사이버 회복력, 이제는 숫자로 증명해야 하는 이유

• 자신감의 착시: 경영진 대다수는 사이버 회복력이 전사 위험관리에 녹아 있다고 믿지만, 실제로 자기 조직이 회복력 있다고 확신하는 보안 책임자는 다섯 명 중 한 명도 되지 않았습니다.
• 질문의 전환: 앞서가는 이사회는 “회복력이 있는가”가 아니라 어느 정도면 “충분히 회복력 있다”고 볼 수 있는지, 즉 감당 가능한 재무 손실의 한도를 묻기 시작했습니다.
• 예산의 언어: 회복력 역량의 성숙도를 예상 손실 감소액과 연결하면, 보안 투자는 막연한 믿음이 아니라 정량화된 위험 감소 효과로 예산을 다툴 수 있습니다.

요약 SUMMARY

디지털 시스템에 대한 의존은 깊어지는데 사이버 회복력에 대한 자신감은 오히려 떨어지고 있습니다. 세계경제포럼(WEF)의 『글로벌 사이버보안 전망 2025』에 따르면 자사 회복력이 부족하다고 보는 소규모 조직이 35%로 2022년의 일곱 배가 됐고, 대기업의 54%는 공급망의 복잡성을 가장 큰 걸림돌로 꼽았습니다. 백업·복구 기업 루브릭(Rubrik)의 두 필자는 경영진의 자신감과 현장의 실상 사이 간극을 메우려면 회복력을 ‘설명’하는 데서 벗어나 ‘측정’해야 한다고 주장합니다.

1.계획은 있지만 증거는 없는 회복력

많은 기업이 복구 계획과 훈련을 갖추고 있지만, 실제 파괴적 공격 상황에서 통할지는 입증하지 못하고 있습니다.

• 복구 목표 시간·시점은 제시하면서도 오염되지 않은 상태로 되돌아갈 수 있다는 근거는 부족하고, 백업 자체가 공격받는 상황은 거의 대비하지 않음
• 회복력을 IT 부서의 기술 통제로 취급해 책임이 조직 곳곳에 흩어져 있음
• 투자가 예방·탐지에 쏠려, 공격을 받으면서도 운영을 이어가고 다시 일어서는 역량은 상대적으로 빈약함
• 침해에서 피해까지의 시간이 60일에서 최단 27초로 줄었고, 데이터 유출 한 건의 세계 평균 비용은 444만 달러에 이름(IBM)

2.회복력 위험은 다른 잣대로 재야

필자들은 사이버 위험을 이사회의 다른 위험과 같은 언어로 표현하되, 회복력은 기존 보안 위험과 구분해 측정해야 한다고 강조합니다.

• 미국 국립표준기술연구소(NIST)의 지침은 사이버 노출을 발생 가능성·영향·예상 손실로 표현해 전사 위험관리 체계에 편입하는 방법을 제시함
• 기존 보안이 사고 발생 확률에 집중한다면, 회복력은 피해 규모 축소·발생 가능성에 대한 이해 제고·사고가 실제 피해로 번질 확률 계산이라는 세 축으로 작동함
• 예방은 공격받을 확률을, 일반 복구는 일상적 장애 비용을, 회복력은 대규모 침해의 비용을 낮춤
• 예방·복구 지표만 보고하면 공유 기술 서비스를 타고 핵심 업무가 연쇄적으로 멈추는 위험이 이사회의 시야에서 빠짐

3.성숙도 점수를 재무 가치로 연결하기

회복력 역량의 성숙도를 사업 부문이 이미 이해하는 가치 동인과 연결해야 “얼마면 충분한가”라는 질문이 투자 판단으로 바뀝니다.

• 사이버 회복력 역량 성숙도 모델(CR-CMM)은 위협 기반 방어·위기관리·사이버 복구 등 10개 역량으로 회복력을 진단함
• 핵심은 점수 자체가 아니라 각 역량을 가치 동인에 잇는 연결고리로, 복구 시간을 절반으로 줄이면 예상 손실이 수백만 달러 단위로 감소할 수 있음
• 가치는 백업·복구 도구 통합에 따른 비용 절감, 전사 가시성 확보, 데이터 손실·중단 위험 축소, 수작업 감소에서 나옴
• 감당할 수 없는 손실액을 먼저 산정하고, 이를 가장 크게 줄이는 역량에 예방·보호·복구 예산을 배분해야 함

4.책임자를 세우고 전략 역량처럼 운영하라

측정 체계가 작동하려면 명확한 책임 주체와 꾸준한 운영 규율이 뒷받침돼야 합니다.

• 사이버 회복력 책임자(CRO)처럼 단일 책임 임원을 두거나, 사업·연속성·위험·기술·보안을 아우르는 공식 협의체에 목표 설정과 예산 배분 권한을 부여해야 함
• 성숙도 기준선 대비 측정, 실전에 가까운 훈련, 재무적 가치 평가, 지속적 개선을 반복하는 체계가 필요함
• 통합된 회복력 체계 없이 보내는 분기마다 개선 비용이 불어남