娇色导航

마이크로소프트()의 원드라이브 동기화 변경 사항이 논란을 불러일으키고 있다. 기업 내 사용자가 업무용 기기에서 개인용 및 기업용 원드라이브 계정을 모두 동기화하는 옵션이 추가된다. 그러나 사이버 보안 전문가들은 이번 동기화 옵션을 우려하고 있다. 보안 및 IT 관련 문제를 유발할 수 있기 때문이;다.

이 기능은 출시일은 원래 5월 11일로 예정되어 있었다. 그러나 지난 8일 출시 시점이 6월로 변경된다고 해당 기능을 다룬 마이크로소프트 페이지가 공지했다.

마이크로소프트는 지연 이유를 즉시 설명하지 않은 가운데, IT 및 보안 전문가들은 링크드인 및 기타 소셜 미디어 플랫폼에서 이 출시 계획에 대해 심각한 우려를 표명했다.

이번 마이크로소프트 계획의 명목상 의도는 업무 중 개인 활동을 약간 허용해 업무와 생활의 균형을 돕는다는 것이다. 하지만 IT 리더들은 직원들의 의료 기록, 세금 문서, 개인적—때로는 매우 개인적—사진과 동영상이 기업 시스템에 저장되는 것을 환영하기 어렵다.

데이터 흐름이 역전될 때 더 심각해진다. 개인 및 기업 데이터 세트가 동기화되면, 누군가가 실수로 민감한 기업 파일을 개인용 원브라이브에 저장하고, 해당 파일이 개인용 컴퓨터에 저장되는 상황이 발생하게 된다.

마이크로소프트는 IT 부서가 이러한 기능을 쉽게 비활성화할 수 있게 만들었지만, 기본 설정은 허용 상태다.

에 따르면 새로운 기능은 다음과 같다: “이 기능은 윈도우의 원드라이브 싱크(OneDrive Sync) 클라이언트가 기업 기기와 연결된 알려진 마이크로소프트 개인 계정을 감지하고 사용자에게 개인 원드라이브 파일을 동기화하도록 요청한다. 사용자가 요청을 수락하면 개인 파일은 업무 파일과 함께 동기화된다. 이 동작을 기본적으로 활성화하기 위해 추가 설정은 필요 없다. 관리자는 ‘DisableNewAccountDetection’ 또는 ‘DisablePersonalSync’ 정책을 사용하여 이를 억제하거나 비활성화할 수 있다.”

데이터 유출 가능성

IDC 리서치 디렉터 은 이 기능의 비대칭적 요소가 실제로 데이터 유출을 더 쉽게 만들 수 있다고 지적했다. 그녀는 “동기화만으로 기업 정보가 개인 계정에 저장된다면, 나 우려가 악화된다. 기업 비밀, 지적 재산권, 고객이나 다른 직원들의 잠재적으로 민감한 정보가 포함될 수 있다. 이는 데이터 유출 상황이자 잠재적인 준수 및/또는 개인정보 보호 위반이다. 설정을 조정해 이를 방지할 수 있지만, 데이터 분류 및 정책 조정이 항상 완벽하지 않기 때문에 여전히 취약점이 존재할 가능성이 있다”라고 지적했다.

글렌은 가상의 예를 다음과 같이 제시했다.

“개인 드라이브에 여권 사본이나 처방전 목록이 포함된 PDF 파일이 저장되어 있고, 이 파일이 기업 드라이브와 동기화되었다고 가정해 본다. 이제 해당 정보는 기술적으로 기업 IT/보안 팀의 관리 범위에 속하게 된다. 보안 팀이 보호할 필요도 없고 원하지도 않는 추가 데이터가 생기는 셈이다. 이미 보호해야 할 데이터가 너무 많다. 또한 기업 데이터 접근 통제가 충분하지 않을 경우 개인정보 침해—즉, 법적 책임—의 가능성이 있다. 솔직히 말해, 적절한 데이터 접근 통제는 지속적으로 개선해야 하는 작업이다.”

보안 컨설턴트들은 더 직설적인 의견을 피력했다. 온라인 비즈니스 시스템의 보안 위험 평가 컨설턴트인 조던 위스맨은 “관리자에게 미리 대비할 기회를 주지 않고 기본 설정으로 적용하는 것은 많은 관리자들을 화나게 만들 것이다. 마이크로소프트가 자주 보여온 행태이기도 하다”라고 말했다.

“컴플라이언스 악몽이 다가오고 있다”

토론토 기반 AI 기업 이지 오디트의 CEO인 크리스천 쿠리도 마이크로소프트의 정책에 문제가 있다는 입장이다. 쿠리는 “이 설정이 컴플라이언스 악몽이 될 수 있다. 개인 데이터와 기업 데이터의 경계를 모호하게 만들어 기업이 적용한 모든 DLP 정책과 액세스 제어 시스템을 무력화한다”라고 말했다.

그는 이어 ”초기 단계의 SaaS 스타트업들에게 기업 데이터를 깨끗하고 준수 상태로 유지하는 작업이 얼마나 어려운지 직접 목격했다. 그들은 이런 혼란을 풀기 위한 자원이 없었다. 원드라이브가 이제 기업 지적 재산이 개인의 드롭박스나 아이클라우드로 유출될 수 있는 문을 열어놨다. 감사관에게 고객 데이터가 유출되지 않았다는 것을 증명하는 것은 거의 불가능할 것”이라고 말했다.

