어떤 서비스를 제공하든 모든 기업은 사이버 보안을 진지하게 받아들여야 합니다. 이는 선택이 아니라 필수입니다.
그리고 언제나 우리 머릿속에 떠오르는 질문이 하나 있습니다.
"공격자가 하필 나를 노리겠는가?"
흥미롭게도 해킹 피해를 입은 사람들의 생각은 대체로 두 가지 중 하나입니다. "우리는 100% 안전하다" 또는 "나는 작은 사업장을 운영할 뿐이라 공격자가 노릴 만한 가치가 없다"는 식입니다.
그러나 아직도 이렇게 믿고 있다면, 초보 해커(스크립트 키디)부터 국가 지원 해커에 이르기까지 소중규모 기업이 해커들의 주요 표적이 되어 왔다는 통계를 다시 살펴볼 필요가 있습니다.
시만텍(Symantec)의 보고서에 따르면, 직원 250명 미만의 기업이 최근 몇 년간 전체 표적형 공격의 무려 36%를 차지했습니다.
1단계: 자신의 취약성부터 파악하라
안전한 환경을 만들기 위한 첫걸음은 자신이 얼마나 취약한 상태인지 정확히 이해하는 것입니다.
이 질문에 대한 가장 확실한 답을 찾고 있다면, 이미 구축한 보안 체계가 무엇이든 정기적인 침투 테스트(모의해킹)를 통해 애플리케이션 보안을 지속적으로 강화하는 것이 해답입니다.
취약점은 부주의하게 작성된 작은 코드 조각일 수도 있고, 오래된 종속성 라이브러리, 혹은 제품이나 조직 내에 사용되는 취약한 장비일 수도 있습니다.
더욱 주의해야 할 점은, 설령 조직이나 네트워크가 공격에 직접적인 영향을 받지 않았더라도 본인도 모르는 사이 사이버 공격의 전파 경로가 되었을 가능성이 있다는 것입니다.
이는 네트워크 경로상의 모든 시스템을 감염시키며 무차별적으로 피해를 일으키는 자가 전파형 봇넷(botnet) 공격이나, 더 큰 표적을 향한 공격의 발판으로 여러분의 회사를 활용하는 해킹 때문에 발생합니다.
2단계: 적절한 해결책 찾기
취약점 분석이 끝났다면 다음 단계는 이를 어떻게 패치할지 결정하는 것입니다. 물론 최소한 최대한 많은 취약점을 해결하는 것이 목표여야 합니다.
이를 위해 비즈니스에 대한 리스크의 우선순위를 정하고, 보안 팀의 조언에 따라 복구 작업을 진행해야 합니다.
우선순위를 정할 때는 가장 민감한 데이터에 영향을 미치는 취약점부터 처리하는 방식을 따를 수 있습니다. 예를 들어 PCI 준수 대상인 신용카드 정보, HIPAA 준수 대상인 건강 정보 등 조직과 관련된 규정이 적용되는 데이터를 최우선으로 보호해야 합니다.
또한 네트워크에 연결된 애플리케이션과 디바이스를 반드시 스캔해야 합니다. 이 부분은 자주 간과되는데, 방치할 경우 공격자에게 네트워크 침입의 명확한 로드맵을 제공하는 꼴이 됩니다.
네트워크 내 모든 취약 요소를 분류하고 나면 자신의 공격 표면(attack surface)을 한층 더 명확하게 이해할 수 있게 됩니다.
3단계: 해결책 실행하기
핵심은 시프트레프트(shift-left) 보안 접근 방식을 도입하여 취약점을 분석하는 것입니다. 적절한 보안 도구를 활용하면 코드와 종속성의 취약한 부분을 정확히 찾아낼 수 있어 작업이 훨씬 수월해집니다.
그다음은 적합한 패치를 통해 취약점을 해결하는 것입니다. 많은 조직이 패칭 비용을 듣고 이 중요한 단계를 생략하곤 하는데, 이는 큰 착각입니다.
사이버 사고 발생 후 복구하는 데 드는 비용은 사전 예방적 remediation(취약점 개선)에 투자하는 비용보다 훨씬 큽니다. 이 점을 조직들은 자주 잊곤 합니다.
오래된 종속성 라이브러리라면 최신 버전으로 업데이트하는 것이 가장 완벽한 해결책입니다. 코드 문제라면 개발자와 보안 팀 전문가의 조언을 긴밀하게 연동하는 것이 바람직합니다.
무엇보다 동료 직원들을 대상으로 보안 교육을 실시하고, 모든 직원이 반드시 준수해야 하는 사이버 보안 정책을 수립하는 것이 좋습니다.
이 정책에는 어떤 솔루션을 사용해야 하는지뿐만 아니라, 강력한 비밀번호 생성이나 피싱 이메일 식별 같은 보안 모범 사례도 포함되어야 합니다.
혼자서 이 모든 문제를 처리하기 어렵다면 사이버 보안 컨설턴트나 관리형 서비스 제공업체(MSP)를 고용할 수 있습니다. 다만 계약하기 전에 반드시 서비스 수준 계약서(SLA)를 꼼꼼히 읽고, 상대방이 제공하는 범위와 본인이 부담해야 할 책임을 정확히 파악하세요.
결론
사이버 위생 관행은 하루아침에 완성되는 것이 아니며, 취약점을 발견하고 패치하는 끊임없는 지속 과정입니다.
다행히 시장에는 다양한 교육 자료와 우수한 애플리케이션 보안 소프트웨어가 넘쳐나므로, 보안을 소홀히 할 명분은 없습니다.