영국 국가 전력망 운영사가 해킹으로 기술 데이터 40GB를 유출했다는 소식, 들으셨나요? 이번 사고는 관리되지 않은 채 방치된 '그림자 데이터'가 공격자 손에 들어갔을 때, 기업이 얼마나 속수무책이 되는지를 잘 보여주는 사례예요.
왜 '그림자 데이터'가 보안의 사각지대가 될까요?
보안뉴스의 최근 보도를 보면 유출된 40GB의 데이터는 단순한 문서가 아니라 국가 핵심 기반 시설의 기술 정보였습니다. 보통 기업에서 공식적으로 분류해 관리하는 데이터 말고, 실무자들이 편의상 서버 구석에 저장해둔 백업 파일이나 개인 폴더 속 기술 문서들이 바로 '그림자 데이터'거든요.
솔직히 IT 관리자 입장에선 어디에 어떤 데이터가 있는지 다 알 수가 없어요. 분류되지 않은 데이터는 백업 대상에서 빠지거나 보안 정책이 닿지 않는 곳에 놓이기 십상이죠.
공격자는 바로 이 틈을 노립니다. 가장 취약한 '그림자'를 타고 들어가 기업의 심장부인 기술 자산을 통째로 가져가는 거예요. 한 번 터지면 복구가 안 되는 리스크인 셈이죠.
개인 메신저로 업무 협의, 이대로 둬도 괜찮을까요?
데이터 유출은 파일 서버에서만 일어나는 게 아닙니다. 최근 많은 기업이 Global Relay가 지적한 'Off-Channel Communications' 리스크로 골머리를 앓고 있어요. 업무 협의를 공식 메일이 아니라 개인 카톡이나 승인되지 않은 협업 툴로 진행하는 행태를 말합니다.
만약 이런 비공식 채널로 오간 대화 속에 핵심 기술 사양이나 고객 정보가 들어있다면 어떻게 될까요? 직원이 퇴사하며 대화 내용을 그대로 가지고 나가거나 계정이 탈취됐을 때, 기업은 어떤 데이터가 나갔는지조차 파악할 수 없게 됩니다. 이건 단순한 사고를 넘어 규제 기관의 과징금 폭탄으로 이어지는 컴플라이언스 위반 문제가 되거든요.
그림자 데이터를 빛의 영역으로 끌어올리는 방법
그럼 어떻게 해야 할까요? 흩어진 데이터를 한곳으로 모아 눈에 보이게 만들고, 정책에 따라 자동으로 관리하는 체계를 잡아야 합니다.
우선 Microsoft Teams, SharePoint Online, OneDrive처럼 표준으로 쓰는 협업 플랫폼의 데이터를 빠짐없이 긁어모아야 해요. 이때 Merge1 같은 수집 엔진을 쓰면 120개 이상의 다양한 기업용 소스에서 데이터를 자동으로 캡처해 중앙 저장소로 보낼 수 있어 관리가 훨씬 편해지죠.
이렇게 모은 데이터는 Enterprise Vault(EV)로 안전하게 보관해야 합니다. 단순히 저장만 하는 게 아니라 250가지 이상의 분류 정책으로 민감정보나 개인정보를 자동 태깅하고, WORM 스토리지를 사용해 임의로 수정하거나 삭제할 수 없게 보존 정책을 설계하는 게 포인트예요. 데이터의 라이프사이클이 투명하게 관리되면 '그림자'가 생길 틈이 사라지거든요.
유출 징후를 미리 잡아내는 내부통제 전략
데이터를 모으고 보관했다면, 이제는 '누가, 어떻게' 사용하는지 살펴볼 차례입니다. 특히 기술 유출 위험이 큰 부서나 퇴직 예정자의 커뮤니케이션을 꼼꼼하게 리뷰하는 체계가 필요해요.
Surveillance 솔루션을 도입하면 전수 조사나 랜덤 샘플링으로 직원들의 커뮤니케이션을 모니터링할 수 있습니다. ML 기반의 인텔리전트 리뷰를 쓰면 수많은 대화 중 위험 징후가 높은 항목만 빠르게 걸러낼 수 있죠.
분류 정책과 연동된 핫워드 하이라이팅 기능을 쓰면 기밀 키워드가 포함된 대화를 즉시 포착해 보고할 수 있어요. 사고가 터진 후 수습하는 게 아니라, 터지기 전에 막는 방어 수단을 갖추는 셈입니다. 실무에서 바로 적용 가능한 내부통제 구축 방법은 휴미즈 홈페이지에서 더 자세히 확인해 보세요.
자주 묻는 질문 (FAQ)
Q. 그림자 데이터(Shadow Data)란 정확히 무엇을 의미하나요?
A. IT 부서의 공식적인 관리 체계 밖에 존재하는 데이터를 말합니다. 실무자가 편의상 생성한 비공식 백업 파일, 승인되지 않은 클라우드 저장소에 보관된 문서, 혹은 개인 메신저로 주고받은 업무 내용 등이 모두 포함됩니다.
Q. Off-channel 통신이 왜 기업 보안에 위험한가요?
A. 기업이 통제하거나 기록할 수 없는 채널에서 업무가 진행되기 때문에, 데이터 유출 사고 발생 시 '무엇이 유출되었는지' 파악하는 것이 불가능합니다. 또한, 금융권 등 규제 산업에서는 기록 보존 의무 위반으로 막대한 과징금을 물 수 있습니다.
Q. 모든 메신저 데이터를 수집하면 개인정보 침해 우려가 있지 않을까요?
A. 맞습니다. 그래서 전수 조사가 아닌 샘플링 기반의 모니터링 정책을 수립하고, 사전에 직원들에게 공지 및 동의를 받는 절차가 필수적입니다. 또한, 권한이 부여된 리뷰어만 접근할 수 있도록 엄격한 감사 로그를 남기는 체계가 병행되어야 합니다.
Q. 이미 유출된 데이터의 흔적을 찾으려면 어떻게 해야 하나요?
A. 아카이브된 데이터를 대상으로 키워드, 날짜, 참여자 기반의 고급 검색을 수행하는 eDiscovery 프로세스가 필요합니다. 이를 통해 특정 기간 동안 어떤 기밀 정보가 외부로 공유되었는지 타임라인을 재구성할 수 있습니다.
댓글
댓글 쓰기