보안연구부 -2017-004 PC 기반스마트워크이용자보안고려사항 ( 보안연구부보안기술연구팀 / 2017.2.8.) 개요 스마트워크는유연근무제의일환으로개인또는기업소유의 IT 단말기 (PC, 노트북, 스마트폰등 ) 를이용하여거주지, 원격지 ( 도서관, 카페, 기업외부의업무현장등 ) 또는스마트워크센터에서장소의제약없이업무를수행하는방식 < 유연근무제개괄 > ( 개요 ) 이용자의삶의질개선, 기혼여성들의노동참여기회증가, 회사의생산성, 만족도, 직무몰입도증가등을위한수단으로써주목받음 ( 대표유형 ) 시간제근무, 선택적근로시간제, 탄력근로제, 재량근무제, 스마트워크 ( 모바일오피스, 재택 / 원격근무, 스마트워크센터근무 ) 등이존재하며, 회사들은조직에적합한형태로변형하여적용 ( 도입현황 ) 국내의경우해외보다도입수준이낮지만정부정책과사무환경변화로인해이용률이꾸준히증가하고있으며, 금융권에서의유연근무제도입사례도증가하고있음 - ( 국내도입사례 ) 고용노동부, 교육부, 국민안전처, 신한은행, 한국증권금융등 - ( 해외도입사례 ) 마스터카드, 씨티은행, 미쓰비시도쿄UFJ은행, 미쓰이스미토모은행등 현재 IT 단말기를이용한스마트워크의도입이꾸준히확대될것으로 예측 1) 되지만대다수의기업이보안성을우려 2) - PC 단말기경우재택근무에많이활용 3) 되어이를위한가이드필요 최근 NIST 4) 에서는 PC( 데스크탑, 노트북등 ) 기반의스마트워크이용자가 업무시고려해야할보안사항에관련된가이드 5) 를발간하였으며, 본 보고서에서는동가이드를중심으로소개 1) MarketsandMarkets, BYOD & Enterprise Mobility Market worth 73.30 Billion USD by 2021, 2016.11. 2) ZDNet, Research: 74 percent using or adopting BYOD(Topic: CES 2015 The Big Trends for Business), Teena Maddox, 2015.1. 3) 한국정보화진흥원 (NIA), 스마트워크이용현황실태조사, 2015.12. 4) NIST(National Institute of Standards and Technology): 미 ( 美 ) 정부기관으로서산업현장의국가표준을선정하고개발, 적용하며, 특히정보보호분야의기술적, 관리적표준문서를개발및배포 ( 자료 : 금융보안원, 금융 IT 보안관련해외국제기구조사및활용방안, 2016.11.28.) 5) NIST, User s Guide to Telework and Bring Your Own Device (BYOD) Security, 2016.7. - 1 -
PC와모바일단말기의주요차이점 o PC와모바일단말기사이의경계가모호해지고있지만주요구성요소 ( 디바이스, OS, 네트워크, S/W) 에서상이한특징이존재하며, 일부특징으로인해차별적보안위협이존재가능 < PC와모바일단말기의주요차이점비교 > 구분 특징 PC 모바일단말기 디바이스 성능 휴대성 원하는성능의디바이스환경 (CPU, RAM, HDD 등 ) 구축가능데스크탑은불가능, 노트북은제한적으로가능 출시제품을폐기시까지 사용하며, PC 에비해제한된성능 항시휴대가능 관리자권한 사용가능 - ( 루팅 / 탈옥시가능 ) OS 다수의계정 공유자원 사용자또는애플리케이션에 의해여러개의계정존재가능 Windows 의경우디폴트공유 폴더존재 - - 자원통제 - ( 별도의 S/W 이용시가능 ) 샌드박싱기능을통한 자원공유및정보접근제어 유선접속가능 - 네트워크 무선접속 데스크탑불가 ( 별도의장치 