내부자 위협: 나무가 아닌 숲을 봐야 차단할 수 있다

정보가 아닌 이용자의 행동 패턴에 주목해야 한다

올해 전 세계 사이버보안 예산으로 770억 달러 소요 예상

[보안뉴스 주소형] 지금은 어느 때보다 사람들끼리 서로 연결되는 있는 시대다. 이메일, 소셜 미디어, 인스턴트 메시지 등 연결 통로 수단이 워낙에 다양해졌기 때문이다. 이는 상업적인 용도로 쓰이는 경우도 있고 개인이 각각의 개인적인 목적으로 사용하기도 한다. 그런데 문제는 상업적인 용도로 써야 하는 회사 네트워크에서 개인 활동을 거리낌 없이 한다는 것이다. 또한 회사에서 이를 통제하는 것 자체도 현실적으로 매우 힘든 부분도 있다.

여기서 위험한 상황이 발생할 수 있다. 부주의하고 무신경한 태반의 사람들과 허점을 악용하는 소수의 사람들 때문이다. 우리는 이를 ‘내부자 위협(Insider Threat)’이라고 부르고 있다. 그들은 해당 회사 내에 속해 있으면서 고의로 내부 정보기술 시스템을 공격하거나 회사 명성에 타격을 입히는 행동을 한다. 그나마 시스템에 해를 가하는 경우는 복구도 가능하고 쓰이는 비용도 계산이 가능할 정도로 똑 떨어지지만, 기업 이미지에 손상이 가면 회복도 어렵고 돈으로 환산하기도 힘들 정도의 피해를 입는다.

가트너(Gartner) 보고서에 따르면 지난해 절반 이상의 기업들이 데이터 유출방지(Data Loss Prevention) 솔루션을 사용했다. 그만큼 DLP가 보안업계의 관심을 한 몸에 받고 있는 기대주라는 것. 또한 보고서는 올해 소비될 전 세계 보안 예산에 대해 769억 달러로 예상했다. 이는 기업들이 보안예산 책정에 그렇게 야박하지도 않다는 것이다.

너무 데이터에만 집중하지 마라

이렇게 수많은 안전장치들이 있는데 도대체 왜 이렇게 유출사건이 많이 발생하는 것일까? 그 이유는 대부분의 기업들이 데이터라는 엉뚱한 곳에 집중하고 있기 때문이다. 물론 데이터도 중요하다. 그러나 기업들이 스스로 보유한 데이터가 무엇인지, 그것들이 어디에 어떤 식으로 분포되어 있으며 어떻게 사용되고 있는지 제대로 파악하고 있지 않는 상태에서 무작정 데이터에 DLP를 사용하면 의미가 없다는 것이다. DLP가 아무리 훌륭한 보안솔루션이라도 하더라도 데이터에 대한 분석과 중요도별 구분이 먼저 이루어져야 100% 활용이 가능하다.

예를 들어 DLP를 엑셀 스프레드시트나 워드 문서 공유에 활용할 때 직원들이 해당 문건을 자신들의 개인 노트북, 썸 드라이드, 이메일, 클라우드 등 공인되지 않은 곳으로 옮겨 버리거나 권한에 따라 DLP 기능을 해제시켜버리면 그만이다. 이렇게 사용자들이 어떤 행동을 하느냐에 따라 접근을 막고 사용을 금하는 DLP의 기능이 쓸모없게 되버릴 수도 있다.

정보를 보호하는 방법은 DLP 말고도 여러 가지가 있고, 이미 활용하고 있다. 하지만 이 역시도 정보를 제대로 파악을 해야 실효성이 있는 것들이 대부분이다. 상황이 이렇다보니 정보에만 초점을 맞추면 내부자 위협을 막을 수 없게 되는 것이다. 따라서 데이터가 아닌 사용자의 행동 패턴을 분석하는 데 더 많은 공을 들여야 한다는 결론이 나온다.

사용자의 행동패턴에 집중해라

결국 직원들에게 이거하지 마라 저거하지 마라하거나 데이터 자체에 보안장치를 여러 겹 입히는 것보다 사용자의 행동을 관찰하고 파악하는 것이 더 현명한 유출 차단법이다. 가까운 곳에서 직원들의 행동 패턴을 분석해보면 내부자 위협을 막을 수 있다.

그러려면 다음 질문을 가지고 접근을 하는 것이 좋다.

1. 각 개인에게 맞는 올바른 신뢰도가 적용되어 있는가?

2. 기술적인 제어 장치를 잘 사용하고 있는가?

3. 직원들은 정책을 잘 따르고 있는가?

4. 정책이 너무 융통성이 없는 것이 아닌가?

이렇게 직원 개개인에 대해 파악하고 나면, 그 다음은 사회 전반의 분위기를 살피는 것이다. 개개인의 행동은 각자의 문화에서 오는 것일 수도 있지만 또 다른 면에선 사회의 유행에서 비롯된 것일 수도 있기 때문이다. 예를 들어 요즘처럼 SNS로 파일을 전송하는 사람들이 늘어나고 있을 때는 그 점에 주목하여 사용자를 관찰할 수 있을 것이다. 또한 이런 유행이란 건 나이별, 성별, 직책별로 달라지기도 한다.

즉, 정보를 보호한다는 건 그 정보의 사용자를 제대로 파악한다는 것이고, 그 사용자를 제대로 파악한다는 건 개인의 성향뿐만 아니라 사회 전반의 분위기와 유행도 고려대상에 넣은 입체적인 분석을 필요로 한다는 것이다. 보호와 안전의 스펙트럼이 점점 넓어지고 있다.

글: 다니엘 벨레스(Daniel Velez)

@DARKReading

[국제부 주소형 기자(sochu@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)