직원들은 현재 사용 중인 기술이나 업무 흐름에 만족하지 않을 수 있습니다. 일부는 직장에서 발생할 수 있는 문제에 대한 우려를 아직 표출하지 않았을 수도 있습니다. 섀도우 IT의 위험은 간과할 수 없으며, 종종 이러한 감정에서 시작됩니다. 조직 문화에 대한 두려움으로 불만을 품은 직원은 업무를 수행하기 위해 섀도우 IT 도구를 사용하게 될 수 있습니다.
그 이유는 무엇일까요? 상사를 화나게 하거나 현재 프로세스가 비효율적이라는 사실을 동료들에게 알리고 싶지 않기 때문입니다. 그러나 그 작은 자발적 행동이 새로운 위험을 초래할 수 있다는 사실을 그는 모르고 있습니다. 실행하는 소프트웨어에 악성 코드가 포함되어 있을 수 있으며, 섀도우 IT 소프트웨어는 프로토타입이나 베타 단계일 수 있습니다. 본 가이드는 사이버 보안에서 섀도우 IT가 무엇인지 설명합니다. 섀도우 IT 보안이 어떻게 작동하는지, 섀도우 IT 도구에 관한 모든 것 등을 아래에서 이해하실 수 있습니다.
섀도우 IT란 무엇인가?
때로는 기존 보안 도구와 IT 시스템만으로는 특정 작업을 수행하기에 부족할 때가 있습니다. 이때 일부 직원들은 중앙 IT 당국과 시스템의 승인을 받지 않은 전문 소프트웨어 및 도구를 사용하기로 결정합니다. 섀도우 IT는 제한을 우회할 뿐만 아니라 여러 보안 위험을 초래하기 때문에 기업들에게 큰 문제가 되고 있습니다. 가트너 연구에 따르면, 미래의 직원들은 IT 부서의 감시 범위를 벗어난 기술을 계속해서 수정하거나 개발할 것입니다.
대부분의 섀도우 IT 보안 위험은 눈에 띄지 않게 숨어 있습니다. 그러나 종종 간과되거나 탐지 속도가 매우 느릴 수 있습니다. 알려지지 않은 SaaS 도구, 중단 예정이지만 여전히 사용 중인 레거시 시스템, 중복 데이터베이스, 승인되지 않은 플랫폼을 통한 무단 파일 공유 또는 협업 등이 온프레미스, 하이브리드, 멀티 클라우드 환경 전반에서 발생하는 섀도우 IT 활동의 예입니다.
섀도우 IT의 원인
섀도우 IT의 원인은 특정 직원의 업무 요구를 충족시키기 위한 것으로, 이러한 도구는 편의성을 위해 사용됩니다. 다음은 주요 원인 중 일부입니다.
- 더 익숙함 — 직원들은 섀도우 IT 도구를 사용함으로써 직장에서 더 편안하거나 생산적이라고 느낄 수 있습니다. 이러한 기술이 업무를 더 빠르고 원활하게 완료하는 데 도움이 된다고 느낄 수 있습니다.
- 보안 인식 부족 및 위험 – 일부 직원은 순진하게도 이러한 비승인 도구가 안전하다고 생각합니다. 섀도우 IT 도구에 악성 코드가 포함될 수 있다는 사실을 인지하지 못할 수 있습니다.
- 느린 승인 절차 — 직원들은 새로운 기술에 대한 승인이나 소프트웨어/공식 도구의 승인 대기 시간이 길어 지치기도 합니다. 결국 조직 내 다른 구성원들의 알지 못하는 사이 섀도우 IT 작업 관행에 의존하게 됩니다.
- 예산 제약 — 일부 섀도우 IT 도구는 조직 내 승인된 소프트웨어보다 사용 제한이 없고 더 저렴한 대안으로 간주됩니다. 이는 직원들이 이를 사용하도록 유도합니다.
섀도우 IT의 영향
섀도우 IT는 눈에 띄는 증거 없이 배경에서 조용히 진행되는 실질적인 위험과 위협을 초래합니다.
섀도우 IT 위협의 영향은 다음과 같습니다:
- 섀도우 IT는 MFA 및 역할 기반 접근 제어를 우회할 수 있습니다. 섀도우 IT 시스템은 데이터 도난, 손실, 애플리케이션 손상, 악성코드 감염 등 생산 위험을 증가시킬 수 있습니다.
