미국과 유럽의 체인·프랜차이즈 기업 200곳을 대상으로 한 VikingCloud 설문 결과, 지난 1년간 응답 기업의 86%가 공격을 받았고 그 중 77%에서 침해가 처음 피해 지점을 넘어 다른 매장·본사·협력 업체로 퍼졌습니다. 놀랍게도 보안 솔루션 도입 수나 실시간 가시성은 피해 확산 여부와 통계적 연관이 없었고, 유일하게 차이를 만든 것은 '본사가 전 매장에 보안 정책을 의무화하는지 여부'였습니다. 의무화가 있는 기업은 64%의 공격이 최초 지점에서 퍼진 반면, 없는 기업은 89%에서 확산이 일어났습니다. 또한 응답자의 91%는 지난 1년 중 중요한 보안 사고 최소 한 건이 경영진이나 이사회에 보고되지 않았다고 답했으며, 신규 매장의 80%는 본사의 모니터링과 통제가 갖춰지기 전에 문을 여는 것으로 나타났습니다.
VikingCloud가 미국·유럽 체인 기업 보안·IT 책임자 200명을 대상으로 설문한 결과, 공격 피해를 받은 기업 대다수에서 침해가 최초 지점을 넘어 다른 매장·시스템·공급망으로 확산됐습니다.
2,500개 이상 매장을 보유한 대형 체인의 경우 89%에서 침해가 확산됐고, 91%의 기업에서 중요 보안 사고가 경영진에게 보고되지 않았습니다. 매장 수가 많을수록 미보고 비율도 높아져 대형 체인의 58%는 5건 이상을 보고하지 않았습니다.
보안 솔루션 도입 수나 실시간 가시성이 아닌 '정책 거버넌스 부재'가 핵심 원인입니다. 응답 기업의 49%만이 본사가 모든 매장에 보안 정책을 의무화하고 있으며, 15%는 각 매장이 자체 정책을 수립합니다. 미보고의 주원인은 47%가 '직업적 불이익에 대한 두려움'을 꼽았습니다.
VikingCloud COO Kevin Pierce는 '모니터링만으로는 피해 반경을 줄일 수 없으며, 거버넌스가 필요하다'고 강조했습니다. 신규 매장 오픈 전 보안 점검 책임자를 지정하고 승인 절차를 의무화하는 것이 단기적으로 실행 가능한 개선책으로 제시됐습니다.
보안 도구 투자보다 '전 매장 대상 정책 의무화' 시행이 침해 확산 억제에 더 효과적입니다. 프랜차이즈 운영사는 특히 의무 정책 도입 시 공격 확산 가능성을 3분의 1로 줄일 수 있습니다. 신규 지점 오픈 시 보안 체크리스트 승인을 선행 조건으로 설정해야 합니다.
본문
수백 또는 수천 개의 매장을 보유한 브랜드의 보안을 책임진다면, 도입한 보안 도구가 공격이 단 한 매장에만 머물게 하는 데 거의 관계없을 수 있습니다. VikingCloud가 미국·유럽 체인 기업의 보안·IT 책임자 200명을 대상으로 지난 1년간의 경험을 물었습니다. 조사 대상 13개 보안 기술 중 어느 것도 사이트 간 피해 확산을 줄이는 것과 연관이 없었고, 실시간 가시성도 마찬가지였습니다. 유일하게 차이를 만든 것은 한 가지 정책적 결정이었습니다.
아래 섹션은 그 결정이 무엇인지, 그리고 왜 프랜차이지(가맹점)가 일부 매장을 운영하는 경우에 특히 중요한지를 다룹니다. 또한 심각한 사고가 경영진에게 보고되지 않는 경우가 얼마나 많은지, 그리고 신규 매장 오픈 때마다 생기는 노출 위험도 살펴봅니다. 이들 체인의 80%는 중앙 모니터링 및 통제 체계가 갖춰지기 전에 매장을 엽니다. 문제는 광범위합니다: 응답자의 86%가 지난 1년간 공격을 받았고, 그 중 77%는 공격이 최초 지점을 넘어 다른 매장, 본사 시스템, 또는 공유 협력 업체로 확산됐다고 답했습니다.
