기고 | 어떻게 기밀 문서와 파일을 보호해야 하나

데이터 손실이나 누출은 다반사
실제 이런 위험이 발생하는 경우도 많다. 포네몬 인스터튜트가 보안 접속 및 협업 제품 서비스를 판매하고 있는 워치독스(WatchDox)의 후원을 받아 실시한 이번 조사 결과에 따르면, 90%에 달하는 기업들이 지난 12개월 동안 기밀 문서 유출이나 누출로 인한 피해를 입었다.

보안 회사인 시만텍은 지난 6월 발표한 '글로벌 정보 현황 2012(2012 State of Information Global Survey)에서 2/3에 달하는 기업들이 지난 12개월 동안 중요한 정보를 잃어버렸다는 통계를 내놓았다. 인적 실수, 하드웨어 고장, 소프트웨어 실패, 모바일 기기 도난 및 망실로 인해 발생한 사고이다. 또 지난해 2/3에 달하는 기업들이 기밀 정보를 기업 외부로 유출시켰으며, 약 1/3은 정보와 관련된 '컴플라이언스' 문제를 겪었다.

워치독스의 최고 제품 책임자(CPO) 라이언 칼렘버는 "대부분 기업에서 동맥 역할을 정보들은 비정형 데이터들이다. 재무 관련 문서, 이미지 파일, PDF 등 모두 파일이나 문서 형식으로 존재하는 기밀 정보들이다. 기업들은 데이터베이스에 보관하고 있는 정보 보안에는 많은 공을 들이고 있다. 그러나 파일의 경우 보안 수단을 확보하기가 훨씬 어렵기 때문에 그렇게 하지 못하고 있다"라고 설명했다.

많은 경우, 이런 기밀 문서들을 위험에 처하도록 만드는 것은 임직원들이다. 그리고 대부분은 생산성을 향상하려다 이런 실수를 저지른다. 네트워크 보안 전문업체인 팔로알토 네트웍스(Palo Alto Networks)는 2011년 11월~ 2012년 5월 동안 2,036개 기업을 조사한 결과, 회사 네트워크에서 평균 13개의 브라우저 기반 파일 공유 시스템을 이용해 문서가 공유되고 있음을 밝혀냈다. 포네몬 인스터튜트의 이번 조사에 따르면, 응답자의 51%는 직원들이 최소 1개의 브라우저 기반 파일 공유 툴을 사용하고 있다고 응답했다. 또 34%는 이들 툴이 직장에서 어느 정도로 활용되고 있는지 알지 못한다고 응답했다.

기밀 문서 보안에 난감해하는 IT 및 보안 담당자
IT 및 보안 담당자들은 기밀 문서 보안과 관련된 문제를 잘 인식하고 있다. 그러나 실제 문서 관리에는 난감한 태도를 보이고 있다. 포네몬 인스터튜트의 조사 결과에 따르면, IT 및 보안 담당자 71%는 기밀 문서를 관리하는 것이 데이터베이스의 레코드를 관리하는 것보다 어렵다고 응답했다. 또 70%는 스마트폰과 태블릿 같은 모바일 기기에서 문서를 접근했을 때 상당한 위험이 발생한다고 응답했다.

70%는 직원들이나 계약업체, 비즈니스 파트너들이 업무와 관련이 없음에도 불구하고 기밀 문서에 접근하는 경우가 많다고 답했다. 또 59%는 직원들이나 계약업체, 다른 내부 관계자가 기밀 문서에 접근하는지 감시하는 관리 체계가 효과적이지 못하다고 응답했다.

포네몬은 "기본적으로 문제들을 인식하고 있지만, 어쩔 수 없는 일로 받아들이고 있다. 해결할 수 없는 문제로 판단하고 있는 것이다. 기업들은 이런 위험을 관리하거나 경감하는 방법을 찾느라 애를 먹고 있다"라고 말했다.

"유일한 방법은 적합한 기술적 솔루션을 도입해 적용하고, 사람들이 이를 현명하게 감시하도록 하는 것이다. 보안 관련 문제이기도 하지만 워크플로우 관련 문제이기도 하다. 사람들은 해야 할 일이 있다. 그러나 IT가 도움을 못 준다고 생각한다. 그러다 보니 대안을 찾고 있는 것이다. 사람들이 안전하게 문서를 이용할 수 있도록 해주는 툴을 확보하는 것이 중요한 이유가 여기에 있다"라고 포네몬은 덧붙였다.

문서 보안을 위한 고려사항
생산성 측면에서 공유와 협업이 불가피하다. 따라서 기밀 문서와 파일과 관련된 위험을 경감하기 위해 이를 막아서는 안 된다. 또 기업이 촉진하고자 하는 생산성을 저해할 정도로 최종 사용자에게 엄격한 보안대책을 이행하도록 요구해서도 안 된다. 결국 이런 부분 없이도 기밀 문서와 파일을 안전하게 보안할 수 있는 해법이 도입되어야 한다. 포네몬은 다음과 같은 방법을 고려해볼 수 있다고 말했다.

-상시 보호해야 할 문서를 파악한다. 그리고 보호된 모든 문서를 완벽하게 관리한다.

-실수 또는 악의적인 목적에서 고의로 문서가 누출되는 경우가 없도록 예방한다.

-모바일 기기를 통해 이용되고 공유되는 중요한 문서 일체를 관리한다.

-직원들이 화면에 직관적으로 문서를 표현해주는 인터페이스를 갖춘 기기를 통해 문서를 이용하도록 한다.

-사용자가 비즈니스 파트너 및 기타 외부 관계자와 파일을 전송해 협업하도록 한다.

-제3자가 다른 제3자에게 문서를 전송하지 못하도록 한다.

-안전하지 못한 PC나 모바일 기기에서 상시 문서에 접근하지 못하도록 한다.

*Thor Olavsrud는 CIO닷컴 기자다. ciokr@idg.co.kr