외부자는 뚫고 들어오려고 하고 내부자는 보안에 무심하고
데이터에 대한 인증 과정 새롭게 마련해야...하이브리드 클라우드도 골치

[보안뉴스 문가용 기자] 현재 기업들을 호시탐탐 노리고 있는 사이버 위협으로는 외부자 공격, 데이터 취약점, 내부자의 실수나 악성 행위 등이 있다. 최근 보안 전문업체인 비트디펜더가 PC를 1천 대 이상 보유하고 있는 미국 기업들 내에서 IT와 관련된 중요 사항들을 결정하는 고위 전문가 250명을 상대로 조사한 결과 위 세 가지 위협에 대해 제대로 된 방어 전략을 가지고 있는 기업이 많지 않은 것으로 나타났다.


이런 세 가지 위협을 통해 기업 네트워크에 침투한 사이버 범죄자들은 많은 시간을 투자해 탐지되지 않을 정도로 움직여 데이터를 빼돌린다. 이른바 APT 공격이 바로 이것이다. 결국 어떤 경로로 들어와 얼마나 머물러 있든, 결국 사이버 범죄자들이 원하는 건 데이터 그 자체다.

그러므로 CIO들은 기업 내 데이터에 접근하려면 여러 단계의 인증 과정을 거치도록 설정해야 한다. 클라우드에 있는 데이터든 사설 저장기기에 있는 데이터든 매한가지다. 예전처럼 사용자 이름과 암호만으로 모든 인증을 완료할 수 있게 해둔다는 건 CIO로서 자격이 없다는 거나 마찬가지다.

특히나 중요한 정보의 경우 이중인증이나 바이오메트릭스 기술 등의 추가 관리 솔루션을 도입해도 모자랄 정도로 요즘 해킹 기술은 뛰어나게 발달해 있는 상태다. 기업의 흥망성쇠를 좌지우지 할 만큼 중요한 정보라면 내부자들마저 온전히 신뢰해서는 안 된다. 다양한 보호 기술을 도입하는 건 물론, 누구에게나 예외 없이 엄격하게 적용될 데이터 접근 정책도 마련되어야 한다.

데이터의 가치가 높아지면 높아질수록 기업들이 임직원들을 무작정 신뢰해서는 안 된다는 목소리 또한 높아지고 있다. 사실상 아직까지 내부자가 실시하는 공격은 기술적으로 막을 방법이 없기 때문이다. “사용자가 저지르는 실수를 어떻게 기술적으로 막겠습니까? 의도적인 공격이든 아니든, 결국 사용자의 행동지침을 정해주는 강력한 규제와 정책을 마련해 사람들이 어떤 행동을 하기 전에 한 번 더 생각하도록 해주는 것이 중요합니다.” 비트데펜더의 수석 위협 전문가인 보그단 보테자투(Bogdan Botezatu)의 설명이다.

이때 사용자 행동지침에 관한 규제와 정책은 IT 부서에서 주도하여 만들어야 한다. “기업 내 여러 시스템 및 기기들에 대한 정확하고 안전한 사용법을 연구해 알려줘야 합니다. 그러는 과정에서 흔히 할 수 있는 실수 등을 추가로 알려줘 사전 위협을 최대한 막는 것이 좋겠죠. IT라는 영역 내에 일반인들이 할 수 있는 일과 갈 수 있는 영역을 합의적으로 마련하자는 겁니다.”

지난 2년 동안 기업들은 수많은 사이버 보안 사고를 겪거나 들어왔다. 덩달아 APT 공격을 실시하는 단체 및 해킹 그룹 또한 여럿 발각 돼 보안 커뮤니티 내에서 알려졌다. 클라우드가 도입되면서 네트워크의 구조적인 변화도 본격적으로 시작됐다. 정보보안이 자연히 임직원 회의에 등장하는 주제가 되었다.

현재 CISO와 CEO 등 주요 결정을 내리는 임직원들 사이에서 정보보안의 중요성을 모르고 있거나 그저 입버릇처럼 말하는 사람은 거의 없다고 볼 수 있다. 단순히 유출사고 시 발생하는 여러 가지 비용들 때문만은 아니다. 이제 유출사고를 겪은 기업은 소비자들의 신뢰를 잃는 때이기 때문이다. 특히 소비자들의 개인정보를 잃었다면, 그 기업은 당분간 사업에 큰 차질을 겪을 수밖에 없다.

게다가 이런 사고가 더 시끄럽게 보도되면 될수록 멀웨어는 더 심각하게 복잡해지고 교묘해진다. 더군다나 클라우드라는 것 때문에 기업은 전통의 네트워크 보안도 강화해야 하고, 새로운 클라우드 기술의 보안도 책임져야 하는 ‘이중고’를 겪게 되었다. 방어할 곳이 너무나 많아지고 있다는 것이다. 그러니 말이 좋아 하이브리드 클라우드지, 사실 보안 담당자에겐 지키고 서야 할 문이 두 곳이라는 뜻일 뿐이다.

하이브리드 클라우드 시장이 매년 27%의 성장률을 보이고 있다는 건 보안 관리자들에게 희소식일까 아닐까? 마케츠앤마케츠(Markets and Markets)에 따르면 하이브리드 클라우드 시장은 2019년까지 85조원 규모로 자랄 예정이다. 싫든 좋든, 전통과 신식 네트워크의 양쪽 문을 한꺼번에 방어하는 법을 익히지 않으면 안 될 때가 다가오고 있다는 소리다.

이번 비트디펜더의 설문에 참여한 250명의 IT 고위직들 중 CIO/CEO/CISO는 26%, IT 관리자 및 총 책임자는 56%, IT 시스템 관리자는 10% 정도를 차지했다. IT 고객지원 전문가는 5%였고, 그 외에는 직책을 밝히지 않았다.

글 : 라즈반 뮤어산(Razvan Muresan)
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>