클라우드가 대세 기술이 되면서부터 ‘가시성’의 중요성이 이전과 비교도 할 수 없을 정도로 강조되고 있다. 그러면서 ‘은둔의 IT’가 그 어느 때보다 큰 위협으로서 위력을 발휘하고 있기도 하다. 이 골치 아픈 존재를 어떻게 처리해야 할까.
[보안뉴스 문정후 기자] 오늘날 기업들은 네트워크 전체와 각 엔드포인트들에 대한 가시성을 확보하는 데에 많은 어려움을 겪고 있다. 모든 것들이 정해진 대로만 구성된다면 그나마 작업이 쉽겠는데, ‘은둔의 IT’라고 하는 존재들까지 있어 가시성이라는 것은 영원하 확보될 수 없는 무언가처럼 여겨지기도 한다. ‘은둔의 IT’란 조직 구성원 중 누군가가 회사에서 정해준 절차를 밟지 않고 새 장비를 네트워크에 연결시키거나 애플리케이션을 설치하는 것을 말한다. 원래 어떤 장비나 애플리케이션이든 보안 점검을 받은 후에 설치되는 것이 안전하다.
왜 사람들은 회사의 허락을 구하지 않은 채 은둔의 IT를 설치할까? 편리해서다. 회사가 지정해준 장비나 애플리케이션들만으로 충족되지 않는 무언가를 채우기 위해 새로운 뭔가를 찾는다. 즉 생산성을 높이기 위해서라고 할 수 있다. 조금 더 많은 일을 짧은 시간 안에 처리하는 데에 목적을 둔 채로 새 장비와 애플리케이션을 찾는 것이기 때문에 안전이나 위험 잠재성과 같은 개념은 염두에 두지 않는다. 염두에 둔다 하더라도 온전히 이해하지 못한 채 안심하기 일쑤다.
최근 가장 뜨거운 화제가 되고 있는 은둔의 IT가 하나 있다. 바로 생성형 인공지능이다. 챗GPT(ChatGPT)로 대표되는 인공지능 챗봇의 편리함에 매료된 사람들은 자신의 업무에 챗GPT를 접목하려고 여러 가지 방법을 시도하고 있다. 편리함에만 초점이 맞춰져 있지, 위험성은 잘 생각하지 않았다. 그래서 어떻게 됐는가. 삼성은 직원들이 챗GPT에 내부 소스코드를 업로드하는 현상을 적발하고는 사내 챗GPT 사용을 금지시켰다. 직원들이 챗GPT에 기밀을 제공한 게 아니라, 자신들이 만든 코드에 오류가 있지 않은지 빠르게 점검하고 싶어서 한 일이었다. 다른 유수의 기업들도 이런 사례를 하나 이상 가지고 있다.
그래도 삼성 등 여러 기업들이 챗GPT를 금지시켰으니 안심하면 되는 거 아니냐고 물을 수 있다. 당연히 아니다. 챗GPT의 후속작들이 계속해서 등장할 것이고, 또 다른 생산성 도구들이 꾸준히 개발될 것이기 때문이다. 더 편리하게 해 주는 약속들은 시장에 영원히 나타날 것이고, 일을 조금이라도 더 편하게 처리하고자 하는 사람들은 뭐든지 시도해볼 것이다. 즉 ‘은둔의 IT’는 절대로 사라지지 않을 현상이라는 것이다.
은둔의 IT의 발전사
‘은둔의 IT’라는 건 일정한 형태를 가지고 있지 않다. 어떤 기술로도 만들 수 있고, 어떤 기능이라도 구현할 수 있다. 특히 당대 신기술을 응용한 것일 때가 많은데, 그렇기 때문에 섣부른 경우들이 대단히 많다. 원래 ‘은둔의 IT’라고 하면 직원 개인이 따로 쓰는 이메일 플랫폼이나 자기 책상 위 컴퓨터에 꼽혀 있는 개인 USB 드라이브 같은 것이 전부였다. 그런 상황에서 클라우드라는 기술이 등장해 인기를 얻기 시작했다. 그 클라우드를 기반으로 ‘서비스형 소프트웨어’ 혹은 ‘구독형 소프트웨어’들이 등장해 대세가 됐다. CD 패키지를 구매해 설치해야 했던 예전과 달리, 지금은 인터넷만 되면 누구나 아무 소프트웨어나 설치할 수 있게 됐다.
