내부자 위협(Insider Threat) 탐지 시스템 구축 방법

내부자 위협의 실태

Ponemon Institute 조사에 따르면 기업 데이터 침해의 34%가 내부자에 의한 것입니다. 평균 탐지까지 77일, 평균 피해액은 사고당 1,560만 달러입니다.

내부자 위협 유형

• 악의적 내부자: 의도적으로 데이터를 탈취하거나 시스템 파괴
• 부주의한 내부자: 실수로 데이터 유출 또는 보안 정책 위반
• 침해된 계정: 외부 공격자가 내부자 계정을 탈취해 활용

UEBA 탐지 시나리오

베이스라인 행동 프로파일

class BehaviorBaseline:
    def calculate_risk_score(self, event):
        score = 0

        # 비업무 시간 접속
        if not (9 <= event.hour <= 18):
            score += 20

        # 비정상 다운로드량
        if event.download_mb > self.avg_daily_downloads * 5:
            score += 40

        # 미접속 시스템
        if event.system not in self.common_systems:
            score += 15

        return score  # 70 이상 시 경보

DLP 탐지 패턴

탐지 대상:
- 이메일 첨부파일 (개인정보, 기밀 문서)
- 웹 업로드 (Google Drive, Dropbox)
- USB 복사 / 프린터 출력

개인정보 패턴:
- 주민등록번호: \d{6}-[1-4]\d{6}
- 신용카드: \d{4}[-\s]\d{4}[-\s]\d{4}[-\s]\d{4}

탐지 후 대응 프로세스

이상 탐지 경보
     ↓
HR + 법무 + 보안팀 공동 검토 (24시간 이내)
     ↓
실제 위협 → 즉시 계정 잠금 + 증거 보존
          → 디지털 포렌식 조사
          → 징계/법적 조치

법적·윤리적 고려사항

• 개인정보보호법: 모니터링 사실을 직원에게 고지 필요
• 취업규칙: IT 자원 모니터링 조항 명시
• 데이터 최소화: 업무 관련 행위만 수집

개인 사생활 침해가 없도록 법무팀과 협의해 정책을 수립하고, 직원에게 투명하게 공지하는 것이 장기적으로 더 효과적입니다.

권한 관리가 곧 예방이다

탐지보다 앞선 방어는 애초에 접근할 수 없게 만드는 것입니다.

• 최소권한(PoLP): 직무에 필요한 최소 권한만 부여.
• JIT(Just-In-Time) 접근: 상시 관리자 권한을 없애고, 필요 시 승인 기반 임시 권한 부여.
• 정기 권한 재인증(Access Review): 분기별로 "이 사람이 아직 이 권한이 필요한가"를 소유자가 재승인.

퇴직자 오프보딩 체크리스트

내부자 사고의 상당수는 퇴직 전후에 집중됩니다.

□ 퇴직 통보 시점부터 민감 시스템 접근 모니터링 강화
□ 마지막 근무일 계정 즉시 비활성화(삭제 전 보존)
□ VPN·SaaS·코드 저장소·클라우드 키 일괄 회수
□ 공용 계정 비밀번호 변경
□ 반출 기기·USB 회수 및 데이터 삭제 확인

SIEM/UEBA 연동 상관 룰 예시

규칙: 퇴직 예정자 + 대량 다운로드
조건:
  user IN (HR.퇴직예정자_목록)
  AND download_volume > baseline * 3
  AND (destination = 외부저장소 OR USB)
액션: 즉시 보안팀·HR 공동 경보, 세션 기록

국내 사례·법적 근거

기술 유출(특히 반도체·배터리 등 국가핵심기술)은 산업기술보호법과 부정경쟁방지법의 적용을 받습니다. 영업비밀 유출은 형사처벌 대상이며, 사전에 비밀관리성(접근통제·표시·서약)을 입증할 수 있어야 법적 보호를 받습니다.

자주 묻는 질문 (FAQ)

Q. 직원 모니터링은 불법 아닌가요? 업무용 IT 자원에 대한 모니터링은 사전 고지와 취업규칙 명시가 있으면 가능합니다. 다만 사생활(개인 메신저 등)까지 들여다보면 위법이 될 수 있으니 범위를 업무로 한정하고 법무팀과 협의하세요.

Q. UEBA 없이 시작할 수 있나요? 가능합니다. 우선 권한 최소화·로그 수집·퇴직자 오프보딩 같은 기본 통제부터 정착시키고, 이상행위 자동탐지가 필요해지면 UEBA를 도입하는 단계적 접근이 비용 효율적입니다.