IoT 기기가 사이버 위협인 이유: 지금 비즈니스를 보호하세요

사물인터넷(IoT)은 기업에 공급망에 대한 전례 없는 수준의 가시성과 통제력을 제공합니다. 하지만 동시에 잠재적으로 치명적인 사이버 공격의 문도 열어줍니다.

포네몬 인스티튜트(Ponemon Institute)의 새로운 연구에 따르면, 보안되지 않은 서드파티 IoT 기기로 인한 데이터 유출이 급격히 증가하고 있습니다. 그리고 최고의 보안 전문가들조차 이를 막기에는 충분하지 않다는 점을 시사합니다.

이 연구소의 서드파티 IoT 리스크에 관한 세 번째 연례 연구는 '기업은 자신이 무엇을 모르는지도 모른다'는 부제를 달고 있습니다. 실제로 사이버 공격의 위험에 대한 무지가 많은 기업의 취약성을 높인 것으로 보입니다. 이 연구에 따르면 IoT 관련 유출 사고는 2017년 이후 최소 26% 증가했습니다. (대부분의 기업이 서드파티 벤더로부터 유래한 자사 구내의 모든 보안되지 않은 기기나 애플리케이션을 인지하지 못하기 때문에, 실제 숫자는 이보다 더 높을 수 있다고 저자들은 지적합니다.)

데이터 유출이 만연해지는 시기에, 사이버 보안은 많은 기업들에게 특별히 높은 우선순위가 아닌 것으로 보입니다. 적어도 그 분야에 리소스를 투자하는 데 있어서는 말입니다. 최고 경영진의 감독은 특히 부족합니다. 이 연구에 따르면, 기업 이사회 구성원의 절반 미만이 서드파티 사이버 공격 리스크를 줄이기 위한 프로그램을 승인했습니다. 단 21%만이 그 리스크의 본질을 완전히 이해하고 있으며, 이를 해결하는 데 필요한 보안 조치에 '높은 수준으로 관여'하고 있습니다.

사이버 리스크 예측에 관해서는, 지배적인 태도가 숙명론적인 듯합니다. 이 연구는 응답자의 87%가 향후 24개월 내에 자사 조직이 보안되지 않은 IoT 기기나 애플리케이션으로 인한 사이버 공격을 경험할 것이라고 믿는다는 것을 발견했습니다. 그리고 84%는 같은 기간 내에 데이터 유출을 경험할 것으로 예상합니다.

이 연구의 최신 버전은 600명의 적격 응답자와 약 450개의 고유 기업을 기반으로 한다고 포네몬 인스티튜트 공동 설립자 래리 포네몬(Larry Ponemon)은 말합니다. 그가 '다양하지만 흥미로운 표본'이라 부르는 이 조사에는 IT, 데이터 보호, 서드파티 기술 및 규제 전문가들이 참여했습니다.

'서드파티'는 기업 자체 IT 환경 외부에서 온 벤더, 계약업체, 채널 파트너, 내부 계열사의 전체 범위를 의미한다고, 산타페 그룹(The Santa Fe Group)의 한 부문인 공유 평가 프로그램(Shared Assessments Program)의 수석 고문 찰리 밀러(Charlie Miller)는 설명합니다.

외부 IoT 기기는 일반적으로 센서, 스마트 기기, 프린터, 카메라, 네스트 온도조절기, 음성 활성화 개인 디지털 비서 등, 기업 네트워크에 연결할 수 있는 전자 장치를 포함하는 모든 것을 의미합니다.

이러한 보안되지 않은 기술의 향연에도 불구하고, 그 중 많은 부분이 직원들의 개인 기기를 통해 네트워크에 도입됨에도 불구하고, 경영진은 이를 큰 리스크로 보지 않는다고 포네몬은 말합니다. 밀러는 최근 몇 년간 시장에 쏟아져 나온 IoT 기기의 엄청난 증가가 문제를 악화시킨다고 덧붙입니다.

이러한 각 기기는 고유한 IP 주소를 가지며, 해커나 사이버 도둑이 독점 데이터에 접근할 수 있는 잠재적 취약 지점을 나타냅니다. 이들 중 어떤 것도 네트워크에 도입하기 전에, 기업들은 그 기기가 정확히 무엇을 하려는지, 어떤 종류의 데이터를 수집하려는지, 그리고 그 정보가 어떻게 전송될 것인지를 정확히 이해할 필요가 있습니다.

"이 모든 것들은 이 거대한 IoT 공간에서 아직 구체화되지 않은 근본적인 개념들입니다."라고 밀러는 말합니다.

이러한 공격의 공세 앞에서, 왜 기업들은 이를 예방하는 데 더 적극적이지 않을까요? 포네몬은 그 문제가 조직 내 책임 소재 불분명에 있다고 제안합니다. 게다가 IoT 기기는 사용하기에 매력적으로 편리하여, 소유자들은 그것이 기업 보안을 어떻게 위태롭게 할지에 대해 거의 생각하지 않습니다.

밀러는 보안 팀과 조직들 사이에서 깨달음의 조짐을 봅니다. 의료 기기 제조업체와 같은 특정 산업들은 중대한 규제를 받기 때문에 다른 산업들보다 이 문제에 더 집중하고 있습니다. (예를 들어, 식품의약국(FDA)은 "인체에 이식되는 기기에 대한 엄격한 규칙"을 가지고 있다고 밀러는 말합니다.) 캘리포니아 소비자 프라이버시 법 같은 새로운 입법은 마케팅 목적으로 소비자 데이터를 사용하는 판매업체들을 단속하고 있습니다. 또한 입법자들은 IoT 기반 기기에 더 높은 수준의 내장 보안을 요구하는 조치로 제조업체들을 겨냥하고 있습니다. (예를 들어, 많은 사용자가 변경하지 않는 깨기 쉬운 기본 비밀번호 사용을 금지하는 것.)

사이버 보안을 강화하기 위한 다른 노력들은 국립표준기술연구소(NIST)와 싱가포르 통화청(MAS) 같은 조직들에 의해 주도되고 있습니다. 후자의 중앙은행인 싱가포르 통화청의 보안 강화를 위한 5가지 권고안 중 4가지가 포네몬 연구에 포함되어 있습니다.

"자체 조직 내에 어떤 기기들이 있으며, 서드파티가 사용하도록 허용하는 기기들이 무엇인지 이해할 필요가 있습니다."라고 밀러는 말합니다. "그리고 그 기기들이 연결되는 방식이 생산 부문으로부터 분할되어 있는지 확인해야 합니다. 그래서 만약 침해가 발생하더라도, 네트워크의 비생산 세그먼트로 격리되도록 말입니다."

교육이 최우선이라고 포네몬은 강조하며, 사이버 리스크에 대한 인식이 각 개별 직원부터 경영진, 외부 공급망 파트너와 고객까지 퍼져야 한다고 말합니다.

밀러는 기업들이 IoT 기기 사용에 전념하기 전에 유스케이스를 수행하여 오용 가능성을 판단해야 한다고 말합니다. 예를 들어, 현대 자동차에 있는 모니터링 시스템은 해커가 차량을 원격으로 제어할 수 있게 할 수 있습니다. "운송 산업은 이를 매우 심각하게 보고 있습니다."라고 그는 말합니다.

결국, 이는 사용자의 경계심에 달려 있습니다. "사이버 위생은 개인의 책임입니다."라고 포네몬은 말합니다. "그것이 핵심입니다. 그것은 단지 IoT에 관한 것이 아닙니다. 그것은 모든 것에 관한 것입니다."