직무 수행에 민감한 정보 필요로 하는 직원들 늘어나
권한 보유자들 많아지면 해킹 공격 수월해지고 루트도 다양해져

[보안뉴스 문가용] 기업의 민감한 정보에 직원들의 무분별한 접근을 허용하는 사례가 여전히 발견되고 있다는 연구 결과가 발표됐다. 관련 조사를 실시한 포네몬(Ponemon)의 결과에 따르면 심지어 정보 접근을 제어하는 기업이 늘어나는 속도보다 직원들이 정보에 쉽게 접근할 수 있도록 해주는 기업이 늘어나는 속도가 훨씬 빠르다고 한다. 정보 보호 정책을 강화하고, 임직원들이 그 정책에 따라 파일 및 정보를 운용해 사업을 꾸려나가는 문화의 정착이란 아직도 요원해 보인다.


▲ 다 들어와. 다 보여줄게. 우쭈쭈.

포테몬은 미국과 유럽의 여러 단체에 속한 3천 명의 직원들을 대상으로 이번 연구를 실시했다. 그중 1천 5백명 정도는 영업부문에 속한 사람들이었고, 나머지는 IT 부서에서 근무하고 있는 사람들이었다. 민감한 정보에 대한 내부 임직원들의 태도 및 실제 사용 현황을 알아보기 위해 실시된 이번 조사는 지난 2014년에도 진행된 바 있다. 즉, 2년 동안 실제 현장에 어떤 변화가 있었는지를 알아보기 위한 조사이기도 했다.

조사 결과 민감한 정보에 대한 접근 비율과 활용 비율은 2년 전에 비해 꾸준히 증가하는 추세를 보이고 있었다. 민감한 정보에 접근을 할 수 있어야만 직무를 수행할 수 있다고 답한 사람들의 수가 88%로, 2년 전보다 12% 포인트 정도 오른 것. 하지만 ‘내가 전혀 알 필요가 없는 정보에 대한 접근이 가능하다’고 답한 사람들은 71%에서 62%로 확 줄기도 했다. 줄어든 것 자체야 좋은 소식이지만, 과도한 접근권을 가진 자가 62%나 된다는 것 자체는 아직도 가야 할 길이 많이 남았다는 걸 뜻한다.

“현재 상황이 이러니 공격자들의 성공률이 여전히 높은 것입니다. 너무 많은 사람들이 지나치게 높은 권한을 가지고 있어요. 공격자 입장에서는 공격 루트가 광범위하고 선택의 폭이 너무나 넓은 것이죠.” 이번 보고서의 작성자인 래리 포네몬(Larry Ponemon) 박사의 설명이다. “권한을 준 것 자체야 많이 양보해서 어쩔 수 없다고 쳐요. 그러면 관리라도 똑바로 해야 하는데, 기업들은 권한만 주고 그에 상응하는 추적 및 감사 행위를 전혀 하지 않고 있습니다. 내부자든 외부자든, 해킹 공격이 쉬워지도록 우리가 스스로 그렇게 만들어주고 있어요.”

또, 지난 2년 동안 회사의 중요한 정보가 손실되거나 도난당한 경험을 가진 기업이 76%나 되었다는 것도 드러났다. 이는 2014년에 비해 높아진 수치다. IT 부서 담당자들 중 3/4는 내부 직원들이나 가까운 사업 파트너들 중 앙심을 품고 있거나 보안에 대해 잘 모르는 자들이 사고를 일으킬 확률이 가장 높다고 답했다. 그중 ‘잘 몰라서 사고를 일으키는 내부자’가 가장 걱정된다고 답한 사람은 55%나 되었다.

또한 권한 허용을 최소화 하는 모델을 현장에서 실천하는 조직은 29% 정도에 그쳤다. 물론 2014년에 비해 9% 포인트나 오른 수치이긴 하다. 하지만 기본을 지키는 기업이 1/3도 되지 않는다는 것은 여전하다. 1/4는 아예 이런 시도조차 하지 않은 것으로 드러났다.

그렇다면 네트워크 내에서 발생하는 각종 행동 및 이벤트에 대한 모니터링 현황은 어떨까? 절반 이상이 파일 공유 및 접근 기록을 남기거나 유사한 데이터를 저장하긴 하지만 그 기록을 살펴보지 않거나 봐도 1년에 한번 이하라고 답했다. 35%는 파일 시스템의 사용 및 접근 현황 기록을 아예 남기지 않는다고 답했다. 여기에는 기록 자체는 있으나 도저히 사용할 수 없는 형태인 것도 포함된다.

이 때문에 기업들은 사고가 일어났을 때 빠르게 대응을 할 수가 없는 상황에 있는 경우가 대부분이다. 조사 결과 1주일 이상 걸리는 조직이 57% 정도였다. 1주일이면 사이버 보안 사고에서는 굉장히 긴 시간이다. 직원들 중 누가 어떤 권한을 가지고 어떤 파일 및 이메일에 접근하고 있는지, 왜 그런 건지 확실히 알고 있는 기업 문화는 아직 없다.

포네몬의 보고서 원문은 여기서 열람이 가능하다.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>