[논문 리뷰] Bring-Your-Own-Device (BYOD): An Evaluation of Associated Risks to Corporate Information Security

Ezer Osei Yeboah-Boateng, Francis Edmund Boaten|arXiv (Cornell University)|2016. 09. 05.

Information and Cyber Security인용 수 6

한 줄 요약

이 논문은 기업 환경에서 개인 소지 기기(BYOD) 정책과 관련된 사이버 리스크를 평가하며, 부적절한 보안 제도로 인해 데이터 유출이 가장 큰 위협임을 규명한다. 전문가 의견과 리스크 평가를 통해 관리되지 않은 개인 기기에서 발생하는 취약점을 강조하며, 생산성과 정보 보안의 균형을 맞추기 위한 완화 전략을 제안한다.

ABSTRACT

This study evaluates the cyber-risks to Business Information Assets posed by the adoption of Bring-Your-Own-Device (BYOD) to the workplace. BYOD is an emerging trend where employees bring and use personal computing devices on the companys network to access applications and sensitive data like emails, calendar and scheduling applications, documents, etc. Employees are captivated by BYOD because they can have access to private items as well as perform certain job functions while being unrestricted to their desks. This is however usually done on the blind side of management or the system administrator; a situation that tends to expose vital and sensitive corporate information to various threats like unwanted network traffic, unknown applications, malwares, and viruses. Expert opinions were elicited in this exploratory study. The study evaluated the characteristics of BYOD, assessed associated risks, threats and vulnerabilities. The findings indicate that little or no security measures were instituted to mitigate risks associated with BYOD. Though, profound benefits abound with BYOD adoption, they could be eroded by security threats and costs of mitigation in curing breaches. The most significant risk was found to be Data Loss which was in consonance with similar studies on Smartphone security risks. Some mitigation measures are then recommended.

연구 동기 및 목표

• 직원이 기업 네트워크에 개인 기기를 사용함으로써 발생하는 리스크를 평가하기 위해.
• 기업에서 BYOD를 도입함에 따라 발생하는 주요 위협과 취약점을 규명하기 위해.
• BYOD 관련 리스크에 대비한 기존 보안 제도 또는 그 부재를 평가하기 위해.
• BYOD 환경에서 사이버 위협에 노출되는 것을 줄이기 위한 실용적인 완화 전략을 제안하기 위해.

제안 방법

• 정보 보안 전문가들의 전문 의견에 기반한 탐색적 연구를 수행하였다.
• 기업 네트워크에 통합되는 BYOD의 특성을 분석하였다.
• 개인 기기에서 발생하는 악성코드, 비승인 애플리케이션, 네트워크 침입과 같은 위협을 평가하였다.
• 기기 관리 부족, 약한 액세스 제어, 부족한 암호화와 관련된 취약점을 규명하였다.
• 영향력과 발생 가능성에 따라 위협을 순위 매기기 위해 정성적 리스크 평가를 사용하였다.
• 규명된 리스크와 전문가의 합의에 기반해 보안 완화 조치를 제안하였다.

실험 결과

연구 질문

• RQ1 기업 환경에서 BYOD 도입과 관련된 주요 사이버 리스크는 무엇인가요?
• RQ2 관리되지 않는 개인 기기는 기업 정보 자산에 어떤 취약성을 초래합니까?
• RQ3 BYOD 환경에서 데이터 기밀성과 무결성에 가장 큰 위협이 되는 요소는 무엇입니까?
• RQ4 현재의 보안 정책은 BYOD 관련 리스크를 얼마나 효과적으로 완화하고 있습니까?
• RQ5 어떤 보안 제어 조치가 BYOD 배포 환경에서 데이터 유출 위험을 효과적으로 줄일 수 있습니까?

주요 결과

• 데이터 유출은 BYOD 환경에서 가장 심각한 리스크로 규명되었으며, 스마트폰 보안 연구의 결과와 일치한다.
• BYOD 도입과 관련된 리스크를 완화하기 위해 거의 또는 전혀 보안 조치를 시행하지 않은 경우가 많았다.
• 직원들은 종종 관리 감독 없이 개인 기기를 사용하여 악성코드 및 비승인 액세스에 노출될 위험이 증가한다.
• 중앙집중식 기기 관리 및 암호화 부족은 민감한 데이터 유출 가능성을 높인다.
• BYOD의 이점은 보안 침해 및 복구 비용의 비용이 상쇄될 위험이 있다.
• 완화 전략으로는 모바일 기기 관리(MDM), 데이터 암호화, 사용자 인식 훈련을 제안한다.