사이버 공격이 사용자 개별 기기(엔드포인트)를 노리는 사회공학적 기법을 이용하면서 임직원 대상 보안 교육의 중요성이 높아지고 있다.
29일 보안 업계에 따르면 최근 해커의 공격이 상대적으로 방어에 취약한 엔드포인트를 향하면서 보안 교육에 대한 필요성이 커지고 있는 것으로 나타났다. 올해 국내에서 일어난 대형 해킹 사고(인터파크·국군사이버사령부) 사례에서도 해커는 개별 사용자에 대한 지능형 지속공격(APT)을 실시, 이메일 등을 통해 네트워크 내부로 침투하는 형태의 공격으로 피해를 입히고 정보를 빼돌렸다.
실제 한 중소기업의 경우 보안담당자가 접속을 제한한 특정 커뮤니티 사이트에 일부 직원이 가상망(VPN)을 통해 우회접속 했다 랜섬웨어에 감염돼 회사에 피해가 발생했다. 2014년 12월 발생한 한국수력원자력 해킹 사고에서 보듯 협력업체를 통한 침투가 이뤄지는 경우도 있어 내부 임직원은 물론 외부 협력업체나 기관에 대한 보안 교육도 필요한 실정이다.
실제 시스코가 지난해 주요 기업 보안 담당자 2402명을 대상으로 조사한 결과에서 보안 사고를 경험한 기업의 96%는 임직원 대상 보안 교육을 새로 실시하거나 더욱 강화하는 것으로 조사됐다. 여전히 4%는 방치하고 있는 것. 보안사고를 아직 겪지 않은 조직의 경우 더 심각해 83%만이 보안 교육을 실시, 17%는 별다른 교육을 진행하지 않아 임직원의 보안 의식이 부족한 것으로 나타났다. 시스코는 "해커가 소셜미디어(SNS)를 통해 타겟이 될 사람을 찾고, 그들이 평소에 무엇을 클릭하는지 알아내고 있다"고 분석했다. 이는 올 초 발생한 북한의 외교·안보 주요 인사의 스마트폰 해킹 과정에서 젊은 여성의 사진을 건 가짜 계정을 이용하는 이른바 '미인계'를 통해 유인하는 수법을 사용했다고 국가정보원이 분석한 것과도 맥이 닿아 있다.
보안 교육 전문가는 교육을 통해 '인터넷에서 뭔가를 클릭하기 전에 두 번 생각하는 습관'을 들여야 한다고 지적한다. 진수희 ITL-SANS코리아 대표는 "해커들의 공격이 네트워크 취약점 공격에서 점차 스피어피싱 등 사람의 약점을 파고드는 공격으로 변하고 있는 만큼, 임직원의 보안 인식과 행동이 굉장히 중요한 시기"라며 "본인의 부주의나 실수로 인해 조직에 큰 피해가 발생할 수 있다는 점을 명심하고 회사의 보안지침을 잘 따라야 한다"고 말했다.이재운기자 jwlee@dt.co.kr
사이버 공격이 개별 임직원(엔드포인트) 단위로 향하면서 임직원에 대한 보안 교육의 중요성과 필요성이 갈수록 높아지고 있다. 사진은 지난달 말 경기 의정부시가 내부 직원과 외주 업체 관계자 등을 대상으로 정보보안에 대한 교육을 진행하는 모습. 의정부시 제공
