‘함께 일해서 즐거웠다. 다음 직장에서도 잘 지내기를 바란다. 나가는 길에 문에 부딪히지 않도록 조심해라’ 등으로는 부족하다. 동료의 퇴사로 인한 불편은 피하고 구조화된 프로세스와 절차를 마련해야 한다.
오프보딩에 주의해야 하는 이유는 무엇인가?
개인 사정 또는 새로운 기회를 위한 퇴사로 인해 기존의 고용주는 위험에 처하게 된다. 이 위험은 매우 현실적이다. 과거의 동료 그리고 그들이 퇴사할 때 무엇을 갖고 가는지 주의하지 않을 때의 심각한 영향이 나타날 수 있다.
사이버 보안기업 코드42(Code42)는 최근에 ‘대량 퇴직’이라는 용어를 만들었다. 코드42의 CEO 조 페인은 “모든 기업은 오프보딩에 투자해야 한다”고 말했다. 최근 코드42와 포네몬 연구소(Ponemon Institute)의 조사에 따르면 직원 중 거의 100%가 어떤 형태로든 일부 유형의 데이터를 갖고 퇴사한다.
최근 프루프포인트(Proofpoint)와 앱노멀 시큐리티(Abnormal Security) 사이에 벌어진 복잡한 상황을 통해 페인이 무슨 말을 하고 있는지 알 수 있다. 법원 문서에 따르면 프루프포인트는 7명의 직원이 앱노멀 시큐리티로 이직한 것에 대해 반발했다. 이 회사는 앱노멀이 ‘프루프포인트의 기밀 및 비전매특허 정보에 대한 액세스를 얻기 위해’ 프루프포인트의 직원을 표적으로 삼았다고 고발했다.
해당 기업의 관점은 프루프포인트의 전 채널 영업 이사 사무엘 분의 행동으로 뒷받침되었다. 법원 문서에 따르면 그는 ‘프루프포인트에서 업무 관련 문서가 포함된 USB 드라이브’를 갖고 나왔으며 ‘프루프포인트의 자료가 포함된 2건의 이메일을 앱노멀의 동료에게 전송’했다고 인정했다.
프루프포인트의 경우, 최근 별도의 IP 도난 사건에서 1,350만 달러 규모의 승소 판결을 받았으며, 여기에는 클라우드마크(Cloudmark)의 게이트웨이 기술 부사장 출신 올리비에 르마리가 연루되어 있었다.
그는 2017년 프루프포인트를 퇴사하여 베이드 시큐리티(Vade Security)에서 퇴사할 때 프루프포인트의 기술을 가져갔다. 2년 후, 프루프포인트는 소송을 제기했다. 그로부터 다시 2년 후, 결정이 났다.
베이드는 프루프포인트의 IP를 자사 제품 스위트에 통합한 것으로 나타났다. 프루프포인트는 늦기는 했지만 모든 기업이 해야 하는 일을 하고 있다. 4년이 소요되기는 했지만 IP를 보호하고 있다. 하지만 뒤늦은 대처에는 그만한 대가가 따르기 십상이다.
정보 유출 방지에 투자하라
CISO에게는 일반적으로 ‘큰 빨간색 버튼’이 있어서 버튼만 누르면 사용자에 대한 액세스를 종료시킬 수 있다. 하지만 이를 통해 모든 서비스 또는 IT가 직접 지원하는 서비스에 대한 액세스를 차단하는지 여부가 중요하다.
그림(GRIMM)의 소프트웨어 보안 수석 아담 니콜스는 많은 기업들이 자체 서비스에 대한 액세스를 잘 차단하지만 퇴사 후 ‘직원들이 액세스할 수 있는 API 키 등의 공유 리소스가 오래 잔존할 수 있으며’ 트렐로(Trello) 또는 클릭업(Clickup) 등의 제3자 서비스와 관련해서도 조치가 부족하다고 말했다.
시큐로닉스(Securonix)의 고객 성공 VP 쉐어스 벤도 이에 동의한다. 클라우드 기반 플랫폼과 애플리케이션의 계정 삭제 시 ‘자체 애플리케이션은 배제되곤 한다’고 그는 지적했다.
