기업들, 이제 앱 함부로 설치하면 곤란하다고 말해야

본지 설문조사 결과 : 은둔의 IT 사용도 굉장히 높아

앱을 통한 해킹방어도 정보보안이라는 시급한 인지 필요

[보안뉴스 문가용] 일찌감치 해외에서는 Shadow IT라는 용어가 있어, 기업들이 일일이 통제할 수 없는 직원들의 앱 사용 현황에 대한 우려를 계속해서 주시해왔다. 이게 비단 외국만의 문제이지는 않아야 하는데, 아직 한국에서는 ‘그림자 IT’나 ‘은둔의 IT’ 등 용어도 제대로 통일되지 않은 것으로 보아 이를 아직은 크게 문제 삼고 있지 않는 건 아닐까 하는 의혹이 있었다.

해킹이라고 하면 대부분 고난도 기술을 천재적으로 사용해 네트워크에 접속한 후 단계마다 등장하는 ‘암호를 입력하시오’ 팝업을 엔터키 하나로 죄다 통과해버리는 걸 생각하는데, 실상은 꼭 그렇지는 않다. 영화에서처럼 직접 해킹해서 곧장 뚫고 들어가는 이들도 없지 않겠으나 요즘 이루어지는 대부분의 해킹은 일종의 ‘우회’로를 찾아들어가는 형식을 많이 띈다.

기업의 운영구조 측면에서 봤을 때 가장 취약한 우회 통로가 되는 건 외주업체 혹은 서드파티이고, 기기 하나하나를 봤을 때 가장 취약한 우회 통로는 기기마다 깔려 있는 각종 앱들이다. 초연결시대임에 착안한 해커들이 어떻게든 약한 구멍 하나만 찾으면 그 구멍을 비집고 들어가기 시작한 것이다. 그래서 보안에 돈을 쓸 여력이 없는 중소기업들과, 이제야 갓 등장했기 때문에 아직 보안에 미처 신경을 못 쓴 ‘인터넷에 연결된’ 앱들이 이 시대의 가장 인기 높은 해커들의 개구멍이 되고 있다.

이중 중소기업의 구멍을 메우려는 시도는 저가형 보안 솔루션의 출시나 대기업들의 인식전환으로 인한 투자 등의 활성화로 서서히 구체화되고 있는 반면, 앱에 대한 보안은 워낙에 모바일 기기가 ‘개인 소유’라는 개념이 강하기 때문에 누가 함부로 나서서 강한 규제를 만들거나 문화를 형성하기가 어려운 측면이 있다. 그래서 그 사용자의 현주소를 알기 위해 본지에서는 지난 1달 ‘업무 수행 시 사용하는 모바일 및 데스크톱 애플리케이션 중 회사의 정식 사용허가가 나지 않은 것은?’이라는 설문조사를 실시했다.

총 226명이 참여한 가운데 ‘10개 이상’이라고 답한 사람이 77명으로 가장 높은 34%를 차지했다. 그 뒤를 바짝 쫓은 항목이 ‘허가 절차나 정책이 없다’로 총 72명, 32%의 응답자가 이처럼 답을 했다. 불행 중 다행으로 ‘3개 이하’, 즉 항목 중 가장 ‘건강한’ 상태를 유지하고 있다는 응답자가 그 다음으로 많았다(33명, 14.6%). 그러나 1,2위와 3위의 격차는 너무나 컸다.

이 설문결과가 말해주는 내용은 다음과 같다.

1) 앱을 통한 해킹에 대해 무관심하거나 이해도가 낮다 : 무허가 앱이 10개 이상이라고 한 응답에 더해 ‘개의치 않는다(3.1%)’와 ‘잘 모르겠다(7.1%)’라는 응답자까지 합하면 45%에 육박한다. 절반 가까이나 되는 사용자가 ‘앱을 통해서 해킹이 된다는 것’ 자체를 모르거나 알아도 그 심각성을 체감하고 있지는 못한다는 뜻이다.

2) 기업들의 최고 가치는 여전히 생산성이다 : 허가 절차나 정책이 없다고 답한 이가 32% 된다는 것도 의미심장하다. 개인 사용자 중 일부는 앱을 통한 해킹에 대해 인지하고 있거나 혹은 보안의식 자체가 높아 이를 회사에 문의해봤다는 뜻이기 때문이다. 그리고 ‘그런 거 따로 없으니까 일만 잘 하세요’라는 대답을 많이들 돌려받았기 때문에 이런 응답이 두 번째로 높았을 것으로 보인다. 기자 개인은 이 답이 1위할 것으로 예상했었다.

3) 앞으로 한국에서도 앱을 통한 해킹이 더 증가할 것이다 : 위 1)과 2)에 나온 수치들을 합하면 77%다. 77%가 정책이 없거나 별 상관하지 않는 태도로 무분별하게 앱을 깔고 관리도 하지 않는다. 이는 결국 아직까지 한국에 앱을 통한 해킹이 널리 알려지거나 행해지지 않았다는 뜻도 되지만, 앱을 통한 해킹이 무럭무럭 자라나기에 좋은 토양이라는 뜻도 된다.

해커들이 기어들어갈 수 있는 구멍이 너무나 많다 못해 우리가 업무시간 대부분을 보내고 있는 네트워크 환경은 ‘벌집’이라고 해도 과장이 하나도 없는 듯한 비교인 것처럼 보인다. 초연결시대가 우리에게 제공해주는 건 ‘편리’이기도 하지만 ‘구멍’이기도 하다. 같이 사업을 추구하는 파트너사의 안전도도 점검해봐야 하지만, 이제 그 사업을 실제로 운용하는 직원 개개인의 보안의식 역시도 점검받고 교육을 통한 보강이 이뤄져야 할 때다. 하지만 그 전에 회사들이 먼저 이런 해킹 기법이 다가온다는 걸 먼저 인지해야 할 필요가 있어 보인다.

[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)