보안 우려 있음에도 오피스 365 도입하는 기업 늘어
도입해도 우려는 남아, 추가적인 보안 툴과 훈련 필요

[보안뉴스 오다인 기자] 기업들이 마이크로소프트의 기업용 클라우드 서비스인 오피스 365(Office 365) 도입을 망설이는 이유는 보안 우려 때문이다. 그러나 스피어 피싱이나 랜섬웨어 공격에 당할 수도 있다는 우려에도 불구하고 점점 더 많은 기업들이 오피스 365를 도입하고 있는 것으로 나타났다.


[이미지=iclickart]

2017년 4월 데이터 보안 업체 바라쿠다 네트웍스(Barracuda Networks)는 1,100개가 넘는 기업을 대상으로 오피스 365 도입과 사용에 대해 설문조사했다. 이 설문조사에는 기업 고객들이 기존의 기업 소프트웨어 플랫폼을 고수할지, 아니면 오피스 365로 갈아탈지 결정해야 할 때 어떤 요소를 고려하고 어떤 걱정을 갖고 있는지에 대해 질문하기도 했다.

조사 결과, 오피스 365를 도입하는 기업은 전반적으로 늘고 있는 것으로 나타났다. 응답자의 63%가 현재 오피스 365를 사용하고 있었고, 나머지 37%의 응답자 중 49%는 오피스 365를 도입할 계획이라고 답했다. 2016년 비슷한 조사에서 나타난 수치보다 20% 증가한 셈이다. 당시 조사는 오피스 365를 사용하는 기업이 42%였다고 밝혔다.

바라쿠다의 보안 제품 및 사업 전략 부사장인 산제이 램나스(Sanjay Ramnath)는 “온프레미스 데이터 센터를 운영하는 비용과 그 복잡성을 고려할 때, 클라우드가 매우 강력한 혜택을 제공하고 있다”고 말했다. “사용자가 클라우드로 이동하는 데는 여러 가지가 종합적으로 작용할 것입니다. 어떤 유인이 있어서 옮기는 것일 수도 있고, 옮겨야만 하기 때문에 옮기는 것일 수도 있죠.”

오피스 365 도입을 주저하는 이유로는 보안 우려가 가장 컸다. 기업 44%가 피싱, 스피어 피싱, 랜섬웨어 같은 이메일 기반 위협 때문에 오피스 365를 도입하지 않겠다고 결정한 것으로 나타났다. 오피스 365에서 가장 자주 사용되는 툴은 익스체인지 온라인(Exchange Online)이다. 익스체인지 온라인은 87.3%가 사용하는데, 기업용 원드라이브(OneDrive)가 70.9%로, 공동 작업 소프트웨어인 셰어포인트 온라인(SharePoint Online)이 56.8%로 뒤를 이었다.

오피스 365를 도입하지 않는 다른 이유들로는 클라우드 금지 정책이 있어서(32%), 예산이 부족해서(38.4%), 마이그레이션이 번거로워서(30.4%) 등인 것으로 나타났다. 연구자들은 전통적인 마이크로소프트 오피스에서 오피스 365로의 이동이 “거의 확실하다”고 보고 있지만, 그렇다 하더라도 자원, 프로세스, 워크로드를 모두 이동시킨다는 건 보안, 컴플라이언스, 백업 등에 모두 영향을 미치는 일이기 때문에 많은 시간과 노력이 들어가는 일이다.

램나스는 지금 오피스 365를 사용하고 있는 기업들 역시 사이버 위협에 대해 걱정하고 있다고 말했다. 오피스 365로 갈아타려고 계획하는 기업 중에서는 4분의 3 이상이 사이버 위협을 우려하고 있었으며 현재 오피스 365를 사용하는 기업 중에서도 70%가 사이버 위협을 두려워하고 있는 것으로 나타났다. 응답자 중 압도적인 다수(89%)가 피싱, 스피어 피싱, 사회공학적 공격을 염려하고 있었다.

램나스는 거의 모든 응답에서 랜섬웨어가 등장했다고 지적했다. 응답자 92% 이상이 랜섬웨어에 대해 우려한다고 밝혔으며 47% 이상은 랜섬웨어 공격에 당한 적 있다고 답했다. 랜섬웨어 피해가 있었다고 답한 응답자 중 76%는 공격 매개가 이메일이라고 설명했다.

램나스는 “오피스 365 도입이 늘고 있긴 하지만 여전히 장벽들이 있다”고 말했다. “가장 큰 장벽은 적절한 수준의 보안과 제어를 마련할 수 있느냐 하는 점입니다.”

오피스 365 ATP(Advanced Threat Protection)를 사용한다는 응답자는 단 15.6%에 불과했다. 이들은 오피스 365에 기본 설계된 보안과 기타 기능들의 효과성에 대해 의구심을 갖고 있다고 말했다. 대부분의 응답자는 이 기능들이 진화한 위협으로부터 자신을 지켜줄 것이라고 생각하지 않았다.

그러나 응답자들이 대안적인 보안 툴을 찾고 있는 것은 아니다. 응답자의 36% 이하가 서드파티 툴을 사용해 피싱, 스피어 피싱, 사회공학적 공격을 줄이려고 한다고 연구는 밝혔다.

응답자의 8.5%만이 DMARC(Domain-based Massage Authentication, Reporting & Conformance)를 설치한 것으로 나타났다. DMARC는 피싱이나 사회공학적 공격의 위험을 낮출 수 있는 표준 기반 프로토콜이다. 약 40%가 DKIM/SPF(DomainKeys Identified Mail/Sender Policy Framework)를 설치했으며, 둘 다 설치하지 않았다는 응답자는 52.5%로 나타났다.

이 같은 위협을 인지하고 피하는 방법에 대해 직원을 교육한다는 응답자는 70%였으나 단 19%만이 서드파티를 통해 트레이닝을 수행한다고 밝혔다. 램나스는 “지금 이 자리까지 올 수 있었던 건 트레이닝이 있었기 때문”이라며 “스스로를 보호하려면 트레이닝과 기술을 결합해야만 한다”고 조언했다.
[국제부 오다인 기자(boan2@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>