‘제품 개발 참여, 자문 外···’ 사이버보안 분야 혁신을 위한 CISO의 역할은?

사이버보안 리더는 새로운 위협과 기존의 위협을 모두 접하기 때문에 혁신을 이끌어내는 데 유리한 위치에 있다. 많은 CISO(최고정보보호책임자)가 새로운 솔루션 개발에 적극적으로 참여하고 있으며, 이를 통해 현재 솔루션의 한계를 명확히 파악하고 있다.

풀패스(Fullpath)의 CISO인 샤하르 마오르는 “CISO는 다양한 격차를 해소하는 솔루션을 통해 혁신을 지원하는 데 기여할 수 있다”라고 설명했다. 마오르는 여러 스타트업과 협력해 새로운 기술을 탐색하고, 기능을 공동 개발하며, 실제 환경에서 제품을 테스트하고 있다.

이런 혁신 활동의 성과는 상당할 수 있지만, 몇 가지 기본 원칙을 지켜야 한다. CISO는 검증되지 않은 솔루션 도입에 따른 위험을 인지하고, 조직의 우선순위를 고려하며, 새로운 도구와 기술을 평가하는 방법을 숙지해야 한다. 마오르는 “처음부터 양측이 명확하고 공유된 목표를 가지도록 하여 오해를 방지하고 모두가 성공할 수 있는 기반을 마련한다”라고 설명했다.

혁신 활동에 적극적으로 참여하는 것은 새로운 보안 솔루션의 발전을 이끌어내고 CISO가 조직을 보호하는 데 실질적인 도움이 될 수 있다.

스타트업과의 협력

뉴욕타임스 사이버보안 기자 출신이자 실버버크샷 벤처스(Silver Buckshot Ventures)의 매니징 파트너인 니콜 펄로스는 사이버 위협이 날로 진화하면서 기업들이 기존 솔루션의 부족한 점을 깨닫고 있다고 언급했다. 이로 인해 맞춤형 솔루션에 대한 접근성을 확보할 가능성을 보고 스타트업과 협력하려는 기업이 늘고 있다. 펄로스는 “스타트업은 기존 접근 방식으로 매일 발생하는 공격을 막을 수 없다는 판단 하에 위협에 대처하는 새로운 방법을 모색하고 있다”라고 설명했다.

펄로스에 따르면 조직이 특정 문제에 대해 우려하고 있다면 스타트업의 새로운 솔루션 도입을 고려할 수 있다. 조직이나 사이버보안 리더는 새로운 도구가 적절한 가치를 제공할 수 있도록 초기 단계부터 참여해, 솔루션이 시장에 출시되는 과정에 영향을 미칠 수 있다.

펄로스는 “사이버보안 스타트업이 비공개 개발 단계를 마치고 새 솔루션을 발표한 후, 포춘 500대 기업과 파트너십을 맺어 자사의 솔루션을 해당 기업의 환경에 완벽하게 맞춰가는 사례가 늘고 있다”라고 설명했다.

마오르는 새로운 보안 도구와 맞춤형 솔루션 개발을 위해 다수의 스타트업과 협력 관계를 맺고 있다. 이는 단순한 일회성 계약을 넘어 팀의 핵심 업무로 자리잡았다. 특히 마오르와 팀은 스타트업 설립자들과의 정기적인 만남을 통해 사업 제안을 검토하고 새로운 보안 도구에 대한 혁신적인 아이디어를 파악하는 데 주력하고 있다.

협업에는 통제된 환경에서 새로운 도구를 테스트하는 파일럿 프로그램과 특정 스타트업과의 공식 파트너십이 포함된다. 이는 스타트업이 제품을 개선하는 데 도움을 주고, 마오르의 팀이 기존 조직 생태계에서 솔루션의 적합성을 파악할 수 있게 한다. 마오르는 “새로운 기능이 베타 테스트용으로 제공되면, 우리는 먼저 사용해 볼 기회를 얻고 벤더에게 가치 있는 피드백을 제공할 수 있다”라고 말했다.

초기 단계에서는 비용과 적합성이 핵심 고려사항이다. 초기 단계에 참여해 솔루션 개발 방향을 구체화할 수 있는 범주를 이해하는 것이 중요하다는 설명이다. 마오르는 “스타트업은 초기 지식을 바탕으로 제품을 개발하고 가설을 세우지만, 실제 환경에서 제품이 배포될 때 비로소 검증과 개선이 이뤄진다”라고 말했다.

