CFO와 사이버 보안: 최대의 위협 및 예방책

최고재무책임자(CFO)는 사이버 보안과 관련하여 중요한 역할을 수행합니다. 사이버 공격은 대부분의 조직에 중대한 재정적 위험을 초래하기 때문입니다. CFO는 최고정보보안책임자(CISO)와 긴밀히 협력하여 재무상의 위험도를 기준으로 다양한 잠재적 위협을 처리하기 위한 우선순위를 정하고, 그에 따른 방어 체계를 유지하고, 궁극적으로 다양한 위험을 완화하는 데 기여합니다.

CFO는 왜 사이버 보안에 관심을 가져야 하나요?

사이버 공격은 다양한 방식으로 기업에 손실을 입힐 수 있습니다. IBM과 Ponemon Institute의 조사 결과에 따르면, 2023년 전 세계의 기업들은 데이터 유출로 인해 평균 445만 달러의 비용을 지출해야 했습니다. 2023 Verizon Data Breach Investigations Report에 따르면, 약 95%의 데이터 유출은 정치적, 사회적, 개인적 이유가 아닌 금전적 이득을 위해 벌어진 것이었습니다.

가장 인기 있는 공격 대상은 고객 신용카드 번호 및 직원 네트워크 비밀번호와 같은 기밀 데이터입니다. 물론 가짜 공급업체 송장, 급여 사기, 랜섬웨어 공격 등을 통한 현금 갈취도 공격자들의 주된 목표입니다. Deloitte Center for Controllership의 2023년 연구 결과에 따르면, 기업의 고위 경영진 중 거의 절반은 회계 및 재무 부서에 대한 공격이 추후 더욱 악화될 것이라고 생각하고 있었습니다. 보안 침해를 당한 기업은 그로 인한 평판 손상에 따른 금전적 비용도 감수해야 합니다.

CFO들은 미국 증권거래위원회의 새로운 규정에도 주목하고 있습니다. SEC는 상장 기업이 자사의 사이버 보안 프로그램을 주기적으로 업데이트하고, 투자자에게 사이버 보안 사고와 관련된 '의사 결정에 유용한' 정보를 제공하도록 요구하는 규칙을 채택했습니다. 또한 이 규칙은 '중대한'(대부분의 투자자가 중요하다고 생각하는) 사이버 보안 사고가 발생했다고 판단한 기업은 4일 이내에 SEC에 해당 사고를 보고하도록 요구할 것으로 보입니다.

또 다른 규제 의무는 미국의 연방 기관들이 기관 전반적 보안 조치를 개발, 문서화, 구현하도록 요구하는 '연방 정보 보안 관리법(FISMA)'입니다. FISMA의 준수는 많은 부분 CISO가 책임지지만, 정부 기관의 CFO도 해당 법의 요구 사항을 염두에 두어야 합니다.

핵심 요점

• 위험 관리의 전문가인 CFO는 CISO와 협력하여 재무적 위험도를 기준으로 사이버 위협의 위험도 및 방어 전략의 우선순위를 선정해야 합니다.
• CFO는 사이버 위험 평가를 위해 사이버 공격 기법과 그 대응 전략 및 기술에 대한 깊은 지식을 보유해야 합니다.
• CFO는 사이버 보안 계획 수립, 보안 예산 검토, 보안 태세의 효과 모니터링과 관련하여 갈수록 많은 역할을 수행하고 있습니다.

CFO 및 사이버 보안 알아보기

CFO는 사이버 보안 전문가는 아니지만, 위험 관리 전문가입니다. 따라서 CFO가 기업의 시스템 및 데이터 보호 책임자인 CISO와 협력하는 것은 자연스러운 일입니다. CFO는 사이버 보안 계획이 회사의 전반적인 재무 위험을 반영하고 있는지 여부에 대한 자문을 제공합니다. 이 계획을 통해 기업의 가장 민감하고 중요한 데이터를 처리하고 저장하는 시스템을 충분히 보호할 수 있는지, 직원들이 사기성 이메일, 전화 및 기타 사기를 발견할 수 있는 전사적 지원을 제공할 수 있는지 등을 판단합니다. 최고 위험 관리 감시자로서, CFO는 기업의 사이버 위험 수준이 본인이 수용 가능한 범위임을 확신할 수 있어야만 합니다.

