데이터는 많은 기업에게 경쟁사보다 우위를 점하게 해주는 생명선입니다. 고객 데이터베이스부터 마케팅 캠페인 전략까지, 기업들은 데이터를 활용해 고객을 찾고, 서비스하고, 관리하기 위해 막대한 투자를 해왔습니다.
클라우드 기술의 발전으로 데이터를 통합하고 실무에 활용하는 일이 그 어느 때보다 쉬워졌습니다. 그러나 동시에 직원에 의한 내부 데이터 유출 등 새로운 위험 요소도 함께 생겨났습니다. 그렇다면 왜 우리 회사 직원들이 정보를 빼돌릴까요? 그리고 그들은 어떤 종류의 데이터를 노릴까요?
직원들이 데이터를 훔치는 이유
우리 팀원 중 누군가 회사 데이터를 훔칠 수 있다고 의심하고 싶지 않겠지만, 실제로는 생각보다 훨씬 흔한 일입니다. 주요 원인을 살펴보겠습니다.
기업 산업 스파이 행위
클라우드 기술의 보편화로 기업 간 산업 스파이 활동은 그 어느 때보다 만연해졌습니다. IBM의 2020년 '내부 위협 비용: 글로벌 리포트'에 따르면, 내부 위협 건수는 2016년 이후 3배 증가했으며, 평균 총 비용은 1,145만 달러에 달합니다.
204개 조직에서 보고된 4,716건의 사건 중 23.4%가 범죄적·악의적인 내부자에 의한 것으로, 연간 비용은 408만 달러로 집계되었습니다.
경쟁사의 인재 스카웃과 정보 유출
반면, 처음부터 데이터를 훔칠 의도가 없었던 직원이 재직 말기에 몰래 정보를 가져가는 경우도 있습니다. 경쟁사가 직원을 스카웃할 때는 단순히 전문성만을 노리는 것이 아닙니다.
일부 기업은 경쟁사 직원이 접근할 수 있는 정보를 활용하기 위해 아예 채용하기도 합니다. 자신의 가치를 높이고 싶은 직원들은 다음 직장에서 유용할 것이라 판단되는 문서들을 몰래 챙겨 나가기도 합니다.
창업을 위한 데이터 탈취
요즘은 회사를 창업하는 일이 그 어느 때보다 쉬워졌습니다. 하지만 일부 사람들에게 쉬워 보이는 이유 중 하나는 완전히 밑바닥부터 시작하는 것이 아니기 때문입니다.
같은 업계에서 창업을 준비하는 전직 직원들은 소중한 고객 데이터를 가져갈 수 있습니다. 여기에는 회사가 오랜 시간과 노력을 들여 구축한 고객 프로필과 업무 프로세스가 포함될 수 있습니다.
개인적 악감정
경우에 따라 회사와 좋지 않게 헤어진 직원이 고용주를 굴욕시키기 위해 데이터를 유출하는 사례도 있습니다. 특히 프라이버시와 기밀 유지를 비즈니스 모델의 핵심으로 삼는 기업에서 더 자주 발생합니다.
2017년 CBS 뉴스는 베벌리힐스 한 성형외과 클리닉의 불만 직원이 15,000건이 넘는 환자 기록을 소셜 미디어에 공개했다고 보도했습니다. 해당 기록에는 유명인 환자들의 병력, 연락처 등 민감한 개인 정보가 포함되어 있었습니다.
직원들이 훔치는 대표적인 데이터 유형
판매, 사용, 공유 등 목적은 다양하지만, 직원들이 주로 노리는 데이터 유형은 다음과 같습니다.
협업 문서
많은 팀이 Dropbox, Google Drive 같은 협업 도구로 전환하면서 외부로 데이터를 다운로드하고 공유하는 일이 쉬워졌습니다. 협업 문서 형태로 자주 유출되는 데이터에는 프레젠테이션, 계약서, 핵심 비주얼 자료 등이 있습니다.
처음에는 PowerPoint 파일 하나가 유출됐다고 해도 크게 경각심을 느끼지 못할 수 있습니다. 그러나 협업 문서 유출은 여러 방식으로 기업에 심각한 타격을 줍니다.
이런 문서에는 시장 조사, 캠페인 전략, 일정 계획 등 중요한 정보가 담겨 있습니다. 정보가 유출되면 경쟁사가 귀사의 계획을 알아차려 대응하거나 그대로 모방할 수 있습니다.
소비자 데이터베이스
고객 관계 관리를 핵심 사명으로 삼는 기업에게 고객 프로필은 그 어떤 자산보다 중요합니다. 고객 데이터베이스 유출은 오랜 시간 쌓아온 고객 명단이 외부에 노출될 뿐만 아니라 고객의 프라이버시마저 위험에 빠뜨립니다.
