글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr, 지사장 이효은)는 오늘, 주요 사이버보안 기업 14곳을 대상으로 진행된 독립적인 투명성 및 책임성 평가를 기반으로 제작한 백서인 ‘사이버 보안 분야의 투명성 검토 및 책임(Transparency Review and Accountability in Cybersecurity)’를 발표했다. 카스퍼스키는 평가 대상 업체 중 가장 투명한 업체 중 하나로 평가되었으며, 데이터 처리, 공급망 신뢰성 및 고객 검증 역량 등 모든 분야에서 업계 기준을 꾸준히 상회했다.

이번 카스퍼스키 백서는 오스트리아 티롤 상공회의소(Tyrol Chamber of Commerce, WKO)의 의뢰로, 오스트리아 교육기관인 MCI | The Entrepreneurial School®과 법률 전문가들이 글로벌 보안 제품 평가기관인 ‘AV-Comparatives(AV-컴패러티브)’와 협력해 수행했다. 해당 연구는 광범위한 투명성 및 책임성 기준을 토대로 벤더를 평가했으며, 기본적인 규제 준수(컴플라이언스)는 업계 전반에 확산돼 있으나, 검증 가능한 신뢰 관행은 여전히 드물게 나타나고 있는 것으로 확인되었다.

이번 평가를 통해 드러난 주요 차별화 요소는 다음과 같다.

카스퍼스키는 평가 대상 14개 기업 중 단 3곳만이 제공한 투명성 센터(Transparency Centers)를 운영하는 기업 중 하나로, 고객이 소스 코드, 데이터 처리 방식, 업데이트 프로세스를 독립적으로 검증할 수 있도록 지원한다. 특히 카스퍼스키는 위협 탐지 규칙 검토와 빌드 검증 기능을 포함한 가장 폭넓은 투명성 센터를 제공하며, 이를 통해 실제 배포된 빌드가 공개 릴리스와 일치하는지 확인할 수 있다. 카스퍼스키는 글로벌 투명성 이니셔티브(Global Transparency Initiative)의 일환으로 전 세계에 10곳 이상의 투명성 센터를 개설했으며, 기업 및 정부 고객을 위한 다양한 검증 옵션을 제공하고 있다.

또한 카스퍼스키는 소프트웨어 구성 목록(Software Bill Of Materials) 접근을 제공하는 3개 벤더 중 하나이자, 법 집행 기관 및 정부 기관의 요청 내역을 상세히 공개하는 정기 투명성 보고서를 발행하는 4개 기업 중 하나로 평가됐다. 이는 업계 전반에서 선언적 약속과 실제 책임성 간에 상당한 격차가 존재함을 보여준다.

낮은 도입률 영역에서도 두각을 나타낸 카스퍼스키

카스퍼스키는 60개 평가 기준 중 57개 부문에서 업계 벤치마크 기준을 충족하거나 초과했으며, 이는 검토된 벤더 중 최고 결과다. 또한 카스퍼스키는 취약점 보고, 보안 권고, ‘세이프 하버’ 선언에 대한 협력 및 약속, 보안 감사 결과, 안전한 소프트웨어 개발 수명주기 프로세스 등 분석된 모든 보안 태세 기준을 충족한 단 3개 업체 중 하나였다. 이 기준들은 보고서에서 '신뢰성과 장기적 회복력의 핵심 지표(Key Indicators of Trustworthiness and Long-term Resilience)’로 규정했다.

이번 평가에는 사이버 보안 제품에 대한 실습 기반 기술 분석도 포함되었다. 카스퍼스키 넥스트 EDR 옵티멈(Kaspersky Next EDR Optimum)은 테스트 과정에서 최소한의 데이터 수집을 보여주었으며, 고객이 클라우드 기반 평판 서비스와 EDR 기능을 완전히 비활성화할 수 있는 기능을 제공한 점에서 인정받았다.

또한 평가 결과, 제품 업데이트에 대한 고객 통제권은 공급업체마다 크게 차이가 나는 것으로 나타났다. 거의 모든 공급업체가 공개 업데이트 이력을 게시하지만, 단계적 업데이트 배포를 지원하는 업체는 8곳에 불과하며, 카스퍼스키를 포함한 6곳만이 고객이 바이러스 정의를 검사할 수 있도록 허용한다. 이러한 기능은 변경 관리 및 검증이 요구되는 규제 대상 또는 민감한 환경에서 운영되는 조직에게 매우 중요할 수 있다.

