보안 계획을 수립하는 방법
체계적인 보안 계획은 크게 여섯 가지 단계를 거쳐 수립할 수 있습니다.
1단계: 비즈니스 모델 이해 — 조직의 업무 방식, 처리하는 데이터의 종류, 주요 비즈니스 자산을 먼저 파악해야 합니다.
2단계: 위험 평가 실시 — 현재 보유한 시스템과 데이터에 대한 잠재적 위협과 취약점을 진단합니다.
3단계: IT 보안 정책 및 절차 개발 — 위험 평가 결과를 바탕으로 구체적인 보안 규칙과 실행 절차를 문서화합니다.
4단계: 보안 우선 기업 문화 조성 — 경영진부터 현장 직원까지 모두가 보안을 최우선 가치로 여기는 문화를 만듭니다.
5단계: 사고 대응 체계 정의 — 보안 사고 발생 시 누가, 어떻게, 어떤 순서로 대응할지 명확히 정합니다.
6단계: 보안 통제 구현 — 기술적·관리적 통제 장치를 실제로 배포하고 운영합니다.
보안 계획 수립의 첫 번째 단계
보안 계획의 출발점은 규제 환경과 보안 환경 검토입니다. 산업별로 적용되는 법규와 컴플라이언스 요건을 확인한 뒤, 두 번째로 거버넌스·감독·책임 체계를 지정하고, 세 번째로 조직이 보유한 자산 목록을 작성해야 합니다. 무엇을 보호해야 하는지 알아야 적절한 보호 조치를 설계할 수 있기 때문입니다.
네트워크 보안 계획 작성 방법
실질적인 네트워크 보안 계획에는 다음 요소들이 반드시 포함되어야 합니다.
방화벽 구축: 외부의 무단 접근으로부터 네트워크를 보호하는 1차 방어선입니다. 방화벽 운영 기준도 보안 정책에 명문화해야 합니다.
기밀 정보의 안전한 보관: 중요 데이터는 접근 권한이 제한된 안전한 위치에 저장합니다.
DMZ(비무장지대) 구성: 웹 서버 등 외부에 공개되는 서비스를 내부 네트워크와 분리하여 침해 피해 확산을 막습니다.
사용자 인증 시스템: 합법적인 사용자만 시스템에 접근할 수 있도록 강력한 인증 절차를 마련합니다.
데이터 암호화: 저장 데이터와 전송 데이터를 모두 암호화하면 유출 시에도 피해를 최소화할 수 있습니다.
소셜 엔지니어링 방어 체계: 피싱, 스미싱 등 사람을 노린 공격을 차단하는 교육과 필터링 시스템을 갖춥니다.
효과적인 네트워크 보안 프로그램의 핵심 요소
강력한 네트워크 보안 프로그램을 만들기 위해 고려해야 할 핵심 요소는 다음과 같습니다.
네트워크 분리(Segmentation): 네트워크를 여러 구역으로 나누면 한 구역이 침해되더라도 전체로 확산되는 것을 막을 수 있습니다.
백신 이상의 다층 방어: 안티바이러스 소프트웨어만으로는 부족하며, 침입 탐지 시스템(IDS), EDR 등 다양한 도구를 함께 활용해야 합니다.
지속적인 경계: 보안은 일회성 작업이 아니라 상시 모니터링과 정기 점검이 필요한 지속적 활동입니다.
사고 대응 계획: 침해 사고 발생 시 신속하게 대응하고 복구할 수 있는 구체적인 플랜을 사전에 준비해야 합니다.
보안 계획의 8가지 구성 요소
완성도 높은 보안 계획 문서는 다음 8가지 요소를 담고 있어야 합니다.
1. 정책의 목적 — 이 정책이 존재하는 이유와 달성하고자 하는 바를 명시합니다.
2. 적용 대상 — 정책이 누구에게, 어떤 시스템에 적용되는지 범위를 정합니다.
3. 정보 보안 목표 — 기밀성, 무결성, 가용성 확보라는 목표를 설정합니다.
4. 권한 및 접근 통제 — 시스템과 데이터에 대한 접근 권한을 관리하는 방식을 정의합니다.
5. 데이터 분류 — 공개, 내부용, 기밀 등 데이터의 민감도 등급을 나눕니다.
6. 데이터 관련 서비스 및 운영 — 데이터가 저장·처리·전송되는 운영 절차를 규정합니다.
7. 보안 인식 및 조치 — 보안 위협을 인지하고 대응하는 행동 지침을 마련합니다.
8. 직원의 권리, 의무, 책임 — 구성원 각자가 부담해야 할 보안상 역할과 책임을 명확히 합니다.
IT 보안 계획이란?
IT(정보) 보안 계획이란 기업이 민감한 데이터와 개인 정보를 보호하기 위해 수립하는 절차와 보안 조치의 총체를 의미합니다. 잘 설계된 사이버 보안 계획은 조직에 가해질 수 있는 각종 위협을 완화하고, 정보의 기밀성(confidentiality), 무결성(integrity), 가용성(availability)을 지켜줌으로써 사업의 안정성과 심리적 안식을 동시에 제공합니다.
보안 계획 수립 시 반드시 실행해야 할 핵심 활동
보안 계획을 실질적으로 만들 때는 다음 활동들을 우선적으로 추진해야 합니다.
위험 평가 수행: 자산과 위협을 분석해 우선순위를 정합니다.
보안 중심의 조직 문화 구축: 기술 이전에 사람과 문화가 먼저입니다.
IT 보안 정책·절차 검토: 기존 정책이 현실과 규제에 맞는지 주기적으로 점검합니다.
직원 보안 교육: 보안 모범 사례를 직원들에게 지속적으로 교육하는 것이 가장 효과적인 방어책입니다.
재해 복구 계획(DR) 통합: 재해 복구 계획을 전체 보안 계획의 일부로 편성해 사고 후 빠른 업무 복구를 보장합니다.
보안 계획에 포함되어야 할 사항
효과적인 보안 계획에는 현재와 미래의 상황에 대응할 수 있는 일일 정책, 보안 조치, 운영 프로토콜이 포함되어야 합니다. 여기에는 보안 관리 체계, 침해 사고 및 데이터 유출 상황에 대한 대응 절차, 그리고 이러한 특별 프로토콜이 실효성을 갖도록 매일 실행되는 정책과 조치들이 포함됩니다. 계획이 문서에만 머물지 않고 실제 업무에 녹아들 때 비로소 조직을 보호하는 힘을 발휘합니다.