데런 글레니스터 인트라링크스 필드 CTO
![[DT광장] 데이터 보안, `의식 전환`이 출발점](http://contents.dt.co.kr/images/201612/2016120502102351812001[1].jpg "[DT광장] 데이터 보안, `의식 전환`이 출발점")
최근 디지털 플랫폼이 확산되면서 전 세계적으로 개인 정보를 비롯한 각종 데이터의 공유 과정이 점차 단순화되고 있다. 하지만 정보 공유가 빠르고 용이해졌다고 해서 마냥 기뻐하기에는 이르다. 사이버 공격 위협이 점점 증가하고 있기 때문이다. 사이버 범죄자들이 점점 조직화, 산업화되면서 그들의 공격 수단 역시 지속적으로 진화하고 있다.
실제로 다국적 회계 컨설팅 기업인 PwC의 조사에 따르면, 작년 전세계 모든 산업 군에서 발생한 보안 사고의 수는 38%가량 증가했다. 이는 조사가 처음 시작 된 이래 12년 만에 가장 큰 증가 폭이었다. 상황의 심각성을 인식한 아시아태평양지역의 기업들은 사이버 보안을 강화하기 위한 투자를 늘리고 있다. 글로벌 컨설팅기업인 그랜트 손튼(Grant Thornton)이 지난 9월 발간한 보고서에 따르면, 아태지역의 기업들은 지난 1년 동안 사이버 범죄 때문에 810억 달러 즉 한화로 92조원 가량을 지출한 것으로 밝혀졌다.
1130만명의 고객 정보가 유출된 홍콩 디지털 장난감 제조 업체 브이테크(Vtech) 해킹 사건, 싱가포르 SC은행의 고객 월별 명세서 유출 사건 그리고 호주 철강업체 블루스코프 스틸(BuleScope Steel)에서 발생한 내부 직원의 기업 기밀 정보 유출 사건 등 최근 언론의 주목을 받은 아시아 기업들의 사이버 침해 사고는 경영진들이 사이버 보안에 대해서 진지하게 고려하게 되는 계기를 마련했다.
앞선 사이버 침해 사례들은 오늘날의 비즈니스 세계에서 얼마나 데이터 유출 사고가 빈번한 지, 보안에 대한 경영진의 무관심이 어떠한 결과를 초래하는지를 잘 보여준다. 적절한 기술 도입 및 조직 문화 형성 없이는 심각한 사이버 침해를 피할 수 없을 것이다. 이러한 사이버 침해는 주요 지적 재산을 유출시키고, 경영진이 핵심 비즈니스 활동에 집중하지 못하도록 만들며, 나아가 회사 수익의 감소로까지 이어질 수 있다.
또한, 사이버 침해 피해를 입은 기업들은 어떤 데이터가 침해 당했는지를 밝히기 위해서 사이버 포렌식 서비스에 많은 비용을 지불해야 한다. 더욱이 데이터 유출 사실이 언론에 보도됐을 때, 기업의 이미지에도 악영향을 미칠 수 있다. 이렇듯 기업들이 데이터 보안을 주요 아젠다로 삼아야 할 이유는 분명하다.
그렇다면 기업들이 데이터 보안을 강화하는 방법은 무엇일까? 단순하지만 가장 중요한 방법은 데이터 유출 위험을 줄이는 보안 기술에 투자하는 것이다. 가장 좋은 솔루션은 중요한 데이터에 접근하는 지점을 최소화하는 것인데, 예를 들어 직원들이 데스크탑이나 노트북에서 USB를 이용하지 못하게 하거나 모바일 기기를 통한 접속을 막고, 중요한 문서들을 개인 계정이나 다른 사람에게 전송하지 못하도록 하는 것이다. 기업들은 매우 가치 있는 지적 재산들을 통제하고, 외부로 유출되는 것을 막을 수 있는 솔루션을 사용해야 한다. 시스템은 또한 직원들이 다른 사용자의 비밀번호를 통해 접속하거나 유효한 사용자 자격 증명을 통해 암호화된 데이터에 접근하는 것을 차단해야 한다. 가장 이상적으로는 시스템이 데이터를 기업 내외부에서 보호해주는 IRM(정보권한관리)와 같은 기술을 통해 문서 자체에 보안이 적용될 수 있도록 해야 한다.
싱글사인온(Single Sign-On) 혹은 IAM(Identity and Access Management), 다중 인증(Multi-Factor Authentication) 기술과 같은 프로토콜 도입 역시 중요한 요소다. 이 같은 기술의 도입이 증가하고 있는 것은 원격 근무가 보편화되고 있는 가운데 조직의 보안 경계가 방어벽이 아닌 직원 본인 인증이라는 점을 시사한다.
최신 기술에 대한 투자 외에도 기업들이 데이터 유출 위험을 줄이기 위해 할 수 있는 몇 가지 조치들이 있다. 첫 번째는 데이터를 효과적으로 분류하는 것이다. 어떤 데이터가 중요한지, 어떤 정보가 민감한지, 과연 상업적으로 중요한지에 대해서 판단해야 한다. 즉, 데이터 접근 전략을 세워 기업 내의 다양한 역할에 따른 접근 레벨을 명시한 가이드 라인을 만들어야 한다.
또한, 자료 저장 및 접근에 대한 정확한 정책과 절차가 있어야 한다. 이를 위해서 근로계약서 내에 데이터 보안을 얼마나 심각하게 취급하는지에 대한 분명한 가이드라인과 데이터 보안 규정을 어겼을 시의 결과와 책임을 명확히 기술해 놓는 것 또한 하나의 방법이다.
그러나 이러한 자료 저장 및 검색에 대한 문서화된 가이드 라인은 기업들에 필요한 데이터 보안 인프라의 일부일 뿐이며, 관련된 교육과 트레이닝을 지속적으로 진행해야 한다. 비밀번호 공유 금지 혹은 다른 직원 계정으로 로그인 금지와 같은 기본적인 데이터 보안 수칙들을 직원들에게 계속적으로 교육해야만 직원들이 데이터 보안을 우선 고려사항으로 인식할 수 있으며, 이를 통해 궁극적으로는 기업의 기밀 데이터 유출 위험을 줄일 수 있다. 즉, 적절한 데이터 보안은 최신 보안 기술 도입, 보안 정책 및 절차 수립 그리고 보안에 대한 경영진의 인식 및 노력을 필요로 한다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
