기업이 사이버 복원력을 정량화하는 방법과 그 중요성

• 기업 경영진의 자사 사이버 보안 역량에 대한 자신감은 떨어지고 있지만, 디지털 시스템에 대한 의존도는 높아지고 있습니다.
• 이사회는 기업의 회복력이 있는지 묻는 대신, “충분히 회복력이 있다고 여겨지기 위한” 어떤 ​​조치가 마련되어 있는지 물어야 합니다.
• 기업은 사이버 복원력 투자 효과를 극대화하기 위해 이사회 차원에서 위험에 처한 가치와 복원력 투자 수익률에 대한 논의를 해야 합니다.

프란체스코 키아리니

CISO 상주 부사장, 루브릭

로렌 와이즈

Rubrik의 CXO 가치 경제 및 운영 담당 수석 이사

세계경제포럼이 2022년에 사이버 복원력 지수 (CRI)를 발표했을 때, 이는 기업 리더들에게 다음과 같은 어려운 질문에 대한 공통된 답변을 제시했습니다. 바로 “귀사는 사이버 공격에 얼마나 잘 대비하고 있으며, 그로부터 회복할 준비가 되어 있는가?”입니다.

3년이 지난 지금, 세계 사이버보안 포럼의 ‘2025년 글로벌 사이버보안 전망’에 따르면 소규모 조직의 35%가 여전히 사이버 복원력이 부족하다고 생각하는 것으로 나타났는데, 이는 2022년 이후 7배 증가한 수치입니다. 또한 대규모 조직의 54%는 공급망 복잡성을 복원력 확보의 가장 큰 장애물로 꼽았습니다. 더불어, 인공지능(AI)을 이용한 공격이 빈번해지는 시대에 루브릭 제로 랩(Rubrik Zero Labs)의 연구에 따르면 IT 및 보안 책임자의 86%가 향후 1년 안에 AI 에이전트의 확산 속도가 자사 보안 시스템을 앞지를 것으로 예상하고 있습니다.

이 새로운 시대에는 디지털 시스템에 대한 의존도가 심화되는 반면 사이버 보안에 대한 신뢰도는 떨어지고 있습니다.

실제로 CRI에 따르면 경영진의 92%는 사이버 복원력이 기업 위험 관리 체계에 통합되었다고 생각하지만, 사이버 책임자 중 조직의 진정한 복원력을 확신하는 사람은 19%에 불과합니다. 이사회의 확신과 실제 운영상의 현실 사이의 이러한 격차를 해소해야만 조직은 더욱 강력한 사이버 복원력을 확보할 수 있습니다.

가장 앞선 이사회들은 조직의 회복탄력성을 묻는 대신, “충분히 회복탄력적”이라고 여겨지기 위해 어떤 조치가 마련되어 있는지 묻기 시작했습니다. 이는 조직이 감당할 수 있는 재정적 영향은 어느 정도인지, 사이버 회복탄력성 투자가 예방, 보호 및 복구에 걸쳐 어떻게 균형을 이루는지, 그리고 투자 수익률을 어떻게 측정하는지를 파악하는 것을 의미합니다.

사이버 복원력은 정량화되는 것이 아니라 설명되는 것입니다.

많은 기업들이 사이버 복원력과 관련하여 일관된 패턴을 따릅니다. 복구 계획이 존재하고 복구 테스트가 수행되지만, 파괴적인 공격 상황에서 실제로 중요한 불리하고 경쟁적인 환경에서 항상 수행되는 것은 아닙니다.

조직들은 복구 시간 목표(RTO)와 복구 시점 목표(RPO)를 제시할 수는 있지만, 안전하고 신뢰할 수 있는 상태에서의 복구를 입증하는 데는 어려움을 겪는 경우가 많습니다. 백업은 보편화되었지만, 변경 불가능성과 격리된 “클린룸” 환경에서의 복구는 일관성이 부족합니다. 조직들은 백업이 공격 대상이 되어 중단되는 시나리오에 대한 계획을 거의 세우지 않습니다. 핵심 시스템은 공격자의 관점에서 분석되지 않는 경우가 많습니다. 조직 내에서 책임 소재가 모호해지고, 복원력은 최고 경영진이 책임져야 할 전략적 역량이 아니라 IT 부서가 담당하는 기술적 통제로 취급되는 경향이 있습니다.

사이버 복원력 성숙도 또한 조직마다 크게 다릅니다. 대부분의 조직은 공격 예방 및 탐지에 막대한 투자를 하지만, 공격 발생 시에도 운영을 지속하고 복구하는 능력에는 상대적으로 소홀합니다. 이러한 역량이야말로 침해 사고가 비즈니스 위기로 이어질지 여부를 결정짓는 핵심 요소입니다.

이러한 불균형은 비용을 초래합니다. Rubrik의 위협 연구 에 따르면, 과거에는 기업들이 침해 사고 발생 후 피해가 나타나기까지 60일 정도의 시간이 있었지만, 이제는 단 27초로 단축되었습니다. 이는 기업들이 공격이 시작되면 사실상 대응할 시간이 없다는 것을 의미합니다.

이러한 시간이 줄어들수록 비즈니스 중단으로 인한 비용은 계속해서 증가합니다. IBM의 2025년 데이터 침해 비용 보고서에 따르면, 전 세계 데이터 침해 평균 비용 444만 달러 중 가장 큰 비중을 차지하는 것은 비즈니스 손실입니다. 따라서 사이버 복원력과 신속한 복구는 비즈니스 필수 요소가 되어야 합니다.

