비무장 PC로 사업 전선에 뛰어들다?

중소기업 보안을 고민하다

 

얼마 전 필자는 가까운 지인이 근무하는 국내의 한 중소기업을 방문했다. 미팅을 하기 위해 방문하였지만 이미 여러 직원들을 아는 터라 편하게 커피도 마시고 수다도 떨고 일이 시작되기 전 사무실을 돌아다니고 있었다. PC를 새로 구입한 친구도 있었고 아이폰을 구입하여 그 화려함에 대해 침을 튀기며 자랑을 하는 직원도 있었다. 원래 새로운 기기나 PC에 얕은 지식이긴 하나 관심이 많은 터라 귀기울여 듣고 직접 사용해보기도 했다.

 

알고싶지 않던 타인의 사생활

 

미팅까지 시간이 조금 남아 이메일이라도 확인할 요량으로 PC를 사용해도 되냐고 묻자 외근중인 한 직원의 노트북을 사용하라고 했다. 일단 부팅, 패스워드가 설정되어 있지 않아 바로 사용할 수 있었다. 부팅을 하자 마자 메신저 한두 개가 뜨면서 바로 접속이 된다. 물론 노트북 주인의 이름으로 로그인이 되어있다. 친구 명단도 주루룩 뜨면서 여기 저기서 인사들이 날아온다. 본의 아니게 프라이버시를 침해한 것 같아 못내 찜찜한 기분으로 로그아웃을 시켰다. 이메일을 확인하고자 URL을 치자 이 또한 그 친구가 사용하는 계정으로 자동로그인이 된다. 로그 아웃을 시키고 다시 내 계정으로 로그인을 했다. 약간 불안한 마음이 있었지만 간단한 이메일 몇 개를 보내고 로그아웃을 했다.

 

담당자가 미팅이 길어져 한 시간 정도 후에나 끝이 난단다. 어차피 급한 일도 없고 느긋하게 이것 저것을 클릭해보았다. 중소기업임에도 불구하고 그룹웨어와 파일 서버 등은 썩 훌륭하게 갖추어져 있었다. 노트북 주인이 즐겨찾기에 등록해놓은 사이트를 클릭하자 파일 서버로 접속이 되었다. 기본적인 패스워드조차 없이 파일 서버에 접속이 되다니 놀랍다. 파일 폴더까지 들어가 보진 않았지만 분명 외부로 유출이 되면 큰일날만한 자료들도 있을 것으로 보였다. 남의 회사의 기밀을 들여다본 것 같아 황급히 창을 닫아버렸다.

 

백신은 어떻게 쓰고 있는지 궁금해졌다. 해당 노트북에 있는 백신은 노트북 구입 당시 번들로 따라오는 트라이얼 버전이었고 유효기간이 한참이나 지난 ‘비무장 PC’이었던 것이다. 놀라운 일이다. 나이가 지긋한 어르신도 아니고 20대 친구가 이렇게 PC관리에 소홀할 수 있다니… 쓰고 있던 노트북의 주인이 외근을 마치고 회사로 돌아왔다. 할 일도 없고 해서 다른 PC를 써도 되냐고 묻자 건너편에 있는 PC를 쓰라고 했다. PC가 켜져 있어 누가 있는 거 아니냐고 했더니 어제 퇴근할 때 안 끄고 그냥 갔나 보다며 써도 된다고 아주 친절하게 말해주었다.

 

새로 자리잡은 책상의 PC는 더 가관이었다. 바탕화면에 빽빽하게 들어선 문서들 사이로 갖가지 사이트의 아이콘과 바로가기들 그리고 아주 늦게 열린 웹브라우저에는 여러 종류의 툴바들이 늘어서있었다. 아마 PC주인이 웹서핑을 하다가 동영상을 보거나 특정 프로그램을 돌리기 위해 필요하다는 프로그램을 모조리 받은 모양이었다. 몇 가지 사이트들은 자동 로그인이 설정되어 있었다.

 

잘은 모르지만 심각한 보안의식 부재의 현장에 와 있는 느낌이었다. 아주 기본적인 보안규칙조차 지켜지지 않고 있는 이 회사가 어떻게 사업이 진행이 되는지 궁금하기까지 했다. 혹여 백업해두지 않은 PC의 데이터가 날아가면 어떻게 할지, 파일 서버 해킹으로 자료들이 없어지면 어떻게 할지, 직원 개개인의 개인정보가 인터넷 세상에 떠돌아 다니지는 않는지… 일단 조금 더 지켜보기로 했다.

 

보안의식의 부재, 책임은 누가?

 

미팅이 시작되었다. 원고 방향과 기한 등 제반 사항에 대한 논의를 끝내자 점심 시간이 되었다. 다 같이 식사를 하자며 함께 나갔다. 대다수의 직원들이 사용중이던 PC 화면을 그대로 켜놓은 채로 지갑만 챙겨 서둘러 식당으로 향했다.

 

이런 저런 이야기를 하던 중 한 명이 어제 겪은 일이라며 말문을 열었다. 친구 하나가 미국에서 박사 과정을 밟고 있는데 한참을 메신저에 안 들어오더니 어제 갑자기 들어왔다고 한다. 반가운 마음에 잘 지내냐고 했더니 뜬금없이 자기가 지금 지방에 내려왔는데 지갑을 잃어버렸다고 하는 것이었다. 식당에서 밥을 먹었는데 돈이 없다며 식당 주인 아저씨 계좌로 20만원만 보내달라고 했다고 한다. 먼가 찜찜한 기분이 들어 메신저에 있는 다른 친구에게 oo이 혹시 한국에 왔냐고 물어봤다고 한다. 친구는 oo이 이번 겨울에는 한국에 오지 않을 거라고 했다며 혹시 피싱 아니냐고 해 아무런 대답 없이 메신저를 로그아웃을 했다고 한다.

