Shadow IT란? 위험 완화 및 모범 사례

직원들은 현재 사용하는 기술이나 업무 방식에 만족하지 않을 수 있습니다. 직장에서 발생할 수 있는 문제에 대한 우려를 아직 말하지 않은 직원도 있을 수 있습니다. Shadow IT의 위험은 간과할 수 없으며, 이러한 불만에서 시작되는 경우가 많습니다. 조직 문화가 두려워 불만을 말하지 못하는 직원은 업무를 마치기 위해 Shadow IT 도구를 사용할 수 있습니다.

이유는 무엇일까요? 상사의 심기를 거스르거나 현재 업무 절차가 비효율적이라는 사실을 다른 사람에게 알리고 싶지 않기 때문입니다. 하지만 본인은 모르는 사이에 작은 개인적 시도가 새로운 위험을 만들 수 있습니다. 사용하는 소프트웨어에 악성코드가 포함되어 있거나 Shadow IT 소프트웨어가 아직 프로토타입 또는 베타 단계일 수 있습니다. 이 가이드에서는 사이버 보안에서 Shadow IT가 무엇인지 설명합니다. 이어서 Shadow IT 보안의 작동 방식과 Shadow IT 도구 등에 대해 알아보겠습니다.

Shadow IT란?

기존 보안 도구와 IT 시스템만으로는 특정 작업을 완료하기 어려울 때가 있습니다. 이때 일부 직원은 중앙 IT 담당 부서의 승인을 받지 않은 전문 소프트웨어와 도구를 사용합니다. Shadow IT는 제한을 우회할 뿐 아니라 여러 보안 위험을 초래하므로 기업에 큰 문제가 되고 있습니다. Gartner 연구에 따르면 앞으로도 직원들은 IT 부서의 가시성 범위를 벗어나는 기술을 수정하거나 만들 것입니다.

대부분의 Shadow IT 보안 위험은 눈에 띄는 곳에 숨어 있습니다. 하지만 알아차리지 못하는 경우가 많고 탐지에도 오랜 시간이 걸릴 수 있습니다. 알 수 없는 SaaS 도구, 사용이 중단되어야 하지만 여전히 사용 중인 레거시 시스템, 중복 데이터베이스, 승인되지 않은 플랫폼에서의 무단 파일 공유 또는 협업은 온프레미스, 하이브리드 및 멀티 클라우드 환경에서 발생하는 Shadow IT 활동의 예입니다.

Shadow IT의 원인

Shadow IT는 직원의 특정 업무 요구를 충족하기 위해 발생할 수 있으며, 직원들은 편의상 이러한 도구를 사용합니다. 주요 원인은 다음과 같습니다:

때로는 기존 보안 도구와 IT 시스템만으로는 특정 작업을 수행하기에 부족할 때가 있습니다. 이때 일부 직원들은 중앙 IT 당국과 시스템의 승인을 받지 않은 전문 소프트웨어 및 도구를 사용하기로 결정합니다. 섀도우 IT는 제한을 우회할 뿐만 아니라 여러 보안 위험을 초래하기 때문에 기업들에게 큰 문제가 되고 있습니다. 가트너 연구에 따르면, 미래의 직원들은 IT 부서의 감시 범위를 벗어난 기술을 계속해서 수정하거나 개발할 것입니다.
• 보안 인식 및 위험에 대한 이해 부족 – 일부 직원은 승인되지 않은 도구를 안전하다고 쉽게 믿습니다. Shadow IT 도구에 악성코드가 포함될 수 있다는 사실을 모를 수 있습니다.
• 느린 승인 절차 – 직원들은 새로운 기술이나 소프트웨어, 도구의 승인을 오래 기다리는 데 지칠 수 있습니다. 결국 조직의 다른 구성원에게 알리지 않고 Shadow IT 방식으로 업무를 처리합니다.
• 예산 제약 – 일부 Shadow IT 도구는 조직에서 승인한 소프트웨어보다 저렴하고 사용량 상한이나 제한이 없는 대안으로 여겨집니다. 이 때문에 직원들이 해당 도구를 사용합니다.

Shadow IT의 영향

Shadow IT는 눈에 띄는 흔적 없이 백그라운드에서 실제 위험을 초래합니다.