여기에다가 원격 근무 체제가 코로나 때문에 시작됐다. 은둔의 IT 문제는 악화됐다. 이제 집에서 자유롭게 업무를 보게 된 직원들이 편리를 추구하려 아무 소프트웨어나 설치하는 걸 막을 수 없게 됐다. 그렇게 자유분방하게 업무 현장에 도입된 장비나 소프트웨어들이 기업 데이터를 마구 가져가더라도 어쩌지 못했다. 실제 여러 조사를 통해 팬데믹 기간 동안 은둔의 IT가 그 전에 비해 2/3 이상 증가했다는 사실이 밝혀지기도 했다.
이런 문제들이 다 해결되기 전인 상황에서 위에서도 언급한 생성형 인공지능이 나타났다. 챗GPT는 클라우드를 통해 무료로 제공되기 때문에 아무나 사이트에 접속해 최신 인공지능 기술을 누릴 수 있게 됐고, 실제 많은 이들이 기꺼이 챗GPT와 조우했다. 조사에 의하면 직장인들 중 업무에 챗GPT를 활용하는 사람들의 70% 정도가 회사에 따로 보고하지 않는다고 한다. 얼마나 많은 데이터가 챗GPT의 프롬프트 창에 입력되는지 상상하기조차 힘들 정도다.
이런 상황에서 사이버 보안 담당자들이 할 일
보안의 측면에서 암울하다는 생각이 들 수밖에 없는 상황이다. 그럼에도 좋은 소식이 있다. 대처할 방법들이 존재한다는 것이다. 먼저는 ‘가시성 확보’에 집중해야 한다. 네트워크를 지속적으로 모니터링 해서 비정상적인 활동, 소프트웨어 다운로드와 설치, 데이터와 워크로드의 이동을 특히 주의해서 관찰해야 한다. (가시성이라는 개념이 너무 광범위하기 때문에 먼저는 이 세 가지를 주시하는 것부터 시작하는 게 좋다.)
이 세 가지에 대한 가시성이 확보됐다면 그 다음부터 원하는 작업을 시작할 수 있게 된다. 경보가 울리는 규칙을 설정하고, 특정 애플리케이션이나 웹사이트를 블랙리스트에 올려두는 등의 일이 가능해진다. 위에서 든 삼성의 예에서 보안 팀이 챗GPT 사이트를 차단하면 효과적으로 방어 능력을 강화할 수 있게 된다.
다만 사이버 공간이라는 곳은 늘 변하는 곳이다. 새로운 애플리케이션과 사이트들이 매일 수천, 수만 개씩 등장한다. 정해진 규칙에 의거한 블랙리스트 및 화이트리스트 기법으로는 한계가 있을 수밖에 없다. 차단할 것들을 차단하고, 탐지할 것들을 탐지할 수 있도록 기본적인 조치를 취한 후라면 이제 변하는 위협에 대한 방어를 기획하고 실행할 차례다. 이 단계에서 중요한 건 데이터 보호 도구들을 찾아 구축하는 것이다. 특히 데이터가 이동하는 상황에서 보호가 가능한 도구, 그 중에서도 민감한 데이터가 이동할 때의 보호 방법을 가지고 있는 솔루션을 찾아내야 한다.
기술이 마련됐다면 그에 상응하는 정책도 만들어 시행해야 한다. 특정 데이터를 비승인 장비나 애플리케이션들에 입력하지 않도록 하는 사내 규칙을 만들어 전파하고 교육해야 한다. 그렇게 하여 기술적인 안전도 꾀하고, 위험한 행동을 취한다는 선택지 자체가 없어지도록 해야 한다.