마오르는 일부 혁신적인 스타트업의 경우, 제품을 출시하기에 앞서 시장과 잠재 고객들에게 자사 솔루션의 가치와 미래 중요성을 먼저 이해시키는 상황을 자주 목격했다고 언급했다. 그는 이런 과정이 향후 발생할 수 있는 보안 문제를 미리 파악할 수 있는 기회가 됐다며 “스타트업은 우리가 아직 파악하지 못했거나 현재는 시급하지 않은 문제에 대한 해결책을 제시하기도 한다”라고 전했다.

마오르는 스타트업과의 협력이 새롭고 참신한 솔루션을 제공할 수 있다면서도, 한 곳에 모든 것을 투자하는 방식에는 신중한 입장을 보였다. 특히 스타트업의 자금 조달 수준은 지속 가능한 비즈니스로서의 가능성을 보여주는 중요한 지표다. 마오르는 “스타트업이 실패할 가능성은 항상 존재한다. 그래서 시간과 예산 투자에 신중을 기하고 있다”라고 말했다.

또한 이런 프로젝트는 보안팀에 상당한 자원을 요구할 수 있다. 대부분의 보안팀에는 업무가 과중돼 있으며, 우선순위가 경쟁적으로 정해져 있는 경우가 많다. 핵심은 스타트업과의 협력과 기본 업무 사이의 균형을 맞추는 동시에, 스타트업이 조직이 요구하는 가치를 제공할 수 있는지 확인하는 것이다. 마오르는 “일부 스타트업은 우리의 보안 기준을 아직 충족하지 못하기 때문에 철저한 검증이 필수적”이라고 설명했다.

액셀러레이터, 인큐베이터 프로그램에 참여

액셀러레이터와 인큐베이터 프로그램은 초기 단계 벤처 기업을 지원한다. 보안 리더는 설립자들에게 업계 인맥을 제공하고, 새로운 도구의 심사위원으로 활동하며, 상용화를 위한 멘토링을 제공할 수 있다.

이 프로그램에서 후원자와 잠재적 투자자들은 스타트업이 중요한 업계 문제를 해결하고 있는지 판단하고 투자 가능성을 평가하기 위해 CISO에게 도움을 요쳥할 수 있다. 책 “사이버 포 빌더스(Cyber for Builders)”의 저자이자 스타트업 자문위원인 로스 할렐리우크는 “보안 리더는 스타트업을 종합적으로 평가하는 데 필요한 정보와 추가적인 관점을 제공할 수 있다”라고 설명했다.

CISO는 스타트업의 자문 역할을 맡아 제품 피드백, 시장 진출 전략 수립, 투자자 및 업계 파트너 소개 등을 제공하고, 그 대가로 ‘땀의 지분(sweat equity)’을 받기도 한다. 이는 스타트업 설립자에게는 전문적인 조언을, CISO에게는 혁신 활동에 참여할 동기를 제공한다.

실제로 CISO가 많은 스타트업으로부터 제안서와 미팅 요청을 받는다. 하지만 현실적으로 일상 보안 업무를 수행하며 이런 제안을 모두 수용하기란 어렵다.

대규모 조직에서는 CISO가 새로운 솔루션을 테스트하기 위해 스타트업의 제안을 검토하고 피드백을 제공하는 동시에 예산을 확보할 여력이 더 많을 수 있다. 할렐리우크는 “스타트업이 CISO가 관심을 가진 문제를 해결한다면 미팅에 응할 수 있지만, 보안 리더가 기술 얼리어답터 성향이어야 할 것”이라고 말했다.

경우에 따라 CISO는 스타트업과의 소통을 통해 특정 보안 문제에 대해 더 깊이 이해할 수도 있다. 할렐리우크는 “많은 보안 리더가 스타트업이 해결하려는 새로운 문제에 대해 배우기 위해 미팅에 응한다”라고 전했다.

벤처캐피털과 CISO 주도 투자 그룹에 자문 제공

펄로스는 새로운 사이버 위협으로 인해 보안 혁신의 황금기가 도래했지만, 기업들 간 양극화가 뚜렷하다고 지적했다. 인공지능 분야는 막대한 자금을 유치하는 반면, 다른 분야의 스타트업들은 자금 조달에 어려움을 겪고 있다는 설명이다.