- 무단 접근 권한을 가진 사용자는 민감한 데이터와 고객 데이터베이스에 중대한 변경을 가할 수 있습니다. 심지어 건강 기록을 변경하거나 정보를 조작하여 회사의 일상 운영에 영향을 미칠 수도 있습니다.
- 섀도 IT 활동은 의도적이든 아니든 생산 프로세스의 어느 부분에든 악성 코드를 주입할 수 있습니다. 이는 조직을 제로데이 공격 및 랜섬웨어 공격에 더 취약하게 만들 수 있습니다. 또한 방화벽을 무력화하고 침입 탐지 및 안티바이러스 시스템을 우회할 수도 있습니다.
섀도우 IT를 탐지하는 방법?
정기적인 네트워크 모니터링과 검증을 통해 섀도우 IT를 탐지할 수 있습니다. 다음은 몇 가지 방법입니다:
- 네트워크에서 실행 중인 무단 애플리케이션 및 서비스를 식별하기 위해 정기적인 네트워크 감사를 수행할 수 있습니다
- 네트워크 트래픽 모니터링을 구현하여 비정상적인 데이터 전송이나 의심스러운 연결을 포착해야 합니다.
- 경비 보고서 및 구매 데이터가 있다면 이를 분석하여 무단 소프트웨어 구매를 찾아낼 수 있습니다.
- Google Workspace 또는 Azure Active Directory와 같은 SSO 및 ID 공급자와 연결하여 앱 사용자를 추적해야 합니다.
- 엔드포인트에 설치된 애플리케이션을 찾기 위해 배포할 수 있는 검색 에이전트와 브라우저 확장 프로그램이 있습니다.
- 승인되지 않은 신규 애플리케이션 사용 시 직원들에게 보고하도록 교육해야 합니다.
- 정기적인 보안 평가를 수행하지 않으면 섀도 IT가 계속해서 감지되지 않은 채로 증가할 것입니다.
- 클라우드 사용 패턴을 모니터링하여 무단으로 접근되는 클라우드 서비스를 식별할 수 있습니다.
- 어떤 솔루션을 구현하기 전에, 승인된 모든 애플리케이션에 대한 포괄적인 목록을 작성하십시오.
- 완전한 가시성을 확보하려면 이러한 방법들을 조합하여 사용해야 합니다.
섀도우 IT를 방지하고 통제하는 방법은?
섀도우 IT 위험을 방지하고 통제하는 방법은 다음과 같습니다:
- 섀도우 IT 탐지 도구 사용 – 이 도구들은 기업이 섀도우 IT 기술을 찾아내고 식별하는 데 도움을 줍니다. 모든 섀도우 IT 위험에 대한 포괄적인 개요를 제공하고 실시간 모니터링 기능을 제공합니다. IT 부서는 필요한 가시성을 확보하고 섀도우 IT 문제에 신속하게 대응할 수 있게 됩니다.
- CASB(클라우드 보안 액세스 브로커) 사용해 보기 – CASB(클라우드 보안 액세스 브로커)(CASB)는 회사 네트워크와 클라우드 보안. 이를 통해 최적의 암호화 프로토콜, 접근 제어 및 데이터 유출 방지(DLP) 조치를 구현할 수 있습니다. 또한 이를 통해 데이터 유출을 방지하고 민감한 데이터가 계속 보호되도록 보장할 수 있으며, 최고의 SaaS 보안 관행을 적용할 수 있습니다.
- 섀도우 IT 인식 및 위험 관리 교육 실시 — 당연한 말이지만, 섀도우 IT 관행에 대한 이해 여부와 관계없이 모든 직원을 대상으로 교육이 필요합니다. 모든 직원이 최신 섀도우 IT 동향을 인지하고 동일한 인식 수준을 유지할 때, 속거나 예상치 못한 상황에 휘말릴 가능성이 줄어듭니다.정기적인 교육 세션을 실시하고 직원들의 지식을 수시로 테스트하는 것이 중요합니다. 또한 다른 솔루션을 선호할 경우 사용할 수 있는 섀도우 IT 대안도 알아야 합니다.