은둔의 IT만큼 영원한 것, 규칙을 어기는 임직원
여기까지 했다면 은둔의 IT 문제가 어느 정도 해결될 것이다. 하지만 ‘어느 정도’일 뿐 ‘전부’는 아니다. 사내 규정이 아무리 엄격하고 기술적으로 꼼꼼하게 차단한다 하더라도 구멍이 없을 순 없고, 조직 내 누군가는 반드시 그 구멍을 찾아내게 되어 있다. 이 때문에라도 은둔의 IT는 우리 주변에 항상 있을 것이라고 자신 있게 말할 수 있다.
짧게 말해 은둔의 IT 문제를 해결할 마지막 열쇠는 곧 사람이라는 것이다. 왜 은둔의 IT가 위험한지, 어떻게 해야 안전하게 원하는 IT 기술을 활용할 수 있게 되는지 이해시키는 것이 관건이다. 동시에 보안의 관점에서 위험한 행동을 최대한 하지 않는 문화 기반을 형성하는 것도 중요하다.
이 때 주의해야 할 것이 하나 있는데, 강압적인 접근법은 좋은 효과를 내지 않는다는 것이다. 은둔의 IT가 사용될 수밖에 없는 이유가 분명히 존재한다. 그 점을 이해하는 것부터 시작해야 한다. 예를 들어 회사에서 마련한 장비나 소프트웨어가 사용자 입장에서는 최악일 수 있다. 그런 상황에서 ‘은둔의 IT 사용하다 걸리면 해고’와 같은 강수를 둔다면 어떻게 될까? 불만이 폭주한다. 오히려 사용자들의 불편함에 귀를 기울여 문제의 근원부터 해소해주는 것(이 경우 더 편리한 장비나 소프트웨어를 구축하는 것)이 훨씬 효과적이다. 회사에서 준 물건들이 충분히 제 몫을 발휘할 때 임직원들은 은둔의 IT를 굳이 알아볼 필요도 못 느끼게 된다.
글 : 아푸 파빈트란(Apu Pavithran), CEO, Hexnode
[국제부 문정후 기자(globoan@boannews.com)]
[보안뉴스 문정후 기자] 오늘날 기업들은 네트워크 전체와 각 엔드포인트들에 대한 가시성을 확보하는 데에 많은 어려움을 겪고 있다. 모든 것들이 정해진 대로만 구성된다면 그나마 작업이 쉽겠는데, ‘은둔의 IT’라고 하는 존재들까지 있어 가시성이라는 것은 영원하 확보될 수 없는 무언가처럼 여겨지기도 한다. ‘은둔의 IT’란 조직 구성원 중 누군가가 회사에서 정해준 절차를 밟지 않고 새 장비를 네트워크에 연결시키거나 애플리케이션을 설치하는 것을 말한다. 원래 어떤 장비나 애플리케이션이든 보안 점검을 받은 후에 설치되는 것이 안전하다.
[이미지 = gettyimagesbank]
왜 사람들은 회사의 허락을 구하지 않은 채 은둔의 IT를 설치할까? 편리해서다. 회사가 지정해준 장비나 애플리케이션들만으로 충족되지 않는 무언가를 채우기 위해 새로운 뭔가를 찾는다. 즉 생산성을 높이기 위해서라고 할 수 있다. 조금 더 많은 일을 짧은 시간 안에 처리하는 데에 목적을 둔 채로 새 장비와 애플리케이션을 찾는 것이기 때문에 안전이나 위험 잠재성과 같은 개념은 염두에 두지 않는다. 염두에 둔다 하더라도 온전히 이해하지 못한 채 안심하기 일쑤다.