2018년에는 Lyft 직원들이 고객의 기밀 정보에 접근한 것으로 알려져 화제가 되었습니다. 당시 Lyft 직원들이 탈취한 것으로 전해진 데이터에는 연예인, 성인 영화 배우, 전 애인 등의 연락처가 포함되어 있었습니다.
회사의 성격에 따라 고객 데이터베이스 유출 시 이름, 주소, 전화번호, 신용카드 정보 같은 세부 정보가 노출될 수 있습니다.
정확하고 최신 정보를 갖춘 방대한 고객 데이터베이스는 금전적 이득을 위해 경쟁사나 데이터 브로커에게 판매되곤 합니다. 경우에 따라 탈취된 고객 데이터베이스는 기밀 유지 계약(NDA) 위반으로 이어질 수도 있습니다.
연구개발(R&D) 자료
업계 선두를 지키는 데 있어 연구 자산은 결정적인 역할을 합니다. 많은 기업이 경쟁 우위를 확보하기 위해 연구에 막대한 투자를 하는 것은 이미 잘 알려진 사실입니다. 하지만 퇴사하는 직원이 다른 곳에 연구 결과를 제공하거나 자신의 성과로 둔갑시켜 보상을 받으려 할 수 있습니다.
2016년, 자율주행차 스타트업 오토(Otto)가 우버(Uber)에 인수되며 자율주행 비전을 함께 추진하게 되었습니다. 오토를 설립하기 전, 창업자 앤서니 레반도프스키(Anthony Levandowski)는 구글에서 훗날 웨이모(Waymo)가 될 부서의 엔지니어였습니다. 그로부터 1년 후, 웨이모는 레반도프스키가 기밀 문서를 탈취했다고 고소했습니다.
탈취된 문서에는 자신의 자율주행차 스타트업 오토를 설립하는 데 사용된 영업 비밀이 담겨 있었습니다.
The Verge에 따르면, 양사는 합의로 마무리되었으며 우버는 웨이모에 지분 0.34%를 지급했습니다. 당시 그 지분 가치는 약 2억 4,500만 달러로 평가되었습니다. 또한 레반도프스키는 징역 18개월형을 선고받았습니다.
내부 데이터 유출 예방 방법
직원에 의한 내부 데이터 유출을 막기 위해 기업이 활용할 수 있는 방법들을 소개합니다.
명확한 계약 조항 마련
직원은 업무를 시작하기 전에 회사 데이터 보호 의무를 인지한다는 내용의 계약서를 읽고 서명해야 합니다. 많은 경쟁 치열한 업종에서 근무금지조항(non-compete clause)이 서류상 존재하지만, 대부분의 기업은 이를 실질적으로 집행하지 않습니다.
직원 계약서에 이런 조항을 넣는 것 외에도, 같은 업계에서 창업하거나 근무하는 고위험 직원을 정기적으로 점검하는 것이 좋습니다.
침입 탐지 시스템
내부 데이터 유출을 탐지하려면 모니터링 소프트웨어와 단계별 접근 권한 제한을 함께 운영해야 합니다. 필요한 직원에게만 데이터 접근 권한을 부여하면 유출 경로를 추적하기가 훨씬 수월해집니다. 잠재적 침입을 모니터링하는 데 활용할 수 있는 다양한 소프트웨어가 시중에 나와 있습니다.
사고 대응 절차 수립
위협이 감지되면 즉시 대응할 수 있는 절차를 미리 마련해 두어야 합니다. 모든 시나리오에 대비하는 것은 불가능하지만, 가장 위험에 노출되기 쉬운 상황을 사전에 파악하면 대응 시간을 크게 줄일 수 있습니다.
훌륭한 사고 대응 관행의 핵심 요소에는 피해 최소화, 피해 완화, 내부 커뮤니케이션이 있습니다. 모든 사고 대응 전략의 목표는 최대한 빨리 정상 운영으로 복귀하는 것입니다.
직원 데이터 유출로부터 회사를 지키세요
보안 관행에 있어 핵심은 예방입니다. 회사마다 가장 위험에 노출되기 쉬운 데이터 유형이 다르므로, 어떤 데이터가 가장 취약한지 파악하면 가장 중요한 탐지 방법에 투자할 수 있습니다.
모든 직원이 데이터를 훔칠 의도를 갖고 있는 것은 아니라는 점을 이해하는 것이 중요합니다. 그러나 직원의 무지나 느슨한 보안 관행만으로도 기업 데이터가 유출될 수 있습니다. 따라서 보안의 중요성이 반영된 회사 차원의 프로세스와 절차를 확립하는 것이 필수적입니다.