제조업체 필수 사이버 보안: 팻 토스(Pat Toth)의 통찰

사이버 공격 건수는 계속 증가하고 사이버 범죄자들은 더 집요해지고 있습니다. 기업들은 급변하는 디지털 환경에서 혼란스러운 기술 가이드라인을 탐색하려 애쓰고 있습니다. 중소 제조업체들은 종종 자사가 위험에 처해 있다고 생각하지 않습니다. 어차피 더 큰 기업들이 있는데 왜 작고 시골에 있는 제조업체를 노리겠습니까?

실상을 파악하고 제조업체가 사이버 보안에 대해 정말로 알아야 할 것을 알아보기 위해 팻 토스(Pat Toth)와 마주 앉았습니다. 팻은 NIST 제조 연장 파트너십의 컴퓨터 과학자로 30년 이상 사이버 보안 경력을 가지며 수많은 NIST 사이버 보안 가이드라인 문서 작업에 참여했습니다.

질문: 제조업체가 다른 산업에 비해 정말 사이버 공격 위험에 노출되어 있나요? 그렇다면 왜입니까?

팻: 미국 국토안보부에 따르면 신고된 사이버 공격 건수 기준 제조업은 두 번째로 많이 표적이 되는 산업입니다.

중소 제조업체가 특히 취약한 이유는 더 큰 공급망으로 진입하는 쉬운 관문으로 보이기 때문입니다. 이렇게 생각해 보세요: 범죄자가 건물을 털려고 계획 중인데, 감시 장비와 경보 시스템, 경비원이 있는 건물을 털겠습니까, 아니면 이런 보안 기능이 전혀 없는 건물을 노리겠습니까? 보통 후자입니다. 그래서 사이버 범죄자들이 제조업체를 특정해 노립니다. 불행히도 많은 중소기업이 자신들이 표적이 아니라고 생각해 적절한 보안 조치를 갖추지 않습니다.

사이버 범죄자들은 귀사의 지식재산권(IP)에 관심이 있을 수도 있고, 귀사가 누구와 일하고 누구를 고용하는지에 대한 정보에 접근하고 싶을 수도 있습니다. 타겟(Target)의 2013년 고객 데이터 유출은 이의 대표적 사례입니다. HVAC 시스템 제공업체가 사이버 범죄자들에 의해 의도적으로 표적이 되었는데, 해커들이 이 HVAC 제공업체를 통해 타겟의 시스템에 침투할 수 있음을 알았기 때문입니다. 이 데이터 유출로 수백만 명의 신용카드 정보가 도난당했습니다.

질문: 중소 제조업체(SMM)들이 주요 표적인데도 자원이 제한적인 경우가 많은데, 이들이 할 수 있는 일은 무엇입니까?

팻: 복잡하고 다소 압도적으로 느껴질 수 있지만, 중소 제조업체가 할 수 있는 저비용·무비용이고 구현하기 쉬운 것들이 있습니다.

핵심은 정책을 수립하고 직원을 교육하는 것입니다. 다양한 연구에서 직원이 모든 회사의 보안에서 가장 취약한 지점 중 하나임이 밝혀졌습니다. 대부분의 직원은 자신이 무엇을 주의해야 하고 잠재적 또는 실제 사이버 사고를 어떻게 식별해야 하는지 모릅니다. 너무 늦기 전까지는요. 기업은 정기적으로 소통하여 직원들이 사이버 범죄자들의 수법과 사이버 사고 예방에서 자신이 맡은 결정적 역할을 이해하도록 도와야 합니다.

예를 들어, 회사엔 직장 내 소셜 미디어 사용 정책이 있어야 합니다. 일부 직원은 근무 중 소셜 미디어 접속을 기대합니다. 기업은 직원의 소셜 미디어 접근 허용과 시스템 보호 사이에서 균형을 잡아야 합니다. 어떻게 하냐고요? 정책을 수립하면 됩니다. 정책은 회사 시스템에서 소셜 미디어 사용을 금지하는 것일 수 있습니다. 어쩌면 낮 동안 소셜 미디어에 접근할 수 있는 별도의 반공개 네트워크를 제공하여 회사에 위험을 노출하지 않는 방식일 수도 있습니다. 어떤 정책이든 직원들이 이를 인지하고, 왜 존재하는지, 위반 시 잠재적 결과를 이해하도록 해야 합니다.

질문: 중소 제조업체가 구현할 수 있는 저비용·무비용 솔루션이 있다는 건 반가운 소식입니다. 회사가 사이버 보안 개선에 나설 준비가 되었다면 어디서부터 시작해야 합니까?

팻: NIST 사이버 보안 프레임워크와 NISTIR 7621 '중소기업 정보 보안: 기초(Small Business Information Security: The Fundamentals)'를 살펴보세요. 사이버 보안 프레임워크는 사이버 보안 관련 리스크를 관리하기 위한 표준, 가이드라인, 모범 사례로 구성됩니다. 우선순위가 정해지고 유연하며 비용 효율적인 시스템 보호 접근법을 제공합니다. '중소기업 정보 보안: 기초'는 사이버 보안 프레임워크에 기반하되 기술적 배경이 없는 기업 의사결정자들을 위해 더 관리하기 쉬운 개요를 제공합니다. 또한 보안 기능을 평가하고 우선순위를 정하는 방법에 초점을 맞춥니다.

시작을 돕기 위해 프레임워크에서 찾을 수 있는 내용을 간략히 요약합니다.

첫 단계는 식별(Identify)입니다. 회사에 가장 가치 있는 정보를 식별하세요. 이 정보는 분실되거나 수정되면 운영을 중단시킬 정보입니다. 예를 들어 식품 제조업체가 할머니 레시피로 초콜릿 칩 쿠키를 만든다고 합시다. 그 레시피는 비즈니스에 필수적이므로 도난이나 변조로부터 보호되어야 비즈니스가 지속될 수 있습니다.

