은둔의 IT 사용되는 경우 많아...유명 앱은 관리 잘 되지만
가장 높은 위협은 플래시 익스플로잇과 웜, 백도어

[보안뉴스 문가용 기자] 클라우드에 관한 경악할 만한 보고서가 나왔다. 기업 당 평균 1181개의 클라우드 서비스를 사용하고 있는데, 이 중 92.7%가 기업용으로는 부적절하다는 것이다. 보안 업체 넷스코프(Netskope)가 자사 플랫폼의 데이터를 익명화 처리한 후 분석한 결과다.


‘기업용’ 애플리케이션인지 아닌지를 판단하기 위해 넷스코프의 분석가들은 클라우드 보안 동맹(Cloud Security Alliance)이 제창한 클라우드 통제 매트릭스(Cloud Controls Matrix)를 활용했다. 여기에 포함되는 항목으로는 사업 유지성, 데이터 안정성, 접근 통제, 프라이버시, 감사 등이 있다.

클라우드를 가장 많이 사용하는 건 인사부와 마케팅부인 것으로 나타났다. 인사와 관련된 앱은 평균 139개 사용되고 있었는데, 이는 타부서와 비교해 가장 높은 숫자다. 넷스코프의 수석 보안 전략가인 저비스 후이(Jervis Hui)는 “그 숫자는 아직 올라가고 있다”고 한다. “지난 4~5년 동안 클라우드의 사용 현황을 추적해왔는데, 앱의 숫자가 빠르게 올라가고 있습니다.”

기업 내 인사 관련 서비스는 기존의 온프레미스 체제에서 클라우드 기반으로 빠르게 흘러가고 있다. 인기가 높은 앱은 워크데이(Workday)와 석세스팩터스(SuccessFactors), 얼티밋 소프트웨어(Ultimate Software)다. 대부분의 이러한 앱들은 민감한 정보를 다룰 수밖에 없는데, IT 부서의 검사나 통제를 항상 받지 않고 있는 게 현실이다.

“HR 앱과 마케팅 앱에서 다뤄지는 정보는 민감할 수밖에 없어요. GDPR에서 개인정보라고 정의하는 것들이 대부분이고요.” 후이의 설명이다. “그런데 이 클라우드 앱들이 거의 대부분 ‘은둔의 IT(Shadow IT)’에 포함됩니다. 즉 기업이 ‘이런 앱이 사용되고 있다’는 걸 인지하지도 못하고 있다는 겁니다.”

넷스코프는 보고서를 통해 “클라우드 보안을 새롭게 하려는 조직이 있다면 인사부와 마케팅부부터 시작해야 한다”고 권고한다. “이 분야에서 널리 사용되고 있는 앱들은 개인정보와 사업 진행에 민감한 정보를 다루고 있으면서도 DLP나 접근 통제 등의 장치는 되어 있지 않은 경우가 많습니다.”

가장 널리 사용되고 있는 클라우드 앱은 아웃룩(Outlook), 오피스 365(Office 365), 지메일(Gmail), 페이스북(Facebook), 스카이프(Skype), 구글 드라이브(Google Drive), 셰어포인트(SharePoint), 마이크로소프트 파워 BI(Microsoft Power BI), 아이클라우드(iCloud), 트위터(Twitter), 링크드인(LinkedIn), 박스(Box), 세일즈포스(Salesforce)였다. 사용자들 대부분 이 앱들을 활용해 데이터를 저장하거나 협업을 간편히 해결하고 있다.

후이는 “이렇게 유명한 앱들인 경우 회사 내에서 조치를 취한 경우가 많지만, 안심할 수는 없다”고 지적한다. “왜냐하면 위험한 앱들과 연동되어 사용되는 경우가 많기 때문입니다. 예를 들어 워크플로우와 관련된 앱은 인기가 덜 한데, ‘작업의 흐름과 프로세스’를 다루기 때문에 마찬가지로 민감한 정보를 다루고 있지만 인기가 없어 기업체의 주목을 못 받고 있는 경우가 대부분이죠.”

후이는 “예를 들어 마이크로소프트의 서비스들이나 박스와 같은 클라우드 서비스에 보안 통제 장치를 추가하면서 민감한 정보의 공유 상황을 통제할 수 있다”고 제안한다.

클라우드 앱을 위협하는 건 순서대로 플래시 익스플로잇이나 웜과 같은 일반적인 위협들로 41.6%를 차지했다. 백도어는 33.6%, 마이크로소프트 악성 매크로는 8.6%, 애드웨어는 4%, PDF 익스플로잇은 3.2%였다. 랜섬웨어나 맥 멀웨어, 자바스크립트, 모바일 멀웨어는 뒤로 쳐졌다.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>