칼럼 | 데이터 보호, 기업 가치 보호의 관점으로 격상해야

2018년에 ’기업이 주가 대비 데이터 비율로 가치를 평가받을 수 있을까?’라는 글을 쓴 적이 있다. 데이터 해킹과 새로운 AI 프로세스의 등장으로 기업이 중요 데이터를 더욱 엄격하게 보호해야 한다는 전제에 기반한 글이었다. 당시 글에는 “진정한 장기적인 기업 가치를 창출하기 위해 보안팀이 독점 데이터의 무결성을 보호하고 유지하는 것이 더욱 중요해질 수 있다. 이를 위해서는 새로운 프로세스와 제품을 도입해야 하며, 그 중 많은 부분이 잘 훈련된 인공지능 기반 기술을 활용할 것”이라는 구절이 있었다.

그리고 몇 년이 지났다. 어느덧 데이터는 우리가 만드는 개인화된 고객 경험부터 내부 프로세스의 활성화, 인공지능 기반의 혁신에 이르기까지 기업의 의사결정에 힘을 실어주는 엔진이다. 이 귀중한 자산의 존재는 기업에 심각한 영향을 미칠 수 있는 상당한 위험을 초래할 가능성으로도 이어진다. 데이터 도난은 금전적 손실, 평판 손상 등으로 이어진다. 마찬가지로 손상되거나 오염된 데이터는 잘못된 의사 결정, 신뢰할 수 없는 AI 모델 결과, 심지어 랜섬웨어에 대한 노출로 이어질 수 있다.

AI 시대의 데이터 유출

대규모 언어 모델과 AI 기반 애널리틱스의 성장으로 기업 데이터의 가치가 상승했음은 부인할 수 없는 사실이다. 이로 인해 데이터는 공격자의 표적이 되었고 악의적이거나 우발적인 노출로 인한 피해도 증가했다. 안타깝게도 데이터 유출은 전례 없는 위험을 야기하는 새로운 현실이 되었으며, 이는 CISO들이 직면한 새로운 문제다. 이제 도난당한 데이터 세트는 경쟁사의 AI 모델을 학습시키는 데 사용될 수 있다. 그리고 유출된 데이터 세트에서 심층적인 세부 정보를 추출하는 강력한 AI 기술을 사용하면 작은 데이터 손실도 엄청난 영향을 미칠 수 있다.

데이터 손실과 인적 오류

인적 오류는 데이터 손실의 중요한 취약점으로 남아 있다. 예를 들어, 직원들이 민감한 회사 정보나 소스 코드를 공개용 AI 모델과 챗봇에 입력함으로써 실수로 기업 기밀을 누출할 수 있다. 안타깝게도 이러한 인적 오류는 어떤 정책이나 절차로도 완전히 막기 어려우며, 치명적인 데이터 유출로 이어질 수 있다. 교육과 정책이 중요하지만 실수는 여전히 발생할 수 있으며, 아무리 많은 교육을 실시해도 악의적인 내부자의 행동을 바꿀 수는 없다.

데이터 손실 방지(DLP) 솔루션은 수십 년 동안 사용되어 오기는 했다. 그러나 그 도입과 효과에 대한 평가는 엇갈렸다. 하지만 AI 시대의 새로운 데이터 도난 위험으로 인해 어쩌면 DLP가 각광을 받을 수 있다. 최신 DLP 솔루션은 AI 기능으로 강화되어 더욱 자동화된 상황 인식 보호 기능을 제공한다. 이러한 솔루션은 데이터 패턴, 사용자 행동, 잠재적인 유출 시나리오를 더 잘 이해할 수 있다. 이러한 발전으로 인해 DLP는 더 효과적이고 덜 번거로울 수 있다. 그러나 도입 장벽이 일부 허물어지더라도 배포 복잡성은 여전히 장애물일 수 있다.

손상된 데이터의 위험

경영진이 직면하는 또 다른 주요 위험은 데이터 유출 또는 데이터 오염이다. 해커가 의료 데이터베이스를 손상시켜 연구에 참여한 모든 개인의 혈액형 또는 전체 환자 집단의 혈액형을 변경한다고 상상해 본라. 모델이 손상되어 잘못된 결과가 나올 수 있으며, 최악의 경우 환자가 사망할 수도 있다. 어떤 시나리오에서든 결과는 재앙이 될 수 있다.

데이터 출처 추적은 데이터 오염을 방지하는 데 도움이 될 수 있다. 데이터의 수명 주기 전반에 걸쳐 데이터의 출처, 이동 및 변환을 추적하는 기능은 CISO의 업무 세트에서 매우 중요한 부분이다.

