사이버 보안 전문가에게 꼭 물어봐야 할 5가지 핵심 질문

거의 매주 또 다른 회사나 조직이 사이버 공격 피해를 입었다는 소식을 듣습니다. 사이버 범죄자들이 더 집요해지고 있어 우리는 정보 보호에 더 신중해야 합니다.

개인 생활에선 대부분 더 조심하려 노력합니다. 각자 비밀번호를 '123456'으로 설정하던 시절은 지났길 바랍니다. 그런데 사무실에선 같은 수준의 경각심을 갖지 않는 것 같습니다. 우리 IT 전문가가 사이버 보안을 확실히 맡고 있으니 걱정할 필요 없다…고 생각하시나요?

사실 우리 직원들이 회사를 보호하는 데 결정적 역할을 하며, 단 한 번의 잘못된 클릭으로 비즈니스가 위험해질 수 있습니다. 윌리스 타워스 왓슨(Willis Towers Watson) 최근 연구에 따르면 사이버 사고 클레임의 90%가 어떤 형태의 인적 오류나 행동에서 기인합니다. 회사를 더 안전하게 만드는 여정을 안내할 5가지 질문과 답변을 소개합니다.

1. 우리 회사가 직면한 최대 사이버 리스크는 무엇인가요?

회사의 리스크는 고유한 운영 환경에 따라 크게 달라지므로 평가하고 고려할 것이 많습니다.

이메일을 사용하는 직원이 많나요? 스피어 피싱(Spear phishing)이 최대 리스크일 수 있습니다. 작업장 바닥의 IP 주소를 가진 모든 장치가 보안되어 있나요? 아니면 악성코드, 무단 접근 및 사용, 데이터 유출이 최대 리스크일 수 있습니다.

사이버 보안 리스크 평가는 조직의 정보 보안 관리 프로그램의 핵심 부분이어야 합니다. 모두 회사의 중요하고 안전한 데이터, 정보 자산, 시설에 어떤 수준의 리스크가 있음을 압니다. 하지만 이 사이버 보안 리스크를 어떻게 정량화하고 대비할까요? IT 보안 리스크 평가의 목적은 회사의 중요 자산이 직면한 보안 리스크가 무엇인지, 그들을 보호하는 데 얼마나 많은 자금과 노력을 써야 하는지 결정하는 것입니다.

NIST 리스크 관리 프레임워크(RMF)가 좋은 출발점입니다. RMF는 회사가 통제할 수 있는 시스템과 조직의 비즈니스 프로세스에서 기인한 리스크 부분을 관리하기 위한 구조적이면서 유연한 접근법을 제공합니다.

2. 비밀번호 관리자(password manager) 사용해도 괜찮나요?

개인 온라인 계정에 비밀번호 관리자를 쓰는 건 보안을 유지하는 훌륭한 방법이지만, 직장에서 어떤 소프트웨어를 쓰기 전 회사 정책을 확인해야 합니다.

비밀번호 관리자는 비밀번호를 저장하고 각 사이트별 고유한 비밀번호를 생성하는 데 도움을 줍니다. 하지만 모든 비밀번호를 한곳에 보관하는 건 위험합니다. 비밀번호가 어떻게 보호되는지, 암호화되는지 이해하는 게 중요합니다. 여러 기기와 브라우저에서 작동하는 다양한 상용 제품이 있으니 필요에 가장 잘 맞는 걸 찾기 위해 조사해 보세요.

3. 우리 회사가 주요 정보 보안 프레임워크나 표준을 준수하며, 준수할 필요가 있나요?

지식재산권과 민감한 고객·직원 정보 보호는 여러분과 고객에게 안심을 주고, 사이버 공격이 초래할 재정적 영향, 생산성 저하, 신뢰 상실을 볼 때 건전한 비즈니스 관행이기도 합니다.

국방부(DoD) 공급망 기업들에겐 이런 보호가 절대적 필수입니다. 이 기업들은 국방 연방 조달 규정 보충(DFARS) 최소 보안 표준을 충족해야 하며, 그렇지 않으면 DoD 계약을 잃을 위험이 있습니다.

