소규모 기업을 위한 내부자 위협 탐지

무엇이 내부자 위협에 해당하는가

내부자 위협이란 정당한 접근 권한을 가진 사람이 — 고의든 아니든 — 그 권한을 이용해 조직에 해를 끼칠 위험을 말합니다. 미국 사이버보안 및 인프라보안국(CISA)은 내부자를 인력, 시설, 정보, 장비, 네트워크, 시스템을 포함한 조직의 자원에 대해 승인된 접근 권한이나 지식을 가졌거나 가졌던 모든 사람으로 정의합니다. 여기서 핵심 역할을 하는 단어는 승인된(authorized)입니다. 누구도 침입할 필요가 없습니다.

CISA가 나누는 핵심 기준은 비의도적 피해와 의도적 피해입니다. 그리고 이와 별도로 이 두 가지 모두에 걸쳐 있는 두 가지 상황도 짚습니다. 그 결과 실무에서 마주치게 될 네 가지 명칭이 나오는데 — 알아 둘 가치가 있습니다. 「내부자 위협의 세 가지 유형」이라는 표현이 곳곳에서 반복되지만 정작 원출처와는 맞지 않기 때문입니다:

이제 이 주제를 다루는 대부분의 글이 건너뛰는 부분입니다. 내부자 관련 사고는 소규모 기업이 유출 사고를 겪는 가장 흔한 경로가 아니며, 그렇지 않다고 말하는 사람이 있다면 의심해 볼 필요가 있습니다. Verizon의 2026년 Data Breach Investigations Report — 31,000건이 넘는 실제 사고를 바탕으로 작성됨 — 는 내부자를 유출 사고의 12%에서 발견했으며, 이는 지난해의 18%에서 낮아진 수치라고 밝혔습니다. 1,000명 미만 조직을 대상으로 하는 이 보고서의 소기업 패널은 사실상 모든 유출 사고를 재정적 동기를 가진 외부 행위자 탓으로 돌립니다.

그렇다면 애초에 왜 오후 한나절을 들여야 할까요? 비용 구조가 거꾸로 되어 있기 때문입니다. 2026년 Ponemon Institute와 DTEX의 Cost of Insider Risks 연구에 따르면 내부자 사고는 봉쇄까지 평균 67일이 걸리며, 과실에 의한 사고는 건당 약 747,000달러, 악의적 사고는 건당 약 742,000달러, 외부인이 탈취한 자격 증명을 사용한 사고는 842,000달러에 달합니다. 내부자 사고는 피싱보다 드물지만, 아무도 알아차리기 전까지 더 오래 지속되며, 빠져나가는 것은 대개 그 사업이 실제로 딛고 서 있는 핵심 자산입니다.

퇴사가 압력 지점이 되는 이유

위험이 좁고 예측 가능한 시기에 집중되기 때문입니다. Carnegie Mellon의 Software Engineering Institute — 20년간 내부자 사례를 연구해 온 CERT 부서 — 는 지적재산 절취 사례를 분석하면서 이를 명확히 밝혔습니다. 내부자 대부분은 조직을 떠난 지 30일 이내에 IP를 절취한다. 이 조사 결과는 2011년의 것이며, 그 시점을 짚어 둘 가치가 있습니다. 그럼에도 불구하고 이후로 계속 내부자 위험 실무의 원칙으로 유지되어 왔고, 그 이후 발표된 모든 벤더 텔레메트리 보고서 역시 활동이 같은 퇴사 시기 전후에 몰려 있음을 보여줍니다.

이 한 문장은 소규모 기업이 구매할 수 있는 그 어떤 위협 인텔리전스 피드보다도 실무적으로 유용합니다. 모든 사람을 상시 감시할 필요가 없다는 뜻입니다. 필요한 것은 누군가 퇴사한다는 사실을 아는 것, 그리고 그 날짜를 전후한 몇 주 동안 적절한 소수의 신호를 주시하는 것입니다.

통계를 근거로 계획을 세우기 전에 먼저 검증하십시오

직원의 데이터 절취를 다루는 거의 모든 글에는 세 가지 숫자가 등장하며, 그 각각은 실제보다 부풀려진 형태로 인용됩니다. 이는 실무적으로 중요한 문제입니다. 직원의 절반이 데이터를 훔친다고 믿으면, 잘못된 것을 구매하게 되고 그 과정에서 사람들을 부당하게 대하게 됩니다.