또한 CFO에게는 사이버 보안을 포함한 규제 보고 의무가 있습니다. CFO는 미국 증권거래위원회 규정, 유럽연합의 일반 데이터 보호 규정(GDPR), 캘리포니아 소비자 개인정보 보호법(CCPA)을 비롯한 다양한 규제 준수 과정에 밀접하게 관여합니다. CFO는 법률 고문, 내부 감사관, CISO 등과 협력하여 규제 준수를 보장합니다. 또한 사이버 사고 사례를 공개하거나, 연간 사이버 위험 관리, 전략 및 거버넌스 현황을 공개하는 자리에서 이사회의 질문에 답하기도 합니다.

규제 준수를 위해 CFO는 여러 가지 주요 요소 간의 균형을 맞춰야만 합니다. 예를 들어, SEC는 투자자가 중요하다고 판단하는 '중대한 사고'를 공개하도록 요구합니다. 물론 CFO는 재무적 척도를 사용하여 무엇이 중요한지, 그 결과 무엇을 공개할지 결정하지만, 공개하는 내용이 기업의 평판에 미치게 될 영향과 같은 정성적인 요소도 함께 고려해야 합니다. 소규모의 고객 정보 유출도 기업의 평판에는 큰 타격이 될 수 있기 때문입니다.

CFO가 해결해야 하는 5가지 주요 사이버 보안 위험

온라인이 우선시되는 오늘날의 비즈니스 세계에서 기업이 그 어느 때보다도 많은 사용자들에게 급속히 자사의 애플리케이션을 배포함에 따라 사이버 공격자들이 이용할 수 있는 '위협 벡터'도 확대되고 있습니다. 또한 갈수록 많은 기업들이 자사의 애플리케이션을 공급업체, 파트너 및 기타 외부 시스템과 통합하고 있습니다.

공격자들은 공격 대상 환경과 관계없이 사이버 방어 태세를 회피할 수 있는 새로운 방법을 끊임없이 테스트합니다. CFO가 모든 기술적 뉘앙스를 파악할 필요는 없지만, 공격자가 사용할 수 있는 가장 효과적인 기법을 이해해야 합니다. 많은 사이버 공격은 다음 다섯 가지 기본 공격 유형을 새롭게 변형한 것입니다.

CFO가 사이버 보안을 위해 수행하는 역할

CFO는 사이버 위험의 우선순위를 설정하기 위해 CISO와 협력하는 것 외에도 보안 계획 수립, 보안 예산 책정, 보안 성과 및 준비 상황 모니터링 등에 갈수록 많은 기여를 하고 있습니다.

사이버 보안 위험 이해하기

다양한 사이버 보안 위험을 이해하기 위해 CFO는 재무적 위험을 기준으로 위험의 우선순위를 설정합니다. 예를 들어, CFO는 CISO와 협력하여 주요 애플리케이션(중요한 데이터 및 결제 관리용)을 위한 적절한 보호 체계를 구축합니다. 역할에 따라 데이터에 액세스하고 거래를 수행하는 데 필요한 권한 수준을 조절해야 할 필요가 있을까요? 즉, 최소 권한의 원칙을 적용해야 할까요? 예를 들어, 공급망 관리자에게는 조달 시스템에 들어가 거래를 하거나 승인할 수 있는 권한이 필요합니다. 회계 전문가는 조달 시스템 작업 권한이 필요하지 않을 수 있지만, 회계 및 재무 시스템에 액세스하여 업무를 수행하기 위한 권한이 필요합니다. 마찬가지로 공급업체 대금 결제도 권한이 부여된 직원만이 수행할 수 있는 작업입니다.