Shadow IT 위협이 미치는 영향은 다음과 같습니다:

• 무단 액세스 권한을 가진 사용자는 민감한 데이터와 고객 데이터베이스에 중대한 변경을 가할 수 있습니다. 의료 기록을 변경하거나 정보를 조작해 회사의 일상적인 운영에 영향을 미칠 수도 있습니다.
• Shadow IT 활동을 통해 프로덕션 프로세스의 어느 단계에나 의도치 않게 또는 고의로 악성코드가 삽입될 수 있습니다. 이로 인해 조직은 제로데이 및 랜섬웨어 공격에 더 취약해질 수 있습니다. 방화벽을 무력화하고 침입 탐지 및 바이러스 백신 시스템을 우회할 수도 있습니다.

Shadow IT를 탐지하는 방법은?

정기적인 네트워크 모니터링과 검증을 통해 Shadow IT를 탐지할 수 있습니다. 방법은 다음과 같습니다:

• 정기적인 네트워크 감사를 실시해 네트워크에서 실행 중인 승인되지 않은 애플리케이션과 서비스를 식별하세요
• 네트워크 트래픽을 모니터링해 비정상적인 데이터 전송이나 의심스러운 연결을 찾아내세요 — 직원들은 섀도우 IT 도구를 사용함으로써 직장에서 더 편안하거나 생산적이라고 느낄 수 있습니다. 이러한 기술이 업무를 더 빠르고 원활하게 완료하는 데 도움이 된다고 느낄 수 있습니다.
• 경비 보고서와 조달 데이터가 있다면 분석하여 승인되지 않은 소프트웨어 구매를 찾아내세요
• 앱 사용자를 추적하려면 Google Workspace나 Azure Active Directory 같은 SSO 및 ID 공급업체와 연동해야 합니다 일부 직원은 순진하게도 이러한 비승인 도구가 안전하다고 생각합니다. 섀도우 IT 도구에 악성 코드가 포함될 수 있다는 사실을 인지하지 못할 수 있습니다.
• 엔드포인트에 설치된 앱을 찾기 위해 탐지 에이전트와 브라우저 확장 프로그램을 배포할 수 있습니다 — 직원들은 새로운 기술에 대한 승인이나 소프트웨어/공식 도구의 승인 대기 시간이 길어 지치기도 합니다. 결국 조직 내 다른 구성원들의 알지 못하는 사이 섀도우 IT 작업 관행에 의존하게 됩니다.
• 직원들이 사용 중인 새로운 미승인 애플리케이션을 보고하도록 교육하세요
• 정기적인 보안 평가를 실시하지 않으면 Shadow IT는 탐지되지 않은 채 계속 늘어납니다 — 일부 섀도우 IT 도구는 조직 내 승인된 소프트웨어보다 사용 제한이 없고 더 저렴한 대안으로 간주됩니다. 이는 직원들이 이를 사용하도록 유도합니다.
• 클라우드 사용 패턴을 모니터링해 승인되지 않은 클라우드 서비스에 대한 액세스를 식별하세요
• 어떤 대책을 도입하기 전에 승인된 모든 애플리케이션의 목록을 작성하세요
• 완전한 가시성을 확보하려면 이러한 방법을 함께 사용해야 합니다

Shadow IT를 예방하고 통제하는 방법은?

Shadow IT 위험을 예방하고 통제하는 방법은 다음과 같습니다:

• 클라우드 보안 액세스 브로커(CASB) 사용 – 클라우드 보안 액세스 브로커(CASB)는 회사 네트워크와 클라우드 보안을 관리하는 관문 역할을 할 수 있습니다. 이를 활용해 최적의 암호화 프로토콜, 액세스 제어 및 데이터 손실 방지(DLP) 조치입니다. 데이터 유출을 방지하고 민감한 데이터를 보호할 수 있습니다. 이를 활용해 SaaS 보안 모범 사례도 적용할 수 있습니다.
• 섀도 IT 인식 및 위험 관리 교육 실시 – 섀도 IT에 대한 이해도와 관계없이 모든 직원에게 교육이 필요합니다. 모두가 최신 섀도 IT 동향을 알면 속거나 예상치 못한 상황에 직면할 가능성이 줄어듭니다. 정기적으로 교육을 실시하고 직원의 이해도를 점검하세요. 다른 도구를 선호할 때 사용할 수 있는 섀도 IT 대안도 알려줘야 합니다.

