- 의료산업, 악의적 공격으로 인한 피해액 가장 높아

[디지털데일리 이유지기자] 사이버공격 위협이 증가하면서 기업에서 발생한 보안사고로 인한 정보 유출 피해규모가 커지고 있다는 조사결과가 나왔다. 정보 유출로 인한 금전적 손실을 줄이기 위한 방안으로는 경영진의 관심과 보험 가입, 비즈니스 연속성 관리 등이 지목됐다.

IBM은 보안컨설팅 전문업체인 포네몬인스티튜트와 공동으로 실시한 연례 ‘글로벌 데이터 유출 현황 조사 분석’ 결과를 8일 발표했다.

11개국 350개 기업을 대상으로 실시된 이 조사에 따르면, 데이터 유출에 따른 총 피해액 평균이 380만달러(약 42억원)로 2013년 이후 23% 증가한 것으로 나타났다.

민감한 기밀 정보가 들어있는 기록을 분실하거나 도난당했을 때의 평균 피해액은 145달러에서 154달러로 6% 증가했다.

데이터 유출 피해액은 산업부문별로 차이를 보였는데, 의료부문의 평균 피해액이 363달러에 달해 단일 도난 기록당 피해액이 가장 높은 것으로 나타났다. 교육기관도 300달러에 이른다. 소매업종의 도난 기록당 평균 피해액은 전년의 105달러에서 올해는 165달러로 급상승했다. 손실 또는 도난 기록당 피해액이 가장 낮은 업종은 운송과 공공부문으로 각각 121달러와 68달러였다.

피해액이 증가한 세 가지 중요 원인으로는 ▲사이버 공격의 빈도와 보안사고 해결에 필요한 비용 모두 증가한 점 ▲데이터 유출로 인한 고객이탈이 더 많은 재무적 손실을 가져오고 있는 점 ▲사이버 범죄 수사 및 조사활동, 평가, 위기관리팀 운영에 드는 비용이 증가한 점이 꼽혔다.

흥미로운 점은 경영진의 관심과 보험 가입이 데이터 유출 피해액 감소에 기여하고 있는 것으로 분석됐다는 점이다.

조사결과, 이사회가 데이터 유출 사고에 적극 관여하면 기록당 피해액을 평균 5달러50센트 낮추고 보험 가입 역시 기록당 손실을 4달러40센트 줄인다. 데이터 유출 해결에 비즈니스 연속성 관리를 적용하면 기록당 평균 피해액이 7달러10센트 감소하는 것으로 나타났다.

데이터 유출 사실을 확인해 해결하기까지 걸린 시간도 피해액에 영향을 미치는 것으로 조사됐다. 이번 조사에서는 기업이 데이터 유출을 확인 및 해결하는데 보이는 신속함의 정도와 재무적 피해 간의 상관관계를 알아봤다. 악의적인 공격을 발견하는 데 평균 256일이 걸리고 인적 실수로 인한 데이터 유출을 확인하는데 평균 158일이 걸린다. 이 가운데 악의적인 공격으로 인한 데이터 유출 피해액이 가장 컸다.

전체 데이터 유출의 47%는 악의적인 공격이 원인이다. 공격에서 회복하기 위한 기록당 평균비용은 170달러였고, 시스템 고장에 따른 손실은 기록당 142달러였다. 인적 실수로 인한 피해액은 기록당 137달러 수준이다. 미국과 독일이 각각 기록당 230달러와 224달러로 악의적인 공격을 해결하는데 가장 많은 돈을 지출했다.

미국과 독일은 기록당 평균 데이터 유출 피해액도 각각 217달러, 211달러로 최고치를 기록한 국가들이다. 피해액이 가장 적은 국가는 인도와 브라질로 각각 56달러 78달러였다.

데이터 유출로 인한 비즈니스 손실에는 고객 이탈, 고객 유치비용 증가, 평판 악화, 영업권 축소 등이 포함된다. 이와 관련한 평균 피해액은 2013년 123만달러에서 2015년에는 157만달러로 증가했다. 하지만 정보 유출 통지 시스템 유지 비용은 지난해의 19만달러에서 17만 달러로 오히려 감소했다.

한편, 이번 조사에서는 분실 또는 도난된 기록의 양과 기업이 속한 업종에 기초해 향후 24개월 동안 기업에서 데이터 유출이 발생할 가능성도 조사했다.

그 결과, 브라질과 프랑스 기업이 1만건 이상의 데이터 유출을 경험할 가능성이 더 높게 나타났으며 독일과 캐나다 기업은 가장 낮게 나타났다. 아울러 기업은 10만건 이상의 대형 유출보다 1만건 이하의 데이터 유출을 경험할 가능성이 더 높은 것으로 분석됐다.

IBM 시큐리티의 마크 반 자델호프 전략 담당 부사장은 “사이버 범죄자들이 날로 정교해지고 협력하면서 데이터 유출 피해액의 급증에 직접적인 영향을 미쳤다”라며 “기업들이 지속적인 공격으로부터 스스로를 방어하기 위해선 해커들과 같은 수준의 조직화가 필요하며 첨단 애널리틱스를 사용하고 위협정보 데이터를 공유해 모든 산업에 걸쳐 협력하는 것이 기업과 사회가 부담하는 손실을 줄이는 데 도움이 될 것이다”고 말했다.

<이유지 기자>yjlee@ddaily.co.kr