[논문 리뷰] Investigating Information Security Risks of Mobile Device Use within Organizations

William Bradley Glisson, Tim Storer|arXiv (Cornell University)|2013. 08. 21.

Privacy, Security, and Data Protection참고 문헌 10인용 수 9

한 줄 요약

이 경험적 연구는 글로벌 포춘 500대 기업의 직원들이 반납한 32台의 기기를 분석하여 기업 환경에서 모바일 기기 보안 위험을 조사한다. 비밀번호가 설정되지 않은 데이터와 불허가된 애플리케이션을 포함한 심각한 정책 위반과 데이터 유출 위험을 밝혀내며, 기업 환경에서의 모바일 보안에 대한 향후 연구에 기초가 되는 통찰을 제공한다.

ABSTRACT

Mobile devices, such as phones, tablets and laptops, expose businesses and governments to a multitude of information security risks. While Information Systems research has focused on the security and privacy aspects from the end-user perspective regarding mobile devices, very little research has been conducted within corporate environments. In this work, thirty-two mobile devices were returned by employees in a global Fortune 500 company. In the empirical analysis, a number of significant security risks were uncovered which may have led to leakage of valuable intellectual property or exposed the organization to future legal conflicts. The research contribution is an initial empirical report highlighting examples of corporate policy breaches by users along with providing a foundation for future research on the security risks of the pervasive presence of mobile devices in corporate environments.

연구 동기 및 목표

• 기업 환경에서의 모바일 기기 사용과 관련된 정보 보안 위험을 분석하는 것.
• 직원이 배정받은 모바일 기기들 사이에서 특정 기업 정책 위반 사례를 특정하는 것.
• 데이터 泄露 또는 법적 노출로 이어질 수 있는 기술적 및 행동적 취약점을 밝혀내는 것.
• 조직 내 모바일 보안에 대한 향후 연구에 초보적인 경험적 기반을 제공하는 것.

제안 방법

• 글로벌 포춘 500대 기업의 직원들이 반납한 32대의 모바일 기기를 경험적으로 분석하였다.
• 저장된 파일, 설치된 애플리케이션, 설정 설정 등의 장치 데이터를 수집하고 분석하였다.
• 장치 내용의 법의학적 검사를 통해 기업 보안 정책 준수 여부를 평가하였다.
• 민감한 데이터 존재, 약한 암호화, 불허가 소프트웨어 유무를 바탕으로 보안 위험을 식별하고 분류하였다.
• 관찰된 정책 위반 및 위험 패턴을 기록하기 위해 정성적 및술적 분석을 사용하였다.

실험 결과

연구 질문

• RQ1 기업 환경 내 직원의 모바일 기기에는 어떤 종류의 정보 보안 위험이 존재하는가?
• RQ2 직원의 모바일 기기들이 얼마나 심각하게 기존에 수립된 기업 보안 정책을 위반하고 있는가?
• RQ3 분석된 기기들에서 특정된 데이터 유출 또는 취약점은 무엇인가?
• RQ4 사용자 행동과 기기 설정은 조직의 보안 위험에 어떻게 기여하는가?

주요 결과

• 32대의 모바일 기기에서 기밀 데이터가 암호화되지 않은 채로 저장되어 심각한 보안 위험이 드러났다.
• 많은 기기들이 기업 보안 정책을 위반하는 불허가 애플리케이션을 포함하고 있었다.
• 직원 기기의 보안이 확보되지 않은 위치에 가치 있는 지적 재산이 발견되어 유출 위험이 증가했다.
• 여러 기기에서 약한 또는 전혀 적용되지 않은 암호화로 인해 데이터가 유출 위험에 노출되어 있었다.
• 조직의 법적 또는 규제적 갈등으로 이어질 수 있는 정책 위반 증거가 발견되었다.
• 연구 결과는 기업 환경에서 모바일 기기 사용이 널리 퍼져 있으며 종종 관리되지 않는 위험을 내포하고 있음을 강조한다.