데이터 유출 사고가 빈번하게 발생하고 있는 가운데 많은 기업들이 데이터 유출 전에 막겠다는 경계보안의 수위를 지속적으로 높이고 있다. 그럼에도 불구하고 데이터 유출이 증가하고 있는 추세이다. 결국 경계보안이 데이터 유출 방지의 해답은 아니라는 것이다.

보안 기업 젬알토가 올해로 3번째를 맞는 연례 보고서인 데이터 보안 신뢰지수(Data Security Confidence Index)를 발표했다. 이 보고서에 따르면 2013년 이후 전 세계적으로 39억 건의 데이터 기록이 유실, 혹은 도난되는 등 데이터 유출 빈도가 증가하고 있지만, 기업들은 여전히 경계 보안(perimeter security) 기술이 데이터 유출에 효과적이라 여기고 있었다.

전 세계 IT분야 의사 결정자 1,100명을 대상으로 조사한 결과 61%는 소속 기업의 경계 보안 시스템(방화벽, IDPS, AV, 콘텐츠 필터링, 이상 탐지 등)이 허가 받지 않은 사용자를 회사 네트워크로부터 몰아내는 데 매우 효과적이라고 답했다. 그러나 응답자의 69%는 만약 경계 보안이 뚫릴 경우 데이터의 보안성을 장담할 수 없다는 입장이었다. 이 같은 비율은 2015년 66%, 2014년 59%에 비해 높은 수준이다. 또한 66%의 조사 대상자는 허가 받지 않은 사용자가 소속 기업의 네트워크에 액세스할 수 있다고 밝혔으며 16%는 이들이 기업 내 모든 네트워크에 액세스할 수 있다고 말했다.

젬알토의 제이슨 하트(Jason Hart) 부사장 겸 최고기술자(데이터 보안)는 “이번 조사는 경계 보안의 효율성에 있어 인식과 현실의 차이가 크다는 것을 보여준다”면서 “유출 방지가 대세인 시절은 지났음에도 불구하고 상당수 IT 기업들은 여전히 경계 보안을 보안 정책의 토대로 삼고 이에 의존하고 있다. IT 전문가들은 유출 방지라는 마인드셋에서 벗어나야 한다"고 말했다.

조사 결과에 따르면 IT분야 의사 결정자의 78%는 규모가 큰 데이터 유출 사고를 겪은 뒤 소속 기업의 전략을 조정했다고 답했다. 이 같은 비율은 2015년 71%, 2014년 53%에 비해 높다. 또한 86%는 경계 보안에 대한 지출을 늘렸으며 85%는 현재의 투자 수준이 올바른 형태의 보안 기술에 쓰이고 있다고 말했다.

이번 조사에서 많은 기업들이 경계 보안에 대한 관심을 높이고 있음에도 불구하고 데이터 유출 방지는 줄지도 막지도 못한 현실이 드러났다. 조사 대상자 가운데 64%는 소속 기업이 지난 5년 동안 유출 사고를 겪었다. 1년 사이에 사고가 발생한 적이 있다는 응답자도 27%를 차지했으며 30%는 2015년에 유출 사고를 경험했다. 이 같은 결과는 기업들이 경계 보안에 대한 투자를 늘렸지만 데이터 유출 빈도를 줄이지는 못하고 있는 것이다.

결국 기업들이 경계 보안에 대한 투자와 구체적 내역에 대해 잘 파악하고 있으나 도입하고 있는 보안 프로토콜이 수준 미달이라는 것이다. 물론 경계 보안 자체는 중요하다. 하지만 그 전에 기업들은 실제로 유출 사고가 발생하기에 앞서 다양한 각도에서의 보안을 고려해야 한다. 네트워크와 클라우드 전반에 걸쳐 종단간(end-to-end) 암호화, 이중 인증과 같은 도구를 도입해 기업 전체에 대한 보안을 구현하고 특히 데이터의 보호에 중점을 두어야 한다. 그러므로 보안 관계자들은 유출 그 자체는 받아들이되 유출로부터 데이터를 직접 보호하고 사용자들의 액세스를 막는 것이 더 관심을 갖고 해법을 찾아야 하는 것이다.

이향선기자 hslee@nextdaily.co.kr