최근 가장 뜨거운 화제가 되고 있는 은둔의 IT가 하나 있다. 바로 생성형 인공지능이다. 챗GPT(ChatGPT)로 대표되는 인공지능 챗봇의 편리함에 매료된 사람들은 자신의 업무에 챗GPT를 접목하려고 여러 가지 방법을 시도하고 있다. 편리함에만 초점이 맞춰져 있지, 위험성은 잘 생각하지 않았다. 그래서 어떻게 됐는가. 삼성은 직원들이 챗GPT에 내부 소스코드를 업로드하는 현상을 적발하고는 사내 챗GPT 사용을 금지시켰다. 직원들이 챗GPT에 기밀을 제공한 게 아니라, 자신들이 만든 코드에 오류가 있지 않은지 빠르게 점검하고 싶어서 한 일이었다. 다른 유수의 기업들도 이런 사례를 하나 이상 가지고 있다.
그래도 삼성 등 여러 기업들이 챗GPT를 금지시켰으니 안심하면 되는 거 아니냐고 물을 수 있다. 당연히 아니다. 챗GPT의 후속작들이 계속해서 등장할 것이고, 또 다른 생산성 도구들이 꾸준히 개발될 것이기 때문이다. 더 편리하게 해 주는 약속들은 시장에 영원히 나타날 것이고, 일을 조금이라도 더 편하게 처리하고자 하는 사람들은 뭐든지 시도해볼 것이다. 즉 ‘은둔의 IT’는 절대로 사라지지 않을 현상이라는 것이다.
은둔의 IT의 발전사
‘은둔의 IT’라는 건 일정한 형태를 가지고 있지 않다. 어떤 기술로도 만들 수 있고, 어떤 기능이라도 구현할 수 있다. 특히 당대 신기술을 응용한 것일 때가 많은데, 그렇기 때문에 섣부른 경우들이 대단히 많다. 원래 ‘은둔의 IT’라고 하면 직원 개인이 따로 쓰는 이메일 플랫폼이나 자기 책상 위 컴퓨터에 꼽혀 있는 개인 USB 드라이브 같은 것이 전부였다. 그런 상황에서 클라우드라는 기술이 등장해 인기를 얻기 시작했다. 그 클라우드를 기반으로 ‘서비스형 소프트웨어’ 혹은 ‘구독형 소프트웨어’들이 등장해 대세가 됐다. CD 패키지를 구매해 설치해야 했던 예전과 달리, 지금은 인터넷만 되면 누구나 아무 소프트웨어나 설치할 수 있게 됐다.
여기에다가 원격 근무 체제가 코로나 때문에 시작됐다. 은둔의 IT 문제는 악화됐다. 이제 집에서 자유롭게 업무를 보게 된 직원들이 편리를 추구하려 아무 소프트웨어나 설치하는 걸 막을 수 없게 됐다. 그렇게 자유분방하게 업무 현장에 도입된 장비나 소프트웨어들이 기업 데이터를 마구 가져가더라도 어쩌지 못했다. 실제 여러 조사를 통해 팬데믹 기간 동안 은둔의 IT가 그 전에 비해 2/3 이상 증가했다는 사실이 밝혀지기도 했다.
이런 문제들이 다 해결되기 전인 상황에서 위에서도 언급한 생성형 인공지능이 나타났다. 챗GPT는 클라우드를 통해 무료로 제공되기 때문에 아무나 사이트에 접속해 최신 인공지능 기술을 누릴 수 있게 됐고, 실제 많은 이들이 기꺼이 챗GPT와 조우했다. 조사에 의하면 직장인들 중 업무에 챗GPT를 활용하는 사람들의 70% 정도가 회사에 따로 보고하지 않는다고 한다. 얼마나 많은 데이터가 챗GPT의 프롬프트 창에 입력되는지 상상하기조차 힘들 정도다.
이런 상황에서 사이버 보안 담당자들이 할 일
보안의 측면에서 암울하다는 생각이 들 수밖에 없는 상황이다. 그럼에도 좋은 소식이 있다. 대처할 방법들이 존재한다는 것이다. 먼저는 ‘가시성 확보’에 집중해야 한다. 네트워크를 지속적으로 모니터링 해서 비정상적인 활동, 소프트웨어 다운로드와 설치, 데이터와 워크로드의 이동을 특히 주의해서 관찰해야 한다. (가시성이라는 개념이 너무 광범위하기 때문에 먼저는 이 세 가지를 주시하는 것부터 시작하는 게 좋다.)