이용시가능 ), 노트북가능 가능 - 앱스토어를통해검증된 S/W 설치 사용자가직접 S/W 출처의 안전여부를확인후설치 개발자가올린 S/W 설치 - 상대적으로제한된성능으로 인한 S/W 설치 참조 : NIST, Guidelines for Managing the Security of Mobile Devices in the Enterprise, 2016. MWR Infosecurity, Mobile vs PC Banking, Rorie Hood, 2016.1.29. Computer Hope, Computer vs. Smartphone. - 2 -
스마트워크보안위협 스마트워크수행시발생가능한보안위협을 NIST 가이드 5), 금융보안원 가이드 6) 등을참고하여 5 가지유형으로구분 < 스마트워크보안위협의 5 가지유형 > 구분분실 도난인터넷이용접속악성코드감염기업외부에서내부자원이용이용자소유의단말기접속 단말기분실및도난시비인가자의불법접근으로단말기내의민감한 정보또는기업내부시스템으로접근가능성이존재 기업외부에서내부로의접속시공용네트워크 ( 인터넷망, 근거리무선 통신망 ) 를이용하므로사설망에비해상대적으로보안성이낮음 단말기사용환경의취약점으로인해악성코드에감염된단말기가기업 내부시스템접속시악성코드의전파가능성이존재 비인가자가기업외부에서내부시스템에접근하여업무정보의불법접근 가능성이존재 * * 아이디 / 비밀번호가저장된단말기또는로그아웃하지않은단말기등을 타인에게노출시킬경우불법접근가능 보안통제가어려운이용자소유의단말기가스마트워크에사용될경우 업무정보유출의위험존재 * * 기업에서보안프로그램등이설치된단말기를배부했더라도, 관리의 주체가이용자로변경되면서업데이트미설치등업무환경관리가어려움 PC기반스마트워크보안고려사항 PC기반스마트워크를 4가지영역 ( 민감정보보호, 네트워크, 디바이스, 애플리케이션 ) 으로구분하고 PC 운영환경의특수성을고려한보안고려사항을소개 모바일단말기와의공통부분은 [ 참고 ] PC와모바일단말기의공통보안고려사항 참조 6) 금융보안원, 금융권모바일오피스보안가이드, 2016.12. - 3 -
< PC 기반스마트워크구성도예시 > ( 민감정보보호 ) PC 단말기는모바일단말기에비해이용자부재시업무공간에그대로방치될가능성이높아타인의접근에의한민감정보유출에대한적절한보안조치가요구 - 이용자는스마트워크환경에서민감정보 ( 기업내부정보, 고객정보, 개인정보등 ) 활용시기업의보안정책에따라접근통제, 사용자인증등의적절한보안조치를적용할필요 < 민감정보보호고려요소 > 구분물리적접근통제사회공학적공격대응 - PC, 노트북, 저장매체 (CD, USB 등 ) 등을비인가자가물리적으로접근할수있는환경에노출시켜서는안됨 - 공공장소에서사회공학적방법을통해아이디 / 비밀번호탈취로단말기에접근할수있으므로이러한공격을인지하고대응하는교육및수단필요 - 의심스러운작업탐지시 IP, 사용된인증수단등의추적방법이필요하며, OTP 등개인인증을위한추가수단마련필요 ( 네트워크 ) PC 단말기가유선통신망접속시공격자의접근을차단하기위한네트워크분리가요구되고, 무선통신망접속의경우암호화된접근통제방식이요구 - 보안신뢰성이불투명한외부장소 ( 카페, 도서관등 ) 에서제공하는네트워크사용시이용자는보안위험성을인지하고네트워크분리, 보안업데이트의최신버전유지등의보호조치가필요 - 4 -
