정보기술(IT)의 발전은 업무 환경을 한층 더 생산적으로 만들어 왔습니다. 특히 클라우드 컴퓨팅의 등장으로 디지털 업무 도구에 접근하는 일은 그 어느 때보다 쉬워졌습니다.
직원들은 업무 효율을 높여 주는 다양한 소프트웨어를 자유롭게 활용할 수 있습니다. 직원이 효율적이면 조직 역시 효율적이 되겠죠. 하지만 그 이면에는 사이버 보안상의 문제점도 함께 존재합니다.
그렇다면 섀도우 IT(Shadow IT)란 정확히 무엇을 의미할까요? 섀도우 IT의 장단점은 무엇이며, 회사에 잠재적 위협이 될 수 있는 이를 효과적으로 관리하려면 어떻게 해야 할까요?
섀도우 IT란 무엇인가?
섀도우 IT란 IT 부서의 승인 없이 직원들이 기기, 도구, 시스템, 앱, 소프트웨어 등 각종 기술 서비스를 사용하는 것을 말합니다.
섀도우 IT를 사용하는 대부분의 직원들은 악의가 있어서가 아니라 업무 능률을 높이고자 하는 목적에서 출발합니다. 하지만 IT 부서가 이러한 활동을 전혀 인지하지 못한다는 점에서 그 동기와 결과는 반드시 긍정적이라고 볼 수 없습니다.
섀도우 IT는 좋은 것일까, 나쁜 것일까?
직장 내 섀도우 IT 사용에 대해서는 찬반이 분분합니다. 긍정적인 측면을 강조하는 사람도 있는가 하면, 그렇지 않다는 의견도 만만치 않습니다.
공정하게 말하자면, 섀도우 IT는 대부분 선의에서 비롯됩니다. 직원들이 업무 효율을 높이기 위해 도구를 도입하면 조직 역시 그 혜택을 누릴 수 있습니다.
반면, 승인되지 않은 도구들은 클라우드에 저장된 데이터를 사이버 위협에 노출시킬 수 있습니다. IT 부서의 시야에서 벗어난 도구에 대한 공격은 조기에 발견되기 어렵고, 결국 조직 전체에 피해를 줄 수 있습니다.
직장에서 섀도우 IT가 흔한 이유
비판에도 불구하고 섀도우 IT는 여전히 많은 조직에서 널리 퍼져 있습니다.
기술 혁신의 속도가 빨라질수록 섀도우 IT를 외면하기는 더욱 어려워집니다. 끊임없이 변화하는 비즈니스 환경에서 뛰어난 성과가 기대되는 직원들은 당연히 성과 향상을 돕는 다른 소프트웨어를 찾게 됩니다.
또한 일부 조직에서는 도구 심사와 승인 절차가 지나치게 길고 번거롭습니다. 직원들은 이런 지루한 과정을 거치느니 차라리 필요한 도구를 몰래 사용하는 쪽을 택하는 것이죠.
섀도우 IT의 장점
섀도우 IT를 업무 환경에 도입하면 여러 면에서 조직에 도움이 될 수 있습니다. 직원들이 제 역할을 톡톡히 해내면 비즈니스도 함께 성장합니다.
섀도우 IT가 회사에 도움이 되는 방식을 살펴보겠습니다.
1. 직원 업무 효율 향상
회사가 제공하는 도구는 직원들의 업무 능력을 높이기 위한 것입니다. 여기서 한 단계 더 나아가, 직원들이 스스로 도구를 선택하면 효과는 배가됩니다.
직원들이 회사에서 제공한 도구에 익숙하지 않으면 억지로 사용하다가 오히려 애를 먹게 되고, 이는 생산성 저하로 이어집니다. 반면 자신이 직접 고른 도구라면 이미 익숙하기 때문에 생산성이 최고조에 달할 수 있습니다.
2. IT 부서 업무 부담 경감
일반적인 IT 부서는 늘 바쁩니다. 클라우드 기반으로 운영되는 현대적 업무 환경에서 모든 시스템이 정상 작동하도록 유지하는 것이 IT 부서의 책임입니다. 여기에 모든 업무용 도구를 일일이 검토하고 승인하는 일까지 맡는다는 것은 이미 빠듯한 업무량에 부담을 더하는 셈입니다.
직원들이 스스로 필요한 도구를 찾아 활용하고, 그 도구가 효과적이면서 부작용이 없다면 IT 팀의 업무 부담을 덜어 주는 효과가 있습니다.
3. 혁신 촉진
업무에 필요한 모든 기술을 IT 부서에 일임하고 기다리다 보면 성과가 더뎌질 수 있습니다. 기존 도구가 낡았는데도 IT 팀이 교체를 미루는 경우도 있죠.
직원들은 자신의 업무에 도움이 되는 도구를 잘 알고 있는 경우가 많습니다. 이들을 먼저 도입해 업무에 적용할 때 조직 안에서 혁신이 일어나고, 그것이 성장과 발전으로 이어집니다. 조직 입장에서는 분명한 이점입니다.