우선순위가 높은 애플리케이션은 회계 및 재무(미수금 및 미지급금), 공급망 운영(조달), HR(급여) 등의 분야에 사용됩니다. 금융 서비스 및 보건의료 등의 일부 산업의 경우 고객 또는 환자 데이터를 관리하는 앱을 보호하는 것이 더욱 중요해집니다.

글로벌 핀테크 기업인 Broadridge Financial Solutions에서 거버넌스, 리스크, 규제 준수 전략을 담당했던 Oracle의 Senior Product Director인 Aman Desouza는 "모든 분야에 동일한 사이버 보안 태세를 적용할 수는 없습니다."라고 말했습니다. "일부 애플리케이션은 다른 애플리케이션보다 훨씬 더 중요합니다. CISO는 CFO, 때로는 다른 경영진들과 협력하여 기업 위험 관리를 위한 우선순위를 선정하고 가장 중요한 애플리케이션을 가장 철저히 보호해야 합니다. 그리고 때때로 CFO는 CISO의 의견에 기꺼이 도전할 필요가 있습니다."

공격의 잠재적 영향을 평가할 때, CFO는 즉각적 재정적 피해 뿐만 아니라 그 이상을 내다봐야 합니다. 또한 사이버 공격이 생산성, 브랜드 평판, 고객 관계, 법적 규제 준수 등의 분야에 지속적으로 미칠 영향도 함께 고려해야만 합니다.

사이버 보안 계획 수립

각 기업의 구조는 다양하지만 사이버 보안 계획은 일반적으로 CISO의 주도 하에 여러 부서가 협력하여 수립합니다. 그러나 사이버 공격은 기업의 이익에 심각한 위험을 초래할 수 있으므로 CISO는 사이버 보안 계획 수립 시 CFO와 상의하는 것이 좋습니다. 새로운 SEC 규정에 따라 미국 상장 기업의 CFO는 특정 사이버 보안 위험 관리, 전략, 거버넌스 정보를 연례 보고서에 포함해야 하므로, CFO 또한 이와 관련하여 CISO와 긴밀히 협력해야 합니다.

모든 계획에는 사이버 보안 위험에 대한 평가가 포함되어야 합니다. CFO는 다양한 데이터의 가치, 보안 사고로 인한 잠재적인 법적 비용 및 평판 비용을 기준으로 사이버 위험을 측정합니다. 또한 CFO는 민감한 데이터 스토리지를 제3자에게 아웃소싱할 때의 위험, 특히 사이버 보안 보험 적용 범위에 미치는 영향과 SEC 또는 기타 규정 미준수로 인한 위험도 함께 고려합니다.

계획 수립에 있어 또 하나의 중요한 요소는 현재 사용 중인 보안 도구 및 프로세스에 대한 평가입니다. CISO는 보안 도구의 기술적 측면을 평가합니다. 그리고 CFO는 보안 도구 및 관련 프로세스가 고가치 자산, 특히 금융 및 결제 앱 등의 자산을 보호할 수 있는지 여부에 관심이 있습니다. 비용 편익 분석을 통해 CFO는 보안 기술에 대한 투자 효용도 평가할 수 있으며, CFO의 관점은 보안 예산을 CEO와 이사회에 제출하는 CISO에게 도움을 줄 수 있습니다.

최고의 보안 계획은 유연성이 뛰어나므로, 기업이 최고 경영진을 매우 사실적으로 사칭할 수 있는 AI 기반 딥페이크와 같은 새로운 위험에도 대응할 수 있도록 지원합니다. CNN의 보도에 따르면, 한 공격자는 컨퍼런스 콜에서 딥페이크 동영상을 사용하여 기업의 재무 담당자를 호도하여 공격자의 은행 계좌로 2,560만 달러를 송금하도록 유도했다고 합니다. 또한 적응형 계획은 네트워크 이상 징후 및 악의적인 활동을 보다 빨리 발견하기 위한, 생성형 AI를 비롯한 최신 보안 도구를 사용할 수 있는 여유 공간을 제공해 줍니다.