< 네트워크보안고려요소 > 구분내 / 외부네트워크의분리외부장소의네트워크사용 - 외부네트워크와 PC 단말기의직접적인연결시공격자에게쉽게노출될수있으므로네트워크의분리가필요 - 가정용방화벽, 공유기등의기기도입으로네트워크를분리하고, 내부네트워크에연결되는모든장비에적절한보안조치 * 적용 * 디폴트비밀번호변경, 의심스러운출처의요청무시, 주기적인보안업데이트, 사용하지않는무선 AP(Access Point) 기능끄기등 - 카페, 도서관등의외부장소에서제공되는네트워크의경우보안조치의적용여부를알기어려움 - 이용자는노트북단말기에최신버전의보안업데이트를적용하고, 안전한통신채널을구축할필요 ( 디바이스 ) PC 단말기는모바일단말기에비해다양한 S/W 설치와환경구성이가능한만큼여러취약점이발견될수있어각구성요소들을위한보안조치가필요 - OS(Linux, Windows, MacOS 등 ), 다수의사용자계정, 디바이스관련 S/W 등의안전한사용을위해기업의보안정책적용, 계정및세션, 네트워크설정관리등이권장 < 디바이스보안고려요소 > 구분사용자계정및세션네트워크설정공용단말기사용 - 관리자계정은장치 / 계정 / 업데이트관리등주요행위에서만사용 - 사용자계정필요시일반사용자계정을생성하여사용 - 불필요한계정삭제 - 사용하지않는포트, 공유폴더, 공유프린터등을제거하여불필요한외부노출최소화 - 단말기에대한원격접속기능을비활성화하고필요시활성화 - 무선 AP 자동접속기능을해제하여보안성이불충분하거나출처가불분명한 AP에자동접속차단 - 공공시설, 주변인등으로부터제공받은단말기 ( 키오스크, 공용 PC, 공용노트북등 ) 는보안성을보장할수없어 * 주의가필요 * 단말기관리책임소재의불분명, 자동로그아웃기능부재등 - 단말기이용시함께이용하는사람을파악하여사용여부를결정 - 민감정보의접근을피하고, 보안성에확신이없는경우사용을삼가 - 5 -
( 애플리케이션 ) PC 단말기특성상업무에필요한다양한사용자애플리케이션이설치될수있으며, 애플리케이션의취약점노출최소화를위한조치가필요 - 애플리케이션의알려진취약점을제거하기위해불필요한설정과기능을해제하여이로인한개인정보노출우려차단 < 주요애플리케이션보안고려요소 > 구분사무용 S/W ( 문서뷰어, 엑셀, 워드프로세스등 ) - ( 매크로 * 사용자제 ) 공격자에의해변형된매크로실행시공격자가시스템내부, 민감정보등에접근할수있으므로매크로사용자제 * 사용자편의를위해자주사용되는일련의작업들을하나의명령으로만들어한번의실행으로모두실행되게하는방법 - ( 개인정보입력자제 ) 타인과공동으로문서편집을할경우각자의편집내용을추적하기위해개인정보 ( 이름, 이니셜, 메일주소등 ) 를입력할수있으며, 이러한경우필요이상의정보입력을삼가 - ( 임시파일관리 ) S/W사용중생성되는임시파일이디폴트경로에저장될경우정보유출의우려가있으므로사용자가관리하는별도의장소에저장하여관리 결론 PC기반스마트워크는모바일단말기기반의스마트워크와달리상대적으로타인에의한단말기노출위험이높으며, 유선네트워크연결, 다양한환경구성 ( 다수의사용자계정, OS 설정등 ) 및애플리케이션의사용등으로물리적, 사이버측면에서보안위협에노출가능 따라서 PC기반스마트워크이용자는민감정보보호, 네트워크, 디바이스, 주요애플리케이션등에서 PC 운영환경의특수성과보안고려사항을고려하여보안조치 ( 접근통제, 내 / 외부네트워크분리, 사용자계정및세션관리등 ) 를적용하는것을권장 또한스마트워크관련가이드를참고하여안전한이용환경조성의노력이필요 - 6 -