이 세 가지에 대한 가시성이 확보됐다면 그 다음부터 원하는 작업을 시작할 수 있게 된다. 경보가 울리는 규칙을 설정하고, 특정 애플리케이션이나 웹사이트를 블랙리스트에 올려두는 등의 일이 가능해진다. 위에서 든 삼성의 예에서 보안 팀이 챗GPT 사이트를 차단하면 효과적으로 방어 능력을 강화할 수 있게 된다.
다만 사이버 공간이라는 곳은 늘 변하는 곳이다. 새로운 애플리케이션과 사이트들이 매일 수천, 수만 개씩 등장한다. 정해진 규칙에 의거한 블랙리스트 및 화이트리스트 기법으로는 한계가 있을 수밖에 없다. 차단할 것들을 차단하고, 탐지할 것들을 탐지할 수 있도록 기본적인 조치를 취한 후라면 이제 변하는 위협에 대한 방어를 기획하고 실행할 차례다. 이 단계에서 중요한 건 데이터 보호 도구들을 찾아 구축하는 것이다. 특히 데이터가 이동하는 상황에서 보호가 가능한 도구, 그 중에서도 민감한 데이터가 이동할 때의 보호 방법을 가지고 있는 솔루션을 찾아내야 한다.
기술이 마련됐다면 그에 상응하는 정책도 만들어 시행해야 한다. 특정 데이터를 비승인 장비나 애플리케이션들에 입력하지 않도록 하는 사내 규칙을 만들어 전파하고 교육해야 한다. 그렇게 하여 기술적인 안전도 꾀하고, 위험한 행동을 취한다는 선택지 자체가 없어지도록 해야 한다.
은둔의 IT만큼 영원한 것, 규칙을 어기는 임직원
여기까지 했다면 은둔의 IT 문제가 어느 정도 해결될 것이다. 하지만 ‘어느 정도’일 뿐 ‘전부’는 아니다. 사내 규정이 아무리 엄격하고 기술적으로 꼼꼼하게 차단한다 하더라도 구멍이 없을 순 없고, 조직 내 누군가는 반드시 그 구멍을 찾아내게 되어 있다. 이 때문에라도 은둔의 IT는 우리 주변에 항상 있을 것이라고 자신 있게 말할 수 있다.
짧게 말해 은둔의 IT 문제를 해결할 마지막 열쇠는 곧 사람이라는 것이다. 왜 은둔의 IT가 위험한지, 어떻게 해야 안전하게 원하는 IT 기술을 활용할 수 있게 되는지 이해시키는 것이 관건이다. 동시에 보안의 관점에서 위험한 행동을 최대한 하지 않는 문화 기반을 형성하는 것도 중요하다.
이 때 주의해야 할 것이 하나 있는데, 강압적인 접근법은 좋은 효과를 내지 않는다는 것이다. 은둔의 IT가 사용될 수밖에 없는 이유가 분명히 존재한다. 그 점을 이해하는 것부터 시작해야 한다. 예를 들어 회사에서 마련한 장비나 소프트웨어가 사용자 입장에서는 최악일 수 있다. 그런 상황에서 ‘은둔의 IT 사용하다 걸리면 해고’와 같은 강수를 둔다면 어떻게 될까? 불만이 폭주한다. 오히려 사용자들의 불편함에 귀를 기울여 문제의 근원부터 해소해주는 것(이 경우 더 편리한 장비나 소프트웨어를 구축하는 것)이 훨씬 효과적이다. 회사에서 준 물건들이 충분히 제 몫을 발휘할 때 임직원들은 은둔의 IT를 굳이 알아볼 필요도 못 느끼게 된다.
글 : 아푸 파빈트란(Apu Pavithran), CEO, Hexnode
[국제부 문정후 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-12-25] 