올바른 위험을 측정하기

하지만 이러한 관점의 변화는 올바른 유형의 위험을 측정하는 데 달려 있습니다. 미국 국립표준기술연구소(NIST)의 “기업 위험 관리를 위한 사이버 보안 위험 식별 및 추정” 보고서는 기업이 사이버 노출을 발생 가능성, 영향 및 예상 손실이라는 기업적 관점에서 체계적으로 표현할 수 있는 방법을 제시하여, 이사회가 관리하는 다른 모든 위험과 함께 고려할 수 있도록 합니다.

하지만 복원력 위험은 기존의 사이버 위험과는 다른 방식으로 측정해야 합니다. 전통적인 프로그램은 사건 발생 가능성에 초점을 맞추는 반면, 복원력 목표는 세 가지 서로 다른 요소를 활용합니다.

첫째, 영향의 규모를 줄이는 것을 목표로 합니다(제한, 지속, 재구성). 둘째, 발생 가능성에 대한 이해를 높입니다(이해, 예방). 셋째, 기존의 취약점을 고려하여 사건이 피해로 이어질 가능성을 계산하는 데 도움을 줍니다(이해, 준비, 제한, 변환, 재설계).

예방은 공격 발생 확률을 낮추고, 전통적인 복구 메커니즘은 정기적인 장애 발생 시 비용을 줄이며, 복원력은 대규모 침해 사고 발생 시 손실 비용을 감소시킵니다. 예방 및 전통적인 복구 지표만 측정하고 제시하는 것은 이사회에 사각지대를 만듭니다. 왜냐하면 복원력이 없다면 공유 기술 서비스와 이에 의존하는 핵심 비즈니스 프로세스 전반에 걸쳐 도미노 효과가 발생할 수 있기 때문입니다.

사이버 복원력: 영향에서 가치까지

바로 이 지점에서 역량 성숙도와 비즈니스 가치가 연결되어야 합니다. 사이버 커뮤니티에서 인정하는 사이버 복원력 역량 성숙도 모델 (CR-CMM)은 위협 정보 기반 방어, 위기 관리 및 사이버 복구를 포함한 10가지 역량에 걸쳐 복원력을 설명합니다.

그 가치는 점수 자체에 있는 것이 아니라 그것이 만들어내는 계보에 있습니다. 각 역량과 그 성숙도는 기업이 이미 이해하고 있는 구체적인 가치 창출 요소와 연결될 수 있습니다. 예를 들어, 복구 성숙도가 향상되어 복구 시간이 절반으로 단축되면 예상 손실을 수백만 달러 줄일 수 있습니다.

이러한 복원력 강화 조치를 추가하면 다음과 같은 방식으로 비즈니스 가치가 창출됩니다.

• 백업 및 복구 도구 통합을 통한 비용 절감
• 단일 조직 간 복원력 플랫폼에 대한 가시성 향상
• 데이터 손실 및 시스템 다운타임 발생 가능성 감소 및 이로 인한 수익 손실 감소
• 수작업 감소로 인한 운영 효율성 향상.

이로써 “얼마나 많은 복원력이 필요한가?”라는 질문은 투자 문제로 바뀝니다. 조직은 감당할 수 없는 금전적 손실을 모델링하고, 이를 가장 효과적으로 줄이는 역량을 파악하며, 예방, 보호 및 복구 통제에 걸쳐 가장 큰 수익을 창출하는 지점에 투자를 집중해야 합니다. 이렇게 해야 사이버 복원력이 예산 확보를 위해 맹목적인 믿음으로 경쟁하는 것이 아니라, 정량화된 위험 감소를 기반으로 경쟁하게 됩니다.

사이버 복원력 측정

오너십이 없다면 이 모든 것은 무의미합니다. 사이버 복원력을 위해서는 사이버 복원력 책임자와 같은 단일 책임 임원이 필요하거나, 비즈니스, 비즈니스 연속성, 위험 관리, 기술 및 사이버 보안을 포괄하는 공식 조직이 목표 설정, 투자 배분 및 이사회 보고 권한을 가져야 합니다.

사이버 복원력은 다른 전략적 역량과 마찬가지로 관리되어야 합니다. 성숙도 기준선에 따라 측정하고, 현실적인 조건에서 훈련하며, 재정적 관점에서 가치를 평가하고, 지속적으로 개선해야 합니다.

통합된 복원력 아키텍처 없이 매 분기가 지날 때마다 복구 작업의 복잡성과 비용이 증가합니다. 오늘날 사이버 복원력에 투자하는 조직들은 단순한 기술적 통제 논의를 넘어, 이사회 차원에서 위험 가치와 복원력 투자 수익률에 대한 논의를 진행하고 있습니다. 영향력을 설명하는 단계에서 가치를 정량화하는 단계로 나아가면서, 사이버 복원력에 투자하는 모든 비용은 예방되는 손실로 정당화될 수 있습니다.

라이선스 및 재출판

세계경제포럼(WEF)의 기사는 크리에이티브 커먼즈 저작자표시-비영리-변경금지 4.0 국제 공개 라이선스(Creative Commons Attribution-NonCommercial-NoDerivatives 4.0 International Public License) 및 이용약관에 따라 재게시할 수 있습니다.

이 글에 표현된 견해는 전적으로 저자의 것이며 세계경제포럼의 공식적인 입장을 대변하는 것이 아닙니다.