섀도 IT의 이점

섀도 IT 도구는 사용자에게 다음과 같은 이점을 제공합니다:

섀도우 IT 위협의 영향은 다음과 같습니다:
• 섀도 IT 애플리케이션은 파일 공유와 메시지 교환을 더 편리하게 만듭니다. 직원 간 협업을 가속하고 부서 간 소통의 효율을 높일 수 있습니다.
• 섀도 IT 기술은 유연하고 구현하기 쉽습니다. 빠르게 배포할 수 있고 기존 시스템과 자연스럽게 연동됩니다. 조직의 성능 저하나 병목 현상도 해결할 수 있습니다.
• 섀도 IT 도구는 맞춤 설정도 쉬워 필요에 따라 기능을 추가하거나 제거할 수 있습니다. 기성 소프트웨어처럼 제한적이거나 클라우드 서비스처럼 기본 규칙이 정해져 있지 않습니다. 일부 섀도 IT 기술은 완전한 오픈 소스이며 무료이므로 비용도 절감할 수 있습니다.

섀도 IT의 위험과 과제

섀도 IT에는 다음과 같은 위험과 과제가 있습니다:

섀도우 IT는 MFA 및 역할 기반 접근 제어를 우회할 수 있습니다. 섀도우 IT 시스템은 데이터 도난, 손실, 애플리케이션 손상, 악성코드 감염 등 생산 위험을 증가시킬 수 있습니다.

무단 접근 권한을 가진 사용자는 민감한 데이터와 고객 데이터베이스에 중대한 변경을 가할 수 있습니다. 심지어 건강 기록을 변경하거나 정보를 조작하여 회사의 일상 운영에 영향을 미칠 수도 있습니다.

섀도 IT 활동은 의도적이든 아니든 생산 프로세스의 어느 부분에든 악성 코드를 주입할 수 있습니다. 이는 조직을 제로데이 공격 및 랜섬웨어 공격에 더 취약하게 만들 수 있습니다. 또한 방화벽을 무력화하고 침입 탐지 및 안티바이러스 시스템을 우회할 수도 있습니다.

가시성 부족

직원이 승인되지 않은 도구와 클라우드 기반 앱을 사용하면 IT 부서는 그 이면에서 무슨 일이 일어나는지 알 수 없습니다. 가시성을 잃고 보안 관리가 어려워집니다. 기업은 최신 보안 업데이트를 추적할 수 없고 엄격한 보안 조치도 효과적으로 시행할 수 없습니다.

취약한 데이터 보안

섀도 IT 도구는 민감한 데이터 유출이나 안전하지 않은 파일 공유를 초래할 수 있습니다. 승인되지 않은 공급업체가 만든 도구이므로 저장·전송되는 데이터에 무슨 일이 일어날지 알 수 없습니다. 조직의 평판과 재정에 심각한 피해를 줄 수 있습니다.

규정 준수 공백 발생

섀도 IT는 새로운 규정 준수 공백을 만들고 CIS Benchmark, NIST, HIPAA, GDPR과 같은 기존 데이터 보호 규정을 위반할 수 있습니다. 승인되지 않은 도구가 항상 업계 표준을 따르는 것은 아니므로 기업이 과태료, 소송 및 기타 제재에 노출될 가능성이 커집니다.

네트워크에서 실행 중인 무단 애플리케이션 및 서비스를 식별하기 위해 정기적인 네트워크 감사를 수행할 수 있습니다

네트워크 트래픽 모니터링을 구현하여 비정상적인 데이터 전송이나 의심스러운 연결을 포착해야 합니다.

경비 보고서 및 구매 데이터가 있다면 이를 분석하여 무단 소프트웨어 구매를 찾아낼 수 있습니다.

Google Workspace 또는 Azure Active Directory와 같은 SSO 및 ID 공급자와 연결하여 앱 사용자를 추적해야 합니다.