• 「직원의 45%가 퇴사할 때 데이터를 가져간다.」 실제 수치이지만, 이는 2020년 5월 Tessian 설문조사의 미국 응답자 하위 집단 수치입니다. 같은 조사의 전체 수치는 34%였고, 영국 수치는 23%였습니다. 이 단서 조건은 인용될 때마다 거의 매번 빠집니다.
• 「직원의 72%가 회사 데이터를 가져간다.」 이는 잘못된 해석입니다. Code42의 2019년 보고서에 나오는 72%는 정보 보안 책임자 가운데 이건 단순히 회사 데이터가 아니라 내 작업이자 — 내 아이디어다라는 태도 진술에 동의한 사람들의 비율입니다. 이는 사람들이 파일을 얼마나 많이 복사하는지가 아니라, 소유권에 대해 어떻게 느끼는지에 관한 조사 결과입니다.
• 「63%가 이전 직장에서 데이터를 가지고 왔다.」 이 수치는 실제로 확인 가능한 출처가 있습니다. Code42의 2019년 Global Data Exposure Report로, 2019년 10월에 발표되었습니다. 하지만 표본 구성에 유의해야 합니다. 이는 앞의 72%가 걸려 넘어진 것과 같은 함정입니다. 응답자는 일반 직원의 단면이 아니라 보안 책임자 1,028명과 사업 의사결정권자 615명이었습니다. 그리고 이 수치는 사람들이 데이터를 가지고 들어오는 상황을 설명하는 것으로, 여러분이 퇴사 시점에 탐지하려는 위험과는 다른 위험입니다.

가장 근거가 탄탄한 수치는 2022년 Cyberhaven Labs의 것이며, 이것이 근거가 탄탄한 이유는 정확히 그것이 자기보고가 아니라 관찰된 텔레메트리이기 때문입니다. 민감한 데이터를 다루는 약 1.4백만 명의 직원을 대상으로, 9.4%가 6개월이라는 기간 동안 데이터를 유출했습니다. 이 수치를 담고 있던 블로그 게시물은 이후 내려갔으며 — 원본 보고서는 등록이 필요한 다운로드 형태로 남아 있습니다 — 따라서 오늘날 이를 가장 쉽게 확인할 수 있는 방법은 당시의 언론 보도를 통하는 것입니다. 어느 쪽이든 이 수치를 오래된 것으로 취급하십시오. DTEX의 2023년 조사 보고서는 퇴사하는 직원 중 민감한 지적재산을 가져가는 비율을 12%로 제시합니다.

여기서 CISA의 지침도 새겨 둘 만합니다. 위협 평가는 프로필이 아니라 행동에 근거해야 하며, 이러한 행위는 즉흥적으로 일어나는 경우가 드뭅니다 — 신중한 결정을 거쳐 이루어집니다. 주시해야 할 인구통계학적 패턴은 존재하지 않으며, 그런 패턴을 찾으려 하면 잘못된 판단을 내리게 될 뿐 아니라 부당한 처사가 됩니다.

데이터가 실제로 빠져나가는 경로

데이터는 소규모 Windows 네트워크에서 짧고 평범한 몇 가지 경로를 통해 빠져나갑니다. 실무적으로 중요한 것은 그 경로 자체가 아니라, 나중에 찾아낼 수 있는 흔적을 남기는가입니다 — 그리고 그중 여러 경로에 대해서는, 정직하게 답하자면 남기지 않습니다.

MITRE ATT&CK 용어로는 이것들이 각각 T1052.001(USB를 통한 유출), T1567.002(클라우드 스토리지로의 유출 — MITRE 자체 설명에도 Dropbox와 Google Docs가 명시되어 있습니다), T1114.003(이메일 전달 규칙)에 대응합니다. USB 사례에 대한 MITRE의 탐지 분석 기준은 USB 장치 삽입 이후 대용량 또는 민감한 파일 접근과 스테이징이 뒤따르는 경우이며 — 이는 정확히 이벤트 6416과 4663을 연계한 것이고, 다음 섹션에서 구축할 내용과 정확히 일치합니다.

