내부자 위협 유형 및 원인 분석

 

Carnegie Mellon 대학의 CERT Insider Threat Center, CSO 매거진, 딜로이트(Deloitte) 그리고 미국 비밀검찰국(U.S. Secret Service)이 2011년도에 실시한 사이버 보안과 관련된 설문조사 “2011 CyberSecurity Watch Survey”에 의하면 응답한 607개의 단체 중에서 46%의 응답자가 외부자 공격보다 내부자 공격이 피해가 더 심각하다고 대답하였으며, 가장 일반적인 내부자 사이버 범죄 유형으로 을 선정하였다.

 

<표 18> 내부자 사이버 범죄 유형

사이버 범죄 유형	비율
기업정보의 무단 접근 및 사용	63%
의도하지 않은 개인정보 및 민감 정보 유출	57%
바이러스, 웜, 악성코드	37%
지적 재산 절도	32%

* 출처: CERT Insider Threat Center, CSO Magazine, Deloitte, U.S. Secret Service (2011), “2011 CyberSecurity Watch Survey,”

 

또한, CERT Insider Threat Center에서 보유한 700건 이상의 사건 중에서 내부자가 유죄 판결받은 371건의 사건을 분석한 결과, 다음의 3가지 유형으로 분석되었다. 

 

IT 사보타주(Sabotage) 
“내부자가 IT 기술을 이용하여 조직이나 개인에게 직접적인 위해를 가하는 행위”를 의미한다. 즉, 내부자가 시스템을 파괴하거나 “중요 데이터를 삭제”하는 경우이며 웹사이트의 콘텐츠(Contents)를 변조하여 조직의 이미지를 실추시키는 것도 이 경우에 해당한다. 백도어 계정(Backdoor account)  이나 특정 조건에 실행되는 논리폭탄(Logic Bomb) , 원격에서 접속 가능한 사설 VPN 토큰(Token) 이 해당된다.

지식재산 절취(Theft of Intellectual Property)
“내부자가 IT 기술을 이용하여 조직의 중요 지적 재산을 절취하는 행위”를 의미한다. 여기에는 “산업스파이 행위와 고객정보, 소스코드 , 연구기술 및 설계도 등과 같은 정보를 절취”하는 행위가 여기에 해당한다. 

부정(Fraud)
“내부자가 IT 기술을 이용하여 개인의 이득을 위해 조직의 데이터를 무단으로 삭제하거나 위·변조 또는 절취하는 행위”를 의미한다. 여기에는 “주민등록번호, 신용카드번호, 계좌번호 등과 같은 중요 정보를 절취, 판매하는 행위나 돈을 받고 범죄기록, 운전기록, 복지 상태 등과 같은 중요 데이터의 변조 행위 또는 정부나 금융기관의 자금을 절취하는 행위”가 해당한다. 
<그림 15>는 유형별로 내부자 위협의 건수를 표시하였다. 유형별 건수를 보면 IT 사보타주 유형의 내부자 위협 건수는 101건, 부정 유형의 내부자 위협 건수는 194건, 지식재산권 절취 유형의 내부자 위협 건수는 42건으로 조사되었다. 또한, IT 사보타주 유형이면서 부정 유형인 내부자 위협 건수는 5건이었고, 부정 유형이면서 지식재산권 절취 유형은 7건으로 나타났다. 즉, 내부자 위협의 유형은 독립적인 유형으로 발생하기도 하지만 중복되어 발생함을 알 수 있다.

 

<그림 15> 유형별 내부자 위협 건수

* 출처: Silowash, George J, Dawn M Cappelli, Andrew P Moore, Randall F Trzeciak, Timothy Shimeall, and Lori Flynn (2012), “Common Sense Guide to Mitigating Insider Threats,”

 

 

 

 

<그림 16>는 최근 10년간 유형별 내부자 보안사고 추이를 보여주고 있다. 2008년도와 2009년도에 다른 해에 비해서 내부자 보안사고가 큰 폭으로 증가했음을 알 수 있고 최근에 내부자 보안사고가 줄어들고 있는 추세임을 알 수 있다.

 

 

<그림 16> 유형별 내부자 보안사고 추이

* 출처: Cappelli, Dawn M, Andrew P Moore, and Randall F Trzeciak (2012), The CERT Guide to Insider Threats,

 

 

[참고]

- 바이러스(Virus): 컴퓨터 프로그램에 잠입하여 컴퓨터로 하여금 본래 목적 이외의 처리를 하도록 하는 프로그램. (IT용어사전, 한국정보통신기술협회)

- 웜(Worm): 네트워크를 통해 자신을 복제하고 전파할 수 있는 악성 프로그램을 말한다. 다른 프로그램에는 영향을 주지 않지만 특정 컴퓨터에 숨어 있다가 네트워크를 통해 연결된 다른 컴퓨터에 침투하여 감염시킨다. 컴퓨터에 직접적으로 피해를 입히지는 않지만 자기복제능력을 가지고 있어서 연결되어 있는 컴퓨터에 끊임없이 자기를 복제하는 바이러스 프로그램의 한 종류이다. (시사상식사전, 박문각)

- 악성코드: 악의적인 목적을 위해 작성된 실행 가능한 코드의 통칭으로 자기 복제 능력과 감염 대상 유무에 따라 바이러스, 웜, 트로이목마 등으로 분류된다. (두산백과)

- 소스코드(Source Code): 디지털기기의 소프트웨어 내용을 프로그래밍 언어로 나타낸 설계도다. 완성된 소스코드를 컴퓨터가 이해할 수 있는 기계언어로 변환하면 실행 가능한 소프트웨어가 형성된다. (시사상식사전, 박문각)

- 백도어(Backdoor): 말 그대로 '뒷문'이라는 뜻으로, 시스템 접근에 대한 사용자 인증 등 정상적인 절차를 거치지 않고 응용 프로그램 또는 시스템에 접근할 수 있도록 하는 프로그램이다. (상식사전, 박문각)
- 논리폭탄(Logic Bomb): 보통의 프로그램에 오류를 발생시키는 프로그램 루틴을 무단으로 삽입하여, 특정한 조건의 발생이나 특정한 데이터의 입력을 기폭제로 컴퓨터에 부정한 행위를 실행시키는 것. 프로그램이 전혀 예상하지 못한 파국적인 오류를 범하게 한다. (IT용어사전, 한국정보통신기술협회)
- VPN 토큰(Token): 인터넷망을 전용선처럼 사용할 수 있도록 특수 통신체계와 암호화기법을 제공하는 서비스로 기업 본사와 지사 또는 지사 간에 전용망을 설치한 것과 같은 효과를 거둘 수 있으며, 기존 사설망의 고비용 부담을 해소하기 위해 사용한다. (시사상식사전, 박문각)