조성호
한국군사문제연구원
국방ICT지원센터장

갈수록 전자기기들의 기능과 디자인이 다양해지고 있다. 이에 따라 사람들의 휴대폰은 물론 전자기기 자체에 대한 의존도가 높아지고 있다. 이에 등장한 용어가 ‘BYOD(Bring Your Own Device)’. 개인이 보유한 스마트기기를 회사 업무에 활용한다는 뜻인데 편리함 등과 같은 여러 가지 이점이 있지만 보안적인 측면에서 보면 부정적인 부분이 더 많다.
삶의 일부인 아니 기본이 되어버린 스마트폰
과거에는 회사에서 지급하는 컴퓨터와 노트북만을 사용하는 게 당연시되었다. 하지만 개인기기들을 업무에 사용하는 직원들이 늘어나면서 회사가 직원들이 사용하는 모든 기기를 관리하고 통제하는 것이 어려워지고, 게다가 사용자들의 프라이버시에 대한 중요성이 점점 강조되면서 모바일 운영체제는 점점 기업들이 범접하기 힘든 영역으로 달아나고 있다. 그러나 사실 기기 소유주가 회사인지 직원인지는 작은 문제에 불과하다. 업무의 편의를 고려해 개인기기를 업무에 사용 하는 것 자체를 원천봉쇄할 수는 없기 때문에... 또한 BYOD라는 것이 어느 정도의 보안을 포기해야만 누릴 수 있는 권리라는 것도 이해하고 있는바, 즉 개인기기로 어디까지의 업무를 하느냐가 관건이며, 높은 보안성이 요구되는 기밀문서 등도 거리

낌 없이 개인기기에 저장하는 태도가 더 큰 문제로 지적되고 있다. 게다가 직원들이 소유하고 있는 기기의 수도 점점 늘어나고 있어, 1인 1PC 시대는 이미 옛날이거니와 컴퓨터와 노트북 뿐 아니라 스마트폰과 태블릿 등 다양한 기기들의 등장으로 기업들이 관리해야 하는 영역이 너무 넓어져 보안팀이 자사 데이터에 대한 잠재적인 위협 및 리스크를 계산하는 것조차 힘든 실정이다. 올해 나타난 BYOD의 문제점들을 바탕으로 BYOD가 가지고 있는 리스크를 정리해보자.
■ 리스크 #1 : 데이터 분실(Data Loss)
데이터 분실은 비교적 관리하기 쉬운 편에 속한다. 물론 기업이 자사 데이터에 대한 모든 접근과 통제가 가능할 때 이야기인데, 하지만 시간이 지날수록 기업이 이를 관리하기 힘들어지고 있는데, 이는 기업이 직원들의 개인기기에 접근하게 되면 프라이버스 문제가 발생하기 때문이다. 기업들이 자사 콘텐츠와 직원들이 자신들의 기기에 암호를 걸어두면 보안성을 높일 수 있다. 하지만 IBM에서 최근 발표한 보고서에 따르면 기업의 80%가 직원들에게 4-5자리 수의 비밀번호 등과 같은 가장 기본적인 단계의 암호만을 권장하고 있는바, 상황이 이렇다보니 해커들은 직원들의 개인기기를 공격의 주요 경로로 활용하고 있다. 따라서 기업들은 적어도 암호에 대한 구체적인 정책을 정하고 직원들에게 적극적으로 준수를 권해야 한다.
■ 리스크 #2 : 데이터 노출(Data Leaks)
간혹 직원들은 스스로 다루고 있는 자료에 대한 무게감을 인식하지 못하는 경우가 많다. 기업문서를 자신의 개인기기에 저장함은 물론 검증되지 않은 애플리케이션을 통해 공유하는 것도 아무런 거리낌 없이 행해지고 있어, 기업들은 데이터에 접속하고 공유하는 방법에 대한 구체적인 정책을 수립해야 하는데, 이는 기업 데이터가 직원들이 다운로드한 애플리케이션의 취약점이나 멀웨어에 의해 노출될 수도 있기 때문이다. 지난 3월, 포네몬(Ponemon)사가 작성한 보고서를 보면 미국의 경제지 포춘지(Fortune) 선정 상위 500개 기업 가운데 40%가 직원들의 모바일 애플리케이션 관리를 제대로 하고 있지 않은 것으로 드러났다.
■ 리스크 #3 : 데이터 유출(Data Breach)
미꾸라지 한 마리가 전체 우물을 더럽힌다는 말이 있는데, 이는 BYOD에서도 적용된다. 직원이 개인소유의 기기와 회사 네트워크가 연결된 상태에서 직원의 기기에 깔려있는 악성 애플리케이션 하나로 인해 그 회사 전체의 데이터가 유출될 수 있기 때문이다. 따라서 기업들은 자사 네트워크에 어떤 기기들이 접속하고 있는지 파악하는 것이 중요하다. 시대의 흐름을 고려하면 BYOD를 원천봉쇄할 수는 없다. 따라서 기업이 구체적인 정책을 수립하고 이를 직원들에게 이해시키는 작업이 필요하며, 누릴 수 있는 권리가 늘어날수록 그에 대한 책임감도 함께 높아지는 것을 기억해야 한다


사이버 안보 강화 위해
우리는 무엇을 해야 하나?