모니터링을 시작하기 전에

감사 정책을 단 하나라도 활성화하기 전에, 먼저 고지문을 작성하십시오. 이는 나중에 정리하면 되는 컴플라이언스 각주가 아닙니다 — 미국의 세 개 주에서는 모니터링이 시작되기 전에 이미 적용되는 법정 의무이며, 이 법률들 어디에도 소규모 고용주에 대한 예외는 없습니다. 뉴욕에서는 직원 10명인 회사도 1만 명인 회사와 정확히 똑같이 적용받습니다.

연방 차원의 기준선, 그리고 함정

전자통신 프라이버시법(Electronic Communications Privacy Act)이 연방 차원의 최저 기준입니다. 고용주에게는 두 가지 예외 조항이 대부분의 역할을 합니다. 18 U.S.C. § 2511(2)(a)(i)의 제공자 예외(provider exception)는 자신의 시설에서 이루어지는 감청이 서비스 제공에 필수적으로 수반되거나 해당 서비스 제공자의 권리 또는 재산을 보호하기 위한 경우를 대상으로 합니다. 이와 별도로 § 2511(2)(d)는 연방법을 일방 동의(one-party consent) 체계로 만듭니다. 즉 통신 당사자 중 한쪽이 사전에 동의한 경우 적법합니다.

실무적으로 유리한 지점은 — 때로 듣게 되는 것처럼 단일 문서 하나로 깔끔하게 끝나는 이야기는 아니지만, 그럼에도 실재합니다 — 서명된 모니터링 확인서가 두 가지 역할을 동시에 한다는 것입니다. 제공자 예외가 이미 적용되는 경우 연방법이 동의를 요구하지는 않지만, § 2511(2)(d)에 따른 동의는 별개의 두 번째 경로이며, 둘 다 갖추는 것이 어느 한쪽에만 의존하는 것보다 더 탄탄한 입지입니다. 같은 서명이 뉴욕과 델라웨어가 요구하는 확인 절차도 동시에 충족시킵니다.

다만 모든 것을 커버하지는 않으며, 짚어 둘 만한 공백이 세 가지 있습니다. 서명만으로는 게시 의무를 이행하지 못합니다 — 뉴욕은 확인서뿐 아니라 벽에 붙인 고지문도 요구하며, 코네티컷에서는 게시 그 자체가 곧 요구되는 고지입니다. 제공자 예외의 범위는 명확한 기준선이라기보다 판례를 통해 형성되어 온 것이므로, 「우리가 노트북을 소유하고 있다」는 강력한 출발점이 될 뿐, 확정된 항변은 아닙니다. 그리고 통화를 녹음한다면 해당 주의 도청법을 별도로 확인하십시오. 여러 주는 모든 당사자의 동의를 요구하며, 이는 연방 기준보다 더 엄격합니다.

EU에 직원이 있다면, 답이 뒤집힙니다

GDPR 하에서, 직장 내 모니터링에 실무적으로 활용되는 적법 근거는 Article 6(1)(f)에 따른 정당한 이익(legitimate interests)이지 — 동의가 아닙니다. Article 29 Working Party의 Opinion 2/2017은 직원이 동의를 자유롭게 주거나, 거부하거나, 철회할 수 있는 입장에 있는 경우는 거의 없다고 보았으며, 동의가 직장에서의 데이터 처리에 대한 법적 근거가 될 가능성은 매우 낮다고 판단했습니다. 이는 서명이 가장 강력한 방어 수단이 되는 미국의 입장과 정확히 반대입니다.

정당한 이익 근거를 활용하려면 문서화된 3단계 테스트를 거쳐야 합니다 — 구체적인 목적, 그보다 덜 침해적인 대안이 없는 진정한 필요성, 그리고 직원의 권리와의 형량 — 그리고 Article 21은 모든 직원에게 이의를 제기할 권리를 부여합니다. 모니터링이 체계적이고 고위험일 가능성이 있는 경우 개인정보 영향평가(data protection impact assessment)가 필요한데, 각국 규제 당국은 지속적인 직원 모니터링을 일관되게 이러한 경우로 취급합니다. Article 88은 또한 회원국이 더 엄격한 국내 규정을 둘 수 있게 하므로, 특히 독일, 프랑스, 네덜란드는 GDPR 기본 기준보다 더 나아간 규정을 두고 있습니다.

