집에서는 온라인 보안과 프라이버시를 철저히 챙기면서도, 막상 회사에 있을 때는 그렇지 못한 경우가 많습니다.
대부분의 사람들은 사무실 자리에 앉아 있으면 자연스럽게 '안전하다'고 믿습니다. IT팀이 알아서 나와 내 데이터를 잘 지켜줄 것이라고 생각하기 때문입니다. 하지만 안타깝게도 현실은 다릅니다. 아무리 뛰어난 IT팀이 뒷받침해 준다 해도 여러분은 여전히 위험에 노출되어 있을 수 있습니다.
그렇다면 직장에서 프라이버시와 보안을 위협하는 가장 큰 요소 다섯 가지는 무엇일까요? 하나씩 살펴보겠습니다.
1. 구식 소프트웨어
회사 네트워크에서 어떤 소프트웨어가 돌아가는지는 일반 직원이 통제할 수 없습니다. 문제는 이것이 심각한 보안 사고로 이어질 수 있다는 점입니다.
특히 개발사의 지원이 끊긴 오래된 소프트웨어를 사용하거나, 노후화된 운영체제를 실행하고 있다면 더욱 그렇습니다.
전 세계 기업들은 불필요한 구형 소프트웨어를 여전히 돌리고 있는 경우가 흔합니다. 과거 데이터 접근 등 나름의 사정이 있는 경우도 있지만, 항상 그런 것은 아닙니다.
예를 들어 한 조사에 따르면 2017년 기준 미국 기업의 무려 52%가 여전히 윈도우 XP를 최소 한 곳에서 사용하고 있었습니다. 마이크로소프트가 16년 된 이 운영체제에 대한 지원을 2014년에 이미 종료했음에도 말입니다. 현재 윈도우 XP는 수많은 보안 취약점으로 덮여 있으며, 전문가들이 '제로데이 포에버(zero-days forever)'라고 부르는 위험에 그대로 노출됩니다.
구형 운영체제를 쓰면 연쇄 문제도 발생합니다. 최신 앱을 실행할 수 없기 때문에, 역시 취약점을 안고 있는 구버전 소프트웨어를 사용할 수밖에 없게 됩니다.
그럼에도 기업들이 구형 운영체제를 고수하는 이유는 대부분 비용 때문입니다. 실제로 2016년 호주 퀸즐랜드 보건당국은 윈도우 XP에서 윈도우 7로 전환하는 데만 2,530만 달러를 지출했습니다. 시스템 전환으로 인한 다운타임의 기회비용은 논외로 하고도 말입니다.
2. 회사의 감시
회사가 IT 인프라에 아무리 많은 돈을 투자했더라도, IT 부서의 '감시'로부터는 자유롭지 않습니다.
감시의 형태는 다양합니다. 회사 이메일 주소로 보내는 모든 메일의 내용, SNS나 기타 '업무 외' 사이트에 머문 시간, 전체 브라우징 기록까지 IT팀은 모두 확인할 수 있습니다.
실제로 저도 사회 초년생으로 첫 직장에 다닐 때 이 문제로 곤경을 겪은 적이 있습니다. 몇 년 근무 후 새로운 도전을 찾아 몇 주 동안 회사 인터넷으로 채용 공고를 검색하고 지원서를 보냈는데, 결국 상사에게 '중대한 비위 행위'를 이유로 해고 통보를 받았습니다. IT팀이 제 온라인 활동 전체를 정리한 보고서까지 만들어 두었고, 상사는 그것을 제 눈앞에 내밀었습니다.
제 실수를 반복하지 마세요. 회사 인터넷과 이메일은 오직 업무 관련 용도로만 사용하는 것이 안전합니다.
3. 데이터 보호
회사에는 여러분의 개인 정보가 어마어마하게 쌓여 있습니다. 이름, 나이, 주소, 연락처, 긴급연락망, 계좌 정보, 건강보험 정보, 주민등록번호 등 수많은 정보가 '인사 파일'이라는 이름으로 저장되어 있습니다.
하지만 지금은 1983년이 아닙니다. 서류함 뒤편에서 먼지를 쌓던 종이 파일은 옛날 이야기입니다. 이제는 모든 정보가 네트워크에 연결된 HR 시스템에 전자적으로 저장됩니다.
위험은 명백합니다. 본인이 IT 부서 소속이 아니라면, 회사가 어떤 보안 장치를 갖추고 있는지 알 방법이 없습니다. 해커가 회사 시스템을 침입하면 여러분의 모든 정보는 눈 깜짝할 사이에 유출될 수 있습니다.
