하버드비즈니스리뷰

ILLUSTRATION: DALE EDWIN MURRAY

사이버 보안, 내부로부터의 위험

사이버 보안의 최대 위협은 내부 직원 또는 공급업체일 수도 있다.

2013년 미국의 대형 유통업체 타깃(Target)에 가해진 사이버 공격은 이미 잘 알려져 있는 사건이다. 범인들은 이 공격으로 약 4000만 명의 지불 카드 번호와 약 7000만 명의 고객 개인 정보를 훔쳤다. 이 일로 회사의 명성에는 금이 가고 수익은 곤두박질쳤으며, 최고경영자(CEO)와 최고정보책임자(CIO)가 옷을 벗었다.

그런데 잘 알려지지 않은 중요한 사실이 있다. 범인은 외부인들이었지만 타깃의 냉장설비 공급업체 직원의 내부자 권한을 이용해 회사 시스템에 침입했다는 점이다.

타깃이 겪은 불행은 날이 갈수록 확산되고 있는 현상을 보여주는 최근 사례에 불과하다. 지적 재산을 노리며 확산되는 중국발 해킹, 스턱스넷(Stuxnet) 바이러스^[1], 동유럽 범죄조직의 해킹 등 외부에서 비롯되는 사이버 보안 공격이 많은 주목을 받고 있다. 하지만 연관 기업이나 내부 직원이 연루된 공격은 더욱 치명적인 위협 요소다. 내부자는 시스템에 더욱 쉽게 접근할 수 있고 목표를 실행할 기회도 더 많기 때문에 외부 해커보다 훨씬 심각한 피해를 초래할 수 있다. 영업 중단, 지적재산의 손실, 평판 훼손, 투자자와 고객의 신뢰 하락, 언론 등 제3자로 민감한 정보가 유출되는 것 등이 이런 피해 영역에 포함된다. 미국에서는 해마다 최소 8000만 건의 내부자 공격이 발생하는 것으로 추정된다. 보고되지 않은 다수의 사례들까지 고려하면 실제 숫자는 이보다 훨씬 높을 수 있다. 현재 이러한 내부자 공격으로 인한 손실은 매년 수백억 달러 규모에 이른다.

많은 조직들은 아직 내부자가 연루된 공격을 탐지하거나 방지할 만한 안전장치를 충분히 갖추지 못했다고 시인한다. 아직도 위협의 심각성을 받아들이지 못하고 있기 때문이다.

[1]발전소, 공항, 철도 등 기간시설을 파괴할 목적으로 제작된 컴퓨터 바이러스 - 역주