비용 없이 구축하는 탐지 체계

가장 흔한 유출 경로를 탐지하려면, Windows에 기본으로 포함되어 있어 비용이 들지 않는 Group Policy 설정부터 시작할 수 있습니다. 가장 적은 작업으로 가장 넓은 커버리지를 얻을 수 있는 순서는 다음과 같습니다.

1. Audit Removable Storage — 가장 가치가 높은 단일 설정

가장 먼저 활성화해야 할 설정이며, 그 이유는 Microsoft가 자체 문서에서 밝히고 있지만 거의 아무도 다시 언급하지 않는 세부 사항에 있습니다. 보안 감사 이벤트는 개체의 SACL과 무관하게, 요청된 모든 개체와 모든 유형의 접근에 대해 생성됩니다.

파일 감사를 설정해 본 적이 있다면 이 문장을 다시 읽어 보십시오. 일반적인 파일 시스템 감사는 신경 쓰는 모든 폴더에 시스템 액세스 제어 목록을 설정하기 전까지는 작동하지 않습니다 — Microsoft는 기본 파일 시스템 SACL에 대해서는 감사 이벤트가 생성되지 않는다고 명확히 밝히고 있습니다. Audit Removable Storage는 이 모든 과정을 건너뜁니다. 이를 켜면, 폴더별로 별도 작업을 하지 않아도 모든 기기에서 USB 장치로부터 읽거나 USB 장치에 기록된 모든 파일에 대해 이벤트 4663을 얻게 됩니다. Microsoft의 지침은 워크스테이션, 멤버 서버, 도메인 컨트롤러 전반에서 이를 Success 및 Failure로 평가하는 반면, Audit File System은 「필요한 경우」로만 평가합니다.

2. Audit PNP Activity — 장치가 언제 나타났는지 파악하기

이 항목은 Object Access가 아니라 Detailed Tracking 아래에 있습니다 — 사소해 보이지만 정책 트리를 뒤지느라 10분을 허비하게 만드는 지점입니다. Windows 10과 Server 2016 이상에서 이벤트 ID 6416, 즉 「새 외부 장치가 시스템에 의해 인식되었습니다」를 생성합니다. 페이로드에는 장치 인스턴스 경로, 제조사 ID, ClassName이 담겨 있습니다 — 저장 장치를 키보드나 마우스와 구분하려면 DiskDrive로 필터링하십시오. Microsoft는 발생량을 일반적으로 낮음으로 평가하며, 유용한 튜닝 팁도 하나 덧붙입니다. Subject Security ID가 SYSTEM이 아닐 때마다 보고하라는 것입니다. 한계도 알아 두십시오 — 6416은 삽입과 활성화만 기록할 뿐 제거는 기록하지 않으므로, 메모리 스틱이 얼마나 오래 꽂혀 있었는지는 알려주지 않습니다.

3. Audit Logon — 업무 외 시간대 패턴 포착하기

이벤트 ID 4624는 Logon Type과 함께 성공한 로그온을 기록합니다. 2는 키보드를 통한 대화형(interactive), 3은 네트워크, 10은 RDP, 7은 잠금 해제입니다. Microsoft는 이 활용 사례를 명시적으로 권장합니다. 업무 시간 외 계정 사용을 모니터링해야 할 수도 있습니다. 주말에 한 번도 근무한 적 없는 계정에서 토요일 밤에 발생한 유형 10 로그온은, 여러분이 만들 수 있는 가장 저렴하면서도 신호 품질이 높은 경보입니다.

4. SACL, 다만 그만한 가치가 있는 곳에만

정말로 핵심 자산을 담고 있는 두세 개의 공유 폴더에 대해서는, SACL을 추가하고 Audit File System을 활성화하십시오. 알아 둘 만한 주의 사항이 하나 있습니다. Microsoft가 권장하는 모니터링 대상 접근 유형 목록은 쓰기, 삭제, 권한 변경은 포함하지만 ReadData는 포함하지 않습니다. 절취는 바로 읽기의 형태로 나타나므로, 이것만큼은 의도적으로 추가하십시오. Microsoft는 또한 전면적인 활성화에 대해 경고하는데, 옳은 지적입니다. 파일 서버 전체에 SACL을 걸면 쏟아지는 로그에 파묻혀 결국 들여다보지 않게 되고, 이는 아예 로깅하지 않는 것보다 더 나쁜 결과를 낳습니다.