사이버 보안 예산 책정

사이버 보안 계획과 마찬가지로 사이버 보안 예산 제안을 주도하는 주체 또한 CISO입니다. 대부분의 기업의 CFO는 보안 예산 수립 과정에서 예산을 검토하고, 질문하고, 권장 사항을 제시하는 등의 자문을 제공합니다. 보안 관련 지출을 검토하는 과정에서 CFO는 전문 지식을 갖춘 인력, 공격 탐지 및 방어 기술, 사이버 위험 및 보안 규제 준수 여부를 모니터링하기 위한 도구 등에 대한 투자를 검토합니다.

보안 컨설팅 회사인 IANS Research의 2023년 연구에 따르면, 2022~2023년 예산 주기 동안 사이버 보안 예산은 완만한 증가율을 보였습니다. 예를 들어, 기술 기업의 보안 예산은 평균 5% 증가했습니다. 2021~2022년 주기동안 30% 이상 증가했던 것에 비하면 낮아진 수치입니다. 그러나 다른 산업과 비교했을 때, 기술 기업의 보안 예산은 전체 IT 지출 대비 19.4%로 가장 큰 비중을 차지했습니다. 반면 리테일 업계는 IT 예산의 평균 7.2%만을 보안에 할당하고 있습니다.

예산이 빠듯한 상황에서 CFO는 어려운 질문을 던지곤 합니다. 제안된 예산이 기업의 목표에 부합합니까? 제안된 예산이 기업을 방어하고 보안 위험을 감소시키기에 적합한 요소에 자금을 지원하고 있습니까?

사이버 보안 리소스 할당

사이버 보안 예산이 편성 완료되면, CISO는 해당 계획이 위험을 줄이기 위해 가장 필요한 곳에 리소스를 할당하고 있는지, 숙련된 전문가 채용, 직원 보안 교육 프로그램 확대, 새로운 보안 소프트웨어 구매, 보다 안전한 클라우드 비즈니스 모델로의 전환 등을 위한 다양한 계획 중 가장 중요한 것은 무엇인지 등을 검토합니다. 이 단계에서도 CFO는 리소스 할당 과정에서 재무 위험 우선순위가 제대로 반영될 수 있도록 자문을 제공합니다. 예시: 다단계 인증 도구에 자금을 할당한다면 인력 또는 프로세스 개선에 비슷한 금액을 지출할 때보다 침입 위험을 줄이고 데이터를 더 잘 보호할 수 있을까요?

사이버 보안 성과 모니터링

사이버 보안 계획에는 현재 위험 수준이 허용 가능한지 여부를 보여주는 성과 모니터링 지표가 포함됩니다. CISO는 공격을 탐지하고 대응하는 데 걸리는 평균 시간 등의 메트릭에 집중합니다. 반면 CFO는 기술 및 프로세스의 성능보다는 보안 준비 태세에 더 중점을 둡니다. "대부분의 CFO는 보안 프로그램의 성숙도를 파악할 수 있는 증거를 원합니다." Desouza는 말합니다. "CFO는 자동화된 모니터링 도구, 직원들이 BEC 및 피싱 공격을 발견할 수 있도록 가르치는 보안 인식 교육 등의 지표에 집중합니다. CFO가 가장 중시하는 것은 준비 태세이니까요."

사이버 보안을 경시하는 기업이 치러야 하는 비용

기업이 사이버 보안을 무시하거나 충분한 주의를 기울이지 않을 경우 데이터, 자금 및/또는 지적 재산의 손실로 인한 막대한 대가를 치를 수 있습니다. 또한 고객 신뢰도 저하, 비즈니스 주문 취소, 주가 하락, 부정적 미디어 헤드라인, 법적 처벌 등의 비용도 발생할 수 있습니다. Dark Reading에 따르면 2017년 널리 알려진 한 보안 침해 사고로 인해 일주일 만에 해당 기업의 주가가 31% 하락했고, 완전히 회복되기까지 2년이 걸렸다고 합니다. 그러나 보다 흔한 사례는 한 자릿수 이하의 즉각적 주가 하락이 발생하는 것입니다.

