'NSA도 뚫렸다' 스노든이 CIO에 알려주는 것들

에드워드 스노든(Edward Snowden)이 가디언 지를 통해 국가안전보장국(NSA)의 일급 기밀 정보를 유출한 일련의 사태가 벌어지는 동안, CIO들은 깊은 무력감을 느껴야 했다.

모바일 보안 업체 비치헤드(Beachhead)의 전략 및 비즈니스 개발 사업부 부사장 제프 루빈은 “ 분명 그 어느 곳보다 강력한 데이터 유출 방지 도구와 구조를 갖추고 있을 NSA에서도 대량의 데이터가 빠져올 수 있다는 사실이 모두를 놀라게 했다. 자신들 역시 지금보다 더 조심하지 않으면 안될 것이란 생각이 확산되고 있다”라고 말했다.

스노든 효과로 충격을 받지 않은 CIO는 몇 안될 것이다.

새로운 세대의 못된 직원들이 네트워크를 맴돌고 있다
스노든은 기업을 위협하는 신종 악당을 대변하는 인물이다. 이들은 PC 한 대만 있으면 기업의 주요 데이터들을 얼마든 빼낼 수 있는 높은 수준의 기술 지식을 갖추고 있다. CIO들은 하루 빨리 이러한 새로운 위협에 대한 대비책을 마련해야 할 것이다. 암호화면 충분하지 않냐고? 그런 낡은 생각으로는 절대 오늘날의 기업 컴퓨팅 환경을 지켜낼 수 없다.

29 세의 스노든은 이론의 여지가 없는 세계 최고의 보안 수준을 자랑하는 기관 가운데 한 곳에서 멋지게 데이터를 훔쳐냈다. 강조하지만 그의 나이는 29 세, 이른바 밀레니얼 세대라 불리는 연령 집단이다. 바로 오늘날 테크놀로지 시장에 쏟아져 나오고 있는, 그리고 시장을 주도하는 세대다. 고용 통계국에 따르면 2015년에는 전체 노동 인구의 가장 많은 비중을 이 밀레니얼 세대가 차지할 것으로 전망되고 있다.

컴티아(CompTIA)의 조사에 따르면 밀레니얼 세대 가운데 2/3은 자신들의 테크놀로지 능숙도를 ‘최상급' 혹은 ‘상급'으로 평가하고 있었다. 한때 스스로를 ‘컴퓨터 마법사'라 표현하기도 했던 스노든은 단순히 중요 데이터에 접근하는 과정에서뿐 아니라 미디어와의 커뮤니케이션 과정에서도 베락스(Verax)라는 코드명으로 암호화 메일을 이용하는 능숙한 모습을 보여줬다.

이 일련의 사태가 CIO들에게 전하는 메시지는 명확하다. 언제 어느 사악한 직원이 철저히 설계한 기업 보안 망을 뚫고 데이터를 훔쳐낼 지 모른다.

소셜 엔지니어링과 테크놀로지 영재, 그 위협의 시너지
스노든의 기술적 역량은 의심할 수 없이 뛰어나다. 실제로 그는 부즈 알렌 해밀턴(Booz Allen Hamilton)에서 계약직 컴퓨터 전문가로 활동하기도 했다. ㄱ러나 루빈은 그가 자신의 기술만으로 계획을 진행하지는 않았을 것이라고 분석했다.

루빈은 “스노든이 NSA의 컴퓨터에 접근해 데이터를 썸 드라이브(thumb drive), 그리고 궁극적으로는 자신의 컴퓨터에 내려받는데에는 소셜 엔지니어링(social engineering) 전략이 이용됐을 것이다.”라고 설명했다.

루빈은 “내 추측은 이렇다. 그는 NSA 직원들을 찾아가 그들의 컴퓨터로 진행할 작업이 있어 방문했다고, 그리고 접근권이 필요하다고 이야기하며 그들의 신뢰를 얻었을 것이다. ‘지금 그쪽 스크린에 침입 경고가 뜬 거, 그거 저니까 걱정 마세요’라고 말했을 것이다’”라고 말했다.

스노든이 데이터 유출에 개인용 컴퓨터와 USB 드라이브를 이용한 것으로 보인다는 사실 역시 CIO들에겐 위기로 다가온다. 개인 기기를 통한 데이터 유출은 특히 BYOD 트렌드와 클라우드 스토리지 서비스가 확산되며 점점 더 모바일 환경으로 변화해가는 오늘날 시장 상황에서는 더욱 큰 위협 요소가 될 수 있다.

실제로 비치헤드의 고객 기업 가운데 한 곳도 최근 보안 위협을 이유로 BYOD 정책을 전면 취소한 사례가 있다.

루빈은 “이 기업은 직원들이 아이패드를 원한다면, BYOD 프로그램을 구성해 기기 유입을 허용하기보단 기업이 직접 기기를 지원하며 관리 권한을 유지하는 것이 더 좋은 방법일 것이라고 생각을 바꿨다. 사실 그들은 처음 BYOD를 허용할 때에도 완벽한 합의를 거친 것은 아니었다”라고 설명했다.

암호화만으론 충분치 않다
스노든 사태가 CIO들에게 전하는 또 다른 교훈은 다중 레이어 보안, 혹은 자동 데이터 삭제 도구가 필요하다는 것이다. 많은 기업들이 암호를 이용해 데이터를 보호하고 있지만, 이런 구조는 패스워드를 알고 있는 이들에겐 전혀 소용 없는 방식이다.

루빈은 스노든의 사례를 통해 지오-펜스(geo-fence)를 넘어섰거나 일정 횟수 혹은 시간을 초과한 로그인 오류 사례 발생 시 데이터를 삭제할 장치의 필요성이 강조되고 있다고 설명했다.

또한 스노든과 같이 악의를 지닌 직원이 아예 데이터를 열람하는 것 자체를 방지하기 위해서는 다인자 인증이나 데이터 접근 관리 등의 방법 역시 모색할 필요가 있다고 그는 덧붙였다.

NSA의 데이터 유출 사태는 테크놀로지에 정통한 새로운 세대의 등장과 BYOD 트렌드의 확산이 야기한 결과물이라 할 수 있다. 이제 CIO들은 기업 데이터 손실을 막기 위한 더욱 강력한 대비책을 고민해봐야 할 것이다.

루빈은 “모든 일이 너무 빨리 진행됐다. 기업들은 아직도 얼얼해하고 있다”라고 말했다. ciokr@idg.co.kr