5. 로그 크기를 늘리고, 실제로 검토 일정을 잡기

기본 Security 로그는 이벤트 4663이 쌓이기 시작하면 금방 순환 삭제되며, 이미 증거를 덮어써 버린 로그는 통제 수단이 아닙니다. 먼저 로그 크기를 늘리십시오. 그런 다음 월간 반복 일정을 캘린더에 등록하십시오 — USB 이벤트, 업무 외 시간 로그온, 새로운 사서함 전달 규칙입니다. 탐지는 체크박스가 아니라 습관입니다. 아무도 읽지 않는 로그는 지금껏 누구도 잡아낸 적이 없습니다.

설치할 가치가 있는 무료 추가 도구가 하나 있습니다. Microsoft의 Sysinternals 모음에 포함된 Sysmon은 위에서 언급한 공백 중 여러 가지를 메워 줍니다. 이벤트 3은 프로세스에 연결된 네트워크 연결을 기록하는데 — 별도로 설정하지 않으면 꺼져 있습니다 — 이벤트 22는 DNS 조회를 기록하므로, 소비자용 파일 공유 도메인에 대한 조회가 눈에 보이게 됩니다. 이벤트 9은 원시 디스크 읽기를 포착하는데, Microsoft는 이것이 파일 접근 감사 도구를 피하기 위해 사용된다고 언급합니다. 이 세 가지가 상시로 실행해 둘 가치가 있는 것들입니다.

Sysmon은 클립보드 변경 사항(이벤트 24)도 기록할 수 있는데, 이를 켜기 전에는 신중하게 생각해야 합니다. 클립보드에는 비밀번호, 개인 메시지, 다른 사람의 데이터가 담기며, 이를 수집하는 것은 파일 이동을 기록하는 것과는 차원이 다르게 침해적인 일입니다. 만약 이를 활성화한다면, 일반적인 설명 아래에 뭉뚱그리지 말고 모니터링 고지문에 명시적으로 밝히십시오 — 고지 내용이 실제로 수집하는 것과 일치해야 하며, 그렇지 않으면 고지문은 제 역할을 하지 못합니다.

Windows가 볼 수 없는 것

Windows는 암호화된 트래픽의 내부를 볼 수 없으며, 이 한 가지 한계가 무료 설정의 경계를 결정짓습니다. 이 점을 솔직하게 밝히는 것이 기능 목록을 하나 더 늘어놓는 것보다 중요합니다. 실제로는 없는데 있다고 잘못 믿고 있는 통제 수단은, 없다는 것을 아는 것보다 더 나쁘기 때문입니다.

• HTTPS 페이로드. 모든 웹메일 업로드, 소비자용 클라우드 동기화, 메시징 앱은 내용을 알 수 없습니다. 연결이 발생했다는 것은 볼 수 있지만, 그 연결을 통해 무엇이 오갔는지는 볼 수 없습니다.
• 귀속 정보가 있는 네트워크 아웃바운드 트래픽. Windows 방화벽 로깅은 기본적으로 꺼져 있으며, 켜 두더라도 연결 튜플만 기록할 뿐 — 어떤 프로세스나 어떤 사용자였는지는 기록하지 않습니다.
• 어떤 파일이 어디로 갔는가. Windows는 파일 읽기와 네트워크 전송을 각각 독립적으로 기록할 뿐 서로 연관 짓지 않습니다. 이 두 조각을 이어 붙이는 것이야말로 데이터 유출 방지(DLP) 제품이 존재하는 이유입니다.
• 화면을 향한 휴대폰 카메라. 흔적도, 통제 수단도, 제품도 없습니다. 가장 오래된 유출 경로이면서 여전히 해결되지 않은 문제입니다.