 

그는 신문에서만 보던 일이 자기에게도 생겼다고 여차하면 당할 뻔 했다고 놀란 가슴을 쓸어 내리고 있었다. 다른 직원들도 뉴스에서만 봤지 실재 주변에서 이런 일이 생길 수 있다는데 모두 놀라 한마디씩 하기 시작했다. 진짜 나쁜 사람이 많다, 눈감으면 코 베어갈 세상이다 등의 말을 하다가 급기야는 IT문명의 발전이 인간에게 결코 좋은 일만은 아니다 등의 급진적인 발언까지 쏟아져 나오기 시작했다.

 

그동안 신문과 전문 정보 등에서 본 것을 바탕으로 몇 가지 이야기를 해주었다. PC방에서 메신저를 쓴 후 로그아웃을 안하고 나온다거나 메신저에 등록된 친구 중 나를 차단한 사람 알아보기 사이트에 접속해 메신저 아이디와 패스워드를 찍는다던가 아님 모든 이메일이나 사이트 등에 동일한 아이디나 패스워드를 사용하면 그 중 하나만 정보유출이 되어도 그런 일이 일어날 수 있다고 설명했다. 작년에 대형 인터넷 쇼핑몰과 금융권에서 발생한 개인정보 유출 사고를 떠올리며 이러한 일들이 남의 일이 아님을 역설했지만 반응은 생각했던 것 보다 신통치 않았다. 또한 스마트폰에도 PC와 같은 악성코드 문제가 발생할 수 있다고 하자 모두들 반신반의하는 눈치였다. 특히 최근 아이폰을 구입한 직원은 그런 일들은 절대 일어날 수 없다며 아이폰에 대한 음해세력들이 만들어낸 음모론이라고 맞받아쳤다.

 

말이 나온 김에 혹시 회사 보안을 담당하는 직원이 있는지 소프트웨어 관리는 어떻게 하는지에 대해서 질문을 했다. 그러자 쓴웃음이 돌아왔다. 그 웃음의 의미는 ‘없다’라는 뜻이었다. 회사에서 꼭 필요한 소프트웨어는 구입해서 쓰고 나머지는 각자가 알아서 다운로드 받아서 쓴다고 한다. 백신도 사용 안하는 직원도 있었고 번들 제품을 그냥 쓰는 직원도 있었으며 무료 백신을 받아서 쓰는 직원도 있었다. DDoS나 해킹, 기밀 유출 등이 걱정되지 않냐고 하자 대답이 가관이다.

 

‘우리 회사는 기밀 같은 거 없어요. 홈페이지에서 멀 파는 것도 아니고 DDoS 당하면 그냥 정지 시켜놔도 문제 없어요.’
‘백신 깔면 컴퓨터 너무 느려져요.’
‘머 나한테까지 그런 일이 벌어지겠어요?’
‘어차피 인터넷 쓰고 워드나 엑셀 같은 오피스 프로그램만 쓰는데요 멀…’
‘아 일도 많은데. 전 그래도 백신은 깔아놨어요. 그러면 되는 거 아닌가요?’

 

중소기업 보안을 위한 서비스 절실

 

마지막에 등장한 대표이사는 조금 다른 의견을 주었다. 아무래도 전체 회사를 걱정하고 살피는 자리인지라 보다 현실적인 문제로 접근을 하는 것 같았다.

 

‘우리도 보안 걱정은 해요. 정보보안 중요하잖아요. 아무리 중소기업이라도 기밀도 있고 외부로 유출되면 큰 문제가 되는 정보들도 있어요. 하지만 너무 복잡한 게 사실이죠. 무인경비서비스 같이 정보보안도 그런 서비스가 있으면 좋겠어요. 사내 담당직원이 없어도 알아서 해주는 중소기업에 알맞은 서비스가 있으면 당장이라고 쓸 것 같아요. 사실 회사가 커지면 커질수록 그리고 개개인의 PC가 우리 회사의 재산인데 백업도 잘 안되고 살얼음판을 걷는 것 같기는 해요. 그래도 어떻게 해요. 방법도 잘 모르겠고 백신만 깐다고 문제가 다 해결 될 것 같지도 않은데… 중소기업에서 구입해서 쓸 수 있는 토탈 서비스 같은 것이 나오거나 중소기업이 지켜야 하는 보안 수칙 같은 그런 매뉴얼이 있으면 좋겠네요. 사실 신문에 나오는 기사들을 봐도 이해하기가 쉽지 않잖아요’

 

이번 회사 방문을 통해 아직도 보안 사각지대가 많음을 알게 되었다. 아는 한도내에서 이것저것 고쳐주고 잔소리도 했지만 보안 전문가가 아닌 필자가 어드바이스를 하는 데는 한계가 있었다. 마침 안랩닷컴 원고를 의뢰를 받은 터라 이번 원고의 주제로 중소기업 보안 실태에 대해서 써보았다. 이는 이번 방문한 기업뿐 아니라 많은 중소기업들이 보안 문제를 가지고 있을 것으로 판단되어 많은 중소기업 종사자들이 함께 배우고 함께 실천해보는 자리를 마련하기 위함이다. 국내 최고 보안회사인 안철수연구소의 연구원들에게 중소기업에서 꼭 지켜야 할 보안수칙을 요청해 본다.@

 

 

---

 

이와 관련된 다른 글을 보고 싶으시면 아래 글을 클릭하세요.

 

▶ 안랩이 답을하다: 중소기업 보안 고민에 안철수연구소가 답하다.