'IT 직원 앙심엔 속수무책?' 중소기업 보안 가이드

왜 지구 반 바퀴나 떨어져 있는 해커(Hacker)들을 두려워하는가? 당신의 기업에 대한 가장 큰 위협은 기업 내부에 도사리고 있을지도 모른다.

중소기업들의 경우 IT 담당직원이 한 명뿐인 경우가 있다. 심지어는 외부에서 영입된 컨설턴트인 사례도 있다. 어찌되었든 IT 직원이 기업 내부의 업무에 관해 무엇을 알고 있는지는 매우 중요한 문제다.  IT 직원이 기업과 직원, 개인정보에 관해 예상보다 너무 많은 것을 알고 있을 수 있기 때문이다.

서버 룸(Server Room)을 한번 들여다보자. 그러면 많은 흰색, 회색, 검은색의 상자와 전선들, 그리고 깜빡이고 있는 불빛들을 볼 수 있을 것이다.

만약 그 상자 중 하나가 당신의 인터넷 연결을 통해 입/출력되는 전화, 화상채팅, AIM 메시지 등의 모든 데이터를 남모르게 감시하고 있다면, 그 상자를 찾아낼 수 있을까?

작은 휴대용 드라이브나 SD 카드를 작은 내장 시스템에 연결하고 네트워크나 인터넷 트래픽을 통해 오고 가는 모든 패킷(Packet)을 캡처한 다음 퇴근할 때 이 데이터를 챙겨가는 것은 IT 직원에게 무척 간단한 일이다.
 
집에 도착해 이 IT 직원은 네트워크를 통해 오고 간 모든 데이터를 재구축하고 시간과 인클리네이션 퍼밋(Inclination Permit)에 따라 검색할 수 있다.

민감한 인터넷 트래픽을 보호할 수 있는 방법으로는 로그인 시 SSL 보안이 작동하는 웹 사이트를 이용하는 방법이 있다. 특정 사이트에 접속하여 로그인 상태를 유지하면 네트워크를 감시하는 IT 담당자가 직원들의 ID와 암호를 알아챌 수도 있다. 만약 SSL을 통해 접속하고 해당 웹 사이트에서 이 기능을 지원한다면 이런 정보들이 모두 암호화(Encrypted)된다. 하지만 인터넷을 사용하는 대부분의 경우에 SSL을 선택할 수 없다. 정보가 고스란히 노출될 수 있다는 의미다.

또 만약 점심을 먹으러 간 사이에 IT 직원이 직원의 PC에서 작업을 하게 된다면 입력하는 모든 문자를 기록하고 전달하는 소프트웨어 또는 하드웨어 키로거(Keylogger)를 설치할 수 있는 기회를 포착할 수도 있다. 이 방식은 모든 암호화 형태를 무력하게 만든다.

진짜 문제
이런 간단한 방법을 통해 비양심적인 IT 전문가는 네트워크를 통해 이루어지는 모든 거래에 관한 데이터를 손쉽게 수집할 수 있다. 산업 스파이에게 넘겨줄 만한 키워드나 이메일 메시지, 기업 내 공유 파일을 암호 보호여부에 상관없이 낚아챌 수 있다는 의미다.

다른 경우도 상상할 수 있다. 숨겨진 SSID를 가진 와이파이(Wi-Fi) AP가 천장에 숨겨져 있다면 알아챌 수 있을까? 이런 장치를 이용하여 누군가 외부에서 기업 네트워크를 통해 인터넷에 접속할 수 있고 흔적 없이 엄청난 피해를 입힐 수도 있다.

정부기관 관계자가 찾아와 사무실에서 아동 포르노물이 추적되었다는 통보를 받는 상황을 환영할 기업은 없을 것이다. 하지만 악의를 가진 IT 전문가에게 있어서 기업이 이런 상황을 겪도록 하는 것은 누워서 떡먹기보다 쉽다.

이것이 신뢰할 수 있는 IT 직원을 뽑아야 하는 이유다. 기술에 문외한인 경영진은 IT 직원들이 네트워크와 서버를 이용해 무엇을 하는지 알 수 있는 방법이 없다.