섀도우 IT의 장점
섀도우 IT 도구는 사용자에게 다음과 같은 이점을 제공합니다:
- 필요한 소프트웨어에 직접 접근할 수 있을 때 직원들은 업무를 더 효율적으로 완료할 수 있습니다.
- 섀도우 IT 애플리케이션은 파일 공유를 훨씬 쉽게 만들고 메시징을 더 편리하게 합니다. 직원 간 협업을 가속화하고 부서 간 소통을 훨씬 효율적으로 할 수 있게 합니다.
- 섀도우 IT 기술은 매우 유연하고 구현이 쉽습니다. 신속하게 배포할 수 있으며 원활한 통합을 제공합니다. 조직이 성능 비효율성이나 병목 현상에 직면해 있다면, 이를 해결하는 데에도 도움이 될 수 있습니다.
- 섀도우 IT 도구는 또한 매우 맞춤화가 가능하여, 원하는 대로 기능을 추가하거나 제거할 수 있습니다. 상용 소프트웨어처럼 제한적이거나 클라우드 서비스처럼 내장된 규칙이 없습니다. 일부 섀도우 IT 기술은 완전히 오픈 소스이며 무료이므로 비용도 절감할 수 있습니다.
섀도우 IT의 위험과 과제
섀도우 IT의 위험과 과제는 다음과 같습니다:
가시성 부족
직원들이 승인되지 않은 도구와 클라우드 기반 애플리케이션을 사용할 때 IT 부서는 배경에서 무슨 일이 벌어지는지 알지 못합니다. 이로 인해 통제력을 상실하고 보안 관리가 어려워집니다. 기업은 최신 보안 업데이트를 추적할 수 없게 되며, 엄격한 보안 조치를 효과적으로 시행할 수 없습니다.
데이터 보안 취약성
섀도우 IT 도구는 민감한 데이터 유출이나 안전하지 않은 파일 공유를 유발할 수 있습니다. 이러한 도구는 승인되지 않은 공급업체가 제작했기 때문에, 해당 도구로 저장 및 전송되는 데이터에 어떤 일이 발생할지 예측할 수 없습니다. 이는 조직의 평판과 재정에 심각한 피해를 줄 수 있습니다.
규정 준수 격차 발생
섀도우 IT는 새로운 규정 준수 격차를 발생시키고 CIS 벤치마크, NIST, HIPAA 또는 GDPR과 같은 기존 데이터 보호 규정을 위반할 수 있습니다. 승인되지 않은 도구는 항상 업계 표준을 따르지 않으며, 회사가 법적 벌금, 소송 및 기타 처벌을 받기 쉽도록 만들 수 있습니다.
비효율성과 단절된 워크플로
섀도우 IT 애플리케이션은 IT 시스템과 원활하게 통합되지 않습니다. 이는 단절된 워크플로, 데이터 불일치 및 운영 중단을 초래할 수 있습니다. 궁극적으로 이러한 모든 요소는 직원 생산성에 영향을 미치며 장기적으로 조직 전체에 부정적인 영향을 끼칠 수 있습니다.
섀도우 IT 관리 모범 사례
조직 내 섀도우 IT를 관리하기 위해 구현할 수 있는 모범 사례는 다음과 같습니다:
- 조직 내 모든 사용자 계정을 검토하고 감사하십시오. SaaS 애플리케이션 사용 현황도 검토하고, 조직의 사용 및 위험 허용 기준과 부합하는지 확인하십시오.
- 또한 접근 제어를 검토하고 법적 및 규제 준수 의무를 준수해야 합니다. 승인되지 않은 앱과 관련된 모든 트랜잭션을 검토하고, 트랜잭션 데이터에 대한 비교 분석을 수행하며, 해당 앱 간 다운로드 및 업로드 볼륨을 기록하십시오.
- 보안 매개변수를 확인하고 조직이 최신 암호화 표준을 사용하고 있는지 확인하십시오. 또한 패치되지 않은 시스템이나 업데이트 부족의 징후가 있는 경우 즉시 조치를 취하십시오. 동적 정책을 세분화하여 앱과 사용자 간 데이터 전송을 효과적으로 제어할 수 있도록 하는 것도 권장됩니다.
