미국을 포함한 전세계 기업의 IT 관리자들을 대상으로 진행된 이번 설문 조사 결과는 직원들이 가장 위험하다고 생각하는 보안 위협의 유형, 데이터 유출 위험성이 높은 환경 요인 및 기업들의 데이터 보호 단계 등 보안 위협에 대한 인식을 잘 보여준다.
미국 내 사이버 공격의 규모가 상당한 편이지만 데이터 보안에 대한 우려는 미국 본토에만 한정되지 않는다. 미국을 포함한 글로벌 기업에 대한 설문조사의 주요 결과는 ▲컴플라이언스 규정을 성실히 이행하고 있는 기업들을 대상으로 다수의 데이터 유출 사고가 발생했음에도 글로벌 기업의 59%는 컴플라이언스 기준 준수가 “매우” 효과적이라고 답했고 ▲글로벌 기업의 55%가 권한이 있는 사용자가 가장 큰 위협이라고 응답했으며, 미국 내 응답자의 경우, 이보다 다소 높은 59%가 권한이 있는 사용자를 가장 큰 위협요소로 꼽았다. 미국 내 응답자 가운데 46%가 내부 접근이 가능한 파트너를 두 번째 위협 요인으로 답했으며, 전 세계 기업 응답자는 하청기업 및 서비스 제공업체를 지목됐다.
그리고 ▲‘데이터 보호를 실행하는 주요 이유 3가지’에 대한 글로벌 기업의 답변은 ①기업 및 브랜드 이미지 보호(51%) ②컴플라이언스 규정 준수 (50%) ③베스트 프랙티스 실현(38%)이었으며 ▲전 세계 응답자의 54%가 위협을 해소하기 위해 올 해 보안 투자를 확대할 예정이라고 답했다.
오늘날 전세계적으로 점점 더 많은 데이터가 다양한 형태로 저장되고 있으며, 써드파티(third party) 서비스 제공자 및 하청업체 직원 등 점점 더 많은 내부자 유형이 생겨나고 있다. 대부분의 응답자가 컴플라이언스 기준 준수가 효과적일 것이라 믿는다고 답했지만, 이에 대한 기준은 매우 약한 것부터 엄격한 수준 모두를 포함한다. 따라서 기업들은 스스로를 지키기 위해 컴플라이언스 규정 준수 외에 다음과 같은 필수적인 조치를 취해야 한다.
최근 몇 년간, 신기술의 결합으로 민감한 데이터 양이 폭발적인 증가면서 기존의 전통적인 엔드포인트 보호 및 네트워크 경계선(perimeter)의 보안 효과가 매우 약화됐다. 더욱이 민감한 데이터에 접근 가능한 내부자의 수와 유형이 증가하며 기업들의 우려가 커지고 있다. 예를 들어 미국 국가안보국(NSA) 감시활동을 폭로한 에드워드 스노든(Edward Snowden)은 전형적인 “내부자 위협”에 해당되지만, 모든 직원들이 이와 같은 악의적인 의도를 갖고 있다고 단정지을 수는 없다. 하지만 데이터에 대한 접근 권한을 가진 내부자는 의도치 않게 데이터를 위협에 빠뜨리거나 외부자의 데이터 유출을 위한 매개체로 이용당할 수 있다.
보메트릭과 이번 설문조사를 공동 진행한 오범(Ovum)의 IT 보안 부서 수석 애널리스트 앤드류 컬릿(Andrew Kellet)은 “보메트릭의 2015 내부자 위협 리포트에서 거의 모든 미국 기업이 보안의 취약성을 인지하고 있으며, 위협을 느끼고 있다고 응답했다”며 “설문조사에 따르면, 지난 해 거의 절반에 가까운 미국 기업이 데이터 유출을 경험했거나 또는 컴플라이언스 규정 준수를 위반했다고 답했으며, 이는 보안 환경이 점점 복잡해지고 있음을 시사한다”고 말했다.
앨런 캐슬러(Alan Kessler) 보메트릭 최고경영자(CEO)는 “지난 몇 년간의 경험을 통해 알 수 있듯 위협은 현실화되고 있으며, 이에 대한 논의가 필요한 때”라며 “스스로를 보호하고자 하는 기업들은 데이터 중심(Data-Centric) 접근 방식에서 더 나아가 데이터 우선(Data-First) 전략을 취해야 한다”고 말했다. 이어 그는 “92%의 기업이 올 해 보안에 대한 투자를 유지하거나 확대할 것이라고 답했음에도 불구하고, 가장 큰 우려는 ‘과연 이들이 어떠한 투자 계획을 세우고 있는가’ 하는 것이다. 설문조사 결과에 따르면, 가장 중요하고 위험요소가 큰 데이터가 기업의 어디에 저장돼 있는지에 대한 의견은 여전히 분분하다. 비춰볼 때 비록 100% 완벽한 예방이란 없지만 고객들과의 대화 및 이에 기반한 분석을 실행해온 경험으로 기업들은 암호화, 접근 제어 및 데이터 접근 모니터링의 적용을 통해 데이터 유출 위험성을 크게 감소시킬 수 있다”고 설명했다.
