사이버 보안 감사란 무엇인가?
사이버 보안 감사는 조직의 기술 인프라를 체계적이고 독립적으로 검토·분석하는 과정입니다. 감사를 통해 취약점과 고위험 관행, 잠재적 위협을 발견할 수 있으며, 올바른 보안 정책과 통제 절차가 마련되어 있는지 확인할 수 있습니다. 아울러 관련 규정 준수 여부를 평가하는 데에도 활용됩니다.
보안 감사는 내부 기준과 외부 기준으로 나뉩니다. 기업의 IT 정책, 절차, 보안 통제는 내부 기준에 해당하고, 업계 표준이나 법규는 외부 기준에 해당합니다. 정기적인 감사는 조직 시스템에 대한 사이버 공격 위험을 사전에 차단하는 데 큰 도움이 됩니다.
사이버 보안 감사, 어떻게 진행해야 할까?
감사 준비 및 계획
- 모든 자산 목록을 작성하여 검토 대상을 명확히 합니다.
- 문서 기반 검토로 전체 보안 계획을 점검합니다.
- 조직의 위험 수준을 다시 한번 평가합니다.
감사 실행 단계
- 네트워크 구조를 상세히 문서화합니다.
- 관련 컴플라이언스(규정 준수) 기준 충족 여부를 확인합니다.
- 위험과 취약점을 식별하고 기록합니다.
- 기존 사이버 위험 관리 프로그램을 평가합니다.
- 보안 표준 준수 여부와 계획의 실행 가능성을 검증합니다.
- 위험 대응을 최우선 순위로 설정합니다.
자체 감사 시 체크리스트
- 데이터 보안 정책이 최신 상태인지 확인합니다.
- 흩어져 있는 사이버 보안 정책을 하나로 통합합니다.
- 네트워크 구조를 명확히 기술합니다.
- 보안 담당자의 역할과 책임을 명시합니다.
감사 시 점검해야 할 주요 항목
- 경영진이 승인한 보안 정책의 시행 여부
- 피싱 대응 교육, 의심스러운 이메일 처리, 소셜 엔지니어링 대비 직원 교육
- 긴급 상황 및 사이버 공격 대응 계획
- 시스템 하드닝(hardening) 계획과 IT 담당자 역량
- 출입 통제 등 물리적 보안 유지 상태
- 데이터 안전성 보장 방안
- 시스템의 능동적인 모니터링 및 테스트
IT 보안 감사의 핵심 정책 요소
- 비밀번호 정책
- 원격 접속 정책
- 암호화 정책
- 모바일 기기 사용 정책
- 파일 공유 정책
사이버 보안의 4대 요소
- 거버넌스: 위험에 대한 감독 및 관리
- 위협 식별과 협업: 내부·외부 자원 활용
- 제3자 위험 관리: 서비스 제공업체와 협력사에 대한 위험 관리
- 사고 대응 회복력: 사고 발생 시 빠른 복원력 확보
사이버 보안의 6가지 구성 요소
- 애플리케이션 보안
- 정보 보안
- 재해 복구 대비
- 네트워크 보안
- 엔드유저(최종 사용자) 보안
- 운영 보안
보안 감사의 유형
- 위험 평가(Risk Assessment): 조직 내 위험을 식별, 추정, 우선순위화합니다.
- 취약점 평가(Vulnerability Assessment): 시스템의 약점을 점검합니다.
- 침투 테스트(Penetration Test): 실제 공격 시나리오로 시스템을 시험합니다.
- 컴플라이언스 감사: 규정 준수 여부를 점검합니다.
사이버 보안 감사 모범 사례
- 객관성 확보를 위해 외부 전문가를 활용하는 것이 내부 IT 담당자에게 맡기는 것보다 유리합니다.
- 회사 전체 회의를 통해 감사 예정 사실을 알리고 모든 구성원의 협조를 얻습니다.
- 필요한 정보와 자료를 사전에 충분히 확보합니다.
- 감사 보고서를 꼼꼼히 검토합니다.
- 개선 사항을 지속적으로 관리합니다.
감사를 시작하기 전에는 데이터의 기밀성, 무결성, 가용성(CIA) 관점에서 정책을 먼저 점검해야 합니다. 기밀성은 어떤 직원이 어떤 데이터에 접근하고 열람할 수 있는지를 결정하는 사항이며, 무결성은 통제 조치의 정확성을 의미합니다.
일상 속 사이버 보안 모범 사례
- 소프트웨어와 하드웨어를 항상 최신 상태로 유지합니다.
- 의심스러운 이메일은 열지 않습니다.
- 안전한 파일 공유 수단을 사용합니다.
- 백신 프로그램과 멀웨어 스캐너를 적극 활용합니다.
- VPN으로 연결 프라이버시를 지킵니다.
- 링크를 클릭하기 전 반드시 확인합니다.
기업 네트워크 보안을 위해서는 침투 테스트를 통해 실제 위험을 파악하고, 이에 맞춰 보안 전략을 수립해야 합니다. 또한 데이터 저장 및 전송 단계 모두에 종단간 암호화를 적용하고, 신뢰할 수 있는 엔드포인트만 적절한 인증을 거쳐 연결을 허용해야 합니다.
사이버 보안 감사 비용은 얼마인가?
미국 기준으로 직원 50명 규모 기업의 일반적인 사이버 보안 위험 평가 비용은 약 10,000달러입니다. 비용 관리도 중요하지만, 숙련된 평가자가 참여하는 탄탄한 방법론에 기반해야 의미 있는 결과를 얻을 수 있습니다.
사이버 보안 감사가 중요한 이유
사이버 공격은 언제나 존재하며 사라지지 않습니다. 두려워하기보다 IT 보안 감사를 통해 보안 취약점을 미리 찾아내고, 소중한 데이터를 사이버 공격으로부터 효과적으로 보호하는 것이 현명한 대응입니다.