온라인에서 주고받는 정보가 늘어나면서 개인정보와 기업 기밀을 보호하는 정보 보안의 중요성도 커지고 있습니다.

 

하지만 정보 보안을 단순히 해킹이나 사이버 공격을 막는 문제로만 생각하기 쉽습니다. 실제로는 직원이 실수로 파일을 잘못 보내거나, SNS 사진에 업무 자료가 찍히거나, AI 챗봇에 회사 정보를 입력하는 것 역시 정보 유출로 이어질 수 있습니다.

 

전문가들은 정보 보안은 IT 부서만의 책임이 아니라 조직의 모든 구성원이 함께 지켜야 하는 기본적인 보안 원칙이라고 강조합니다.

 

어떤 정보가 보호 대상일까?

정보 보안에서 가장 먼저 해야 할 일은 어떤 정보가 민감한 데이터인지 구분하는 것입니다.

 

대표적인 것이 개인정보(PII)입니다. 이름과 주소, 전화번호부터 은행 계좌나 건강 관련 정보처럼 개인을 식별하거나 개인에게 영향을 줄 수 있는 정보가 포함됩니다.

 

기업의 지적재산권(IP)도 중요한 보호 대상입니다. 연구 결과, 새로운 제품의 설계도, 개발 중인 아이디어와 같은 정보가 외부로 유출되면 경쟁업체가 이를 이용할 수 있기 때문입니다.

 

매출 자료와 사업 계획, 계약서, 재무자료 등 회사의 경쟁력과 직접적으로 연결되는 기밀 정보 역시 철저한 관리가 필요합니다.

 

중요한 것은 '별것 아닌 정보'라고 판단해서는 안 된다는 점입니다. 공격자에게는 작은 정보 하나가 다른 정보와 결합해 유용한 자료가 될 수 있습니다.

 

데이터는 '누가 볼 수 있는가'부터 관리해야

민감한 정보를 보호하기 위해서는 단순히 데이터를 잘 보관하는 것만으로는 충분하지 않습니다.

 

먼저 누가 해당 정보에 접근할 수 있는지를 확인해야 합니다.

 

업무상 필요하지 않은 사람에게까지 접근 권한이 부여돼 있다면 정보가 유출될 가능성도 그만큼 커집니다. 따라서 필요한 사람에게만 권한을 부여하는 '최소 권한' 원칙이 중요합니다.

 

정보를 외부에 공유할 때도 마찬가지입니다. 이메일이나 파일 공유 서비스를 이용할 때 수신자가 정확한지, 해당 자료를 외부에 전달해도 되는지 먼저 확인해야 합니다.

 

사용하지 않는 정보라고 해서 무조건 안전한 것도 아닙니다. 문서나 출력물을 일반 쓰레기통에 버리는 대신 파쇄해야 하며, 디지털 파일 역시 단순히 '삭제'하는 것만으로 완전히 사라졌다고 생각해서는 안 됩니다.

 

특히 주의해야 할 'AI 챗봇'

최근에는 생성형 AI 사용이 일상화되면서 새로운 정보 보안 위험도 등장했습니다.

 

AI에게 문서를 요약해 달라거나 코드를 수정해 달라고 요청하면서 회사 기밀이나 고객 개인정보를 그대로 입력하는 경우입니다.

 

소비자용 AI 서비스에 입력한 정보가 어떻게 처리되는지는 서비스와 설정에 따라 다를 수 있기 때문에, 회사가 승인하지 않은 AI 도구에 민감한 정보를 입력하는 것은 피해야 합니다.

 

특히 고객 개인정보, 내부 재무자료, 미공개 사업 계획, 소스 코드와 같은 자료는 더욱 주의해야 합니다.

 

가장 간단한 원칙은 "AI에 입력하는 정보도 외부에 공개될 수 있다고 생각하라"는 것입니다.

 

업무에서 AI를 사용해야 한다면 조직에서 승인한 보안 도구를 이용하고, 입력해서는 안 되는 정보가 무엇인지 먼저 확인하는 것이 안전합니다.

 

SNS에 올린 사진 한 장도 정보 유출이 될 수 있다

정보 보안은 회사 컴퓨터 안에서만 지켜지는 것이 아닙니다.

 

개인 SNS에 올린 사진 속에 업무 관련 문서나 컴퓨터 화면, 회의 자료, 제품 설계도 등이 우연히 찍혀 있을 수도 있습니다.

 

사진 자체에는 특별한 문제가 없어 보여도 배경에 등장한 정보 하나가 회사의 중요한 자료를 노출시키는 결과로 이어질 수 있습니다.

 

따라서 업무 공간에서 촬영한 사진이나 영상을 온라인에 게시할 때는 사진 속 배경까지 확인하는 습관이 필요합니다.

 

'진행 중인 자료'도 중요한 자산

아직 완성되지 않은 자료라고 해서 중요하지 않은 것도 아닙니다.

 

개발 중인 제품의 설계, 새로운 서비스 아이디어, 연구 자료, 마케팅 전략 등은 완성 전이라도 기업의 경쟁력과 직결될 수 있습니다.

 

이런 자료가 외부로 유출되면 경쟁업체가 먼저 활용하거나 회사가 예상하지 못한 재정적 손실을 입을 가능성이 있습니다.

 

결국 정보 보안은 '한 사람의 실수'에서 시작된다

정보 보안 프로그램에는 데이터의 분류부터 저장, 접근 권한, 공유, 폐기까지 다양한 절차가 포함됩니다.

 

하지만 아무리 강력한 보안 시스템을 갖추더라도 사람이 부주의하면 정보는 노출될 수 있습니다.

 

이 때문에 조직 구성원 모두가 기본적인 보안 원칙을 이해하는 것이 중요합니다.

 

-파일을 보내기 전에는 "이 자료를 받아야 할 사람이 맞는가?"

-AI에 내용을 입력하기 전에는 "이 정보가 외부로 나가도 괜찮은가?"

-SNS에 사진을 올리기 전에는 "사진 속에 업무 관련 정보가 보이지 않는가?"

 

한 번만 더 확인하는 습관이 예상치 못한 정보 유출을 막을 수 있습니다.

 

정보 보안은 IT 부서가 대신해주는 업무가 아니라, 데이터를 사용하는 모든 사람이 함께 지켜야 하는 책임입니다.

 

특히 AI와 SNS 사용이 일상화된 지금은 '해킹을 당하지 않는 것'만큼이나 내가 직접 정보를 밖으로 내보내고 있지는 않은지 확인하는 것이 중요해지고 있습니다.

 

 

자료 출처: IT Security 교육자료

편집·재구성: MissyCanada IT Department