인터넷에서 흔히 잘못 알려진 두 가지

첫째, 세션 지속 시간입니다. 많은 안내 자료가 누군가 얼마나 오래 근무했는지 측정하기 위해 로그온 이벤트 4624와 로그오프 이벤트 4634를 짝지어 사용하라고 제안합니다. Microsoft도 이 활용 사례를 문서화하고 있지만, 대부분의 글이 빼먹는 경고 문구를 함께 달아 둡니다. 로그오프 이벤트는 100퍼센트 신뢰할 수 없습니다. 예를 들어 컴퓨터는 정상적인 로그오프와 종료 없이 꺼질 수 있으며, 이 경우 로그오프 이벤트는 생성되지 않습니다. 세션 길이는 참고할 만한 합리적인 추세이지만, 이를 근거로 확정적인 경보를 만들면 그저 노트북을 닫았을 뿐인 사람들에게도 울리게 됩니다.

둘째, 인쇄 로깅입니다. PrintService 운영 로그를 활성화하면 무엇이 인쇄되었는지 기록을 얻을 수 있다고 흔히 소개됩니다. 실제로는 작업과 함께 이벤트 307을 얻게 되지만 — 별도의 설정을 바꾸기 전까지는 문서 이름이 「Print Document」라는 고정 문자열로 가려집니다. 이를 신뢰하기 전에, 로그를 켜고 테스트 페이지를 인쇄한 다음 이름을 직접 확인하십시오.

널리 퍼져 있는 USB 포렌식 관련 주장도 두 가지 있습니다 — 연결·분리에 대응하는 일련의 DriverFrameworks 이벤트 ID, 그리고 장치 일련번호를 담고 있는 Partition 진단 이벤트입니다 — 이는 수십 개의 블로그 게시물에 등장하지만 Microsoft의 어떤 문서에도 나와 있지 않으며, 해당 로그는 기본적으로 비활성화되어 있습니다. 실제로 작동할 수도 있습니다. 다만 자체 하드웨어에서 먼저 직접 테스트해 보지 않고서는 이를 근거로 통제 수단을 구축하지 마십시오.

도구 도입이 제값을 하는 시점

도구 도입이 제값을 하는 지점은, 무료 설정이 실제로 던지고 있는 질문에 더 이상 답하지 못하게 되는 시점입니다 — 보통은 암호화된 업로드에 대한 가시성이 필요해지거나, 원시 이벤트 로그를 손으로 검토하는 것이 더는 현실적이지 않게 될 때입니다. PC 10~50대 규모를 기준으로 정직한 비교를 해 보겠습니다.

대부분의 소규모 기업을 무료 단계에서 벗어나게 만드는 간극은 탐지 능력이 아니라 가독성입니다. Windows는 수천 건의 이벤트 4663을 아무렇지 않게 기록합니다. 이를 「이 사람이 지난 2주 동안 무엇을 했는가」로 바꾸는 작업은 아무도 지속하지 못하는 수작업입니다. 이것이 바로 회사 기기에서 고지된 활동 모니터링이 하는 일입니다 — 그리고 이는 앞서 설명한 고지 기반 위에서만 법적으로도, 문화적으로도 제대로 작동합니다.

무엇을 선택하든, 의심되는 한 사람만 콕 집어내지 말고 모두에게 동일한 수준으로 적용하십시오. 한 직원을 표적 삼아 비밀리에 모니터링하는 것이야말로 법적 위험이 도사리고 있는 지점이며, 나중에 이를 알게 된 나머지 아홉 명 동료의 신뢰를 무너뜨리는 방법이기도 합니다.

퇴사 체크리스트와 첫 한 시간

지적재산 절취 대부분이 퇴사 후 30일 이내에 발생한다는 점을 고려하면, 아래 체크리스트는 앞서 나열한 그 어떤 도구보다도 가치가 있습니다. 「접근 권한을 즉시 회수하라」는 누구나 말하지만, 그것이 실무적으로 무엇을 의미하는지 적어 두는 사람은 거의 없습니다.

