영국 국방장관이 동네 상점이 사이버 공격을 받아 계산대에서 카드 결제가 중단되는 상황에 제대로 대처할 수 있겠느냐고 묻는다면, 그 경고에 주목할 필요가 있습니다.
이번 주 현 영국 국방장관 웨스 스트리팅(Wes Streeting)이 가정과 기업 모두 사이버 공격, 극한 기상현상, 적대국에 의한 사회·경제적 혼란에 대비해야 한다고 경고한 것을 두고, 일부에서는 지나치게 위기감을 조성한다고 받아들였을 수도 있습니다. 하지만 저는 이를 현실적인 위험에 대한 적절한 경고라고 생각합니다.
이러한 위험은 결코 새로운 것이 아닙니다. 기업의 이사회가 주목해야 할 부분은 여러 위험이 동시에 발생하는 빈도가 높아지고 있으며, 사전 경고 없이 닥치는 경우도 많아지고 있다는 점입니다. 올여름의 산불, 올겨울 예상되는 홍수, 인터넷의 상당 부분을 뒷받침하는 프로그래밍 언어에서 발견된 심각한 보안 취약점까지, 이 모든 일이 불과 몇 달 사이에 발생했습니다. 해당 보안 취약점 하나만으로도 영국 정부 서비스 32개가 중단됐습니다. 스트리팅은 AI가 공격자들에게 기존 보안 방어체계를 우회하거나 공격할 새로운 수단을 제공하고 있다는 점도 지적했습니다. 기업들이 이 문제를 더욱 심각하게 받아들여야 하는 이유입니다. 지난달 영국 감사원(NAO) 역시 영국의 식품 공급망이 질병 발생, 사이버 공격, 극한 기상현상에 노출되어 있으며, 공급망의 회복탄력성을 강화하기 위한 조치가 충분하지 않다고 경고했습니다.
그렇다면 기업들은 다음 질문에 답할 수 있어야 합니다. 내일 핵심 공급업체 중 한 곳의 운영이 갑자기 중단된다면, 한 시간 이내에 그 사실을 파악할 수 있을까요? 해당 공급업체가 어떤 다른 공급업체에 의존하고 있는지도 알고 있을까요? 그리고 이러한 상황을 충분히 파악하고 있다고 자신한다면, 이를 뒷받침할 객관적인 근거를 제시할 수 있을까요?
회복탄력성을 갖추고 있다고 믿는 것과 이를 실제로 입증할 수 있는 것 사이의 간극이야말로 기업이 위험에 노출되는 지점입니다. 팬데믹 당시 마지막으로 열어본 후 공유 드라이브에 그대로 보관된 사업연속성 계획은 실질적인 대비책이라기보다 심리적인 안도감에 가깝습니다. 공급업체에 사이버 보안 정책이 있는지 묻고 '예'라는 답변만으로 충분하다고 판단하는 설문조사 역시 실제 문제가 발생했을 때 어떤 일이 벌어질지에 대해서는 거의 알려주지 못합니다.
LRQA는 사이버 보안, 식품안전, 책임조달, 사업연속성 등 다양한 분야에서 조직의 시스템이 실제 위기 상황에서도 제대로 작동할 수 있는지 확인할 수 있도록 지원하고 있습니다. 이러한 경험을 통해 얻은 교훈은 언제나 같습니다. 회복탄력성은 위기가 발생하기 훨씬 전부터 구축되어야 한다는 것입니다. 이를 위해서는 기업이 어떤 공급업체와 이해관계자에게 의존하고 있는지 명확하게 파악하고, 독립적인 제3자의 검증을 거친 실효성 있는 관리체계를 갖춰야 합니다.
이번 경고와 관련한 언론 보도는 주로 가정의 대비에 초점을 맞추고 있습니다. 영국 정부의 'Be Ready' 캠페인 역시 가정에서 3일분의 비상물품을 준비하도록 권고하고 있습니다. 합리적인 조치이지만, 개인과 가정이 대비할 수 있는 범위에는 한계가 있습니다. 상점에 필요한 물품이 정상적으로 공급되고 계산대에서 카드 결제가 문제없이 이루어지는지는 정부 정책과 국민의 일상생활을 연결하는 기업들의 대응 역량에 달려 있습니다. 영국 정부는 위기 상황에서도 자국 공급망이 중단 없이 운영되기를 기대하고 있습니다. 그러나 이러한 목표의 실현 여부는 결국 기업에 달려 있으며, 그 책임 또한 우리에게 있습니다.
스트리팅의 메시지는 경각심을 갖되 지나치게 불안해하지 말라는 것입니다. 저 역시 이에 동의합니다. 다만 기업의 리더들에게는 한 가지를 더 강조하고 싶습니다. 바로 책임감(Accountability)입니다. 고객과 기업이 제공하는 제품 및 서비스에 의존하는 지역사회는 기업이 이러한 위험에 충분히 대비하고 있다고 믿고 있습니다. 또 다른 위기는 반드시 찾아올 것입니다. 중요한 것은 그때를 대비할 준비가 되어 있는지, 그리고 그 준비 상태를 객관적으로 입증할 수 있는지입니다.