“韓 기업 데이터 유출 시 1건당 48억원 비용 부담”

IBM, 국내외 604개 기업 조사
전세계 유출 비용 사상 최고치

기업의 데이터를 빼내고 있는 해커의 모습을 인공지능(AI)이 묘사한 그림. <출처=챗GPT 4o>

기업의 데이터 유출 사고로 발생하는 제반 비용이 전 세계 평균 488만 달러(약 67억 6100만원)로 역대 최고치에 달한다는 조사 결과가 나왔다. 국내 평균은 이보다 낮은 평균 48억3300만원인 것으로 집계됐지만, 해당 조사에 한국이 포함된 지난 7년간으로 보면 사상 최고치인 수준이다.

IBM은 이러한 내용을 담은 ‘2024 데이터 유출 비용 연구 보고서’(2024 Cost of a Data Breach Report)를 31일 발표했다.

이번 보고서는 지난해 3월부터 올해 2월까지 데이터 유출 사고를 겪은 전 세계 604개 기업을 대상으로 포네몬 연구소(Ponemon Institute)가 조사를 진행하고 IBM이 후원 및 분석한 결과다. 28개의 국내 기업도 본 연구 대상에 포함됐다.

데이터 유출에 따른 비용은 크게 △탐지 및 상부 보고(회사가 합리적으로 데이터 유출을 탐지할 수 있게 하는 활동) △알림(회사가 데이터 주체, 데이터 보호 규제 기관 및 기타 제3자에게 알릴 수 있게 하는 활동) △영업 손실(데이터 유출에 따른 고객 상실, 비즈니스 중단 및 수입 손실을 최소화하는 활동) △사후대응(유출 피해자가 회사에 연락하도록 지원하는 활동 및 피해자 및 규제 기관에 대한 보상활동) 등 기업이 부담해야 하는 비용과 기회 비용으로 구성된다.

그 결과 데이터 유출로 인해 상당한 또는 매우 심각한 업무 중단을 겪었다고 응답한 기업은 70%에 육박했으며, 평균 유출 비용은 전년 대비 10% 증가해 코로나 팬데믹 이후 가장 큰 폭으로 상승했다. 특히 국내 기업의 데이터 유출로 비용 부담이 컸던 산업군은 법무, 회계, 컨설팅 등 전문 서비스(73억원), 금융(72억원), 제조 산업(62억 8000만원) 순이었다.

전 세계 데이터 유출 사고 한 건 당 평균 비용을 보여주는 그래프. 기업의 데이터 유출 사고로 발생하는 제반 비용이 전 세계 평균 488만 달러(약 67억 6100만원)로 역대 최고치에 달했다. <사진=IBM>

IBM 측은 “글로벌 조사 결과에 따르면 데이터 유출로 인한 부수적인 피해가 심화되면서 비즈니스 손실과 유출 후 고객 및 제3자 대응 비용이 전년 대비 올해 유출 비용 상승을 견인한 요인으로 손꼽혔다”고 전했다.

그러면서 “조사 대상 기업의 절반 이상이 작년에 심각한 수준의 인력 부족을 겪으며 유출 비용이 크게 증가했다”면서 “일례로 인력 부족이 심한 경우 574만 달러의 유출 비용 발생했고, 상대적으로 인력 부족이 심하지 않거나 전혀 없는 경우 398만 달러의 비용 발생했다”고 설명했다. 또 피해는 유출 후유증 장기화로 이어져 침해 사고를 완전히 복구할 수 있었던 소수의 기업(12%)들도 복구에 100일 이상이 걸린 것으로 조사됐다.

이 외에도 인공지능(AI) 기술과 관련해서는 보안 AI 및 자동화 설루션을 도입한 기업이 67%로 전년 대비 10% 가까이 증가했다. 20%는 차세대 AI 보안 툴을 사용한다고 밝혔다. 아울러 보안 AI와 자동화 설루션을 도입한 기업은 그렇지 않은 기업보다 평균 98일 더 빨리 사고를 탐지하고 통제한 것으로 보고서는 분석했다. 그만큼 침해 비용 또한 평균 220만 달러를 절감했다는 설명이다.

IBM 관계자는 “전 세계 평균 데이터 유출 사고 수명 주기(침입 감지부터 봉쇄, 최종 해결까지 걸리는 시간)는 전년도 277일에서 7년 만에 최저치인 258일을 기록했으며, AI 기술이 위협 완화 및 대응 활동을 개선해 방어자들이 시간을 확보하는 데 도움이 될 수 있음을 시사했다”고 말했다.

IBM이 데이터 유출 비용 산정을 위해 평가 기준으로 활용한 척도. 데이터 유출에 따른 서비스 중단 비용과 브랜드 이미지 저하에 따른 기회 비용 등이 포함된다. <사진=IBM>

한편 데이터 보안이 취약해지면서 지적 재산 도용 또한 증가했다는 분석이다.

침해 사고의 40%는 복합적인 환경에 저장된 데이터와 관련이 있었고, 3분의 1 이상은 쉐도우 데이터(관리되지 않는 데이터 소스에 저장된 데이터)와 관련된 것으로 나타나 데이터 추적 및 보호에 대한 어려움이 커지고 있다는 사실이 부각됐다는 게 보고서 내용이다.

결국 이러한 데이터 가시성 격차는 지적 재산(IP) 탈취의 급격한 증가(27%)로 이어졌다는 얘기다. 도난당한 기록과 관련된 비용도 기록당 173 달러로 전년 대비 11% 가까이 급증했다.

케빈 스카피네츠(Kevin Skapinetz) IBM 시큐리티의 전략 및 제품 설계 담당 부사장은 “기업들은 침해, 차단, 피해 대응이라는 끊임없는 악순환에 갇혀 있다”면서 “이 과정에서 기업은 보안 대응력 강화에 투자하면서도 침해 비용을 소비자에게 전가하는 경우가 많아 보안은 비즈니스 운영에 있어 새로운 비용 부담이 되고 있다”고 말했다.

이어 그는 “생성형 AI가 비즈니스에 빠르게 침투해 공격 표면이 확대됨에 따라 이처럼 비용이 계속해서 증가하면 기업은 보안 조치와 대응 전략을 재평가해야 할 수밖에 없을 것”이라며 “기업이 앞서 나가기 위해서는 새로운 AI 기반 보안에 투자하고 생성형 AI가 제시하는 새로운 위험과 변화에 대응하는 데 필요한 기술을 개발해야 한다”고 강조했다.