재택 근무자 보안: IoT 위협 환경 대응하기

사무실과 집의 경계가 흐려지면서 기업용과 개인용 IoT 디바이스가 점점 더 겹치고 있습니다. 이는 기업과 재택 근무자 모두의 집단적 대응을 요구하는 새로운 사이버 보안 과제를 만듭니다. 팔로알토 네트웍스 EMEA 부사장 겸 CSO 그레그 데이(Greg Day)가 설명합니다.

비업무용 IoT가 비즈니스 네트워크로 유입

원격·하이브리드 근무 급증으로 소비자 IoT 가젯이 기업 네트워크에 더 자주 유입되고 있습니다. 우리 2년간의 IoT 보안 연구는 EMEA, APAC, 아메리카 18개국을 아우르며 이 트렌드를 추적합니다.

2021년 연구에 따르면 이미 IoT 디바이스를 보유한 조직의 전 세계 IT 리더 78%가 지난 해 원격 근무자를 통한 비업무용 IoT 연결 증가를 보고했습니다. 미국에서는 이 수치가 84%로 올라갑니다.

디바이스 종류도 다양합니다. 가장 자주 보고된 비업무용 IoT 기기는 웨어러블 의료 모니터, 그 다음이 스마트 전구, 커넥티드 운동기구, 커피 머신, 게임 콘솔, 심지어 펫 피더입니다. 이 트렌드는 WFH 습관에 힘입은 스마트홈 키트와 헬스·피트니스 웨어러블의 동시 붐을 반영합니다.

사이버 보안 결함과 위협

디바이스 배열이 기발해 보일 수 있지만, 단일 취약한 가젯이 공격 벡터가 될 수 있어 심각한 위협입니다. 많은 소비자 IoT 제품은 견고한 보안이 부족합니다. 종종 100달러(약 88유로) 미만 비용으로, 엔터프라이즈 소프트웨어의 엄격한 코딩 표준 없이 제작되어 패치가 느리고 오래된 취약점이 방치됩니다.

팔로알토 네트웍스 위협 인텔리전스 부문 유닛 42(Unit 42)는 홈오피스 IoT 취약점을 악용한 공격을 기록했습니다. 2021년 2월, 미라이(Mirai) 변종이 많은 소비자 디바이스의 보안 결함을 노렸습니다. 더 우려스러운 건 최근 랜섬웨어 그룹이 이초라익스(eCh0raix) 변종으로 재택 근무자의 NAS 디바이스를 표적으로 삼고 있다는 증거입니다. 이 전략은 손상된 개인 가젯을 대기업 공급망 공격의 발판으로 삼는 것으로 보이며, 잠재적 몸값이 상당합니다.

연구는 소비자 IoT가 기업에 상당한 위험임을 확인합니다. 전 세계적으로 네트워크에 IoT 디바이스를 둔 IT 리더 81%가 팬데믹발 원격 근무 전환이 비보안 디바이스 노출을 높였다고 답했습니다. 그중 78%에서 IoT 관련 보안 사고 증가로 나타났습니다.

원격 근무와 IoT 확산이 지속될 예정이라 IoT 방어 강화 압박이 커지고 있습니다. 글로벌 설문에서 2021년 응답자 96%(2020년 95%)가 조직의 IoT 보안 전략 강화가 필요하다고 느꼈으며, 25%는 전면 개편을 주장했습니다.

WFH 근로자가 도울 수 있는 방법

효과적 완화는 집에서 시작하는 3단계 전략을 요구합니다.

조직은 원격 직원을 교육하고 의무화해 홈 사이버 위생을 높여야 합니다. 라우터 설정부터 시작합니다. 핵심 조치: 기본 설정 업데이트, WPA3 퍼스널 활성화(불가시 WPA2 퍼스널), 연결된 디바이스 감사 및 미사용 것 비활성화.

또한 원격 근무자는 라우터 펌웨어에 흔한 마이크로 세그멘테이션 기능을 활용해 게스트와 IoT 디바이스를 기업 트래픽과 분리하는 별도 네트워크를 만들어야 합니다.

세그멘테이션은 기업과 홈 환경 모두에 필수적입니다. 설문에서 IoT 디바이스를 둔 IT 리더 51%가 이를 핵심 비즈니스 시스템(HR, 이메일, 재무)과 별도 전용 네트워크로 분리한다고 보고했습니다. 그러나 5명 중 1명은 IoT 디바이스가 중요 비즈니스 애플리케이션과 같은 네트워크를 공유한다고 인정했고, 영국에서는 3명 중 1명으로 이 격차가 더 큽니다(세그멘테이션 부재).

마지막으로, 모든 트래픽을 단일 VPN으로 퍼널링하는 허브-앤-스포크 모델을 포기해야 합니다. 오늘날의 이질적 연결 환경에서 원사이즈-핏츠-올 접근은 실패합니다. 사용자는 화상 회의 같은 필수 서비스 접근을 위해 VPN을 자주 끕니다. 엣지 기반, 컨텍스트 인식 보안은 워크플로 방해 없이 원활한 보호를 제공해 보호 장치 비활성화 유인을 제거합니다.

제로 트러스트 적용

강력한 IoT 보호는 내부 통제로도 이어져 불량 디바이스의 기업 네트워크 합류를 방지합니다.

최소 권한 접근 정책 구현으로 검증된 디바이스와 사용자만 연결되게 합니다. 제로 트러스트 프레임워크는 각 디바이스의 신뢰성을 지속적으로 검증해 데이터 노출을 방지하고 비즈니스 연속성을 지킵니다.

실시간 모니터링은 IoT 보안에 필수적입니다. 보이지 않고 잊힌 디바이스를 포함한 최신 인벤토리를 제공해, 기존 방화벽 기능으로 위험 기반 정책을 자동 권장·집행할 수 있게 합니다. 통합 솔루션은 기업 보안을 원격 근무자로 확장해 통합 정책 관리와 컨텍스트 인식 보호를 위한 SASE(보안 액세스 서비스 에지)를 제공합니다.

법적 솔루션을 기다리지 마십시오

향후 규제가 제조사의 더 강력한 보안 내재화를 강제하려 하지만, EU와 영국 법은 아직 초기 단계라 수년이 걸립니다. 견고한 IoT 방어의 책임은 궁극적으로 직원과 조직에 있습니다.

IoT가 현대 업무와 삶의 중심에 있는 만큼, 조직은 C-스위트부터 모든 직원까지 모든 수준에 사이버 위생을 내재화해 반응형에서 예방형 사이버 보안으로 진화해야 합니다. 그런 문화는 예방적 관행 투자를 장려해, 겉보기엔 무해해 보이는 디바이스로부터의 공격도 억제하고 피해를 완화합니다.

—그레그 데이, 팔로알토 네트웍스 EMEA 부사장 겸 CSO.