쿠리는 마이크로소프트가 이 기능을 기본 설정으로 활성화한 결정에 강한 불만을 내비쳤다. 그는 “마이크로소프트가 이 기능을 기본으로 활성화한 것은 무모한 결정이다. 보안 팀이 피해가 발생하기 전에 이를 발견하고 차단해야 하는 부담을 부과한다. 대부분은 이를 제때 발견하지 못할 것이다”라고 말했다.

마이크로소프트는 인터뷰 요청을 거부했다. 마이크로소프트 관계자는 성명서를 이메일로 보내겠다고 약속했지만, 본 기사 게재 전까지 자료를 받지 못했다.

마이크로소프트의 인튠과 같은 다양한 도구와 정책이 이러한 문제를 모두 방지할 수 있다. 그러나 환경이 충분히 관리되지 않는 경우 이 동기화 옵션이 상황을 악화시킬 수 있다. 가트너 연구 부사장은 이 변경 사항이 초래하는 데이터 문제는 이미 일반적인 기업 위협 환경에서 상당 부분 존재한다고 말했다.

추는 관리자들이 “이 기능을 비활성화해야 한다. 새로운 기능을 주시하고 이러한 기능을 계속 비활성화해야 한다”라고 강조했다. 단 이 변경 사항이 일반적인 기업의 위험 노출을 의미 있게 증가시킨다고 느끼지 않는다고 덧붙였다.다. 그는 “개인 파일을 기업 노트북에 가져오는 방법은 이미 너무 많기 때문에 현실적 위험성이 크지는 않다”라고 설명했다.

그러면서도 그는 “사용자가 로컬 원드라이브 동기화 폴더를 주의 깊게 확인하지 않으면 기업 파일이 클라우드에 있는 개인 원드라이브 계정에 저장될 가능성이 높아진다”라고 지적했다.

직원들의 위험도 있다

머큐리 리스크의 CISO인 매튜 로젠퀴스트는 많은 직원들이 개인 데이터를 고용주의 환경으로 가져올 때 자신이 감수하는 위험을 인식하지 못한다고 말했다. 그는 “직원이 업무 시스템에 가져온 모든 것은 기업이 원하는 대로 사용할 수 있는 대상이 된다”라고 설명했다.

그는 이어 “직원 관점에서는 기업에게 접근 권한을 부여하는 셈이다. 그리고 만약 데이터가 유출된다면, 직원의 개인 기록도 유출된다”라고 덧붙였다.

로젠퀴스트는 또한 최종 사용자가 윈도우 알림을 무심코 클릭하는 경우가 많다고 언급했다. “회사에서 ‘EULA(최종 사용자 라이선스 계약서)를 읽어보세요’라고 말할 때, 아무도 읽지 않는다. 그저 단순히 클릭하고 넘어간다. 그 클릭의 결과를 모른다”라고 말했다.

온라인 비즈니스 시스템(Online Business Systems)의 위스먼은 회사 시스템에서 공유할 특정 개인 파일을 선택할 수 있는 방법이 있지만, 전송에서 파일을 제외하더라도 IT 부서의 접근으로부터 완전히 보호되지 않을 수 있다고 설명했다.

“원드라이브를 특정 폴더만 동기화하도록 설정하더라도, 클라이언트는 동기화하지 않는 대상의 전체 이름을 열거한다. 이는 파일 시스템에 표시해야 할 항목을 결정하고 필요에 따라 다운로드하는 방식이다. 즉, 기업 기기에는 개인용 원드라이브 콘텐츠에 대한 정보가 포함될 수 있다”라고 그는 말했다.

업데이트: 지난 9일 마이크로소프트는 다음과 같은 이메일 성명을 발표했다:

동일한 기기에서 개인용과 기업용 원드라이브 계정을 동시에 사용하도록 하는 기능은 이미 오래 전부터 제공되어 왔다. 기업 기기에서 개인 계정을 제한한 관리자는 이전과 동일하게 이를 관리할 수 있다. 이번 업데이트는 기업용 원드라이브 설치된 기기에서 개인 계정을 이미 사용 중인 사용자에게 로그인 요청 창을 표시한다. 이 창이 개인 및 기업 계정 간 파일을 자동으로 결합하거나 전송하지 않는다는 점이 중요하다. 사용자는 계정 간 파일을 이동하거나 저장하려면 의도적으로 조치를 취해야 한다. 마이크로소프트는 기본적으로 도메인에 연결된 기기에서 알려진 폴더를 개인 원드라이브 계정으로 이동하는 것을 차단한다.

이 업데이트는 개인 파일과 기업 계정 간에 ‘[동기화’를 수행하지 않는다. 단순히 동일한 장치에서 별도의 원드라이브 계정에 액세스할 수 있도록 허용하며, 콘텐츠를 병합하지 않는다. 이는 한 장치에서 업무용과 개인용 이메일을 동시에 확인하지만 받은 편지함을 병합하지 않는 것과 유사하다. 기업 장치에서 개인용 원드라이브 계정을 이미 비활성화한 조직은 설정에서 변경 사항을 확인하지 못할 것이다.”
dl-ciokorea@foundryco.com