블루코트코리아(대표 김기태 www.bluecoat.co.kr)는 ‘2015년도 4분기 쉐도우 데이터 리포트(Q4 2015 Shadow Data Report)’를 발표했다.

지난해 인수한 엘라스티카의 ‘클라우드 보안 위협 연구소(Cloud Threat Labs)’에서 조사 분석한 이 보고서는 엘라스티카의 ‘클라우드 SOC(Cloud Security Ops Center)’ 플랫폼을 사용해 마이크로소프트 오피스 365, 구글 드라이브, 세일즈포스, 박스(Box) 및 기타 클라우드 애플리케이션에 보관된 기업 문건 6,300만건을 분석한 결과를 담았다. 특히 클라우드 애플리케이션을 통해 기업 내, 외부의 임직원, 파트너, 고객들과 정보를 공유할 때 발생하는 쉐도우 데이터의 위험성을 집중 조명했다.

◆클라우드 애플리케이션에 보관된 기업 문건 6,300만건 분석 = 이 보고서에 따르면 클라우드 애플리케이션에 보관된 문서 중 26%는 공개적으로 공유되고 있다는 사실을 기업에서 인지하지 못하고 있는 것으로 나타났다. 즉 누구나 접근 가능하고 외부 거래처 및 파트너사와 공유할 수 있으며, 일부는 구글 검색으로도 웹에 노출되고 있다는 것.

또한 공유 문서 중 10%에는 민감 데이터 및 컴플라이언스 준수 규정에 포함되는 데이터가 포함되어 있는 것으로 조사됐다. 이에 해당되는 데이터는 세부적으로 소스 코드(48%), 개인 식별 정보(IPP) (33%), 의료 정보(14%), PCI(결제 카드 산업) 정보(5%) 등이다.

2015년 하반기 동안 클라우드를 통한 민감 데이터 유출로 겪게 될 기업들의 잠재적인 금전 피해액은 약 190만 달러에 이르는 것으로 추산됐다. 특히 헬스케어 기업의 경우 최대 1,200만 달러에 이를 수 있는 것으로 나타났으며, 교육 업계 또한 590만 달러로 높은 금전 피해가 예상되는 산업으로 조사됐다.

가장 많이 활용되는 클라우드 앱은 마이크로소프트 오피스365이었으며, 트위터가 그 뒤를 이었다. 평균적으로 한 기업에서 사용하고 있는 클라우드 애플리케이션의 수는 812개로, 6월에 집계한 774개에 비해 5% 상승한 것으로 나타났다. 기업에서 가장 폭넓게 사용되고 있는 애플리케이션 순위는 ▲오피스365 ▲트위터 ▲유튜브 ▲링크드인 ▲구글앱스 ▲세일즈포스 ▲AWS ▲드롭박스 ▲스카이프 ▲박스 순으로 집계됐다.

허가된, 혹은 허가되지 않은 클라우드 애플리케이션을 모두 포함해 기업에 영향을 미치는 주요 공격으로는 ▲데이터 유출(도용) ▲데이터 제거 ▲계정 탈취 순으로 조사됐다. 데이터 유출이 77%로 압도적인 피해 사례 유형으로 꼽힌 가운데 데이터 유출 및 도용의 방법으로는, 변칙적인 이메일 발송 (18%), 변칙적인 파일 공유 (41%), 변칙적인 다운로드 (15%), 변칙적인 미리보기 (3%) 등이 있는 것으로 확인됐고, 특히 미리보기의 경우 민감 데이터의 스크린샷을 첨부함으로써 정보가 유출되고 있는 것으로 나타났다.

◆“쉐도우 IT 리스크 대비해야” = 엘라스티카의 창업자이자 블루코트에서 관련 비즈니스를 총괄하고 있는 리한 자릴(Rehan Jalil)은 “보안 라이프사이클을 고려하였을 때 쉐도우 IT는 단순히 그 자체의 문제로 그치지 않는다. 이제는 기업에서 클라우드 애플리케이션의 사용 여부를 통제하고, 정책을 통해 사용 중인 애플리케이션을 제어할 수 있어야 한다. 특히 실질적인 문제, 즉 직원들이 어떤 정보를 공유하고 있는지, 누가 데이터에 접근 가능하도록 설정되어 있는지, 데이터 유출로 이어질 수 있는 리스크에 어떻게 대비해야 하는지에 대한 전략이 필요하다”고 말했다.

쉐도우 데이터 위협 보고서는 엘라스티카 클라우드 보안 랩에서 2014년부터 발행한 것으로, 기업 내 IT 보안 팀의 관리 감독을 벗어나 클라우드 애플리케이션에 대한 이해 및 동의 없이 민감 자료를 업로드하거나 공유하였을 때 발생할 수 있는 데이터 유출로 인한 손실 등의 내용을 분석하고 위험성을 설명하고 있다.

<박시현 기자> pcsw@bikorea.net