직원들이 회사의 정보를 유출시키는 방법?
어떤 유출 벡터가 가장 보편적으로 사용될까? 사무엘 분(Boone)과 그의 USB 사용을 참고할 만하다. 코드42는 2021년 4월과 6월 사이에 노출 이벤트 중 42% 이상에 범용 USB가 관련됐다고 밝혔다.
그렇다면 얼마나 많은 직원들이 정보를 갖고 나올까? 약 100%의 직원들이 정보를 훔친다는 페인의 주장에 놀랄 수도 있지만 그만 그렇게 생각하는 것은 아니다.
벤은 “대부분의 직원들은 자신이 작업했기 때문에 자격이 있다고 느낀다. 이로 인해 업무와 관련된 특정 데이터가 포함된 파워포인트 프레젠테이션, 엑셀 시트 등의 문서와 인공물을 가져간다. 그 동기는 대부분 다음 직장에서 이런 문서를 재사용할 수 있기 때문이다. 경우에 따라, 유출된 데이터가 지적재산 또는 계정 세부사항 등의 고객 데이터(뱅킹/금융기관 등) 등 가치가 높다”라고 말했다.
조직이 IP 유출을 방지할 수 있는 방법?
고용은 신뢰의 표현이다. 첫날부터 마지막 날까지 이런 신뢰가 있어야 한다. 하지만 러시아 속담에도 있듯이, ‘신뢰하되 검증해야 한다.’
모니터링은 사람들이 일상활동 중 또는 퇴사를 준비하면서 무단으로 데이터를 이동하지 않도록 유도하기 위한 주된 요소이다. 페인은 회사에서 무단으로 데이터를 이동하는 경우가 적기는 했지만 모니터링을 구현하고 직원들에게 모니터링이 어떻게 효과가 있는지 보여주었을 때 그 수치가 크게 줄어들었다고 밝혔다.
그리고 오프보딩 프로세스가 있다. DTEX의 보안 및 비즈니스 인텔리전스 이사 아르만 마후드는 “기업들은 오프보딩에 집중해야 한다. 단순히 마지막 날에 발생하는 프로세스로 생각해서는 안 된다”라고 말했다. 그는 프로세스에 HR, IT, 보안, 영업 부문 운영이 참여해야 효과가 있다고 밝혔다.
마후드는 “데이터 도난이 발생하는 시점은 대개 계약 종료일 전 30~60일 전이다. 파일 이동, 검색, 수집, 난독화의 조짐을 모니터링하는 것이 바람직하다”라고 말했다.
시큐로닉스의 벤은 “직원들이 퇴사 중 모니터링 절차를 인지하면 그들과 결탁할 다른 동료를 모집할 수도 있다. 같은 팀에 있는 친구가 대신 민감한 데이터를 복사해줄 수도 있다. 이러한 행동에도 대처해야 한다”라고 말했다.
퇴사 면담의 필요성
퇴사 시 HR은 퇴사 면담을 수행해야 한다. 이 면담에는 다음이 포함되어야 한다.
• 퇴사 이유(해고가 아닌 경우)
• 퇴사 전 모니터링에서 드러난 이사에 대한 논의 및 개선 등을 포함하여 권한이 있는 회사 액세스 검토 및 그 종료
• 저장 장치, 스마트폰, 노트북 등의 모든 장치 수거
• 직원들이 지적재산, 영업비밀, 기타 회사 자산을 보유하고 있지 않다는 증명서
• 기밀 유지 협약서 검토(해당하는 경우)
• 퇴사하는 직원이 퇴사 면담 중 ‘누락한’ 고용 후 정보를 전달하고 싶은 경우 연락처 정보 제공
퇴사하는 직원을 처리하는 것도 중요하지만 새로운 직원이 다른 회사의 지적재산을 가져오는 것도 위험할 수 있다고 DTEX 시스템(DTEX Systems)의 CCO(Chief Customer Officer) 라잔 쿠가 말했다.
이로 인해 기존 및 새 고용주가 모두 위험에 처하게 되는 것이다. 그는 “신입 직원에 대해서도 같은 수준의 주의를 기울여야 한다”라고 강조했다.
<출처 : CIO KOREA>
