IoT 도입 시 사이버 보안 및 개인 정보 보호

사물 인터넷은 아직 시작 단계에 있지만 장치가 점점 더 네트워크화됨에 따라 보안 관련 문제가 기업에 골칫거리를 일으키기 시작했습니다. 소비자와 달리 "해킹을 당하는" 기업은 훨씬 더 즉각적으로 평판 훼손, 수익 손실 또는 보상 청구로 이어집니다.

TechWarn의 사이버 보안 전문가인 Jack Warner는 회사의 온라인 보안에 대한 가장 큰 위험은 직원에게 있다고 말합니다. . 제대로 훈련되지 않은 직원이나 명확한 IT 정책의 부재는 무모한 행동과 민감한 데이터의 부주의한 처리를 조장합니다. 직원은 장치의 기능과 위험을 인식하지 못하거나 잠재적으로 손상을 줄 수 있는 누출을 알아차릴 수 있는 보안을 꺼리는 사고방식을 가질 수 있습니다.

보안에 민감한 엔지니어 팀이 모든 사무 장비를 검토하는 것이 그 어느 때보다 중요합니다. 장치에서 수집할 수 있는 데이터에 대한 명확한 정책과 데이터가 준수해야 하는 규칙이 있어야 합니다. 이 정책은 회사가 소유 및 배포한 장치와 직원이 소유한 장치에서 수집한 데이터에 동일하게 적용되어야 합니다.

사례 연구:피트니스 앱 데이터

2017년 11월 피트니스 앱 Strava 사용자가 수집한 공개 데이터. 데이터는 이미 익명으로 처리되었지만 분석가들은 데이터가 비밀 군사 기지의 위치를 ​​드러낸다는 사실을 발견하여 여전히 큰 주목을 받았습니다. 군인들은 기지 주변을 조깅하거나, 순찰을 하거나, 운동할 때 피트니스 IoT 기기를 착용할 것이기 때문입니다.

훈련 경로는 기지의 크기와 위치를 설명하고 그곳에 얼마나 많은 군인이 주둔하고 있는지, 그리고 대략적인 순찰 빈도도 추정했습니다. Strava 데이터 유출은 미군 작전에 대한 막대한 보안 위험을 나타내며 전적으로 자해입니다.

이와 같은 정보는 상업 조직에도 쉽게 피해를 줄 수 있습니다. 테스트 위치, 정찰 위치 또는 배송 루틴은 조직의 잘 보호된 지적 재산일 수 있습니다.

직원이 아무렇지도 않게 사용하여 민감한 데이터를 노출할 수 있는 다른 IoT 장치가 많이 있습니다. 직원 전화는 위치를 기록하고 사진을 찍는 데 사용될 수 있습니다. 직원은 실수로 소셜 미디어를 통해 위치를 공유하거나 휴대폰의 스마트 스캐너 앱을 사용하여 민감한 데이터를 pdf로 변환할 수 있습니다. 비밀번호를 개인 이메일 계정의 임시 폴더에 붙여넣거나 고객 정보가 직원의 개인 연락처 목록에 들어가 다양한 앱에 업로드될 수 있습니다.

사무실의 네트워크 장치

처음부터 정보 보안을 고려하지 않으면 일반적인 사무실에는 개인 정보를 존중하지 않고 보안 누출을 일으키는 장치가 이미 가득 차 있을 수 있습니다. 예를 들어, 프린터는 인쇄된 문서를 오랫동안 보관할 수 있고(또는 온라인으로 업로드할 수도 있습니다) 공기 청정기는 수집된 데이터를 중앙 서버에서 사용할 수 있도록 합니다.

온도 조절기, 램프 또는 도어록과 같은 시스템에도 네트워크 기능이 있는 경우가 많으며 데이터를 광고주 또는 최소한 중앙 클라우드 서비스와 공유할 수 있습니다. 이것은 최소한 침입자나 경쟁자가 회사 기밀에 접근할 수 있는 기회를 제공합니다.

회사 네트워크 및 인트라넷

공개적으로 대면하는 정보에 더 민감해졌지만 조직의 내부 데이터베이스와 네트워크는 여전히 "안전한" 것으로 간주되는 경우가 많습니다. 해커가 자유롭게 통제할 수 있는 경우가 종종 있으며, 일단 네트워크 내부에 들어오면 특권 위치를 활용하여 데이터베이스에 연결하거나 컴퓨터를 바이러스에 감염시키거나 중요한 장비를 파괴할 수 있습니다.

라우터는 사무실 네트워크에서 가장 방치된 장비 중 하나입니다. 직원의 장치는 정기적으로 자동 업데이트를 받고 서버는 높은 관심을 받는 반면 라우터는 거의 검사되지 않고 업데이트를 받지 않습니다. 그러나 모든 회사 트래픽은 이를 통과하며 라우터를 제어하는 ​​사람은 인터넷 및 기타 내부 장치로 전송되는 모든 데이터를 가로채거나, 변형하거나, 주입하거나, 변경할 수 있습니다.

좋은 VPN 라우터를 찾기가 어렵지는 않지만 모델 간의 가격 차이가 엄청날 수 있고 구매자와 운영자에게 이점이 명확하지 않을 수 있습니다.

타사 호스팅 제공업체에 의존

조직의 개인 정보 보호 요구 사항에 대한 가장 큰 위협은 이메일, 채팅, 파일 관리를 비롯한 호스팅 서비스의 광범위한 사용입니다.

몇 년 전에는 최소한 대규모 조직에서 자체 이메일 서버를 관리하고 내부 서버에 문서를 저장하는 것이 여전히 비교적 일반적이었지만 오늘날에는 거의 독점적으로 타사 클라우드 제공업체입니다. 이메일, 채팅, 문서, 소프트웨어 코드 등 많은 회사의 사무실에는 거의 아무것도 남아 있지 않습니다.

영원한 투쟁

인터넷 서비스와 사물 인터넷 장치가 발전하는 방식은 기업의 개인 정보 보호 및 보안 요구 사항과 매우 반대입니다. 지금까지는 보안에 더 민감한 서비스에 대한 반발이나 수요가 거의 없습니다.

기업을 위한 가장 지속 가능한 전략은 고객으로부터 수집하는 정보의 양을 제한하고 이 정보를 지적 재산과 함께 자체 유지 관리되는 사내 물리적 인프라에 호스팅하는 것일 수 있습니다.

이 블로그의 저자는 TechWarn의 사이버 보안 전문가인 Jack Warner입니다.

저자 소개

Jack은 세계적 수준의 사이버 보안 회사의 신뢰할 수 있는 디지털 대행사인 TechWarn에서 수년간의 경험을 가진 뛰어난 사이버 보안 전문가입니다. 열정적인 디지털 안전 옹호자인 Jack은 내부 고발 및 사이버 보안 도구와 같은 주제에 대한 전문적인 통찰력을 공유하는 기술 블로그와 디지털 미디어에 자주 기고합니다.