한국정보산업연합회(회장 정진섭)는 글로벌 IT 대란이 촉발한 주요 이슈와 한국 IT산업이 타산지석으로 삼아야 할 내용을 담은 보고서를 9월 4일 발표했다. 보고서는 글로벌 IT 대란에서 얻을 수 있는 중요한 시사점을 바탕으로 한국의 IT산업이 앞으로 나아가야 할 방향을 제시하고 있다.
보고서는 이번 글로벌 IT 대란이 주는 교훈으로 △사이버 공급망의 위험성 인식 △소프트웨어 품질보증(QA) 검사 및 배포 체계점검 △복구 탄력성 강화를 위한 비즈니스 연속성 계획(BCP) 수립 △투명한 정보공개와 위기에 대응하는 리더십 발휘 △분쟁 발생을 대비한 법적·제도적 준비를 꼽았다.
이번 사고는 신뢰할 수 있는 업체로부터 공급받은 보안 프로그램의 업데이트 과정에서 발생해 더욱 예외적이었다. 이번 사태를 교훈 삼아 우리 기업들은 외부의 위협뿐만 아니라 사이버 공급망 내에 잠재돼 있는 내부의 위험을 식별하고 관리하는 것에 많은 노력을 기울여야 한다.
또한 공급망을 다각화해 다양한 기술 생태계를 구축함으로써 단일 실패 지점(SPOF)의 영향을 최소화하려는 노력도 필요하다고 강조했다.
이번 사태를 유발한 크라우드스트라이크 보안 소프트웨어는 외부 위협에 신속하게 대응해야 하는 환경적 제약 때문에 단순화된 품질보증(QA) 검사만 거친 뒤 바로 배포됐다. 이처럼 보고서에서는 소프트웨어 업데이트의 배포 절차를 지적하며, 국내 소프트웨어 기업들이 품질보증 및 배포에 대한 체계와 절차를 전반적으로 재검토하고 강화할 것을 권장했다.
단, 아무리 기술적으로 완벽한 품질보증 체계를 개발해 적용하더라도 IT 보안 사고의 완전한 예방은 불가능하다. 따라서 비즈니스 연속성 계획(BCP)을 통해 예기치 못한 사고 발생 시에도 비즈니스의 주요 기능을 유지할 수 있는 체계를 마련해야 한다고 제언했다.
보고서는 국내 금융산업과 공공부문이 이번 글로벌 IT 대란에서 상대적으로 안전할 수 있었던 원인을 분석하며 향후 클라우드 확산에 대비한 철저한 준비와 잠재적 위험에 대한 인식 제고를 촉구했다. IT 규제 강화보다는 복잡해지는 사이버 공급망에 대한 대비와 IT 역량 강화를 통해 안전한 IT 환경 구축이 어느 때보다 필요한 시점이다.
