시만텍이 시장조사기관 포네몬 인스티튜트(Ponemon Institute)와 공동으로 최근 내부자의 기업 핵심정보 유출 위협을 심도있게 조사ㆍ분석한 글로벌 보고서를 공개했다.

이번 조사는 시만텍 의뢰로 포네몬 인스티튜트가 한국 503명을 포함해 미국, 영국, 프랑스, 브라질, 중국 등 전 세계 6개국 직원 3,317명을 대상으로 진행됐다.

이 보고서에 따르면 ▲직원들은 기업의 지적재산을 다양한 방법으로 외부에 유출하고 있었으며 ▲퇴사한 전 기업의 기밀 정보 사용이 잘못됐다고 생각하지 않는 것으로 나타났다. 또한 ▲개발자에게도 지적재산 소유권이 있다고 여겼고 ▲기업들이 지적재산 보호를 위해 적절한 환경과 조치를 취하지 않고 있다고 지적하기도 했다. 

◆직원들의 사내 정보 유출 일상화 = 좀더 구체적으로 살펴보면 절반이 넘는 응답자(52%)가 업무관련 문서를 개인 이메일 계정으로 송부하고, 37%는 IT 관리자의 허락 없이 드롭박스 등의 클라우드 파일공유 시스템을 이용하고 있는 것으로 나타났다. 또 41%는 개인 소유의 태블릿 PC나 스마트폰으로 회사의 민감한 정보를 다운로드하는 것으로 드러났다.

특히 개인 모바일 기기에 회사 정보를 다운로드한 직원 중 62%는 저장한 자료를 삭제하지 않고 방치해 기기 도난이나 분실 시 중요 데이터가 유출될 위험이 큰 것으로 나타났다.

이직하는 직원들의 정보 유출 문제도 심각한 것으로 확인됐다. 퇴사한 지 1년 미만의 직원 중 절반이 전 직장의 기밀자료를 보유하고 있으며, 이 중 40%는 새로운 직장에서 이 자료를 활용할 계획이라고 답했다.

또한 응답자의 60%가 경쟁 관계에 있던 기업에서 이직한 직원이 전 직장의 기밀 정보를 제공한 적이 있다고 답했고, 경쟁업체 퇴사자로부터 기밀 자료를 넘겨받아 사용하는 것이 범죄라고 생각하지 않는다고 답변한 비율도 52%로 절반이 넘었다.

심지어 응답자들은 지적재산 공유가 얼마나 위험한지 자각조차 하지 못하는 것으로 나타났다. 62%의 직원들은 업무 자료를 개인 컴퓨터나 모바일 기기, 클라우드 기반 파일공유 시스템에 옮겨도 된다고 답했다.

그 이유로 절반 이상의 응답자들은 정보 공유가 기업에 해가 되지 않는다거나 기밀 유출에 대한 기업의 강력한 정책이 부재하기 때문이라고 답했다.  

◆지적재산 공유 및 소유권에 인식 차이 = 지적재산의 소유권에 대한 인식의 차이도 확인됐다. 응답자의 44%는 소프트웨어 개발자가 어느 정도 지적재산의 소유권을 가져야 한다고 했으며, 42%는 개발자가 다른 회사로 옮기더라도 소스 코드를 재사용하는 것은 범죄가 아니라고 답변했다.

문제는 직원들에게만 있는 것이 아니었다. 기업들 역시 지적재산을 보호할 수 있는 적절한 환경을 갖추지 못하고 있었다. 응답자 중 38%만이 기업의 IT 관리자들이 정보 보호를 최우선 과제로 여긴다고 답했으며, 절반 가량은 회사 정책에 반하는 민감한 정보 유출이 발생해도 기업이 아무런 조치를 취하지 않는다고 지적했다. 또한 응답자의 29%는 필요한 정보보다 더 많은 정보에 접근할 수 있다고 밝혔다.

국내 응답자들의 경우 기업 정보를 개인 모바일 기기로 다운로드 한다는 비율은 40%로 세계 평균과 비슷했으나 저장한 정보를 방치해 둔다고 답한 비율은 33%에 머물렀다. 또한 퇴사 직원의 39%만이 전 직장의 기밀 정보를 보유하고 있고 33%가 새 직장을 구하는데 이를 사용할 계획이라고 답했다.

반면, 직원이 전 직장에서 가져온 기밀 자료를 사용하는 것이 범죄라고 생각하지 않는다는 응답자가 61%, 업무 자료를 개인 기기나 클라우드에 공유할 수 있다고 답한 비율은 70%에 달해 전 직장의 기밀 정보 활용 및 업무자료 공유에 대한 인식의 변화가 시급한 것으로 나타났다.

지적재산의 소유권에 대해서는 21%만이 개발자에게 권한이 있다고 생각했는데, 이는 6개 국가 중 중국에 이어 두 번째로 낮은 비율이다. 또한 56%의 응답자가 기업의 IT 관리자들이 정보 보호를 최우선 과제로 삼고 있으며, 52%가 민감한 정보 유출이 발생할 경우 기업이 필요한 조치를 취한다고 답했다.

시만텍코리아의 윤광택 보안담당 이사는 “내부 직원들의 일상적인 정보 유출을 막기 위해서는 ▲정기적인 보안 교육으로 정보 유출의 위험성과 위법성을 적극 알리고 ▲기밀유지계약(NDA)을 강화해 향후 기업 정보를 유출할 경우 본인 뿐 아니라 이직하게 될 직장에 불이익이 있을 수 있다는 점을 인지시켜야 한다. 또한 ▲데이터유출방지 솔루션(DLP)과 같은 모니터링 기술을 도입해 직원들이 실수나 고의로 부적절한 정보에 접근하거나 유출하는 행위를 관리해야 한다”고 조언했다.