두 번째 단계는 보호(Protect)입니다. 관리자 및 직원들과 대화하고 피드백을 활용해 회사에 가장 중요한 정보를 식별했습니다. 이제 그 정보를 제대로 보호하기 위해 무엇을 해야 할지 결정할 차례입니다. 이 단계는 귀사의 비즈니스에 특정한 위협과 취약성에 크게 좌우됩니다. 대면이나 전화로 고객과 일하는 소규모 회사는 이메일과 웹 포털로 비즈니스를 하는 회사만큼 보호할 게 많지 않습니다. 귀사의 운영 환경에 따라 어떤 보호를 갖출지 결정됩니다.

세 번째 단계는 탐지(Detect)입니다. 사이버 사고 발생 시 이를 탐지할 수 있어야 합니다. 최신 안티스파이웨어, 안티바이러스, 침입 탐지 시스템을 갖춰야 합니다. 물리적 공간도 고려해야 합니다. 사람들이 접근해선 안 될 구역에 접근할 때 알림이 필요한지 등을 고려하세요. 디지털이든 물리적이든 사고 발생 시점과 해당 인물이 접근한 대상을 아는 것이 중요합니다.

네 번째 단계는 대응(Respond)입니다. 사이버 사고 발생 시 회사는 잠재적 피해를 완화하기 위해 신속히 대응해야 합니다. 일이 터지기 전에 계획이 있어야 합니다. 계획엔 누가 책임지고 누가 연락받을지, 직원들이 업무 시간 중과 후에 어떻게 계획에 접근할지 포함되어야 합니다.

초등학교 때 연간 몇 차례 소방 훈련을 했던 걸 기억하세요? 그 소방 훈련처럼 회사는 정기적으로 사이버 사고 대응을 연습해 직원들이 사이버 사고 발생 시 정확히 무엇을 해야 할지 알도록 해야 합니다.

다섯 번째이자 마지막 단계는 복구(Recover)입니다. 정기적 백업을 수행해 시스템을 복구할 수 있어야 합니다. 백업은 별도 위치나 클라우드에 저장해야 합니다. 백업을 테스트해야 합니다. 백업 정보를 테스트하지 않으면 이벤트 발생 시 완전히 복구할 수 있는지 확신할 수 없습니다. 백업 테스트 빈도는 정보가 회사 운영에 얼마나 중요한지에 따라 결정해야 합니다.

이건 '일률적 적용(one size fits all)' 상황이 아니며, 귀사의 문화와 상황에 맞는 것을 결정해야 합니다. 어떤 회사엔 연 1회 테스트로 충분할 수 있습니다. 다른 회사엔 주 1회 테스트가 필요할 수 있습니다. 듣기엔 쉬운 답이 아니지만, 귀사 시스템의 취약점, 직면한 위협, 그에 어떻게 대항할지 살펴보는 것이 진짜 필요합니다.

질문: 우리 회사가 적절한 안전 조치를 갖추고 대응 계획을 수립했다고 칩시다: 그다음은 무엇입니까?

팻: 이건 '한 번 하고 끝(one and done)' 활동이 아닙니다. 대응 계획을 써서 선반에 올려둘 수 없습니다. 이건 살아있는 문서여야 합니다. 모두 회사의 사이버 보안 태세와 그것을 어떻게 지속적으로 개선할지 알아야 합니다.

새 장비를 사거나 새 직원을 채용할 때마다 이 활동들이 보안에 어떤 영향을 미치는지 생각해야 합니다. 소규모 회사엔 이게 어려울 수 있습니다. 회사가 빠르게 성장하면서 모든 사람이 모든 정보에 접근할 필요는 없다는 걸 잊는 경우를 너무 자주 봅니다. 시간이 좀 걸리지만 경영진은 직원 리스트를 검토해 누가 무엇에 접근해야 하고 해선 안 되는지 봐야 합니다. 현장 직원은 급여 정보에 접근할 필요가 없습니다. 역할 정의와 분리는 어려울 수 있지만 회사를 사이버 위협에서 보호하려면 필요합니다. 품질 시스템처럼 ISO 9000 채택에 많은 회사가 느렸던 것처럼 사이버 보안과 품질은 채택 면에서 많은 유사점이 있습니다. 품질의 주요 요소는 회사의 마인드셋입니다. 사이버 보안은 IT 담당자나 사이버 담당자만의 몫이 아닙니다. 회사 모든 수준의 모든 직원이 어떤 형태의 책임을 가집니다. 사이버 보안이 품질처럼 회사 문화의 일부가 되어야 효과적입니다.

질문: 직원들에게 회사의 사이버 리스크를 줄이기 위해 할 수 있는 것들을 교육할 정보를 어디서 찾을 수 있습니까?

팻: NIST MEP 사이버 보안 리소스 웹페이지로 가세요. 이 페이지엔 NIST 사이버 보안 프레임워크 기반의 간단한 자가 진단 도구 등 여러 리소스가 있습니다. 자가 진단으로 회사의 사이버 리스크 수준을 자체 평가할 수 있습니다. 자가 진단은 회사의 약점이 어디인지, 어디에 자원을 집중해 개선해야 할지 판단하는 데 도움이 됩니다. 우리는 귀하의 정보를 추적하거나 결과를 보관하지 않습니다. 진단 후 점수를 받아 귀사의 사이버 보안 노력 측면에서 약점이 어디인지 알 수 있습니다. 또한 MEP 내셔널 네트워크™의 일원인 50개 주와 푸에르토리코의 51개 MEP 센터 중 한 곳에 문의하여 질문이나 지원을 받을 수 있습니다.