대화형 인공지능 서비스 챗(Chat) GPT 등 인공지능(AI) 툴로 인한 리스크가 증가하고 있는 상황이 이사회 내부의 심리적 변화에 영향을 미치고 있는 것으로 나타났다.

7일, 글로벌 사이버 보안 및 컴플라이언스 기업 프루프포인트(Proofpoint, Inc.)는 글로벌 사이버 위협 동향과 사이버 보안 우선순위, 글로벌 정보보호최고책임자(CISO)와의 관계 등을 이사회 관점에서 분석한 두 번째 연례 2023 이사회 관점에서 바라본 사이버 보안 보고서(Cybersecurity: The 2023 Board Perspective report)를 발표하며, 이같이 전했다. 

이번 보고서에 따르면, 응답자 중 약 3/4(73%)는 사이버 공격에 대해 위기감을 느끼고 있는 것으로 나타났다.

2022년 65% 대비 크게 상승했다.

또한, 응답자 약 53%는 지능형 공격에 대응할 준비가 미흡하다고 응답했는데, 이 역시 2022년 47% 대비 비율이 증가했다.

이렇듯 전년대비 달라진 올해 양상은 지정학적 긴장 지속과 랜섬웨어 공격 및 공급망 공격 증가 등 사이버 위협의 지속적 변동성이 반영된 결과라고 할 수 있다.

대화형 인공지능 서비스 챗GPT 등 인공지능(AI) 툴로 인한 리스크가 증가하고 있는 상황도 이사회 내부의 심리적 변화에 영향을 미치고 있다.

또 이사회 구성원 59%는 생성형 AI를 소속된 조직의 보안 리스크로 인식하고 있는 것으로 나타났다.

이사회 구성원들의 우려와 달리, 설문조사 결과 73%는 사이버 보안을 우선순위로 보고, 72%는 소속된 이사회가 사이버 리스크를 명확히 인지하고 있으며, 70%는 현재의 사이버 보안 관련 투자가 적절하다고 응답했다.

라이언 칼렘버(Ryan Kalember) 프루프포인트 사이버 보안 전략 담당 부사장(executive vice president)은 “이번 보고서에서는 기업 이사회와 CISO 간에 사이버 리스크와 대응 준비도에 관한 견해차를 좁혔다는 사실을 새로 도출했다. 이는 양측 협력관계의 진전을 의미하기에 분명 긍정적 신호라고 할 수 있다. 그러나 이사회가 리스크 대응을 위해 충분히 투자하고 있다고 느끼고 있는 시간 및 자원에 비해, 사이버 보안 관련 CISO와의 유대관계 개선이 아직까지는 큰 힘을 발휘하지 못하고 있다”고 말했다.

이어 칼렘버 부사장은 “사람 및 데이터 보안을 위한 효과적 사이버 보안 전략의 필요성에 대한 인식은 좋아졌다. 이제는 실질적 이행이라는 과제가 남아있다. 향후 수개월에 걸쳐 이사회와 CISO의 관계를 발전시켜 유의미한 대화를 나누고 우선 과제에 투자하는 진전을 이루도록 해야 한다”고 덧붙였다.

이베트 레진스(Yvette Lejins) 프루프포인트 아시아지역 담당 정보보호최고책임자(Resident CISO for APJ)는 “이사회 구성원들이 사이버 보안 문제를 진지하게 인식하고 있으며, 이는 그들이 인적 리스크 및 사이버 위협이 경영실적에 미치는 영향 역시 간과하지 않는다는 것을 의미한다. CISO와 긴밀한 관계를 구축하기 위해 노력하고 있으며, 견고한 파트너십이 그 어느 때보다 중요한 시점이라는 사실도 잘 인지하고 있다”고 말했다.

레진스는 이어, “그러나 이 정도로 만족하기에는 시기 상조다. 기업 이사회는 보안 대응 준비와 조직 회복력 구축에 관한 투자를 대폭 확대해야 한다. 즉, 이사회는 CISO와 실질적이고 건설적인 대화를 진행하고, 올바른 정보를 토대로 전략적인 결정을 내리고, 긍정적인 성과를 도출해야 한다”고 덧붙였다.

올해 보고서가 집중 분석한 3대 영역은 이사회가 직면한 사이버 위협 및 리스크, 위협 방어 대책 준비 상황, 프루프포인트 2023 CISO의 목소리(2023 Voice of the CISO) 보고서에서 도출한 CISO와의 심리적 공통점 등이다.

