카스퍼스키, '사이버 보안 투명성·책임성' 백서 발표

▲사이버 보안 분야의 투명성 검토 및 책임 백서. (사진제공=카스퍼스키)

글로벌 사이버 보안 기업 카스퍼스키가 주요 사이버보안 기업 14곳을 대상으로 한 투명성 및 책임성 평가를 기반으로 제작한 ‘사이버 보안 분야의 투명성 검토 및 책임’ 백서를 19일 발표했다.

카스퍼스키는 “기본적인 규제 준수는 업계 전반에 확산돼 있으나 검증 가능한 신뢰 관행은 여전히 드물게 나타나고 있는 것으로 확인됐다”고 밝혔다. 이번 백서는 오스트리아 티롤 상공회의소의 의뢰로 오스트리아 교육기관인 MCI와 법률 전문가들이 글로벌 보안 제품 평가기관인 AV-컴패러티브와 협력해 수행했다.

보고서는 최고정보보호책임자(CISO) 및 기업 의사결정자에게 벤더 선정 시 투명성을 핵심 평가 기준으로 삼아야 한다고 지적했다. 소프트웨어 구성 목록(SBOM) 제공, 검증 가능한 업데이트 프로세스, 공개된 감사 결과, 고객이 통제 가능한 데이터 흐름을 갖춘 벤더는 기업에 더 높은 수준의 신뢰를 제공할 수 있기 때문이다.

카스퍼스키는 평가 대상 14개 기업 중 투명성 센터를 운영하는 3곳 중 하나다. 이를 통해 고객이 소스 코드, 데이터 처리 방식, 업데이트 프로세스를 독립적으로 검증할 수 있도록 지원한다. 회사는 글로벌 투명성 이니셔티브의 일환으로 전 세계에 10곳 이상의 투명성 센터를 개설했으며 기업 및 정부 고객을 위한 다양한 검증 옵션을 제공하고 있다.

또한 카스퍼스키는 소프트웨어 구성 목록(Software Bill of Materials) 접근을 제공하는 3개 벤더 중 하나로 평가됐다. 법 집행 기관 및 정부 기관의 요청 내역을 상세히 공개하는 정기 투명성 보고서를 발행하는 4개 기업에도 포함됐다.

카스퍼스키는 60개 평가 기준 중 57개 부문에서 업계 벤치마크 기준을 충족하거나 초과했다. 취약점 보고, 보안 권고, 세이프 하버 원칙 준수, 보안 감사 결과 공개, 안전한 소프트웨어 개발 수명주기(SDLC) 프로세스 등 분석된 모든 보안 태세 기준을 충족한 것으로 나타났다.

이번 평가에는 사이버 보안 제품에 대한 실습 기반 기술 분석도 포함됐다. 카스퍼스키 넥스트 엔드포인트 탐지 및 대응(EDR) 옵티멈은 테스트 과정에서 최소한의 데이터 수집을 보여줬다. 고객이 클라우드 기반 평판 서비스와 EDR 기능을 완전히 비활성화할 수 있는 기능을 제공한 점에서도 긍정적인 평가를 받았다.

이외에도 제품 업데이트에 대한 고객 통제권은 공급업체마다 큰 차이를 보이는 것으로 나타났다. 카스퍼스키를 포함한 6곳만이 고객이 바이러스 정의를 검사할 수 있도록 허용하고 있다. 이러한 기능은 변경 관리 및 검증이 요구되는 규제 대상 또는 민감한 환경에서 운영되는 조직에 중요한 요소로 꼽힌다.

유진 카스퍼스키 최고경영자(CEO)는 “신뢰성을 확보하기 위해서는 투명성이 입증 가능해야 한다”며 “사이버 보안 솔루션은 고객 시스템 깊숙이 작동하는 만큼 책임성을 갖는 것이 매우 중요하다”고 말했다.

아드리안 히아 카스퍼스키 아시아태평양 총괄 사장은 “디지털 전환이 가속화되고 지정학적 복잡성이 커지는 아시아태평양 지역에서는 신뢰가 사이버보안의 핵심 요소로 부상하고 있다”며 “이번 독립 평가는 조직들이 검증 가능한 투명성과 책임성, 그리고 보안 벤더의 실제 운영 방식을 확인할 수 있는 증거를 요구하고 있음을 보여준다”고 밝혔다.