사이버 안보 강화 위해 우리는 무엇을 해야 하나?
사이버 안보를 강화하기 위해서는 구성원들의 에너지를 고갈시키는 인스턴트 리더십이 아닌 조직이 유기적으로 살아 숨 쉬도록 원숙한 숙성단계를 거쳐 구성원 모두의 잠재력을 끌어내는 ‘발효의 리더십’이 필요하다는 주장이 제기됐다.



유준상 한국정보기술연구원 원장은 제18회 화랑대 국제 심포지움에서 ‘사이버안보를 위
업들은 자사 네트워크에 어떤 기기들이 접속하고 있는지 파악하는 것이 중요하다. 시대의 흐름을 고려하면 BYOD를 원천봉쇄할 수는 없다. 따라서 기업이 구체적인 정책을 수립하고 이를 직원들에게 이해시키는 작업이 필요하며, 누릴 수 있는 권리가 늘어날수록 그에 대한 책임감도 함께 높아지는 것을 기억해야 한다.한 제언 그리고 사람’이라는 주제로 기조연설을 진행했다. 유 원장은 “북 베트남이 프랑스, 미국, 중국을 상대로 연달아 승리할 수 있었던 이유는 ‘적이 원하지 않는 시간과 장소에서 적이 알 수 없는 방법으로 싸워 승리하는’ 3불 전략 때문인데, 사이버 세상에서 원하지 않는 시간과 장소에서 전혀 알지 못하는 방법으로 공격을 당했을 때 우리는 어떤 대비를 하고 있습니까?”라는 질문을 시작으로, 기조연설에서 사이버 안보를 강화하기 위해 우리가 해야 할 일과 인재양성의 중요성을 역설했다.
유 원장은 △사이버 안보 강화를 위한 국제협력 △전문가 및 조직의 위상강화와 현장중심의 의사결정 체계에 대한 두 가지 제언과 그리고 △‘사람’에 대해 이야기했는데, 사이버 안보를 위한 국제협력에서는 사이버 안보와 한-미 양자 간의 협력과 사이버 범죄 방지조약을 설명하며 우리나라의 사이버 범죄 방지조약 가입을 위해 국내법 등의 개정 필요성을 강조하고, 세계 각국의 경찰이 서로 협력해 국제적인 형사 범죄의 예방과 해결을 위해 만든 인터폴처럼 사이버 안보 분야 국제 공조와 정보공유를 담당할 국제기관의 신설과 표준화된 국제법의 필요성을 제언했다.
이어 전문가의 위상과 조직 강화를 도모하고 있는 미국의 사례를 제시하면서 청와대가 컨트롤타워를 위해 국내 최고의 사이버 안보 전문가를 안보특별보좌관으로 임명하고, 사이버안보비서관실을 신설했듯 국방부에서도 사이버국을 신설해 컨트롤타워를 세우고 사이버사령관의 위상을 기무사령관이나 국방부정보본부장 급의 중장으로 격상시켜 그 중요성에 맞는 권한이 필요하다고 강조했다.
이러한 위상 강화와 함께 급박하게 진행되는 사이버 공격과 대응에 대한 빠른 의사결정과 행동이 가능토록 현장 전문가에게 권한을 위임하는 것이 중요하다고 설명했다. 이와 함께, ‘가장 열정을 쏟고 있고 관심을 가지고 있는 사람’, 인재양성에 관한 이야기에서 유 원장은 차세대 보안리더 양성프로그램(Best of the Best, BoB) 학생들과의 일화를 소개하면서 정보보호 저변확대의 필요성을 제시했다. 이를 위해 미래창조과학부와 함께 청소년 저변확대 프로그램인 정보보호 K-가디언즈와 화이트해커 리그인 리그 오브 가디언즈를 기획하고 있다고 밝혔다.
가능한 어려서부터 정보보호를 인지하고 스스로 그것을 실천할 수 있도록 저변 확대, 문화 확산, 자기 주도적 성장환경을 제공해야 한다는 것으로, 유 원장은 인재들을 믿고 자유롭게 활동할 수 있는 권한과 환경을 만들어줄 때가 되었다고 강조하고 “그 동안은 빠른 목표 달성을 위해 앞만 보고 달리며 우리 구성원들의 에너지를 고갈시켜 성과를 이뤄냈던 인스턴트 리더십이 산업화 시대에서는 통용되어 왔다. 그러나 이제는 조직이 유기적으로 살아 숨 쉬게 함으로써 원숙한 숙성 단계를 거쳐 구성원 모두의 잠재력을 끌어내고 그 역량을 발휘하는, ‘사람’의 생명력이 부풀어 오르게 하는 발효의 리더십이 요구되며 국가·기관·기업 등 모든 분야에 있는 리더들이 발효의 리더십으로 필요한 역할을 해 달라”고 주문했다.