‘내부자 데이터 유출, 사고당 비용 1,500만 달러에 달해’… 코드42 조사

사이버 보안 기술 격차, 모호한 데이터 규제, 분산된 인력 등으로 인해 내부자 기반 사고가 늘고 있다.
 

코드42 연구에 따르면 2024년에는 내부자 기반 사고로 인한 데이터 손실이 누적돼 단일 사고당 비용이 1,500만 달러에 달할 것으로 예상됐다.

코드42의 이번 연구는 미국 사이버 보안 실무자(300명), 사이버 보안 관리자(200명), 사이버 보안 리더(200명) 등 700명을 대상으로 실시됐다. 이에 따르면 응답자들은 내부자 주도 데이터 사고를 조사하는 데 하루 평균 3시간을 소비한다고 답했다. 이는 사이버 보안 담당자의 업무 피로도가 그만큼 높다는 것을 의미한다.

코드42의 사장 겸 CEO 조 페인은 “데이터 손실 사고는 재정, IP, 시간 손실 외에도 직원 사기에 영향을 미치고 있다. 사이버 보안 담당자 10명 중 약 6명(64%)이 직원으로 인한 데이터 손실 사고로 인해 직무 만족도에 부정적인 영향을 받았다고 답했고, 비슷한 비율의 응답자가 내부자 침해가 해결되지 않아 직장을 잃을 수 있다고 생각했다(62%)”라고 설명했다.

설문조사 응답자 대부분은 생성형 AI 도구를 통해 민감한 데이터가 경쟁사에 실수로 노출되는 것이 두렵다고 언급했다.

내부자 기반 데이터 손실 증가 추세
연구에 따르면 2021년 이후 내부자 기반의 데이터 노출, 손실, 유출, 도난 사건이 월 평균 28% 증가했으며, 응답자의 대다수(85%)는 이런 추세가 향후 12개월 이상 지속될 것으로 예상했다.

내부자 기반 데이터 손실은 사용자가 고의 또는 실수로 유출한 정보가 외부 당사자에 의해 악용될 수 있는 경우를 말한다. 페인은 여기에 다양한 사용 사례가 포함될 수 있다고 말했다.

그는 “어떤 사용 사례든 거의 다 본 적이 있다. 영업 사원들은 세일즈포스(Salesforce)에서 데이터를 가져와서 드롭박스에 업로드한다. 재무 담당자들은 회사 재무 정보를 가져와 야후 계정으로 이메일을 보낸다. 인사 담당자의 경우 민감한 급여 데이터를 가져오는 데 에어드롭을 사용하고 있다. 하지만 최근 빠르게 증가하고 있는 무서운 사고는 소프트웨어 개발자가 엔드포인트에서 깃(git) 명령을 사용해 소스코드를 깃랩이나 깃허브 등의 개인 클라우드 저장소로 보내는 경우다”라고 지적했다. 

응답자의 거의 대부분(99%)이 회사에 데이터 보호 시스템이 마련돼 있다고 답했지만, 사이버 보안 리더의 78%는 2023년에도 여전히 민감한 데이터가 침해, 유출 또는 노출된 적이 있다고 말했다. 또한 지난 12개월 동안 발생한 내부자 기반의 데이터 노출, 분실, 유출, 도난 사건 중 55%가 의도적이었던 것으로 나타났다.

숙련도 낮고 분산된 인력 문제
응답자의 79%는 회사의 사이버 보안 팀의 기술 부족을 겪고 있다고 했으며, 이로 인해 회사가 AI로 전환(83%)했다고 답했다. 그중 92%는 생성형 AI 도구에 의존하고 있다. 이는 결국 내부자 위협을 초래할 가능성이 있다.

또한 응답자의 73%가 데이터 규정이 불분명한 상태라고 언급했으며, 68%는 회사가 새로운 데이터 보호법을 준수하고 있다고 확신하지 못한다고 답했다.

페인은 “불명확한 지침은 일반적이거나 광범위한 기준이 적용된 규정일 수 있다. 이는 조직이 어떤 기술과 프로세스를 준수해야 하는지 알기 어렵게 만든다. 감사팀과 사이버 보안팀은 회사의 필요에 부합하는 방식으로 규정 준수 요건을 충족하기 위해 협력해야 한다”라고 설명했다.

페인은 내부자 기반 데이터 손실의 3가지 주요 원인으로 데이터의 높은 이동성, 대부분 조직에서 사용할 수 있는 여러 유출 채널, 완전히 분산된 인력을 꼽았다. 그는 “더 이상 회사 기밀을 훔치기 위해 파일 캐비닛에서 문서를 복사할 필요가 없다. 현대 조직의 거의 모든 요소가 이미 디지털화돼 있으며, 직원들이 연결, 생성, 협업할 수 있는 동일한 클라우드 기술이 구축돼 있다. 따라서 고객 목록, 소스코드, IP처럼 중요한 데이터를 더 빠르고 쉽게 유출할 수 있다”라고 말했다.

또한 페인은 원격으로 근무하는 직원들이 열악한 보안 관행 속에서 드롭박스, 개인 지메일, 에어드롭 등의 승인되지 않고 안전하지 않은 공유를 사용하기 때문에 위협이 더 커질 수 있다고 지적했다.

위험 가중시키는 생성형 AI
응답자 대다수(85%)는 회사의 민감한 데이터가 새로운 AI 기술에 점점 더 취약해지고 있다고 봤다. 응답자의 87%는 민감한 데이터를 생성형 AI에 입력해 실수로 경쟁사에 노출되는 상황을 두려워했다. 또한 같은 수의 응답자가 직원들이 생성형 AI 정책을 따르지 않는 것에 대해 우려했다.

페인은 “업계 전반의 직원들이 AI를 사용해 워크플로우를 간소화하고, 반복 작업을 자동화하고, 데이터 기반 의사 결정을 내리고 있다. 직원들이 이 도구로 공유하는 민감한 데이터나 기밀 데이터는 회사의 통제를 벗어나 규정 준수 의무와 IP 보호를 위험에 빠뜨릴 수 있다”라고 말했다.

설문조사 응답자들은 저장소로 전송되는 소스코드(88%), 개인 클라우드 계정으로 전송되는 파일(87%), CRM 시스템 데이터 다운로드(90%)에 대한 가시성이 더 필요하다고 언급했다.

페인은 클라우드와 AI 도구에서 데이터 이동을 모니터링하고 플랫폼과 시스템의 차이를 넘어 작동하며 데이터 소스, 유형 및 대상에 대해 종합적인 가시성을 제공할 수 있는 솔루션을 기업이 갖춰야 한다고 덧붙였다. ciokr@idg.co.kr