지난해 발생한 데이터 유출사고의 대부분이 사용자 실수와 시스템 오류로 인한 것이라는 보고서가 발표돼 주목된다.
이는 시만텍(www.symantec.co.kr)이 시장조사기관 포네몬 인스티튜트와 함께 진행한 ‘2013 글로벌 데이터 유출 피해 분석 보고서’에 따른 것으로, 지난해 발생한 데이터 유출 사고의 3분의 2는 사용자 실수(35%)와 시스템 오류(29%) 때문으로, 37%을 차지한 사이버 공격보다 높은 것으로 나타났으며, 유출 사고의 주 원인은 임직원들의 기밀 데이터 취급 부주의, 시스템 관리 부재, 업계 및 정부 규제 위반 등으로 확인됐다.
이 조사는 지난해 데이터 유출 사고를 경험한 미국, 영국, 프랑스, 독일, 이탈리아, 인도, 일본, 호주, 브라질 등 9개국 277개 기업의 임직원들을 대상으로 10개월간 심층 인터뷰와 설문조사를 진행해 작성됐으며, 10만건 이상의 데이터가 유출된 ‘메가 데이터 유출 사건’은 제외됐다.
보고서에 의하면 데이터 유출에 따른 피해액은 데이터 건당 평균 136달러(약 15만원)로 2011년 130달러 대비 증가했으며, 보건, 금융, 제약분야의 경우 타 산업에 비해 피해규모가 약 70% 더 많은 것으로 나타났다. 반면 강력한 보안 전략과 대응 계획을 갖춘 기업은 오히려 피해규모가 감소하는 경향을 보였다.
데이터 유출 주 원인은 사용자 실수와 시스템 오류
이번 조사에서 데이터 유출 사고의 64%는 사용자 실수와 시스템 오류 때문인 것으로 확인됐다. 올해 초 시만텍이 발표한 다른 보고서에서도 직원들의 62%가 회사 데이터를 외부로 유출해도 무방하다고 생각해 대부분 삭제하지 않고 방치하는 등 내부 임직원들에 의한 데이터 유출 문제가 심각하다는 점을 확인한 바 있다.
또한 애플리케이션 장애, 의도치 않은 데이터 덤프, 데이터 전송시 논리상의 오류, 계정이나 인증 오류, 데이터 복구 오류 등을 포함한 시스템 오류 역시 데이터 유출의 주요 원인으로 밝혀졌다.
사이버 공격은 데이터 유출 사고의 37%를 차지했는데, 조사 대상 9개국 모두 이로 인해 가장 큰 피해를 입었다고 답했다. 특히 사이버 공격으로 인해 미국은 데이터 건당 277달러(약 31만원), 독일은 214달러(약 24만원)에 달하는 손실을 입었다. 반면 브라질은 71달러(약 8만원) 인도는 46달러(약 5만원)로 상대적으로 손실이 적었다. 또한 사이버 공격을 받을 가능성이 가장 높은 국가는 독일로 나타났고 호주와 일본이 그 뒤를 이었다.
2012년 전세계적으로 데이터 유출에 따른 고객 데이터 건당 피해액은 전년보다 증가했으나 미국과 영국 기업들은 강력한 보안 전략과 포괄적인 사고 대응 계획 및 최고정보보안책임자(CISO) 임명으로 데이터 유출에 따른 피해를 최소화했다. 특히 미국과 프랑스는 데이터 유출 복구 컨설턴트를 채용하는 등 손실을 줄이기 위한 노력을 기울인 것으로 나타났다.
데이터 유출에 따른 피해 정도 국가별로 상이
이번 조사 결과 데이터 유출로 인한 피해가 국가마다 다른 것으로 나타났는데, 그 이유는 기업이 직면한 위협의 유형과 각 국가마다 정보보호관련 법이 다르기 때문으로 분석된다. 2012년 데이터 유출에 따른 피해액은 데이터 건당 평균 136달러(약 15만원)로 2011년 130달러보다 다소 증가했다.
오래 전부터 개인정보보호와 사이버 보안 강화를 위한 법률을 시행해온 독일, 호주, 영국 및 미국의 경우 데이터 유출로 인핸 손실 규모가 큰 것으로 나타났다. 독일은 데이터 건당 평균 199달러(약 22만원), 미국은 평균 188달러(약 21만원)로 선두를 기록했으며, 데이터 유출 건당 총 피해액 면에서도 미국은 540만달러(약 61억원), 독일은 480만달러(약 54억원)에 달했다.
