데이터 중심의 보안과 중요 데이터 위치 파악 및 통제 정책 필요

데이터 유출의 대부분이 내부자의 악의적인 행위 또는 실수 등에 의해 발생하는 것으로 조사됐다. 이에 반해 72%의 기업들이 중요 데이터에 대한 내부 직원들의 접근 통제와 관리에 대한 확신이 없어, 대다수의 기업 및 기관들이 잠재적인 정보유출 사고의 피해자가 될 수 있음이 추측된다.

파수닷컴과 포네몬 연구소의 ‘위험에 처한 기업들: 내부 임직원들에 의한 중요 정보의 유출 위험(Risky Business: How Company Insiders Put High Value Information at Risk)’이라는 조사 결과에 따르면 응답자의 대부분이 정보 유출 경험이 있다고 답한 데 반해, 적절한 대응책이 없거나 보호해야 하는 중요 정보가 어디에 있는지 파악도 못하는 경우가 대부분인 것으로 조사됐다.

응답자의 70%는 중요 정보의 위치를 모르며, 60% 이상이 어떤 문서들을 공유했는지 파악하지 못하고 있다고 답했다. 또한 기업의 80%이상이 중요 데이터에 대한 적절한 권한 및 보안 레벨을 결정하는 것에 고민하고 있다고 대답한 반면, 중요 정보에 대해 효과적으로 접근 통제를 진행하고 있는 기업은 오직 15%밖에 되지 않은 것으로 조사되었다.

또한 정보 유출의 주요 원인으로 임직원의 부주의(56%)가 꼽혔으며, 디바이스 유실 및 도난(37%), 시스템 문제(28%)가 그 뒤를 이었다.

중요 정보의 위치에 대해선 응답자의 약 70%가 중요 정보에 대한 위치 파악을 못하고 있으며, 60% 이상은 임직원들의 문서 사용 및 공유 현황에 대한 가시성이 확보되어 있지 않다고 응답했다.

정보유출 발생 경로 및 예방 조사에선 응답자의 73%는 지난 12개월 동안 중요 정보가 유출된 적이 있다고 응답했고, 그 중 절반은 외부의 공격이나 해커들을 막는 것이 정보 유출을 효과적으로 방지할 수 있다고 응답했다. 또한 내부자의 부주의를 예방하는 것이 정보 유출을 막을 수 있다고 응답한 비율은 50% 이하로 나타났다.

정보유출 위협이 가장 높은 부서는 정형 데이터의 69%, 비정형 데이터의 59%를 보유한 영업 부서로 조사됐다. 비정형 데이터를 50% 이상 보유한 C-Level 경영진과 인사팀(79%), 정형 데이터를 더 많이 가지고 있는 인사, 재무, 회계 부서(71%)가 그 뒤를 이었다.

또한 기업의 80% 이상이 중요 데이터에 대한 적절한 권한 및 보안 레벨을 결정하는 것에 고민하고 있다고 응답했다.  일반적으로 기업들은 보안 수준을 데이터 유형(71%), 정책(65%) 또는 데이터 사용(59%)에 의해 판단하고 있으며, 응답자의 13%만이 문서에 접속하는 자 또는 콘텐트 매니지먼트 시스템(16%)에 의해 결정한다고 응답했다.

기업이 중요 정보에 대해 제대로 파악했다고 하더라도, 중요 정보에 대해 효과적으로 접근 제한을 진행하고 있는 기업은 오직 15%로 조사됐다.

파수닷컴 조규곤 대표는 “가장 심각한 문제는 C-Level의 경영진들이 기업의 중요 정보들이 어디에 저장되어 있는지, 누가〮언제〮어디서〮어떤 데이터에 접근하여 사용하는지를 전혀 인지하지 못하고 있다는 점.”이라고 밝히며, “기업이 보유한 모든 정보의 위치 파악과 함께, 중요 정보에 대한 접근권한 제어 및 통제가 지속적으로 이루어질 수 있도록 DRM 적용을 데이터 보안의 기본으로 고려해야 한다. 물론 이러한 보안 대책은 내부자에 의한 위협뿐만 아니라 해킹 등 외부 공격에 대해서도 동일하게 필요 할 것.”이라고 언급하였다.

이번 조사를 진행한 포네몬사의 회장 래리 포네몬(Larry Ponemon)은 “대부분의 믿음과 달리 데이터 유출의 상당수가 외부에서의 의도된 공격보다는 내부자의 악의적인 행위 또는 부주의로 발생하는 것으로 조사된 만큼 이번 설문조사 결과가 기업의 데이터 보안 방안을 새롭게 검토하는 계기가 될 것.”이라고 언급하며, “기업 내 보안을 강화하기 위해서는 중요 정보에 접근권한을 가진 임직원 관리는 물론, 기업의 주요 자산이 되는 중요 정보에 대한 접근 통제 및 관리가 반드시 함께 이루어져야 한다.”라고 밝혔다.

한편, 파수닷컴은 6월 13일부터 16일까지 메릴랜드에서 열리는 가트너 시큐리티 & 리스크 관리 서밋2016(Gartner Security Risk & Management Summit 2016)에 참가하여 완벽한 데이터 보안을 위한 방안을 선보인다. 이번 행사에서 파수닷컴은 부스운영과 함께 “사이버 공격 및 내부자의 위협으로부터 중요 정보를 보호하는 방안(Defending Your Intellectual Property Against Cyber and Insider Threats)”를 주제로 세션 발표를 진행하며, Fasoo Data Security Framework을 전세계에서 방문한 CIO및 CISO들에게 선보인다.