마임캐스트(Mimecast)(나스닥: MIME)가 오늘 최신 글로벌 조사 ‘2016 마임캐스트 비즈니스 이메일 위협 보고서, 이메일 보안 공개’(Mimecast Business Email Threat Report 2016, Email Security Uncovered) 분석 결과를 발표했다.

IT 보안 전문가 600명을 대상으로 한 이번 설문 결과 응답자의 64%는 비즈니스에 영향을 미칠 수 있는 주된 사이버 위협으로 이메일을 꼽았으며, 65%는 이메일 기반 공격을 무리 없이 방어하기 위한 대비 및 최신화가 미흡하다고 여기는 것으로 나타났다. 또한 응답자의 3분의 1은 이메일 취약성이 5년 전보다 심화됐다고 평가했다. 

이메일은 여전히 비즈니스의 핵심 기술로 자리하고 있으며 이메일 해킹 위협과 데이터 침해는 IT 담당자에게 위험의 그림자를 드리우고 있다. 따라서 자신감과 이 전의 데이터 침해 및 이메일 해킹 경험이 이 같은 위협과 표적화된 이메일 공격 방어 대비 수준에 대한 회사 인식을 좌우하는 핵심 요소가 되고 있다. 

설문 대상자 600명 가운데 데이터 침해 대비 수준을 자신하고 있다는 응답은 35%에 불과했다. 미래의 잠재적 공격에 대해 완벽히 대비하지 못하고 있다고 답한 65% 중 거의 절반은 과거 공격을 당한 경험이 있었다. 이는 담당자들이 공격 이후 과거에 비해 안전에 위협을 느끼고 있음을 시사한다. 

이는 광범위한 이메일 보안 조치가 미흡한 것에도 반영돼 있다. 전체 응답자의 83%가 이메일을 공통의 공격 벡터로 주목하고 있음에도 불구하고 열 명 중 한 명은 어떤 종류의 이메일 보안 교육도 이뤄지지 않고 있다고 답했다. 확신 수준이 낮은 응답자 가운데 23%는 추가적인 보안 조치가 부족하다고 말했다. 

피터 바우어(Peter Bauer) 마임캐스트 최고경영자(CEO)는 “사이버 보안이 위협받고 있으며 우리는 비즈니스의 모든 면에서 기술, 특히 이메일에 의존하고 있다”며 “이렇듯 위험을 인식하면서도 많은 기업이 특히 이메일 기반 위협에 대비한 방어 조치를 거의 취하고 있지 않고 있다는 사실은 대단히 당혹스럽다”고 말했다. 그는 “사이버 위협이 심화될수록 이메일 공격은 더욱 잦아지고 더 큰 피해를 끼칠 수 밖에 없다”며 “임원, 특히 최고위 경영진이 회사가 생각만큼 안전하지 않을 수 있다는 사실을 깨닫고 조치를 취하는 것이 중요하다”고 지적했다. 이어 “이번 조사는 안전을 위해 해야 할 일이 많다는 사실과 이를 값비싼 대가를 치르고 깨달은 이들의 경험을 통해 배울 점이 많음을 보여준다”고 강조했다. 

최고 수준의 대비 기업과 최저 수준의 대비 기업 사이의 가장 큰 격차는 예산과 최고위 경영진 참여였다. 대비를 충분히 갖췄다고 답한 IT 보안 담당자의 경우 여섯 명 중 다섯 명이 고위 경영진이 이메일 보안에 관여하고 있다고 답했다. 반면 설문에 답한 전체 IT 보안 담당자 중 고위 간부가 이메일 보안에 깊이 관여하고 있다고 답한 사람은 15%에 불과했으며 44%는 고위 간부가 다소 관여하거나 별로 관여하지 않거나 전혀 관여하지 않는다고 답했다. 

또한 이메일 기반 위협을 다루기 위한 대비가 잘 되어 있다고 답한 이들은 이메일 보안에 IT 보안 예산을 더 많은 비중으로 할애하고 있는 것으로 나타났다. 이들의 경우 대비 수준에 자신이 없다고 답한 담당자에 비해 이메일 보안에 50%나 더 많은 예산을 할당하고 있었다. 데이터 분석 결과 이메일 보안에 대한 자신감과 예산 지출의 이상적 교차점은 전체 IT 예산의 10.4%인 것으로 나타났다. 

마임캐스트는 응답자 사이에 5가지 유형의 ‘페르소나’(personas)가 두드러진다고 분석하고 이들을 이메일 보안 수준과 데이터 침해 자신감 인식에 기반해 △경계태세형(Vigilant, 16%) △준비된 베테랑형(Equipped Veterans, 19%) △염려형(Apprehensive, 31%) △소심형(Nervous, 6%) △피해 경험형(Battle-Scarred, 28%) 등 ‘사이버 보안 쉬버 그리드’(Cyber-Security Shiver Grid)로 특징지었다. 

대체적으로 IT 보안 담당자의 과반수(총 65%, 염려형/소심형/피해 경험형 응답자)가 이메일 기반 공격을 다룰 준비가 되어 있지 않다고 여기고 있는 것으로 나타났다. 

그 밖의 서베이 주요 결과로는 안전에 자신감을 보인 기업의 상위 20%는 이메일을 가장 큰 취약성으로 보는 경향이 250% 높았다. 

자신감을 보인 IT 보안 담당자의 경우 최고위 경영진이 이메일 보안에 아주 깊이 또는 깊이 관여하고 있다는 응답이 2.7배 이상 많았다. 또한 최고위 경영진이 이메일 보안에 대단히 적절하게 또는 아주 적절하게 참여하고 있다는 응답이 1.6배 많았다. 

안전에 대한 자신감이 최저 수준인 IT 보안 담당자는 2015년 1월 공식 지원이 종료된 마이크로소프트(Microsoft)의 ‘익스체인지 메일 서버 2010’(Exchange Mail Server 2010)를 사용하는 경향이 두드러졌다. 자신감이 최고 수준인 IT 담당자는 최신 ‘익스체인지 서버 2013’(Exchange Server)를 사용하는 경향이 두드러졌다. 

최근 이메일 해킹을 직접 경험한 IT 전문가의 70%는 데이터 유출 방지 또는 표적화된 위험 보호와 같은 내부 보호수단을 도입했다. 

염려형 IT 보안 전문가는 대기업보다 직원 500명 이하의 중소기업에 더 많이 존재하는 것으로 나타났다. (대기업 18%: 중소기업 32%) 

중소기업 IT 보안 담당자의 경우 대기업과 비교해 이메일 보안 위협에 충분히 대비하고 있다고 자신감을 보인 응답이 절반 이하(48%)로 나타났다. 

이번 조사는 마임캐스트와 마치 커뮤니케이션즈(March Communications)가 개발하고 밴슨 본(Vanson Bourne)이 2015년 말 수행한 것으로 미국(200명), 영국(200명), 남아프리카(100명), 호주(100명 등) 전 세계 IT 보안 의사결정자 600명에게 각 사의 이메일 보안, IT 준비성 및 사이버 위협 방어에 대한 자신감뿐 아니라 데이터 침해 및 이메일 해킹 피해 경험을 물었다. 전체 오차범위는 95% 신뢰수준에 ± 4%다.

위기관리경영 - 한지현기자