'데이터납치' 피해 78%는 중소기업…"예방이 최선" KISA의 제안

임진수 KISA(한국인터넷진흥원) 침해예방단장./사진제공=KISA

"황사가 오면 미리 마스크를 착용하듯이, 피해가 나기 전에 사전에 막는 게 최선의 방어입니다."(임진수 KISA 침해예방단장)

KISA(한국인터넷진흥원)가 올해 정보보안 투자여력이 부족한 중소기업을 위해 보안점검과 위기대응 지원을 강화한다.


1일 KISA에 따르면 정보보안 침해사고 신고건수는 지난해 1227건으로 4년간 약 2배 늘었다. 랜섬웨어 피해신고는 지난해 258건으로 전년보다 약 30% 감소했지만, 중소기업 비중이 78%에 달했다.

임직원 250명 이상 규모의 기업 중 정보보호 조직을 보유한 곳은 70.6%에 달했지만, 임직원 10~49명인 기업에선 27.4%에 불과했다. 또 전체 기업의 42.2%는 정보보호 관련 예산을 마련하지 않았거나 사용하지 않은 것으로 드러났다.

KISA는 올해 중소기업 SW(소프트웨어) 개발보안을 강화하기 위해 KISA 직원들이 희망업체를 직접 찾아가 소스코드 보안약점을 찾아주는 '방문형 진단'을 처음으로 실시하고, 판교 제2테크노밸리 'SW개발보안허브'에서 횟수제한 없이 진단을 제공하는 '내방형 진단'을 계속할 계획이다.


중소기업을 위한 기업점검도 확대한다. 업체 홈페이지·서버·IT(정보기술)인프라에 대한 보안취약점을 찾아주는 사업이다. 임진수 KISA 침해예방단장은 "(규모가 작은 기업은) 내부적으로 보안점검을 수행하지 못하고 용역을 발주하거나 전문보안기업에 의뢰하는데, 이마저도 예산이 없거나 관심도가 떨어진 곳이 있어 KISA가 돕고 있다"고 말했다.

KISA는 대·중견기업에게 연간 정기훈련으로 지원하는 '사이버 위기대응 모의훈련'을 중소·영세기업에게는 상설로 지원한다. 업체가 원하는 일자·시간대에 모의 해킹메일·디도스(DDoS)·침투·취약점 공격 등을 경험하고 문제점을 진단받을 수 있다. 김 단장은 "모의 해킹메일 감염률은 처음 참여한 기업에서 평균 4.9%로 나왔는데, 3차례 이상 참여한 기업의 경우 평균 2.1%까지 하락하는 효과가 있었다"고 밝혔다.

김 단장은 또 "중소기업은 홈페이지가 디도스 공격을 받을 때 KISA의 '디도스 사이버대피소'를 이용할 수 있다"고 말했다. 이어 "올해는 디도스 대응뿐만 아니라 SQL(Structured Query Language) 인젝션 등 해킹공격 전반을 방어하는 '사이버디펜스'로 강화할 예정"이라며 "KISA 보호나라 홈페이지를 확인하라"고 덧붙였다.