소셜 미디어 보안위협, BYOD 정책 관리 취약 심각

IBM X-Force 2012 상반기 보안동향 및 리스크 보고서 발표

[보안뉴스 김태형] IBM X-Force 2012 상반기 보안동향 및 리스크 보고서에 따르면 소셜 미디어 등 웹 계정에 대한 보안위협과 기업들의 취약한 개인정보기기 정책 관리가 심각한 수준인 것으로 드러났다.

연 2회 발표되는 IBM X-Force 보고서는 130여개 국가의 4,000여 고객사들을 위해 일일 평균 150억건 이상의 보안 이벤트들을 모니터링하고 있는 전세계 10개 IBM 보안운영센터의 데이터를 근거로 작성되며, 정확한 시장분석과 보안 트렌드에 대한 인사이트를 제시하여 수많은 기업들로부터 공신력을 인정 받고 있다.

이번에 발표한 보고서에 의하면 공신력 있는 웹사이트들을 통한 악성코드 공격이 급증했을 뿐 아니라, 특정 웹사이트에 악성코드 링크를 숨겨놓고 방문자를 감염시키는 방법인 SQL 인젝션 공격과 함께 크로스사이트스크립팅(XSS)과 디렉토리 접근공격도 증가하고 있는 것으로 나타났다.

특히 보급률이 크게 증가한 애플 맥 PC에 대한 지능형 지속위협(APT) 및 익스플로잇(취약점 공격), 소셜 미디어 비밀번호에 대한 지능적인 공격횟수가 크게 증가했다.

IBM X-Force 팀은 소셜 미디어, 웹사이트, 클라우드 기반의 서비스, 웹메일이 서로 다른 기기에서 어떻게 상호 연결되는지를 사용자들이 충분히 인식하여, 암호 보안에 더욱 신경쓰고 비밀번호 복구 혹은 계정 설정 변경을 위해 어떤 개인 정보가 제공되는지에 대해 신중할 것을 강조했다.

또 비밀번호는 문자, 숫자 및 기호의 어색한 조합 대신 여러 단어로 구성된 긴 암호를 사용하고, 서버 부문에서는 패스워드 저장에 적합한 해시함수를 이용해 데이터베이스 패스워드를 암호화할 것을 권고했다.

보고서는 모바일 정보기기 수요가 늘어나면서 BYOD(Bring Your Own Device)가 기업의 핵심사안으로 떠오르고 있지만 직원들 개인 소유의 PC나 스마트폰을 기업 네트워크에 연결해 적절히 사용하도록 하는 BYOD 프로그램의 도입에 있어서는 아직도 많은 기업들이 초기 단계를 벗어나지 못하고 있다고 지적했다.

임직원들의 개인 모바일 정보기기 활용을 정책적으로 적절히 허용하고 관리해 기업 정보보안을 위한 BYOD 프로그램의 수립과 실행이 요구된다는 분석이다. 다만 기업 내에서 BYOD를 실시하려면 직원 개인 소유의 기기를 회사 인프라에 최초로 추가하기 전에 철저하고 분명한 정책이 마련되어야 한다고 설명했다.

IBM X-Force팀은 올 상반기에만 약 2,000개에 달하는 웹 애플리케이션 취약점들을 발견했으며 새롭게 확인된 취약점도 4,400여개에 이른다고 밝혔다. 이 밖에 새로운 익스플로잇의 지속적인 감소, 글로벌 10대 보안기업들의 패치 향상, 어도비 PDF 취약점의 현저한 감소 등도 눈에 띄는 변화라고 덧붙였다.

특히 어도비 PDF 취약점 개선은 아크로뱃 리더X에서 제공되기 시작한 새로운 샌드박스(Sandboxing) 기술과 직접 관련된 것으로 분석했다.

크리스 러브조이 IBM 보안서비스 대표(General manager)는 “기업은 끊임없이 변화하는 보안 위협 환경에 직면해 있으며 새로운 기술들의 등장으로 대외비 데이터의 관리와 보호가 갈수록 어려워지고 있다”며 “보안사고는 브랜드 평판과 주주가치에 영향을 미치고 기밀정보의 유출을 가져올 수 있으므로 고객들이 새로운 보안 위협에 선제적으로 대응할 수 있도록 보안 이벤트들을 추적, 감시, 대응하고 있다”라고 말했다.

한편, IBM은 이와 같은 다양한 보안 위협들로부터 고객들을 보호하기 위한 추가적인 조치로 최근 폴란드 브로츠와프에 신규 보안운영센터를 설립했다. 신설 보안운영센터는 고객들의 보안위협에 대한 선제적 대응을 위해 실시간 분석과 보안 이벤트의 조기 경고 등을 제공하는 시설로 전 세계적으로 10번째다.

한국IBM은 글로벌 보안 역량을 바탕으로 보안 전문 컨설턴트, 서비스 기술 인력, 소프트웨어, 영업 및 지원 조직에 이르기까지 국내 기업의 보안 역량 강화를 지원하는 통합적인 비즈니스 체계를 갖추고 있다. 지속적인 보안 위협으로부터 국내 고객들을 보호하기 위해 보안 거버넌스 컨설팅, 계정 권한 관리 서비스 등 규제 준수뿐만 아니라 사고 대응에 맞서는 다양한 보안서비스를 제공하고 있다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)