데이터가 여러 시스템을 통해 흐르고, 다양한 그룹에서 처리되며, 수많은 변형을 거치는 경우 명확한 감사 추적은 필수적이다. 데이터 출처를 잘 파악하면 잠재적인 오염의 원인을 파악하고 시간이 지남에 따라 데이터가 어떻게 수정되었는지 이해하는 데 도움이 된다. 이는 컴플라이언스와 데이터 품질에 있어 중요한 요소다.

데이터의 출처와 데이터 작업자의 신원을 추적할 수 있는 AI 네이티브 솔루션이 이미 개발돼 있다. 고급 이상 징후 탐지 시스템은 데이터 액세스 또는 수정에서 비정상적인 패턴을 식별하고 잠재적인 보안 위반을 표시하거나 데이터 오염 이벤트를 실시간으로 찾아낼 수 있다.

자연어 처리는 데이터가 생성되거나 수집될 때 데이터를 분석하고 분류하여 적절한 보안 태그와 액세스 제어를 자동으로 적용할 수 있다. AI 기업들과 머신러닝 모델은 데이터 패턴을 탐지하고 데이터 세트를 보호하는 데 도움을 줄 수 있다.

랜섬웨어 공격

MGM 리조트 인터내셔널을 대상으로 호텔 예약 시스템, 디지털 객실 키, 카지노 게임 시스템, 레스토랑 POS 시스템을 공격했던 랜섬웨어 해킹을 떠올려 보라. MGM은 며칠 동안 라스베이거스 전 지역의 서비스를 중단했다. 이 공격으로 인한 손실은 1억 달러에 이르는 것으로 추정됐다.

마찬가지로 2023년 8월, 크로락스는 랜섬웨어 공격을 받아 몇 주 동안 운영을 멈췄다. 이 공격은 제조 시스템, 주문 처리 및 재고 관리에 영향을 미쳐 제품 부족과 상당한 금전적 손실을 초래했으며, 매출 손실은 3억 6,500만 달러로 추정된다.

이러한 위협에 대처하고 기업 가치를 보호하려면 기업은 데이터 보호에 우선순위를 두어야 한다. 기술 솔루션과 강력한 정책 및 직원 교육을 결합한 전략적 데이터 거버넌스 프로그램을 마련하는 것은 필수다.

기업 경영진이 검토할 새로운 솔루션에는 AI 기반 위협 탐지, 신원 확인, 제로 트러스트 아키텍처, AI로 강화된 엔드포인트 보호, 자동화된 사고 대응을 실행하는 AI 시스템 등이 있다. 이러한 도구는 데이터 공격을 탐지, 차단, 차단하고 데이터와 시스템을 이전의 양호한 상태로 되돌리는 데 활용될 수 있다. CISO의 우선순위 목록에는 이러한 보호 및 시스템을 곧 구축하는 것이 포함되어야 할 것이다.

기업 가치에 대한 위협

위의 시나리오 중 하나라도 발생하면 기업 가치에 심각한 위협이 된다. 주가 하락이나 시장 점유율 감소와 같은 단기적인 재정적 손실로 이어지고 고객 유지율 저하와 혁신 능력 저하로 다시 이어질 수 있다. 장기적으로는 결국 주주의 신뢰와 시장 지위를 약화시킬 수 있다.

앞서 언급한 리스크는 모두 현재 존재하는 도구, 기술, 인간의 행동으로 발생할 수 있다는 점을 언급한다. 즉 양자 컴퓨팅의 출현은 고려되지도 않았다. 양자 컴퓨팅은 오늘날의 모든 데이터의 암호화를 쉽게 파훼할 수 있기에 상황은 더 악화될 수 있다.

양자 컴퓨팅 공격으로부터 데이터를 어떻게 보호할 수 있을까? 해커 그룹이 사용자 모르게 이미 수집한 데이터와 지적 재산의 잠금을 해제하고 해당 데이터를 잠재적으로 해를 입히는 데까지 얼마나 걸릴까? AI 시대로 나아갈수록 기업은 데이터 무결성을 보장하고, 데이터 출처를 추적하며, 데이터 액세스를 제어할 수 있는 역량을 확보해야 한다. 데이터 자산을 보호하고, 이를 통해 기업 가치를 보호하려는 기업은 첨단 기술을 효과적으로 활용하는데 집중해야 할 것이다.
dl-ciokorea@foundryco.com