[지디넷코리아]중소기업은 대기업보다 사이버 범죄의 잠재적인 피해자가 될 확률이 높다는 사실을 숙지해야 한다고 전 백악관 보안 고문 하워드 슈미트(Howard Schmidt)가 강조했다.

20일 런던의 하우스 오브 로즈(House of Lords)에서 관리서비스 전문기업인 클라라넷(Claranet) 주최로 열린 IT 보안 관련 행사에서 슈미트는 보안 설비 미비, 또는 보안 예방 노력의 부족 등 때문에 대부분의 비즈니스가 위험에 노출되어 있다고 주장했다.

그는 “중소기업(SME)은 자신이 잠재적인 피해자가 될 수도 있다는 사실을 전혀 인지하고 있지 못하고 있다. 바이러스 예방에 매년 40파운드씩 지출하는 것만으로는 부족하다.”고 말했다.

이어 “중소기업은 규모 자체가 작다고 범죄의 표적이 되지 않을 것이라고 착각해서는 안 된다. 범죄자들은 돈이 될만한 곳은 어디든 표적으로 삼는다.”라고 설명했다.

소규모 사업자나 소비자의 90%는 안티바이러스 프로그램을 사용하고 있다. 하지만 10%는 의심스러운 위협에 대비한 소프트웨어를 전혀 업데이트 하지 않는다는 것이 슈미트의 지적. 소규모 사업자들은 사이버 보안 관련 업무에 투자할 여력이 없는 것이 문제라는 것이다.

악성 소프트웨어 침입 외에도, 사업자들은 중요한 데이터가 회사 밖으로 유출되지 않도록 주의해야 한다. 보통 이러한 데이터 유출은 사람의 실수로 인해 발생한다.

파일 공유 네트워크를 이용하는 직원들은 정작, 그 프로그램의 보안 문제는 간과하는 경우가 많다고 슈미트는 지적했다. “심지어는 P2P를 이용해서 국토 안보와 관련된 민감한 문서들 또한 찾을 수 있다”고 그는 말했다.

그러나 슈미트는 중소기업들 또한 점차적으로 저가의 애플리케이션 수준과 최신 하드웨어를 아우르는 제3의 업체가 제공하는 소프트웨어 보안 서비스들을 이용할 것이라고 예상했다.

결과적으로는 보안 관리 서비스에 대한 저비용 환경이 구축된 소프트웨어의 형태로 옮겨갈 것이라는 것.

하지만 슈미트의 주장은 애플리케이션 소프트웨어에는 출시될 때부터 보안 기능이 내장되어 있어야 한다는 것이다. 그는 소프트웨어가 자동적으로 사용자의 시스템에서 보안을 해치려는 불손한 시도들을 인지해, 이를 퇴치할 수 있는 기술이 자리잡는 사회가 되기를 바란다고 말했다.

“나는 엔드유저들이 스스로를 보호해야 된다고 생각하지 않는다. 마치 새로운 차에 구비되어 있는 안전장치와 같은 개념이다. 그들은 자동적으로 고쳐지고, 자동적으로 인지할 수 있는 그런 소프트웨어를 원한다.“라고 그는 말했다.

소규모 사업자들은 보안 관련 비용을 예산에 반영하고, 이러한 기능을 아웃소싱을 통해 구비할 것인지, 아니면 자체적인 구비 능력을 갖추기 위해 인적자원의 배치와 교육에 투자를 할 것인지 결정해야 한다.

“교육과정은 반드시 필요하다. 왜냐하면 우리는 우리가 무엇을 모르는지 조차도 모르기 때문이다.”라고 슈미트는 말했다.

만약 소규모 기업이더라도 IT 관리자가 있다면, 그는 ISO 17799와 같은 보안 규격에 대해 매우 익숙해져 있어야 한다고 그는 강조했다. “IT 관리자들은 최적의 사례들을 학습하고 이를 적용해야 한다. 그들은 어떤 장비가 어떤 보안 작용을 하는지에 대해서도 알아야 한다. 그러나 항상 문제는, 그들이 너무 바쁘다는 것이다.”라고 그는 설명했다.

런던 메트로폴리탄 경찰서의 컴퓨터 범죄 반 주임 경감 찰리 맥멀디(Charlie McMurdie)도 중소기업의 보안은 현재 제대로 갖추어져 있지 않는 것으로 생각한다.

맥멀디는 컴퓨터 보안 또한 매우 기본적이고 상식적인 과정을 따라야 한다고 말했다. “만약 집이 있다면, 그 집의 보안을 전제하고 결정짓는 가장 중요하고도 전통적인 요소가 무엇인가? 바로 「누가 열쇠를 쥐고 있는가」이다. 사람들은 인터넷 보안에 있어서도 이러한 상식을 적용해야 한다. 한 걸음 물러나서, 누가 접근할 수 있고, 누가 비밀번호를 알고 있는지 살펴봐야 할 것.”이라고 그는 말했다.

한편 슈미트는 소스코드 분석 툴을 판매하는 포티파이(Fortify)의 이사회 임원으로도 활동하고 있다. @