데이터 보호와 복구 툴로서 사용되는 예 많아...포춘 500 기업에서도
실수로 인한 삭제 막기 위한 툴...제대로 된 복구 기능 있을 리 없어

[보안뉴스 문가용 기자] Office 365 관리자들이라면 ‘휴지통’을 데이터 보호 및 복구 툴로서 사용하면 안 되는 이유가 몇 가지 있다. 특히 데이터 보안이 최근처럼 대두된다면 이는 당연한 일이다. 그렇지만 아직도 2/3 이상이 휴지통을 애용한다고 한다.


보안 업체 바라쿠다 네트웍스(Barracuda Networks)의 데이터 보호 총책임인 로드 매튜스(Rod Matthews)는 “마이크로소프트가 만든 휴지통은 좋은 기능이긴 하지만 데이터 보호를 위주로 한 것이 아니라 ‘실수로 데이터가 삭제되는 일’을 막기 위해 만든 것”임을 강조한다. 그 본연의 임무가 데이터 복구가 아니라 인간적인 실수를 막기 위한 대비책이라는 것.

그러나 최근 바라쿠다가 ‘실제 현장에서의 데이터 보호 및 복구’ 현황을 조사해본 결과 휴지통이 놀라울 정도로 많이 활용되고 있다는 걸 발견했다. 매튜스는 “경악스러울 정도”였다고 표현한다.

휴지통은 원드라이브, 익스체인지, 셰어포인트 등의 다양한 기업용 서비스에 제공되는 기능이다. 하지만 데이터 보호를 위해 만들어진 것이 아니기 때문에 당연히 데이터 보호 기능이 부실하다. “휴지통에 들어가 있는 데이터는 긴 시간 보호되지 않습니다. 휴지통 비우기를 하면 데이터는 영원히 복구불가능이 되고요, 30일만 그냥 놔둬도 마찬가지입니다.” 즉, 휴지통에 잠시 데이터를 보관해두는 것만으로는 충분한 데이터 복구 전략이 될 수 없다는 것이다.

매튜스가 더 놀랐던 것은, 보안에 담당자나 자원을 투자할 여력이 없는 중소기업만이 아니라 포춘 500에도 꼽힌 기업에서도 이런 일들이 벌어지고 있다는 사실이었다. “자금이나 인력 여유가 충분하고 제대로 된 보안 전략을 갖추고 있다고 하는 곳에서도 담당자들은 휴지통을 데이터 보호 및 복원 툴로서 활용하고 있었습니다.”

최근 이전과는 규모의 차원이 다른 랜섬웨어 및 삭제형 멀웨어 사건이 터지면서 기업들은 ‘데이터 보호 전략’에 대해 새롭게 고민하기 시작했다. 데이터 백업 및 보호 조치가 없으면 세계적으로 유명한 피해자가 될 수 있다는 것에 경각심을 느끼기 시작한 것이다. “워너크라이 때는 ‘그래도 돈을 주면 돌려받을 수 있어’라는 선택지가 있었다면, 낫페트야 때는 ‘돈을 아무리 줘도 데이터를 영원히 잃어버릴 수 있어’라는 교훈이 남겨졌습니다.”

보통 데이터 복구 계획이라고 하면 ‘백업’만을 생각하는데, 물론 백업이 중요한 건 사실이지만 최근의 환경에서는 백업된 자료를 빠르게 가져와 웹사이트나 서비스를 끊기지 않고 제공하는 것도 ‘백업 전략’에 포함되고 있는 추세다. 이에 대해서는 바라쿠다의 연구 결과에도 나온다. 응답자의 70%가 “백업된 데이터를 빠르게 활용할 수 있지 않으면 의미가 없다”고 답한 것이다.

“데이터의 가치에 따라 달라지긴 하겠지만, 기업들은 데이터의 보호와 활용을 ‘빠르게’ 하기 위해서 적잖은 고민을 하고, 마찬가지로 적잖은 자원을 투자해야 할 것입니다.” 매튜즈의 설명이다.

또 고려해야 할 것은 클라우드나 모바일이 기업 환경 내로 밀려 들어오면서 ‘접근성’ 또한 백업의 중요한 이슈가 되었다는 것이다. “어디서나 백업된 데이터에 접근해 비상시 대체할 수 있어야 합니다. 요즘은 사람들이 어디에서나 작업을 할 수 있는 때이고, 파트너사들도 많이 끼고 비즈니스를 하니까요.” 백업 장소로서 가장 많은 사랑을 받는 건 단연 클라우드였다. 바라쿠다의 조사에 참여한 기업들 중 76%가 “클라우드를 백업 장소로 활용하고 있다”고 답했다.

그러나 최근 클라우드 환경설정 오류로 인해 중요한 데이터가 다량으로 유출된 사건이 반복적으로 터지는 바람에 “클라우드 활용 시 필요한 주의사항들이 대두되기 시작”했다. “사용자 및 담당자 실수라는 커다란 관문이 남아있습니다. 새로운 기술이 일반 사용자들 사이에 퍼지면 반드시 나타나는 현상이죠. 익숙해지기 전까지 거쳐 가야 하는 기간입니다. 클라우드 서비스 제공자들도 이를 막기 위해 최대한 조치를 취해야 하겠고, 기업들도 이러한 사례를 자꾸 알려줘 직원들이 실수하지 않도록 교육해야 합니다.”

이런 실수를 막는 노력 중 하나는 ‘전략 도입 후 실험해보는 것’이다. 정책이나 전략을 잘 마련해놓고도 실제 실험과 훈련을 해보지 않아 탁상 공론으로만 그치는 경우가 많다. 이번 조사에셔 81.2%의 응답자가 “실험까지는 해보지 않는다”고 답했다. 해봐야 1년에 한 번이 고작이라고 한다. “공부해야겠다고 마음만 먹고 실제 공부는 하지 않은 채 시험 잘 보기를 바라는 것과 같습니다.”

매튜는 실험과 훈련은 정기적으로 실시해야 한다고 설명한다. “현재 기업들의 데이터 활용 상태를 보면, 데이터의 위치와 가치가 시시각각으로 바뀝니다. 환경이 항상 바뀐다는 겁니다. 그러니 한 번 정해둔 전략이어도 늘 ‘지금 상황에 맞는지’ 확인하는 건 당연한 절차입니다.”
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>