사이버보안 기업들은 여전히 벤처캐피털의 관심을 받고 있지만, 스타트업 설립자들은 대규모 일반 펀드보다 업계 전문성을 갖춘 펀드와 투자자를 선호하는 추세다. 펄로스는 “스타트업 설립자들은 특별한 가치나 사이버 전문성을 보유한 벤처캐피털리스트와 협력하기를 원한다”라고 설명했다.

이런 환경에서 CISO의 참여 기회가 확대되고 있다. 사이버 혁신의 비즈니스 측면에 관심이 있는 CISO는 새로운 기업에 대한 자문과 투자 기회를 모색할 수 있다.

할렐리우크에 따르면, 사이버 분야 벤처캐피털은 스타트업 심사 시 CISO를 자문단에 참여시키고 실사 지원을 받는 경우가 많다. 또한 민간 투자 클럽이나 투자 신디케이트를 통해 CISO와 보안 리더가 신생 기업을 직접 지원할 기회를 마련하기도 한다. 참여 기준은 다양하지만, 대개 투자 신디케이트 가입을 위해서는 자체 투자 자본이 필요하다.

할렐리우크는 CISO가 이 경로를 선택할 때 신생 기업의 자금 출처를 확인하고, 설립자 실사를 수행하며, 잠재 솔루션을 충분히 테스트하는 것이 중요하다고 강조했다.

그는 열정적인 문제 해결 능력을 가진 설립자와 보안 리더가 만날 때 진정한 보안 혁신이 가능하다고 언급하면서, “문제 해결에 대한 기업가의 열정과 에너지, 그리고 보안 실무자의 전문성과 통찰력이 결합될 때 성공할 수 있다”라고 전했다.

혁신을 이끄는 다른 방법

재정적 투자나 실무 참여 외에도 CISO가 사이버보안 혁신을 지원할 수 있는 다양한 방법이 있다. 할렐리우크는 CISO 네트워크 내에서 학습과 권장사항을 공유하는 것이 업계 전체의 새로운 접근방식과 아이디어 확산에 도움이 된다고 말했다.

CISO는 컨퍼런스 발표 등을 통해 업계 차원의 모범 사례 개발에도 참여할 수 있다. 새로운 프로토콜이나 솔루션이 업계 표준이 되도록 지원함으로써 조직들의 폭넓은 도입을 촉진할 수 있는 것이다.

할렐리우크는 CISO가 사내 솔루션과 접근방식을 공유해 업계 발전에 기여할 수 있다고 제안했다. 그는 “일부 보안팀은 자체 개발한 도구를 오픈소스화해 업계에 기여할 수 있다”라고 설명했다.

사이버 헬스 컴퍼니의 CSO이자 ‘CISO 호라이즌’의 설립자 겸 CEO인 벤 할퍼트는 CISO가 학술 연구를 통해 업계 지원이 필요한 혁신적인 솔루션을 발견할 수 있다고 설명했다. 그는 “특히 사이버보안 전문 대학의 연구는 업계에 서비스를 제공할 스타트업으로 발전할 수 있어 새로운 연구를 접하기에 좋은 곳”이라고 언급했다.

새로운 솔루션과 잠재적 사업을 평가하기 위해 CISO는 적절한 질문, 새로운 기술의 신속한 이해, 업계 실행 가능성 평가 등 혁신 평가 기술을 습득해야 한다. 할퍼트는 “경험이 쌓일수록 더 편안해지고 잠재적 솔루션을 평가할 때 더 세밀한 질문이 가능해진다”라고 설명했다.

대기업의 경우 판매 주기가 최대 2년에 이르기 때문에 사이버보안 업체는 조달과 도입 과정에서 많은 단계를 거쳐야 한다. CISO는 이 기간 동안의 자금 조달과 사업 지속 가능성을 보장하기 위해 새로운 도구를 평가해야 한다.

할퍼트는 CISO가 조직의 기술적 요구와 비즈니스적 필요성을 동시에 이해하고, 보안 솔루션의 적절한 활용 방안을 파악할 수 있어 사이버보안 혁신을 주도하기에 최적의 위치에 있다고 평가했다. 그는 “보안 위협은 다양한 형태로 나타나고 CISO가 고려해야 할 요소도 많지만, 이들은 전체적인 관점에서 기업의 목표 달성을 지원하는 방안을 모색하는 것을 선호한다”라고 덧붙였다.
[email protected]