이런 사실을 언급하는 이유는 공포나 불확실성을 확산하기 위함이 아니다. 진실을 밝히기 위해서다. 위에 언급한 시나리오들은 너무나 쉽게 현실화될 수 있고 현재도 전세계의 기업들에서 발생하고 있는 일들이다. 또한 그 누구도 이런 일이 진행되고 있다는 것을 알지 못한다.

일반적으로 이런 피해상황은 다른 IT 직원이나 컨설턴트가 기존에 있던 신뢰할 수 없는 IT 직원에게 사전 연락 없이 방문하여 시스템을 점검할 때에만 찾아낼 수 있다.

기업 데이터를 훔치고 판매하는 것부터 논리 폭탄(Logic Bomb)을 기업 서버에 심어 영구적으로 업무를 마비시켰던 IT 전문가들에 대한 많은 자세한 이야기들이 있다.

몇 주 전에는 앙심을 품은 IT 관리자 월터 파웰이 키로거 데이터를 이용해 이전 고용주의 네트워크에 침입해 파워포인트 프레젠테이션 중에 포르노 물이 재생되도록 함으로서 8만 달러 상당의 피해를 입혔다.

문제는 가해자가 잡힌 사건도 더러 있지만 공개되지 않거나 아예 사건의 발생여부조차 눈치채지 못하는 경우가 더 많다는 것이다.

신뢰하기 그리고 검증하기
중소기업이 이런 내부적인 위협으로부터 자신을 보호하는 유일한 방법은 외부의 컨설팅 기업에 의뢰하여 자사의 네트워크를 주기적으로 점검하는 것이다. 다양한 규모의 많은 기업들이 이런 종류의 서비스를 제공하고 있으며, 비용, 기술, 효과의 정도도 모두 다르다.

또는 IBM이나 EDS의 서비스를 이용하거나 좀 더 저렴한 소규모 기업에 이를 의뢰할 수도 있다. 이런 서비스 업체를 선정할 때는 다양한 요소를 먼저 고려해야 한다.

물리적인 컴퓨팅 리소스에 대한 점검뿐만 아니라 외부인이 이용할 수 있는 AP를 찾기 위한 와이파이 스캔도 진행해야 한다. 또 키로거나 이와 유사한 기재를 찾아내기 위해 각 PC(또는 최소한 무작위로 선택한 상당수의 PC)에서 스캐닝 소프트웨어를 구동해 보아야 한다.

물론 이런 점검 조치가 과도하면 기업이 자신들에게 불신을 품고 있다는 메시지를 내부 직원들에게 전달할 수 있다. 또 이로 인해 직원들의 사기가 떨어지거나 이에 의심을 품은 IT 직원들이 회사가 왜 과잉 보호조치를 취하며 무엇을 숨기려 하는지 알아내기 위해서 수단과 방법을 가리지 않는 역효과를 낳을 수도 있다.

따라서 이런 상황을 처리하는 가장 좋은 방법은 상황을 솔직하게 설명하는 것일 것이다. 네트워크의 보안을 감시하는 제 2의 눈이 필요하다는 사실을 역설하고 자사의 IT 부서를 위한 최선의 방법이 외부 기업으로 하여금 보안을 점검하도록 하는 것임을 강조해야 한다.

만약 년 1회 또는 년 2회의 보안점검에 대해 예상 상의 문제가 있다면 보안을 강화하는 방법에 대한 선택의 폭이 좁아진다. 그러나 부족하나마 방법은 있다.

만약 스스로 기술적인 지식을 보유하고 있다면 안드로이드(Android)용 와이파이 애널라이저(WiFi Analyzer), 와이파이포펌(WiFiFoFum), 와이아이(WiEye) 등 숨겨진 와이파이 네트워크 SSID를 보여주는 와이파이 검색용 앱을 내려 받아 사용할 수도 있을 것이다.

만약 아이폰을 사용하고 있다면 탈옥(Jailbreak)을 감행하지 않는 한 이런 앱을 사용할 수 없다. 왜냐하면 애플이 지난 해 자산의 앱 스토어에서 모든 와이파이 스캔용 애플리케이션을 삭제했기 때문이다.

예산의 제약과 잠재적 문제의 예방 사이에서 균형을 잡는 것은 중요하다. 그러나 직원을 신뢰할 수 있는 것 역시 중요하다. IT 부서 직원들을 전적으로 신뢰할 수 있다면 인복이 있는 것이다. ciokr@idg.co.kr