섀도우 IT의 단점
IT 부서를 우회하는 행위는 윤리적으로 문제가 될 수 있습니다. 직원들이 이런 식으로 움직이면 조직이 여러 리스크와 사이버 공격에 노출될 수 있습니다. 그 결과 섀도우 IT는 여러 방면에서 비즈니스에 악영향을 미칠 수 있습니다.
1. 규정 미준수
조직은 산업 질서를 유지하기 위해 각종 법률과 규제의 영향을 받습니다. 이러한 규제는 시스템 사용과 데이터 관리까지 확대 적용됩니다.
비즈니스에서 사용하는 시스템은 준수해야 할 기준을 지키는 데 결정적인 역할을 합니다. 직원들이 승인되지 않은 도구를 사용하면 회사가 법 위반 상황에 처할 수 있고, 제재를 받을 가능성도 있습니다.
2. 가시성과 통제력 부족
IT 부서는 조직에서 사용되는 모든 것을 감시하고 관리해야 합니다. 그런데 섀도우 IT 때문에 일부 시스템이 IT 부서의 시야에서 숨겨지면, 선제적 보안 전략을 실행할 기회 자체를 잃게 됩니다.
가시성이 떨어지면 IT 팀은 사이버 보안 위협을 제때 탐지할 수 없습니다.
3. 데이터 유출
유능한 IT 팀이라면 기술이 지닌 보안상 함의를 정확히 판단할 수 있습니다. 어떤 소프트웨어는 성능은 뛰어나지만 보안 설정 요건이 복잡할 수 있습니다. 이런 시스템을 사용하는 직원에게 올바르게 구성할 지식이 없다면 회사 데이터가 그대로 노출됩니다.
섀도우 IT에 속한 시스템은 정상 작동을 위해 정기적인 업데이트와 유지보수가 필요한 경우가 많습니다. 직원들에게는 그런 전문성이나 시간이 없기 때문에 회사 시스템이 침해 사고에 취약해집니다.
섀도우 IT 리스크 관리 방법
조직에서 섀도우 IT를 완전히 근절하는 것은 생각보다 어려운 일입니다. 직원들이 모르는 사이 섀도우 IT를 사용하고 있을 수 있으므로, 안전을 위해서는 이를 '관리'하는 방법을 익히는 것이 현실적입니다.
다음 방법들을 통해 문제를 해결하고 합의점을 찾을 수 있습니다.
1. 직원 교육 실시
섀도우 IT가 왜 위험한지 이해하는 직원일수록 섀도우 IT 사용을 자제하는 경향이 있습니다. 일부 직원은 업무 향상을 위한 도구를 쓰고 있을 뿐 위험성 자체를 인식하지 못할 수도 있습니다. 이럴 때 강경하게 제재하기보다는, 조직에 어떤 위험을 초래하는지 교육하는 것이 효과적입니다.
아울러 조직 전반에 건강한 사이버 보안 문화를 정착시켜, 아무도 지켜보지 않는 상황에서도 모두가 올바른 보안 수칙을 지키도록 만들어야 합니다.
2. 직원에게 필요한 도구 제공
직원들에게 도구를 일방적으로 강요하기보다는, 업무 효율을 높이는 데 어떤 도구가 필요한지 열린 소통을 통해 파악하고 이를 지원하세요.
소통 채널이 열려 있으면 직원들도 회사에 알리고 필요한 도구를 요청하게 됩니다. 몰래 사용할 이유가 사라지는 것이죠.
3. 심사 및 승인 절차 간소화
직원들이 IT 니즈를 회사에 알려 주도록 신뢰를 얻었다면, 이를 실행할 프로세스를 마련해야 합니다.
심사 절차를 간소화해 IT 부서가 추천된 도구를 승인하는 데 너무 오랜 시간이 걸리지 않도록 하세요. 그렇지 않으면 직원들은 결국 예전처럼 몰래 시스템을 사용하는 방식으로 되돌아갑니다.
4. 자산 우선순위 설정
사이버 공격자는 자신에게 가치 없는 자산에 시간을 낭비하지 않습니다. 가장 가치 있는 대상을 노립니다.
가장 중요한 디지털 자산에 우선순위를 두고 자원을 효과적으로 관리하세요. 인터넷에 직접 연결되지 않은 무해한 섀도우 IT 도구까지 일일이 신경 쓰느라 정작 핵심 자산을 놓치는 일이 없도록 주의해야 합니다.
5. 고급 도구로 섀도우 IT 인프라 관리
섀도우 IT는 도구가 탐지되지 않을 때 위협이 됩니다. 도구를 탐지하고 지속적으로 모니터링할 수 있다면 걱정거리는 크게 줄어듭니다. 고급 사이버 보안 도구를 활용해 시스템을 체계적으로 감시하세요.
섀도우 IT를 우리 편으로 만들기
조직에 직원이 있는 한 섀도우 IT는 사라지지 않습니다. 직원들은 악의가 없는 한 자연스럽게 업무를 더 쉽게 만드는 방법을 찾기 때문입니다.
이 도구들이 '뒷문'이 아니라 '앞문'으로 들어오도록 만들 수 있다면, 섀도우 IT의 장점은 살리면서 그림자 속 위험은 없앤 운영이 가능합니다.