중소기업이든 다국적 기업이든 상황은 크게 다르지 않습니다. 중소기업은 평균적으로 강력한 보안에 충분한 예산을 쓰지 않는 경향이 있고, 대기업은 사이버 범죄자들에게 더 매력적인 표적이 되어 더 많은 공격을 받기 때문입니다.
4. 사용자 계정
여러분 사무실에서 관리자(administrator) 권한을 가진 계정이 몇 개이고, 누가 그 권한을 쥐고 있는지 아는 사람은 많지 않습니다. 설령 안다고 해도, 그들에게 내 데이터 접근 권한을 맡길 수 있다고 확신할 수 있을까요?
관리자 계정은 보안 설정 변경, 소프트웨어 설치, 추가 사용자 등록, 네트워크에 저장된 모든 파일 열람은 물론, 다른 사용자의 계정을 관리자로 승격시키는 것까지 가능합니다.
정식 시스템 관리자들을 믿을 만하다고 해도 문제는 남습니다. 누군가의 계정에 실수로 과도한 권한이 부여되었다면 어떻게 될까요? 수천 명이 일하는 회사에서 모든 직원의 계정이 정확한 권한 수준으로 설정되어 있다고 확신할 수 있습니까?
단 한 명의 악의적인 직원만으로도 대규모 보안 사고가 일어날 수 있습니다.
5. 모바일 기기
회사가 BYOD(Bring Your Own Device, 개인 기기 반입) 환경을 허용하고 있나요? 이론적으로는 좋은 제도입니다. 익숙한 기기와 운영체제를 쓸 수 있고 생산성도 높아지죠.
하지만 그 대가는 무엇일까요? 아마 여러분은 이미 상당한 프라이버시를 포기하는 조항에 서명했을 가능성이 높습니다. 심지어 그 사실조차 모를 수 있습니다. 계약서의 작은 글씨까지 꼼꼼히 읽으셨나요?
이런 정책은 대부분 회사 쪽 이익에 맞춰 설계되어 있습니다. 회사는 여러분의 기기에 접근하고 모니터링할 권리를 갖게 됩니다.
그렇다면 회사는 정확히 무엇을 볼 수 있을까요? 흔한 오해와 달리 사진 같은 개인 콘텐츠 자체를 볼 수는 없습니다. 하지만 회사 내부 Wi-Fi에 연결하는 순간, 기기를 오가는 모든 데이터가 회사 서버를 거치기 때문에 그 내용을 들여다볼 수 있습니다. 많은 사람들에게 이것은 상사가 해변에서 찍은 내 사진을 보는 것보다 훨씬 더 무서운 일입니다.
회사 Wi-Fi에 연결하지 않았더라도 안심할 수 없습니다. BYOD 방식의 개인 스마트폰이나 태블릿의 경우, 회사는 통신사, 제조사, 기종, 운영체제 버전, 배터리 잔량, 전화번호, 저장공간 사용량, 회사 이메일, 회사 데이터 등에 상시 접근할 수 있습니다.
위치 정보도 마찬가지입니다. 약속한 병원 대신 디즈니월드에 놀러 갈 생각이라면 다시 생각해 보세요. 아니면 최소한 휴대폰은 집에 두고 가야 합니다.
그래서, 우리는 무엇을 해야 할까?
다섯 가지를 읽으면서 '이건 평범한 직원이 어쩔 수 없는 문제 아닌가'라고 생각하셨을 수 있습니다. 물론 일부는 그렇습니다. 하지만 여러분이 즉시 실천할 수 있는 확실한 변화가 하나 있습니다. 바로 회사 네트워크에 개인 데이터를 두지 않는 것입니다.
너무 많은 사람들이 회사 컴퓨터를 집 네트워크의 연장선처럼 사용합니다. 회사 이메일로 민감한 개인적인 연락을 주고받고, 신분증과 통장 사본을 하드디스크에 저장하고, 바탕화면에 가족사진을 두는 식입니다.
마찬가지로 회사에서 지급한 스마트폰이나 태블릿에는 은행 앱, 개인 이메일, SNS처럼 개인 정보가 필요한 앱을 설치하지 않는 것이 좋습니다. 회사가 어떤 데이터를 기록하고 있는지 아무도 모릅니다. 극단적으로 가려면 개인 전화조차 걸지 않는 것이 안전합니다.
사무실의 보안과 프라이버시, 걱정되시나요?
이 글에서 짚은 다섯 가지 중 혹시 마음에 와닿는 항목이 있었나요? 회사에서의 온라인 보안이 걱정되시나요?
반대로 회사를 충분히 신뢰하며 개인 정보를 맡겨도 괜찮다고 생각하시는 분도 계실 겁니다.
여러분의 생각을 댓글로 들려주세요.