Cybersecurity Ventures의 2022년 연구에 따르면, 전 세계적으로 사이버 범죄로 인한 피해는 2025년까지 10조 5천억 달러에 이를 것으로 예상된다고 합니다. 보안 업체 Deep Instinct에 따르면, 보안 전문가의 75%가 2022년부터 2023년까지 공격이 증가할 것이라고 예측했습니다.

SEC의 기업 재무부 책임자인 Erik Gerding은 관련 성명을 통해 모든 기업은 새로운 SEC 사이버 공시 규정에 따라 "사이버 보안 위험 관리, 전략, 거버넌스에 관한 정보를 매년 반드시 공개해야 한다"고 통지했습니다. 이는 중대한 사이버 보안 사고 내역을 공개해야 한다는 기존의 의무에 추가되는 사항입니다. 이같은 요건을 고려할 때, 상장 기업의 CFO는 회사의 지속적인 사이버 보안 전략과 관행을 철저히 파악해야만 합니다. 또한 주요 사이버 보안 사고를 신속하게 파악하고, 해당 공격의 심각성을 평가할 수 있는 지식 및 협력 관계를 갖추어야만 합니다. 이상의 요건을 갖추지 못한 CFO의 소속 기업은 관련 규제에 의한 처벌을 받게 될 수도 있습니다.

Oracle 솔루션으로 사이버 보안 위험 방지하기

Oracle Fusion Cloud Enterprise Resource Planning(ERP) 제품군에 포함된 재무, 조달, 프로젝트 관리 및 기타 애플리케이션에는 기초 설계부터 철저한 보안 체계가 적용되어 있습니다. 중앙화된 액세스 제어는 네트워크 인증을 간소화하고, Oracle Cloud ERP와 함께 제공되는 보안 기능들과 함께 기업의 법령 및 규제 준수 관리에 기여합니다.

Oracle Cloud ERP 제품군의 일부인 Oracle Risk Management and Compliance는 보안 및 감사 솔루션으로서, 제품군의 재무 데이터에 대한 액세스를 관리하고, 의심스러운 거래를 감지하고, 보안 규제 준수를 위한 귀중한 인사이트를 제공하는 다양한 AI 도구가 포함되어 있습니다.

CFO 및 사이버 보안 FAQ

CFO는 사이버 보안과 관련하여 어떤 역할을 수행하나요?
CFO는 기업의 위험 관리인으로서, 기업의 사이버 보안 태세에 전사적 재무 위험 관리 전략을 반영합니다. CFO는 CISO가 기업 전반의 위험 우선순위를 파악하고, 그에 기반한 보안 계획과 예산을 수립하도록 지원합니다.

CFO는 어떤 사이버 보안 인증을 취득해야 하나요?
CFO에게 도움이 될 만한 인증 중 하나는 American Institute of Certified Public Accountants 및 Chartered Institute of Management Accountants에서 제공하는 디지털 운영 우수성 극대화 인증(Maximizing Digital Operational Excellence Certificate)입니다. 해당 인증은 재무 관리자가 재무 거버넌스, 보안, 관리 체계를 강화하는 방법에 대한 최신 지식을 갖추고 있음을 증명해 줍니다.

CFO가 반드시 수행해야 하는 주요 사이버 보안 책임은 무엇인가요?
CFO는 사이버 보안 태세가 재무 위험별 우선순위에 부합하도록 조율하는 것과 더불어, CISO가 보안 계획 및 예산을 개선하고, 중요한 데이터 및 결제를 관리하는 애플리케이션을 우선적으로 보호하도록 지원해야 합니다. 상장 기업의 CFO는 기업의 소재지에 적용되는 규제에 의한 공시 의무를 이행해야 하는 경우도 있습니다.