대다수의 기업들, 보안사고 발생 시 보상 원해

[보안뉴스 홍나경 기자] 압도적인 수의 기업들이 IT 보안상품 판매업체들의 제품 성능 부족으로 인한 보안사고 발생 시 그에 대한 금전적인 피해보상을 원한다고 했다. 이번 주에 나온 새로운 조사에 따르면, 95%의 미국 기업들은 IT 보안상품 판매기업들이 제품과 서비스에 대한 품질 보증을 받고 싶다고 응답했고, 88%가 만약 이렇게 보장 서비스를 제공하는 업체가 있다면 협력기업을 바꾸겠다고 했다.

이번 조사는 500명의 보안전문가들을 상대로 밴슨 본(Vanson Bourne)이 보안전문 업체인 센티넬원(SentinelOne)을 대신하여 실시했다. 센티넬원은 고객들이 말로만 보안에 대해 자신하는 기업이 아닌 이를 실제로 실행할 수 있는 곳을 원한다는 점에 착안, 이를 확인하기 위해 조사를 의뢰했다.

센티넬원의 보안전략 임원인 제레미아 그로스맨(Jeremiah Grossman)은 소비자에게 보안 제품 관련 품질보증(Security Guarantee)을 해주는 정책을 열렬히 지지하는 것으로 유명하다. 그는 “보안업체들은 고객들에게 효율적인 정책을 제공하고 있지 않습니다. 모든 업체들의 소비자가 그들의 제품인 방화벽, 데이터 손실 방어 제품, 안티바이러스 제품 등을 샀을 때 이것들이 작동하지 않더라도 이로 인한 법적인 책임을 물거나 타격을 받지 않는다는 말입니다”라고 언급했다.

“대부분 보안업체들만 이런 편입니다. 생각을 조금만 바꿔서 옷가게, 전자제품 생산자들만 보더라도 제품에 하자가 있을 때 그에 대한 변상을 하고 있지요. 즉, 판매 후 나몰라라 하는 곳은 보안업체들뿐입니다. 서비스 품질 보증서와 같은 것은 소프트웨어와 보안관련 제품에서만 빠져 있습니다.”

그로스맨은 몇 년 전 그가 이전에 설립한 기업 화이트햇 시큐리티(WhiteHat Security)를 이끌었을 때도 보안 품질 보증을 시작했다. 솔루션으로 사고를 막지 못했을 때 돈을 되돌려 줬던 것이다. 그는 처음으로 업계에 이러한 변화를 일으킨 장본인이다. 또한, 그가 센티넬원으로 이직한 것도 센티넬원의 보안 품질 보증 개발의지 때문이라고 한다.

“제 생각에 보안업체들은 자신들이 만든 제품이 얼마나 잘 작동하는지 즉, 품질에 대해서 완벽하게 파악하고 있어야 합니다. 이러한 정보를 갖고 있다면 내부자들에게는 동기 부여가 되고 외부자들에겐 ‘안심 서비스’가 될 것입니다.”

센티넬원은 올해 초부터 이러한 보안 품질 보증을 시작했다. 만약 고객들이 랜섬웨어로 인해 피해를 받는다면 엔드포인트마다 최소 100만 원, 최대한도범위인 10억 내에 금액을 고객에게 지급하는 것이다. 또한, 그로스맨은 보안 품질 보증이 업계 내에서도 인정받을 수 있도록 열심히 전도하고 있다.

“올해 여름 블랙햇(Black Hat)에서 보안 품질 보증에 대해 발표했을 때, 업계에 호언장담했었습니다. 모두가 결국 이를 시행하게 될 것이라고 말이죠. 이후에 보안 품질 보증에 관련해 도움이 필요하면 연락하라고 말입니다.”

현재까지 몇몇 기업들이 보안 품질 보증에 관심을 보이고 이러한 사업을 시작했는데, 그중 가장 최근에 이를 착수한 기업은 메이즈러너플랫폼(MazeRunner Deception Platform)을 개발한 곳이다. 이번 달 초 이들은 그들의 제품인 메이즈러너플래폼으로 방어하지 못하는 시스템 침입들에 대해 10억 정도의 금액을 보상해주는 정책을 실시한 것이다.

그로스맨은 많은 기업들이 보안제품 대신 보험을 드는 방식으로 넘어가고 있는데, 사실 제품에 문제가 있는 것에 대해 보험회사에서 피해비용을 대는 것은 공평하지 않다고 했다. 그러면서 이 둘의 역할을 다시 짚어 볼 필요가 있다고 언급하며 이를 사이버 보험, 자동차 품질 보증 그리고 자동차 보험의 관계에 비유했다.

“현재 우리가 사용하는 차들은 일어날 수 있는 사고에 대비하여 보험에 가입하도록 시스템이 되어 있습니다. 만약 사고가 생기면, 보험사들이 그에 상응하는 비용을 대줍니다. 하지만 차가 고장 나거나 엔진이 망가지거나 타이어가 구멍이 난다면 제조사에서 이를 책임집니다.” 이어 그는 이것이 완벽한 비유는 아니지만, 보안 판매자들이 시행하는 보안 품질 보증은 말 그대로 품질 보증서에 가까운 것이고 사이버 보험 같은 경우는 사이버 공격으로 인해 사건이 터졌을 때 드는 비용을 수습하는 것이라고 덧붙였다.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 홍나경 기자(hnk726@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>