대형 체인일수록 확산이 심하다
규모가 클수록 확산은 심해집니다. 2,500개 이상 매장을 보유한 피해 기업 중 89%가 침해가 최초 지점을 넘어 퍼졌다고 답했으며, 소규모 운영사에서는 71%가 같은 경험을 했습니다. 이런 수치를 보고하는 책임자들은 대체로 자신감을 유지하고 있습니다: 83%가 자사 보안 태세에 자신 있거나 매우 자신 있다고 답했습니다.
그 자신감은 지출 규모와 비례해 높아집니다. 측정 대상 13개 보안 기술 중 4개 이하를 보유한 응답자는 73%가 자신 있다고 했고, 10개 이상 보유한 경우는 100%였습니다. 그러나 전체 응답자의 48%는 전 매장에 대한 실시간 가시성이 없으며, 40%는 가장 모니터링이 취약한 사이트에서 활성 위협을 놓칠 가능성이 높다고 인정했습니다.
도구는 확산을 막지 못했다. 의무화가 막았다.
응답자의 51%만이 본사가 보안 정책을 수립하고 모든 매장에 준수를 요구한다고 답했습니다. 3분의 1은 매장이 본사 지침을 적용하는 방식을 자체적으로 결정하게 하고, 15%는 각 매장이 자체 정책을 수립하도록 합니다. 모든 매장을 직영으로 운영하는 기업 중에서도 41%는 여전히 전 매장에 정책을 의무화하지 않고 있습니다.
이 정책 선택이 구매 목록에 있는 어떤 것보다 더 큰 영향을 미쳤습니다. 실시간 가시성은 공격 확산 빈도에 측정 가능한 차이를 만들지 못했고, 13개 기술 중 어느 것도 마찬가지였습니다. 의무화는 달랐습니다: 의무화가 있는 경우 64%의 공격이 최초 지점을 넘어 확산됐고, 없는 경우에는 89%에서 확산이 일어났습니다.
혼합·프랜차이즈 운영사 중에서는 의무화가 있는 기업이 없는 기업보다 공격이 한 곳에 머물렀다고 답할 확률이 3배 높았습니다. 직영 체인에서는 의무화가 측정 가능한 차이를 만들지 못했습니다. 모든 매장의 모든 직원을 직접 고용하는 기업은 정책을 문서화하지 않아도 일관성이 확보되기 때문일 것입니다.
"블래스트 래디어스(침해 피해 반경)를 모니터링만으로는 줄일 수 없습니다. 거버넌스가 필요합니다." VikingCloud 사장 겸 COO Kevin Pierce의 말입니다.
사고는 이사회에 보고되지 않는다
응답자의 91%는 지난 1년 중 중요한 사고 최소 한 건이 경영진이나 이사회에 보고되지 않았다고 답했습니다. 43%는 5건 이상이 미보고됐다고 했으며, 2,500개 이상 매장을 보유한 체인에서는 이 비율이 58%까지 올라갔습니다. 가장 흔한 이유는 47%가 꼽은 '직업적 불이익에 대한 두려움'이었습니다. 무엇이 보고 대상인지 몰라서 보고하지 않은 경우는 14%에 불과했습니다.
돈의 흐름도 같은 패턴을 따릅니다. 78%는 본사가 랜섬웨어 몸값 결정을 내린다고 하지만, 전 매장에 보안 정책을 의무화하는 경우는 51%에 그칩니다. 본사는 자신이 규칙을 정하지 않은 매장에서 발생한 사고 비용을 자주 부담하게 됩니다.
오픈 당일 보안 공백은 가장 쉽게 고칠 수 있는 취약점입니다. 80% 수치는 정책 의무화 여부와 무관하게 동일했고, 대형 체인에서도 나아지지 않았습니다. 응답자 중 예산이나 인력 부족을 최대 위험 요소로 꼽은 비율은 7%에 불과했습니다. 이 공백을 메우는 데는 책임자 한 명을 지정하고 문을 열기 전에 승인 절차를 거치는 것으로 충분합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
