‘휴대용 저장장치’를 통한 유출에 따른 대응 방안은?

무조건적인 USB 포트 차단보단 암호화 이동 지원 가능해야...

[보안뉴스 김경애] 2012년 ‘중소기업 기술보호 역량 및 수준조사 보고서’에 따르면 ‘휴대용 저장장치’를 통한 유출은 20.3%로 3위를 차지하며 기업의 필수적인 보안 항목으로 떠올랐다. 하지만 이를 위한 대응 방안으로 단순 포트 차단 및 허용이라는 1차원적인 방식을 생각하는 기업이 적지 않다.

이와 관련 컴트루테크놀로지(www.comtrue.com) 컨설팅팀은 대다수의 업체들이 매체 제어 도입 시 겪는 사례와 필수 체크항목 대해 세부 정책으로 △차단 및 암호화 이동 지원이 가능여부 △USB로 이동 시 개인정보 여부를 알아낼 수 있는지 여부 △ USB 이동 시 자동화가 가능한지 여부 △다른 엔드포인트 보안 솔루션으로 확장 가능한지 여부 등 4가지 사항을 제시했다. 이에 대해 좀더 자세히 살펴보면 다음과 같다.

△차단 및 암호화 이동 지원이 가능여부
매체보안을 진행하려는 기업들은 USB 포트 차단으로 보안을 할 수 있다고 쉽게 생각한다. 기존 매체보안의 경우 이러한 방식이 주를 이루었다. 하지만 이러한 무분별한 포트 차단은 기업 업무 통로를 막게 되어 업무상 큰 불편함을 가져오게 된다.

이와 관련 상담 사례로 컴트루테크놀로지 측은 모 건축설계사무소를 예로 들었다.모 건축설계사무소의 경우 포트 차단 후 USB에 저장 된 일반 업무 문서조차 불러 올 수 없어 업무 상 큰 불편함을 겪게 되었다는 것. 게다가 USB 포트를 이용하는 모든 작업이 불가능해 휴대폰 충전조차 되지 않는 상황이었다는 것이다.

따라서 이 설계사무소의 경우 세부설정을 지원하는 매체보안 솔루션 적용을 통해 문제를 해결했다고 밝혔다. 이를테면 미팅, 발주, 영업용 일반 문서의 경우 이동을 허용하고, 기업이 보호해야 할 설계도면(CAD 파일), 이미지파일에 대해서만 USB 차단을 진행했다. 이를 통해 핵심 기술을 보안하면서도 기업 업무 프로세스는 원활하게 진행 가능 하게 되었다는 것이다. 이렇듯 무조건 적인 차단보단 기업에 따른 세부적인 차단정책이 가능한 지 여부를 살펴보는 것이 중요하다.

△USB로 이동 시 개인정보 여부를 알아낼 수 있는지 여부
매체보안 솔루션이 문서 내부의 내용을 읽는 내용인식기반(Contents Awareness) 솔루션으로 발전하고 있다. 이는 개인정보패턴 및 기업의 보안 키워드가 들어있는 문서에 대해서 보안을 적용하고 있기 때문이다.

개인정보를 취급하는 영업 및 마케팅 부서의 경우 USB를 통한 영업기밀 및 고객정보 유출이 빈번히 일어나고 있다. 이 경우 문서의 외부 반출 시 내용을 미리 읽어 개인정보 및 기밀 키워드를 사전에 검출하고 차단을 진행할 수 있다. 개인정보보호에 대한 관심이 날로 높아지는 가운데, 매체보안 선택에 있어서도 내부정보유출방지뿐만 아니라 개인정보보호 기능 지원 여부를 따지는 기업들이 늘어나고 있다. 개인정보 취급 부서에 맞는 매체 정책을 적용하고자 하는 기업은 필수적으로 이러한 세부 기능을 체크해야 한다.

△ USB 이동 시 자동화가 가능한지 여부

매체보안은 사전 차단뿐만 아니라 매체로 이동 후 안전한 관리까지 보장되어야 한다. 과거 보안 USB의 경우 개발된 보안 USB에만 자료를 이동하고 안전하게 보관하는 형식이었다. 하지만 이제는 매체보안 솔루션을 통해 이동 및 보관이 가능하다는 것이다.

따라서 매체보안 솔루션 중 ‘암호화 이동’ 기능을 지원하는 솔루션을 통해 이동 및 보관하는 것도 하나의 방법이라는 것. 이와 관련 컴트루테크놀로지 관계자는 “암호화 이동 기능 기능을 지원하는 솔루션으로 사내에서는 안전하게 USB 내부 내용을 열람, 수정이 가능하고, 비밀번호를 입력할 필요도 없으며 자유로운 업무 공유가 가능하도록 해야 한다”며 “분실이나 유출 시 외부에서는 열람이 불가능해 보안 USB처럼 활용할 수도 있고, 만약 파일을 외부에서 열람하고자 하는 경우에는 반출-승인 프로세스를 통해 승인된 파일만 내보낼 수 있어 파일 관리를 진행할 수 있도록 해야한다”고 밝혔다.

△다른 엔드포인트 보안 솔루션으로 확장 가능한지 여부

기업별로 원하는 솔루션 기능이 천차만별이고 딱 맞는 기능만 요구하는 담당자들이 늘어나고 있다. 따라서 기업들이 원하는 기능만 조합하여 활용 가능한 솔루션이 도입되고 있는 실정이다.

이와 관련 컴트루테크놀로지 관계자는 “조합된 솔루션은 하나의 에이전트 및 하나의 관리자 정책페이지로 통합 운영 된다”며 “관리가 쉽고 효율적이며 비용적인 면이 해소되어 호응이 높다”고 전했다

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)