엔드포인트에 설치된 애플리케이션을 찾기 위해 배포할 수 있는 검색 에이전트와 브라우저 확장 프로그램이 있습니다.

승인되지 않은 신규 애플리케이션 사용 시 직원들에게 보고하도록 교육해야 합니다.

정기적인 보안 평가를 수행하지 않으면 섀도 IT가 계속해서 감지되지 않은 채로 증가할 것입니다.

클라우드 사용 패턴을 모니터링하여 무단으로 접근되는 클라우드 서비스를 식별할 수 있습니다.

어떤 솔루션을 구현하기 전에, 승인된 모든 애플리케이션에 대한 포괄적인 목록을 작성하십시오.

완전한 가시성을 확보하려면 이러한 방법들을 조합하여 사용해야 합니다.

비효율성과 분절된 워크플로

섀도 IT 앱은 IT 시스템과 원활하게 연동되지 않습니다. 워크플로가 분절되고 데이터의 일관성이 깨지며 운영에 차질이 생길 수 있습니다. 결국 장기적으로 직원 생산성과 조직 전체에 영향을 미칠 수 있습니다.

섀도 IT 관리 모범 사례

조직의 섀도 IT를 관리하려면 다음 모범 사례를 적용하세요:

• 접근 제어를 검토하고 법률 및 규제 준수 의무도 지켜야 합니다. 승인되지 않은 앱과 관련된 모든 트랜잭션을 살펴보고 트랜잭션 데이터를 비교 분석하세요. 앱별 다운로드 및 업로드 규모도 기록하세요.
• 보안 설정을 점검하고 조직이 최신 암호화 표준을 사용하고 있는지 확인하세요. 패치되지 않은 시스템이나 업데이트 누락이 발견되면 즉시 조치하세요. 동적 정책을 만들고 세부적으로 설정해 앱과 사용자 간 데이터 전송을 효과적으로 제어하는 것도 좋습니다.
• 최소 권한 접근 원칙을 채택하고 제로 트러스트 네트워크 보안 아키텍처를 구축하세요. 정책을 주기적으로 검토하고 최종 사용자 의견을 수집해 정책이 어떻게 작동하는지 확인하세요.
• 조직이 특정 정책이나 통제를 시행하지 않기로 할 때 유용한 예외 처리 체계도 마련하세요. 그러면 유연성을 확보하면서 섀도 IT 기술과 도구의 사용을 의무화하지 않을 수 있습니다.

섀도 IT의 사례

섀도우 IT 탐지 도구 사용 – 이 도구들은 기업이 섀도우 IT 기술을 찾아내고 식별하는 데 도움을 줍니다. 모든 섀도우 IT 위험에 대한 포괄적인 개요를 제공하고 실시간 모니터링 기능을 제공합니다. IT 부서는 필요한 가시성을 확보하고 섀도우 IT 문제에 신속하게 대응할 수 있게 됩니다.

CASB(클라우드 보안 액세스 브로커) 사용해 보기 – CASB(클라우드 보안 액세스 브로커)(CASB)는 회사 네트워크와 클라우드 보안. 이를 통해 최적의 암호화 프로토콜, 접근 제어 및 데이터 유출 방지(DLP) 조치를 구현할 수 있습니다. 또한 이를 통해 데이터 유출을 방지하고 민감한 데이터가 계속 보호되도록 보장할 수 있으며, 최고의 SaaS 보안 관행을 적용할 수 있습니다.

섀도우 IT 인식 및 위험 관리 교육 실시 — 당연한 말이지만, 섀도우 IT 관행에 대한 이해 여부와 관계없이 모든 직원을 대상으로 교육이 필요합니다. 모든 직원이 최신 섀도우 IT 동향을 인지하고 동일한 인식 수준을 유지할 때, 속거나 예상치 못한 상황에 휘말릴 가능성이 줄어듭니다.정기적인 교육 세션을 실시하고 직원들의 지식을 수시로 테스트하는 것이 중요합니다. 또한 다른 솔루션을 선호할 경우 사용할 수 있는 섀도우 IT 대안도 알아야 합니다.

