정보 침해 사고 중 재택 근무자와 클라우드가 연루된 것은 피해액이 꽤나 높은 것으로 나타나고 있다. 그렇다고 재택 근무 체제와 클라우드라는 기술이 나쁜 건 아니다. 잘 준비하고 사용법을 잘 숙지하는 것으로 해결이 가능하다.

[보안뉴스 문가용 기자] 데이터 유출 사고로 인한 피해액이 건당 424만 달러로 크게 올라갔다. 작년에 비해 10%나 증가한 것으로, 지난 7년 동안 가장 높은 수치다. IBM와 포네몬(Ponemon)이 함께 분석한 결과로, 코로나로 인한 원격 근무 체제가 이와 같은 비용 상승의 가장 주요한 원인으로 꼽혔다.


[이미지 = utoimage]

보고서에 의하면 원격 근무 때문에 발생한 정보 유출 사고 시 발생하는 피해액은 그렇지 않은 정보 유출 사고의 피해액보다 평균 107만 달러 더 높다고 한다. 이번 해 유출 사고를 공개한 기업들 중 17.5%가 ‘재택 근무 체제로 인한 유출 사고’였음을 주장하기도 했었다. 50% 이상의 임직원이 원격 근무를 하는 조직들 중 절반 이상이 정보 침해를 인지하고 차단하는 데 평균 58일 이상이 더 걸렸다.

“재택 근무자가 상당한 비중을 차지하는 조직이라면 그에 맞는 새로운 인프라를 구성하고, 그에 맞는 강력한 보안 장치를 도입해야 합니다. 그것도 시급히 말입니다. 아니면 너무 큰 대가를 치르게 될 수 있습니다.” IBM의 수석 분석가인 찰스 드벡(Charles DeBeck)의 설명이다.

드벡은 “원격 근무를 코로나에 밀려 성급히 도입한 조직들 대부분 엉성한 형태로 네트워크가 구성되어 있고, 보안에 취약한 구멍들이 다수 발견되고 있다”고 설명한다. 준비와 검토 과정을 충분히 갖지 못한 상태였으니 그럴 수밖에 없었다는 것이다. “그리고 이를 공격자들이 잘 알고 있어요. 하지만 코로나 때문에 어쩔 수 없으니 안 됐네, 라고 생각하지는 않죠. 그들에게는 쉬운 공격 표적이 늘어났을 뿐입니다.”

보안 구멍이 많고 엉성할 경우 나타나는 ‘치명적인’ 특징은 탐지에 걸리는 시간이 훨씬 길어진다는 것이다. 탐지 시간이 길어지면 길어질수록 피해가 커진다는 게 드벡의 설명이다. “200일이 걸려야 침해 사실을 탐지하는 조직의 경우 평균 361만 달러의 피해를 입습니다. 200일이 넘는 조직의 경우 평균 487만 달러의 피해를 입고요. 큰 차이가 나죠.”

그렇다고 원격 근무 체제가 나쁘다는 결론을 내리기는 힘들다. 원격 근무 체제가 원래 취약하기 때문에 어쩔 수 없다는 결론도 올바르지 않다. 드벡은 “문제의 근원은 원격 체제라는 것이 아니라, 원격 체제 ‘준비도’임을 기억해야 한다”고 지적한다. “아무도 원격 근무 체제를 이렇게 급하게 정착시켜야 할 것이라고는 생각하지 못했습니다. 부랴부랴 임직원을 집으로 돌려보내기에 바빴죠. 그럴 때 보안이 소홀해지는 건 늘 있는 일입니다. 보완을 더 해야 할 문제죠.”

피해액을 늘리는 요소는 한 가지가 더 있다. 바로 시스템의 복잡성이다. 시스템이 복잡하면 복잡할수록 비용은 늘어난다. 이번 보고서에 의하면 네트워크 구조가 복잡한 조직은 그렇지 않은 조직보다 피해액이 215만 달러 높았다고 한다. “네트워크 구조가 복잡한지 아니면 비교적 단순한지 점검해 보는 것도 데이터 침해 비용을 낮추는 방법 중 하나입니다. 복잡하면 할수록 사고 사실과 지점을 파악하는 게 힘들어 집니다. 그런 것 하나하나가 비용으로 환산되는 것이고요.”

클라우드도 비용을 좌지우지 하는 요소 중 하나인 것으로 나타났다. 클라우드 도입률이 80% 이상인 경우, 공공 클라우드 사용 조직의 평균 피해액은 480만 달러, 비밀 클라우드 사용 조직은 455만 달러, 온프레미스 사용 조직은 415만 달러, 하이브리드는 361만 달러인 것으로 집계됐다. 클라우드 도입률이 높으면 높을수록 평균 피해액이 늘어나기도 했다(평균 512만 달러). 드벡은 “이 경우도 클라우드가 나쁘다고 보는 게 아니라, 클라우드에 덜 익숙한 게 문제”라고 지적했다.

공격자들이 정보 침해 공격 시 최초 침투를 위해 가장 많이 활용하는 전략은 크리덴셜 침해인 것으로 조사됐다(20%), 그 다음은 순서대로 피싱(17%), 클라우드 설정 오류 악용(15%)였다. 기업 이메일 침해(BEC) 공격으로 침해가 발생하는 경우는 4% 뿐이었다. 다만 기업 이메일 침해 공격은 가장 많은 피해를 일으키는 공격인 것으로 이번 조사에서 드러났다(501만 달러). BEC 공격 다음 높은 피해액을 발생시키는 건 피싱 공격(465만 달러), 악성 내부자(461만 달러), 소셜 엔지니어링(447만 달러), 크리덴셜 침해(437만 달러)였다.

크리덴셜 침해로부터 비롯된 공격이 탐지에 가장 긴 시간이 걸렸다(250일). 침해를 막는 데 걸리는 평균 시간도 91일로 가장 길었다(합계 341일). BEC 공격의 경우 2위를 차지했는데, 탐지와 침해 방지에 걸리는 시간이 총 317일이었다. 악성 내부자 공격은 306일로 3위를 차지했다.

3줄 요약
1. 원격 근무자가 많은 기업일수록 정보 침해로 인한 피해가 큼.
2. 클라우드를 많이 도입한 기업일수록 정보 침해로 인한 피해가 큼.
3. 원격 근무 체제와 클라우드 체제가 약한 게 아니라 준비도와 사용 미숙이 문제.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>