- 최소 권한 원칙을 적용하고 제로 트러스트 네트워크 보안 아키텍처를 구축하십시오. 정책을 주기적으로 검토하고 최종 사용자 피드백을 수집하여 운영 현황을 확인하십시오.
- 또한 조직이 특정 정책이나 통제를 강제 적용하지 않으려는 경우 유용하게 활용될 수 있는 예외 처리 메커니즘을 마련하십시오. 이는 유연성을 제공하며 섀도우 IT 기술 및 도구 사용의 필요성을 강제하지 않습니다.
섀도우 IT 사례
실제 섀도우 IT 사례는 다음과 같습니다:
- Discord, Telegram, Signal, Slack과 같은 타사 앱을 사용하여 통신을 암호화하고 무단 파일 공유를 확산시킬 수 있습니다. 조직은 이러한 서비스를 통한 정보 흐름을 추적하거나 모니터링할 수 없습니다.
- 조직의 사전 승인 없이 전문 소프트웨어를 다운로드하면 회사 네트워크 내에 섀도우 IT 위험이 발생할 수 있습니다. 또한 직원들은 규정 준수 문제와 통제력 부족을 야기할 수 있는 섀도우 IT 디자인 도구, CRM, 계정 및 기타 SaaS 앱을 사용할 수도 있습니다.
- 직원들은 이사회 구성원 및 이해 관계자들의 지식 없이 섀도우 IT 정책 제어를 활용하고 이를 통해 조직의 기존 보안 정책을 맞춤 설정할 수 있습니다. BYOD(개인 기기 사용) 정책의 경우, 직원들은 이를 무시하고 IT 부서에서 관리하지 않는 개인 노트북, 휴대폰, 태블릿을 업무에 사용함으로써 여러 섀도 IT 사이버 보안 위험을 초래할 수 있습니다.
결론
이것이 바로 섀도우 IT를 방지하고 조직 내에서 이러한 도구와 기술의 사용을 막는 방법입니다. 모든 섀도우 IT가 나쁘다는 것은 아니지만, 대부분의 경우 해로울 수 있습니다. 이는 조직의 필요, 직원의 정신 상태, 그리고 모든 사람의 업무 수행 방식에 달려 있습니다.
투명한 의사소통은 지속적인 성공의 열쇠이므로, 개방적인 피드백을 장려해야 합니다. 또한 우려 사항을 제기하고 싶지만 두려워하는 직원들을 위해 익명 신고 채널을 마련할 수도 있습니다. 이를 통해 직원들은 섀도우 IT 관행에 의존하지 않고도 자신의 생각을 표현할 수 있는 통로를 확보하게 됩니다.
FAQs
섀도우 IT란 IT 부서의 인지나 승인 없이 사용되는 모든 소프트웨어, 하드웨어 또는 디지털 서비스를 의미합니다. 직원이 클라우드 계정을 생성하거나, 앱을 다운로드하거나, 업무에 개인 기기를 사용하는 경우 발생합니다. 이들은 업무를 더 빠르게 처리하기 위해 공식 절차를 우회합니다. 이 경우 조직은 회사 데이터의 이동 경로와 접근 방식을 파악하고 통제할 수 없게 됩니다. 존재조차 모르는 것을 보호할 수는 없습니다.
섀도우 IT 정책은 조직 내에서 승인되지 않은 기술 사용에 관한 명확한 규칙을 설정합니다. 직원이 사용할 수 있는 도구, 새 소프트웨어 요청 방법, 규칙을 따르지 않을 경우의 조치 등을 규정합니다. 위험 수준에 따른 단계적 접근 방식을 적용할 수 있습니다. 저위험 도구는 신속 승인, 중위험 도구는 수정 필요, 고위험 도구는 즉시 사용 금지입니다. 효과적인 정책을 수립할 때는 기존 섀도 IT를 신고할 수 있는 유예 기간을 포함해야 합니다.
섀도우 IT는 네트워크에 심각한 보안 취약점을 생성합니다. 직원들이 승인되지 않은 도구를 사용할 경우 민감한 데이터가 잠재적 침해 위험에 노출됩니다. 존재조차 모르는 것을 패치하거나 모니터링할 수 없습니다. 섀도우 IT가 존재할 경우 데이터 유출로 인한 비용이 평균 약 424만 달러로 증가합니다. 또한 GDPR, HIPAA, PCI-DSS와 같은 규정 준수 위반을 초래하여 심각한 벌금 및 제재를 받을 수 있습니다.