분석 결과에 따르면, 보안 리스크와 대응 상황에 대해 리스크를 느끼는 CISO 수가 이사회 내부와 유사한 수준으로 전년대비 증가했고, 이사회 구성원들과 보안 책임자들의 견해차가 좁혀진 것으로 나타났다.

◆기업 이사회가 주목하고 있는 생성형 AI = 최근 들어 챗GPT 등 AI 기반 툴이 주목받고 있다. 설문조사 응답자의 59%가 첨단 AI 기술을 조직 보안 리스크로 인식하고 있는 것으로 나타났다.

◆사이버 리스크에 대한 기업 이사회의 우려 심화 = 설문조사 응답자의 73%는 소속된 조직에 사이버 공격 리스크가 있다고 평가했는데, 이는 2022년 65% 대비 상승한 비율이다.

◆사이버 보안 관련 인식 제고•재원 확보와 실제 대응 준비도의 격차 = 이사회 구성원 중 73%는 사이버 보안이 이사회 우선 과제라는데 이견이 없다.

72%는 소속된 이사회가 사이버 리스크를 충분히 인식하고 있다고 응답했다.

또한, 70%는 사이버 보안 투자가 적절히 진행되고 있다고 보고 있으며, 84%는 사이버 보안 예산이 향후 1년간 증가할 것이라고 전망했다.

반면, 사이버 보안 관련 인식 개선과 예산 확보에도 불구하고 실행으로는 이어지지 못하고 있다. 

응답자의 53%는 소속 조직이 향후 1년 내 발생할 사이버 공격에 대처할 준비가 미흡하다고 답했다.

◆최대 위협 요인에 대한 인식이 비슷한 이사회와 CISO = 이사회 구성원 중 40%는 멀웨어를 최대 위협 요인으로 꼽았다.

내부자 위협(36%), 클라우드 계정 침투(36%) 등이 뒤를 이었다.

CISO 역시 이메일 사기(BEC)(33%), 내부자 위협(30%), 클라우드 계정 침투(29%) 순으로 우려하고 있어 이사회와 CISO의 우려사항이 비슷한 것으로 나타났다.

◆인적 리스크 및 데이터 보호 영역 관련 이사회 구성원과 CISO 의견 불일치 존재 = 이사회 구성원 63%와 CISO 60%가 인적 오류를 최대 리스크로 인식하고 있다.

그러나 소속 조직의 데이터 보호 역량에 관해서는 이사회 구성원 75%가 확신하고 있어 60% 수준에 그친 CISO에 비해 그 비율이 훨씬 높은 것으로 나타났다.

◆이사회의 3대 목표는 사이버 보안 예산 확충•사이버 자원 확대•공격 정보력 개선 = 조직의 사이버 보안 관련 이사회 구성원 37%는 예산 확충이 관건이라고 답했다.

사이버 자원 확대와 공격 정보력 개선을 원하는 비율도 각각 35%로 나타났다.

◆이사회와 CISO의 상호 교류 및 관계 개선 = 이사회 구성원의 53%는 보안 책임자인 CISO와 정기적으로 교류하고 있다고 응답했다.

작년 47%에 비해 비율이 증가했지만, 이사회 절반가량은 CISO들과의 유대관계가 돈독하지 못한 상황이다.

이사회 구성원과 CISO가 교류할 때는 의견 일치를 보는 편인데도, 설문조사 결과에서는 의견이 일치한다고 응답한 이사회 구성원 비율이 65%, CISO의 비율이 62%에 그쳤다.

◆이사회•CISO 공통 우려사항은 개인적 책임 = 이사회 구성원 중 72%와 CISO 중 62%가 소속된 조직에서 사이버 보안 사고가 발생할 경우 부담해야 할 개인적 책임에 대해 우려하고 있는 것으로 나타났다.

한편, ‘2023 이사회 관점에서 바라본 사이버 보안 보고서(The Cybersecurity: The 2023 Board Perspective report)’는 다양한 산업의 직원 수 5000명 이상 규모의 기업 내 이사회에 속한 659명을 대상으로 실시한 글로벌 서드파티 설문조사 결과를 분석했다.

2023년 6월 전 세계 시장별 이사회 구성원 50여 명이 응답했으며, 대상 국가에는 미국, 캐나다, 영국, 프랑스, 독일, 이탈리아, 스페인, 호주, 싱가포르, 일본, 브라질, 멕시코 등 12개국이 포함되었다.

<김동기 기자>kdk@bikorea.net