[ 참고 ] PC 와모바일단말기의공통보안고려사항 와모바일단말기성능, 이용환경등의차이가꾸준히감소하면서 공통적으로적용가능한보안고려사항이존재 ( 민감정보보호 ) 사용자인증과정, 민감정보의사전 사후처리, 민감정보를저장한단말기의분실 도난시의대응방안필요 < 민감정보보호고려요소 > 구분사용자인증암호화기술적용불필요한정보삭제단말기원격제어보안위협신고정보백업 - 비밀번호, PIN, H/W 토큰등의인증기술을통해사용자인증수행 - 업무에관련된정보저장시암호화기술을적용하고, 복호화시사용자 인증과정도입 - 더이상필요없는정보는삭제전용프로그램으로삭제하고, 문서로출력된 것은파쇄 - 단말기의분실 도난발생시저장된정보를원격에서삭제하는솔루션설치 - 업무중민감정보의도난 손실등이의심되면곧바로기업에신고하여 추가피해를최소화 - 예상치못한사고로인한정보손실에대응하기위해장치에저장된정보를 기업의중앙서버또는별도의저장매체 (CD, USB 등 ) 에저장 ( 네트워크 ) 기업내부와외부간의통신시보안성이확보된채널사용 및무선 AP 의보안설정필요 < 네트워크보안고려요소 > 구분안전한통신채널사용무선 AP 보안설정 - 기업외부에서내부시스템접근시안전한통신채널 * 을구축한후정보를송수신하는것이필요 * VPN(Virtual Private Network) 등 - 보안설정의부재는비인가자의불법접근을허용할수있으며, 민감정보유출등의공격에악용되므로적절한보안설정 * 적용이필요 * WPA/WPA2/TKIP 같은암호화프로토콜사용, MAC 주소를기반의접근통제, 디폴트 SSID 변경, SSID 브로드캐스트기능해제, 무선 AP에원격접속을통한환경설정기능해제등 - 7 -
( 디바이스 ) 단말기의사용자계정, S/W 버전등의관리와단말기의 실시간모니터링보안 S/W 설치등의환경구축필요 < 디바이스보안고려요소 > 구분기업업무정책준수 S/W 최신버전유지백신 보안 S/W 사용자동필터링 S/W 파일실행사용자계정및세션 - 소속기업에서스마트워크를위한안전한환경제공시반드시이를이용하여민감정보, 네트워크, 디바이스, 애플리케이션등이자동으로통제, 관리되도록하는것을권장 - 주기적인 OS 및주요애플리케이션들의버전검사와업데이트필요 - PC에설치된 S/W를체크하고, 실시간으로모니터링하며, 각종이벤트로그, 방화벽기능등을탑재한안티바이러스 S/W 사용필요 - 컨텐츠필터링 S/W * 를통해의심스러운내용을담고있는것으로우려되는이메일, 웹페이지등의열람방지 * 스팸메일필터링 S/W, 컨텐츠필터링 S/W 등 - 신뢰할수없거나출처가불분명한이메일, 웹사이트, 파일서버등에서다운받은파일은실행을삼가하고, 실행전출처확인필요 - 계정의비밀번호는최소 8자리이상의숫자 / 문자 / 특수문자가혼합된것으로설정하며주기적으로변경 - 비밀번호힌트제공기능해제 - 로그인후일정시간동안입력이없을경우보안을위해자동화면잠금또는자동로그아웃기능사용 ( 애플리케이션 ) 단말기에설치가능한기업의애플리케이션목록을 준수하고, 범용적인애플리케이션에대한보안설정적용이필요 < 주요애플리케이션보안고려요소 > 구분 웹브라우저 - ( 팝업창해제 ) 디폴트로설정된팝업창사용기능을공격자가악용하여피싱사이트로링크시키거나악성코드를다운받게유도할수있으므로비활성화필요 - ( 플러그인관리 ) 브라우저의추가기능을위한플러그인중출처가불분명하거나불필요한것은삭제하고, 설치를금지 - ( 자동완성기능해제 ) 웹사이트접속시브라우저내에저장하고있던사용자의아이디 / 비밀번호를자동으로입력시켜주는자동완성기능비활성화 - 8 -
이메일클라이언트기타애플리케이션 - ( 메일자동보기해제 ) 사용자가이메일을클릭하지않아도내용을자동으로보여주는기능을해제하여출처가불분명한이메일을자동으로읽어악성코드에감염되는것을방지 - ( 평문 (Plain Text) 사용 ) 공격자가하이퍼링크, 이미지등의링크를수정하여피싱사이트나악성코드가다운로드되는웹사이트로링크시킬수있으므로업무용이메일에서는평문사용을권장 - 기업에설치가능한주요애플리케이션목록이존재하는경우이를준수하고, 금지된애플리케이션은삭제하여취약점노출지점을최소화 - 9 -