정보 보안 팁

우리는 동료들이 옳은 일을 할 것이라고 믿습니다. 안타깝게도 항상 그런 것은 아닙니다. 어떤 사람들은 내부자 위협, 즉 시스템에 대한 승인된 액세스 권한을 사용하여 조직에 해를 끼치는 위협이 됩니다. 예를 들어, 누군가 데이터베이스의 정보를 제3자에게 판매할 수 있습니다.

내부자 위협에는 세 가지 유형이 있습니다:

1. 의도하지 않은 - 이 사용자( DOE )는 위협을 가할 의도는 없었지만 부주의로 인해 위협을 가한 경우입니다. 노트북이나 플래시 드라이브를 잃어버리거나 소프트웨어 업데이트에 실패하거나 소프트웨어 또는 클라우드 저장소를 설정할 때 지침을 무시할 수 있습니다. 세부 사항에 대한 주의력이 부족하여 잘못된 사람에게 데이터를 이메일로 전송하여 유출을 유발하는 등 조직에 피해를 주는 실수를 저지를 수 있습니다.
2. 의도적 - 조직에 해를 끼치려는 의도가 있는 사람으로 흔히 "악의적인 내부자"라고 불립니다. 금전적인 이득을 얻거나, 사소한 일에 대한 복수를 하거나, 다른 동기를 가지고 있을 수 있습니다. 이들은 돈이나 정치적 신념을 위해 제3자에게 정보를 유출하거나 부업을 진행하기 위해 정보를 훔치거나 조직을 방해하기 위해 데이터를 파괴할 수 있습니다.
3. 공모 또는 제3자 - 공모 위협 내부자가 외부자와 협력하여 조직을 손상시킬 때 발생합니다. 외부인은 사기, 지적 재산권 도용, 스파이 행위 또는 기타 범죄를 저지르기 위해 정보를 얻기 위해 내부자를 고용할 수 있습니다.  타사 위협 내부자가 조직의 네트워크 또는 시설에 액세스할 수 있는 계약업체나 공급업체에서 근무하는 경우 내부자가 위협이 되도록 조작되어 자신이 하는 일이 해롭다는 것을 인식하지 못할 수 있습니다.

의도적인 내부자 위협의 몇 가지 지표는 다음과 같습니다:

• 재정, 관계, 가족 또는 직장 문제와 같은 삶의 변화.
• 우울증, 분노 또는 약물 또는 알코올 중독의 징후와 같은 행동 변화. 하지만 도움을 요청하는 동료는 현명한 판단력을 발휘하고 있습니다.
• 점심을 먹으며 일하거나, 동료의 업무 범위에 속하지 않는 정보나 시스템에 액세스하거나 질문하는 등의 업무 습관 변화, 보안 정책 및 관행을 무시하는 행위 등입니다.

의도치 않은 내부자들도 많습니다:

• 사이버 위생에 대한 교육이 제대로 이루어지지 않은 조직 DOE 직원에게 교육을 실시하지 않거나 주의를 기울이지 않아서입니다.
• 노트북이나 플래시 드라이브 분실.
• 기술에 익숙하지 않거나 자신보다 더 많이 안다고 생각하여 새 소프트웨어를 설치하거나 클라우드 스토리지를 설정할 때 지침을 따르지 않는 경우.

우리 모두는 실수를 하지만, 의도치 않게 실수를 저지르는 많은 내부자들은 자신이 하는 일에 주의를 기울이지 않습니다. 세부 사항에 대한 주의가 부족하면 조직은 침해 및 멀웨어의 위험에 노출됩니다.

내부자 위협의 가능성을 줄이기 위해 조직은 조직 내 인력을 파악하고, 자산을 파악하고, 위험의 우선순위를 정하고, 탐지 및 식별-평가-관리하는 검증된 운영 방식을 확립하는 등 포괄적인 프로그램을 개발해야 합니다.  조직은 타사 서비스 제공업체가 필요한 시스템과 건물 내 영역에만 액세스할 수 있도록 추가 조치를 취해야 합니다.

사이버 보안 및 인프라 보안 기관(CISA)에서는 내부자 위협 완화에 대한 자세한 정보를 https://www.cisa.gov/insider-threat-mitigation 에서 확인할 수 있습니다.