섀도 IT가 사용되는 사례는 다음과 같습니다:

섀도우 IT의 장점
• 조직의 사전 승인 없이 전문 소프트웨어를 다운로드하면 기업 네트워크에 섀도 IT 위험이 유입될 수 있습니다. 직원이 섀도 IT 디자인 도구, CRM, 회계 도구 및 기타 SaaS 앱을 사용하면 규정 준수 문제가 발생하고 통제력이 약화될 수도 있습니다.
• 직원은 이사회 구성원과 이해관계자 모르게 섀도 IT 정책 제어 기능을 사용해 조직의 기존 보안 정책을 맞춤 설정할 수 있습니다. BYOD (Bring Your Own Device) 정책의 경우, 이를 무시하고 IT 부서에서 관리하지 않는 개인 노트북, 휴대전화, 태블릿을 업무에 사용할 수 있습니다. 이로 인해 여러 섀도 IT 사이버 보안 위험이 발생합니다.

결론

지금까지 조직에서 섀도 IT를 예방하고 이러한 도구와 기술의 사용을 막는 방법을 살펴봤습니다. 모든 섀도 IT가 나쁘다는 뜻은 아니지만, 대부분의 경우 해로울 수 있습니다. 조직의 요구 사항, 직원의 심리 상태, 모두의 업무 수행 방식에 따라 달라집니다.

지속적인 성공의 열쇠는 투명한 소통입니다. 따라서 직원들이 자유롭게 의견을 나누도록 장려하세요. 우려를 표현하고 싶지만 두려워하는 직원을 위해 익명 신고 채널도 만들 수 있습니다. 그러면 직원들이 섀도 IT를 사용하지 않고도 자신의 생각을 표현할 수 있습니다.

필요한 소프트웨어에 직접 접근할 수 있을 때 직원들은 업무를 더 효율적으로 완료할 수 있습니다.

섀도우 IT 애플리케이션은 파일 공유를 훨씬 쉽게 만들고 메시징을 더 편리하게 합니다. 직원 간 협업을 가속화하고 부서 간 소통을 훨씬 효율적으로 할 수 있게 합니다.

섀도우 IT 기술은 매우 유연하고 구현이 쉽습니다. 신속하게 배포할 수 있으며 원활한 통합을 제공합니다. 조직이 성능 비효율성이나 병목 현상에 직면해 있다면, 이를 해결하는 데에도 도움이 될 수 있습니다.

섀도우 IT 도구는 또한 매우 맞춤화가 가능하여, 원하는 대로 기능을 추가하거나 제거할 수 있습니다. 상용 소프트웨어처럼 제한적이거나 클라우드 서비스처럼 내장된 규칙이 없습니다. 일부 섀도우 IT 기술은 완전히 오픈 소스이며 무료이므로 비용도 절감할 수 있습니다.

섀도우 IT의 위험과 과제

섀도우 IT의 위험과 과제는 다음과 같습니다:

가시성 부족

직원들이 승인되지 않은 도구와 클라우드 기반 애플리케이션을 사용할 때 IT 부서는 배경에서 무슨 일이 벌어지는지 알지 못합니다. 이로 인해 통제력을 상실하고 보안 관리가 어려워집니다. 기업은 최신 보안 업데이트를 추적할 수 없게 되며, 엄격한 보안 조치를 효과적으로 시행할 수 없습니다.

데이터 보안 취약성

섀도우 IT 도구는 민감한 데이터 유출이나 안전하지 않은 파일 공유를 유발할 수 있습니다. 이러한 도구는 승인되지 않은 공급업체가 제작했기 때문에, 해당 도구로 저장 및 전송되는 데이터에 어떤 일이 발생할지 예측할 수 없습니다. 이는 조직의 평판과 재정에 심각한 피해를 줄 수 있습니다.

규정 준수 격차 발생

섀도우 IT는 새로운 규정 준수 격차를 발생시키고 CIS 벤치마크, NIST, HIPAA 또는 GDPR과 같은 기존 데이터 보호 규정을 위반할 수 있습니다. 승인되지 않은 도구는 항상 업계 표준을 따르지 않으며, 회사가 법적 벌금, 소송 및 기타 처벌을 받기 쉽도록 만들 수 있습니다.