유진 카스퍼스키 카스퍼스키 창립자 겸 CEO는 “신뢰성을 확보하기 위해서는 투명성이 입증 가능해야 한다. 사이버 보안 솔루션은 고객 시스템 깊숙이 작동하기 때문에 책임성을 갖는 것이 정말 중요하다. 독립적인 전문가들이 우리의 작업을 검토할 때 투명성은 단순히 믿음으로 받아들이는 것이 아니라 측정 가능한 요소가 된다. 우리는 조직들이 신뢰할 대상을 결정하는 데 활용할 수 있는 구체적인 증거를 제공하는 동시에 사이버 보안 산업 전반에 걸쳐 더 높은 기준을 수립하도록 독려하고 있다”라고 말했다.

카스퍼스키 아드리안 히아 아시아태평양 총괄 사장은 “디지털 전환이 가속화되고 지정학적 복잡성이 커지는 아시아태평양 지역에서는 신뢰가 사이버보안의 핵심 요소로 부상했다. 이번 독립 평가는 조직들이 검증 가능한 투명성과 책임성, 그리고 보안 벤더의 실제 운영 방식을 확인할 수 있는 증거를 원하고 있음을 보여준다. 카스퍼스키는 기술, 프로세스, 데이터 처리 전반을 독립적으로 공개함으로써 지역 및 글로벌 차원에서 신뢰받는 사이버보안의 새로운 기준을 제시하고 있다”라고 말했다.

EDR(엔드포인트 탐지 및 대응) 플랫폼은 원격 측정 데이터를 처리하고 자동 업데이트를 관리하며 클라우드 기반 서비스를 활용해 보호 기능을 제공한다. 그 결과 투명성과 책임성은 이제 기술적 속성으로만 간주되지 않고 거버넌스, 규정 준수 및 공급망 위험과 밀접하게 연결된다.

투명성이 핵심 판단 기준

EDR 플랫폼은 텔레메트리를 처리하고, 자동 업데이트를 관리하며, 보호 제공을 위해 클라우드 기반 서비스에 의존한다. 이에 따라 투명성과 책임성은 더 이상 단순한 기술적 요소가 아니라, 거버넌스, 컴플라이언스, 공급망 리스크와 밀접하게 연결된 핵심 요소로 자리 잡고 있다.

보고서는 CISO 및 기업 의사결정자에게 벤더 선정 시 투명성을 핵심 평가 기준으로 삼아야 한다고 지적했다. SBOM 제공, 검증 가능한 업데이트 프로세스, 공개된 감사 결과, 고객이 통제 가능한 데이터 흐름을 갖춘 벤더는 기업에 더 높은 수준의 신뢰를 제공한다.

산업 차원에서 본 연구는 책임 중심의 사이버 보안 거버넌스로의 광범위한 전환을 반영한다. 규제 이니셔티브는 점차 추적 가능성, 안전한 개발, 출시 후 투명성을 강조하며, 현재 채택률이 낮은 관행들이 곧 기본 기대치로 자리 잡을 것임을 시사한다. 이러한 기대가 진화함에 따라 독립적인 평가는 공급업체와 고객 모두에게 기준점을 제공한다.

CISO들이 효과적인 제3자 리스크 관리를 수행할 수 있도록, 카스퍼스키는 본 백서에 실행 가능한 CISO용 체크리스트를 포함했다. 이를 통해 CISO들은 소프트웨어 공급업체의 신뢰성을 평가하고, 자사 공급망의 복원력(resilience)을 한층 강화할 수 있다.

전체 보고서인 '사이버 보안 분야의 투명성 검토 및 책임성(Transparency Review and Accountability in Cybersecurity)'은 다음 사이트에서 확인할 수 있다. *백서사이트: https://www.wko.at/tirol/information-consulting/transparency-review-and-accountability-in-cyber-security-tra.pdf

* “사이버 보안 분야의 투명성 검토 및 책임성”, 2025년판, WKO(티롤 상공회의소) 의뢰, AV-Comparatives, MCI | The Entrepreneurial School®, Studio Legale Tremolada 공동 수행.

카스퍼스키, 글로벌 평가 기관 '사이버보안 투명성·책임성' 선도 기업 선정