직원들은 공식 도구가 요구사항을 충족하지 못할 때 섀도우 IT를 선택합니다. 승인된 소프트웨어가 복잡하거나 구식이라고 느껴지면 더 빠르고 간단한 대안을 찾게 됩니다. 엄격한 IT 승인 절차가 존재할 경우, 직원들은 지연을 피하기 위해 이를 우회합니다. 승인된 도구로 업무를 효율적으로 수행할 수 없을 때 대안을 찾게 됩니다. 재택근무로 신속한 해결책이 필요하거나 회사 승인 옵션에 없는 특정 기능이 필요할 때 이러한 행동이 증가하는 것을 목격하게 될 것입니다.
섀도우 IT는 조직 전반에 걸쳐 다양한 형태로 나타납니다. 직원들은 업무 파일을 공유하기 위해 개인 Google Drive나 Dropbox 계정을 사용합니다. 개인 인증 정보를 이용해 승인되지 않은 클라우드 워크로드를 설정하기도 합니다. 기기를 확인하면 WhatsApp 같은 승인되지 않은 메시징 앱이나 무단 Zoom 계정을 발견할 수도 있습니다. IT 구매 한도 미만의 SaaS 구독을 구매하기도 합니다. IT 승인 없이 Trello나 Asana 같은 생산성 도구를 사용하는 직원들도 발견할 수 있습니다.
네트워크를 정기적으로 스캔하는 자산 탐지 도구를 사용해 섀도우 IT를 찾을 수 있습니다. 이를 통해 무단 애플리케이션과 클라우드 서비스를 찾아낼 수 있습니다. 네트워크 트래픽을 모니터링하면 섀도우 IT 사용을 암시하는 비정상적인 패턴을 발견할 수 있습니다. 자동화된 클라우드 탐지 도구를 도입하여 직원이 승인되지 않은 서비스에 접근할 때 감지해야 합니다. 정기적인 인벤토리 감사를 통해 회사 데이터에 접근하는 개인 기기를 식별할 수 있습니다. 고위험 SaaS 애플리케이션에 대한 지속적인 모니터링을 유지하여 접근 패턴을 추적해야 합니다.
새로운 기술에 대한 명확하고 간단한 승인 절차를 마련해야 합니다. 저위험 도구에 대한 신속 승인 시스템을 도입하면 직원들이 IT 부서를 우회하지 않을 것입니다. 직원들이 승인되지 않은 도구를 사용하는 이유를 파악하고 그 격차를 해소하세요. 직원들의 요구를 충족하는 안전한 대안을 배포해야 합니다. 승인되지 않은 메시징 앱을 사용하는 경우 Microsoft Teams나 Slack을 제공하세요. 섀도우 IT를 신고한 직원에게 처벌을 가하지 않으면서 보안 위험에 대해 교육해야 합니다.
IT 부서가 섀도우 IT 관리를 주도하지만, 단독으로 수행할 수는 없습니다. 정책을 시행해야 하는 부서장들의 지원이 필요합니다. 보안 담당자라면 네트워크를 모니터링하고 탐지 도구를 구현해야 합니다. 경영진은 자원 배분과 정책 수립을 지원해야 합니다. 직원들은 사용 중인 무허가 도구를 보고함으로써 책임을 다해야 합니다. 모두가 협력할 때, 섀도우 IT가 숨겨지지 않고 드러나는 문화가 조성됩니다.
섀도우 IT는 규정 준수에 심각한 위험을 초래합니다. 데이터가 승인되지 않은 경로를 통해 이동할 경우 GDPR, HIPAA, SOX와 같은 규정 요건을 충족하지 못하게 됩니다. 섀도우 시스템에 고객 정보가 존재하면 적절한 접근 통제나 암호화를 적용할 수 없습니다. 중앙 관리 체계 밖에서 섀도우 데이터가 존재하면 데이터 거버넌스 프레임워크가 무너집니다. 특히 개발 환경이나 폐기된 애플리케이션에 민감한 정보가 포함된 데이터 사본이 방치된 경우 가장 우려해야 합니다.