비효율성과 단절된 워크플로

섀도우 IT 애플리케이션은 IT 시스템과 원활하게 통합되지 않습니다. 이는 단절된 워크플로, 데이터 불일치 및 운영 중단을 초래할 수 있습니다. 궁극적으로 이러한 모든 요소는 직원 생산성에 영향을 미치며 장기적으로 조직 전체에 부정적인 영향을 끼칠 수 있습니다.

섀도우 IT 관리 모범 사례

조직 내 섀도우 IT를 관리하기 위해 구현할 수 있는 모범 사례는 다음과 같습니다:

• 조직 내 모든 사용자 계정을 검토하고 감사하십시오. SaaS 애플리케이션 사용 현황도 검토하고, 조직의 사용 및 위험 허용 기준과 부합하는지 확인하십시오.
• 또한 접근 제어를 검토하고 법적 및 규제 준수 의무를 준수해야 합니다. 승인되지 않은 앱과 관련된 모든 트랜잭션을 검토하고, 트랜잭션 데이터에 대한 비교 분석을 수행하며, 해당 앱 간 다운로드 및 업로드 볼륨을 기록하십시오.
• 보안 매개변수를 확인하고 조직이 최신 암호화 표준을 사용하고 있는지 확인하십시오. 또한 패치되지 않은 시스템이나 업데이트 부족의 징후가 있는 경우 즉시 조치를 취하십시오. 동적 정책을 세분화하여 앱과 사용자 간 데이터 전송을 효과적으로 제어할 수 있도록 하는 것도 권장됩니다.
• 최소 권한 원칙을 적용하고 제로 트러스트 네트워크 보안 아키텍처를 구축하십시오. 정책을 주기적으로 검토하고 최종 사용자 피드백을 수집하여 운영 현황을 확인하십시오.
• 또한 조직이 특정 정책이나 통제를 강제 적용하지 않으려는 경우 유용하게 활용될 수 있는 예외 처리 메커니즘을 마련하십시오. 이는 유연성을 제공하며 섀도우 IT 기술 및 도구 사용의 필요성을 강제하지 않습니다.

섀도우 IT 사례

실제 섀도우 IT 사례는 다음과 같습니다:

• Discord, Telegram, Signal, Slack과 같은 타사 앱을 사용하여 통신을 암호화하고 무단 파일 공유를 확산시킬 수 있습니다. 조직은 이러한 서비스를 통한 정보 흐름을 추적하거나 모니터링할 수 없습니다.
• 조직의 사전 승인 없이 전문 소프트웨어를 다운로드하면 회사 네트워크 내에 섀도우 IT 위험이 발생할 수 있습니다. 또한 직원들은 규정 준수 문제와 통제력 부족을 야기할 수 있는 섀도우 IT 디자인 도구, CRM, 계정 및 기타 SaaS 앱을 사용할 수도 있습니다.
• 직원들은 이사회 구성원 및 이해 관계자들의 지식 없이 섀도우 IT 정책 제어를 활용하고 이를 통해 조직의 기존 보안 정책을 맞춤 설정할 수 있습니다. BYOD(개인 기기 사용) 정책의 경우, 직원들은 이를 무시하고 IT 부서에서 관리하지 않는 개인 노트북, 휴대폰, 태블릿을 업무에 사용함으로써 여러 섀도 IT 사이버 보안 위험을 초래할 수 있습니다.

결론

이것이 바로 섀도우 IT를 방지하고 조직 내에서 이러한 도구와 기술의 사용을 막는 방법입니다. 모든 섀도우 IT가 나쁘다는 것은 아니지만, 대부분의 경우 해로울 수 있습니다. 이는 조직의 필요, 직원의 정신 상태, 그리고 모든 사람의 업무 수행 방식에 달려 있습니다.

투명한 의사소통은 지속적인 성공의 열쇠이므로, 개방적인 피드백을 장려해야 합니다. 또한 우려 사항을 제기하고 싶지만 두려워하는 직원들을 위해 익명 신고 채널을 마련할 수도 있습니다. 이를 통해 직원들은 섀도우 IT 관행에 의존하지 않고도 자신의 생각을 표현할 수 있는 통로를 확보하게 됩니다.