“BYOD 관련 정책 및 직원 교육 미흡으로 보안 위협 직면”

기업 기밀자료 유출·파손· 해킹 등의 리스크 증가

아크로니스, 전 세계 IT 실무자 대상 조사

[보안뉴스 김태형] 기업의 BYOD 관련 모바일 기기 관리 정책 및 개인 정보 보호를 위한 기본적인 직원 교육이 적절히 시행되지 못하고 있어 기업의 기밀 자료 유출 및 파손, 해킹, 악성코드 공격 등의 위협적인 상황에 노출되어 있는 것으로 드러났다.

물리적 및 가상화 환경에서 사용하기 쉬운 시스템 및 데이터 백업, 복구 솔루션을 제공하는 선도 기업 아크로니스 코리아(대표 서호익, www.acronis.co.kr)는 29일 전 세계 8개국 4,300여 기업의 IT 담당자들을 대상으로 조사한 ‘2013 데이터 보호 트렌드 보고서(2013 Data Protection Trends Research)’ 결과를 이같이 발표했다.

아크로니스의 ‘2013 데이터 보호 트렌드 조사’는 국제적인 리서치 기업인 'Ponemon Institute'와 함께 진행되었으며 조사 결과에 따르면, 기업의 BYOD 관련 모바일 기기 관리 정책 및 개인 정보 보호를 위한 기본적인 직원 교육이 적절히 시행되지 못하고 있으며, 그로 인해 기업의 기밀 자료 유출 및 파손, 해킹, 악성코드 공격 등의 위협적인 상황에 노출되어 있는 것으로 드러났다.

아크로니스가 전 세계 8개국 4,300여 기업의 IT 담당자들을 대상으로 조사한 ‘2013 데이터 보호 트렌드 조사(2013 Data Protection Trends Research)’는 다음과 같은 내용을 포함하고 있다.

△ 기업의 미약한 BYOD 정책 운영으로 인한 데이터 유출 위험

60%에 가까운 기업은 개인 모바일 기기 관련 정책을 수립하지 않았다고 응답했다. 정책을 수립한 기업 중에서도 24%는 임원진에게 관련 정책이 적용하지 않아 중요 데이터를 자주 처리하는 임원진들에 의해 오히려 기업의 핵심 데이터가 유출될 수 있음이 드러났다. 조직 구성원 개인의 모바일 기기를 직장에 도입하는 정책을 제대로 수립하지 않은 기업은 데이터 관리에 취약할 수 밖에 없으며, 나아가 심각한 데이터 관리 규정 준수 문제를 겪게 된다.

30%의 기업이 기업 네트워크에 개인용 모바일 기기 액세스를 제한하고 있다고 응답하는 등 여전히 많은 기업들이 BYOD 도입에 대한 막연한 거부감을 가지고 있는 것으로 드러났다. 80%에 가까운 기업들은 직원들을 대상으로 BYOD 도입에 따라 발생할 수 있는 직원 개인 정보 유출에 관한 교육을 실시하지 않고 있다고 응답했다.

△ 통합 관리가 되고 있지 않는 모바일 기기 제어

31%의 기업만이 개인 모바일 기기의 패스워드 설정이나 암호화 기능을 의무화하고 있으며 21%의 기업만이 직원들이 사무실을 떠날 때 사내 네트워크에 엑세스(접근)하는 모바일 및 스마트 기기를 원격 제거하는 것으로 밝혀졌다. IT 관리자에 의해 외부에 위치한 기기를 원격으로 제거하지 않는다면, 기업의 중요 데이터가 유출될 가능성이 높다.

△ 퍼블릭(외부 일반) 클라우드 스토리지를 통한 데이터 유출 가능성

기업내 파일들은 대부분 자체적으로 운영하는 클라우드 스토리지가 아닌 드롭박스(DropBox)와 같은 외부 클라우드 스토리지 솔루션을 통해 공유되고 있다. 하지만 67%의 기업은 퍼블릭 클라우드를 사용하면서도 데이터 관리 관련 정책을 수립하지 않고 있다고 응답했으며, 80%는 플랫폼의 적절한 사용법에 대한 별도의 직원 교육이 없다고 답했다.

아크로니스코리아의 서호익 지사장은 “기업이 BYOD 시대를 맞아 직원들의 모바일 기기 활용 효과를 극대화하기 위해서는 데이터 손실 위험을 줄이고 데이터 관리 규정을 엄격히 준수해야 한다. 이를 위해 기업들은 모바일 기기 활용 방법에 대한 직원 교육을 시급히 진행해야 하며, 개인 모바일 기기 및 퍼블릭 클라우드 이용 현황도 모니터링 해야 한다”라며 “안전한 BYOD 정책을 수립하기 위한 첫 단계는 효과적인 모바일 파일 관리 솔루션을 도입하여 보안성을 높이고 데이터 유출을 방지하는 것이다”라고 강조했다.

[김태형 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)