• 계정은 비활성화하고, 삭제하지 마십시오. 삭제하면 감사 추적 기록과 나중에 필요할 수도 있는 사서함이 함께 사라집니다.
• 비밀번호뿐 아니라 활성 세션과 토큰도 회수하십시오. 개인 휴대폰에 로그인된 세션은 비밀번호를 변경해도 그대로 살아남습니다.
• 사서함 전달 규칙을 확인하십시오 — 사서함 수준의 전달과 받은편지함 규칙 둘 다입니다. 규칙은 Outlook에 표시되지 않도록 만들어질 수 있으므로, 서버 쪽에서 확인하십시오.
• 감사 로그는 나중이 아니라 지금 확보하십시오. Microsoft 365 Audit (Standard)는 기본적으로 180일 동안 기록을 보관하지만 — 지원이 중단된 admin audit search는 90일까지만 거슬러 올라가며, 보관 기간은 라이선스에 따라 다릅니다. 다음 분기에도 남아 있을 것이라 믿지 말고 필요한 것을 지금 내보내십시오.
• 개인 클라우드 동기화 클라이언트의 연결을 해제하십시오 — 기기에서 연결을 끊고, 어떤 폴더가 동기화되고 있었는지 확인하십시오.
• 공유 자격 증명을 교체하십시오 — Wi-Fi 키, 공유 관리자 로그인, 아직 개인별 계정을 만들어 주지 못한 계정들입니다. 소규모 기업에서는 대개 이 항목이 목록 중 가장 시간이 오래 걸립니다.
• 하드웨어를 회수하십시오 — 개인이 보관 중인 드라이브나 동글을 포함해서이며, 무엇이 돌아왔는지 기록해 두십시오.
• 퇴사 과정이 조금이라도 껄끄러웠다면, 퇴사자의 기기를 재설치하기 전에 2주 동안 손대지 않고 보관하십시오.
• 지적재산 계약서를 손에 들고 퇴사 면담을 진행하십시오. Carnegie Mellon의 CERT 부서는 퇴사 면담을 활용해 퇴사자가 서명했던 계약 내용을 함께 짚어 보고 다시 한번 확인받을 것을 오랫동안 권장해 왔습니다. 10분이면 충분하며, 이 목록에서 기회가 아니라 의도를 다루는 유일한 항목입니다.

지금 바로 일어나고 있다고 생각된다면

먼저 보존하고, 그다음 조사하고, 마지막에 조치하십시오 — 이 순서 그대로입니다. 자연스러운 본능은 이 세 가지 순서를 정반대로 뒤집기 때문입니다.

1. 기기의 전원을 끄지 마십시오. 전원을 끄면 메모리에 있던 모든 정보가 사라지며, 종료 시 정리(cleanup) 작업이 실행될 수도 있습니다. 대신 네트워크에서 격리하고 계속 켜 둔 상태로 두십시오.
2. 기기를 직접 둘러보지 마십시오. 폴더를 열 때마다 접근 타임스탬프가 새로 기록되는데, 이는 나중에 여러분이 의존하게 될 바로 그 메타데이터입니다. 이 사안이 누군가의 앞에 놓이게 될 가능성이 있다면, 먼저 이미지부터 확보하십시오.
3. 로그가 순환 삭제되기 전에 확보하십시오. 엔드포인트의 Security 로그와 관련된 Microsoft 365 audit search를 즉시 내보내십시오.
4. 그 사람의 개인 계정은 절대 열지 마십시오. 회사 브라우저에 저장된 자격 증명이 있다고 해서 권한이 생기는 것은 아니며, 이를 사용하는 순간 고용주의 유리했던 입지가 무너집니다.
5. 누구와도 대면하기 전에 법률 자문을 구하십시오. 불완전한 증거만으로 대화를 나누면, 아직 자료를 삭제할 수 있는 바로 그 사람에게 미리 알려 주는 셈이 됩니다 — 그리고 만약 여러분의 판단이 틀렸다면, 직원 한 명에게 범죄 혐의를 씌운 것이 됩니다.

이 중 어느 것도 보안팀을 필요로 하지 않습니다. 필요한 것은, 아무 일도 일어나기 전에 미리 결정해 두는 것입니다. 평범해 보이는 방식을 제대로 해내겠다는 결정입니다. 첫날 서명받는 고지문, 켜 둔 세 가지 감사 정책, 누군가 퇴사할 때마다 실행하는 체크리스트, 그리고 매달 실제로 들여다보는 데 쓰는 한 시간입니다. 이것이 바로 이 규모에서의 내부자 위협 탐지의 모습이며, 충분히 손이 닿는 범위 안에 있습니다.

자주 묻는 질문