Skybox입니다. 더 많이 보호하고 더 적게 제한하십시오. https://www.skyboxsecurity.com/

Skybox 국내 총판 연락처
(주)투비닉스
http://tobenix.co.kr
영업: 송창선 이사, 010-2331-2120, cssong@tobenix.co.kr
기술: 박상욱 팀장, 010-9000-6873, lucas@tobenix.co.kr

사진 - https://mma.prnasia.com/media2/1682289/Skybox_report.jpg?p=medium600
로고 - https://mma.prnasia.com/media2/1011662/Skybox_Security_logo.jpg?p=medium600