리스크 이해와 완화를 도울 몇 가지 보안 프레임워크나 표준 예시: NIST 사이버 보안 프레임워크, NIST SP 800-53 - 정보 시스템 및 조직을 위한 보안 및 프라이버시 통제, NIST MEP 사이버 보안 자가 진단 핸드북, 결제 카드 산업 데이터 보안 표준(PCI DSS). 어떤 문서를 참조해야 할지 헷갈리기 쉬우니 각각에 대한 추가 정보:

• 프레임워크는 NIST SP 800-53보다 더 높은 수준(더 간결)입니다. NIST SP 800-53은 보안 및 프라이버시 통제 카탈로그입니다. 프레임워크는 기술적 배경이 없는 임원과 의사결정자에게 더 관리하기 쉽습니다. 또한 보안 기능을 평가하고 우선순위를 정하는 방법에 초점을 맞추며 NIST SP 800-53 같은 기존 문서를 참조합니다. NIST SP 800-53은 어떤 통제를 선택하고 구현할지 상세한 정보를 이해하는 기술 직원이 사용하기에 가장 적합합니다.
• NIST MEP 사이버 보안 자가 진단 핸드북은 회사가 NIST SP 800-171 보안 요구사항(DFARS 사이버 보안 요건 대응)을 준수하도록 돕습니다. 이 핸드북은 중소 제조업체의 정보 시스템을 NIST SP 800-171 rev 1 '비연방 시스템 및 조직에서의 통제된 비기밀 정보 보호'의 보안 요구사항에 따라 평가하는 단계별 가이드를 제공합니다.

• 결제 카드 산업 데이터 보안 표준(PCI DSS)은 신용·직불·현금 카드 거래 보안을 최적화하기 위한 널리 인정받은 정책과 절차 집합입니다. PCI DSS는 2004년 비자(Visa), 마스터카드(MasterCard), 디스커버(Discover), 아메리칸 익스프레스(American Express)가 만들었습니다. 결제 보안 유지는 카드 소지자 데이터를 저장, 처리, 전송하는 모든 기업에 필수입니다. 카드 소지자 데이터 유출이나 도난은 전체 결제 카드 생태계에 영향을 미칩니다. 귀사에 미치는 영향 예시: 고객 신뢰 상실, 매출 감소, 사기 손실, 법률 비용, 벌금, 결제 카드 수락 자격 박탈. 카드 결제를 처리하고 카드 소지자 데이터를 노린 공격에 대비해 사이버 방어를 준비하는 기업에 PCI DSS 준수 유지는 장기적 성공에 필수적입니다. 대부분의 소규모 기업은 자체 검증 도구로 카드 소지자 데이터 보안 수준을 평가할 수 있습니다.

4. 2단계 인증(Two-factor authentication, 2FA)이란 무엇이고 어떻게 활성화하나요? 왜 비밀번호만으론 부족한가요?

2단계 인증(2FA)은 당신이 당신이 맞는지 확인하는 추가 보안 계층입니다. 문제는 사용자명과 비밀번호만으론 쉽게 추측 가능하고, 사람들이 여러 사이트에 같은 비밀번호를 쓴다는 점입니다. 공개된 사고들에 따르면 분당 5,518건의 기록이 유출됩니다.

2FA는 타인이 귀하의 계정에 쉽게 접근하는 것을 막습니다. 2FA가 활성화되면 로그인 페이지에 사용자명과 비밀번호를 입력한 뒤 바로 접근하는 대신 또 다른 정보 한 가지를 제공해야 합니다. 이 두 번째 요소는 다음 중 하나일 수 있습니다:

• 알고 있는 것 – 개인식별번호(PIN), 패스프레이즈, 비밀 질문에 대한 답.
• 가지고 있는 것 – 신용카드, 키카드, 스마트폰, 하드웨어/소프트웨어 토큰, 사이트 알림.
• 본인 고유의 것 – 지문, 홍채 스캔, 음성 인식 같은 생체 인식 패턴.

자신이 쓰는 사이트나 앱에 2FA가 있는지 확실치 않다면 TwoFactorAuth.org를 방문해 확인하세요.

모든 계정에 2FA를 켜세요. 텔레사인(Telesign)의 단계별 2FA 활성화 가이드: https://www.turnon2FA.com.

5. 업무에 유용해 보이는 애플리케이션 구매 시 승인 프로세스가 있나요?

대부분 회사는 소프트웨어 구매(박스/온라인 또는 클라우드 외부 호스팅)에 대한 정책을 가지고 있습니다. 즉시 사용할 수 있는 애플리케이션과, 귀하의 사용과 그 안에서 처리·저장될 데이터에 충분히 안전한지 추가 조사가 필요한 애플리케이션을 아는 게 중요합니다. 무엇이 필요한지 알고 사이버 보안 전문가와 협력해 필수 프로세스를 거쳐 정보가 제대로 보호되도록 하세요.

현재 사이버 보안 리스크를 더 잘 이해하고 싶다면 MEP 내셔널 네트워크™ 사이버 보안 자가 진단 도구를 사용하세요. 질문이나 사이버 보안 전문가와 상담을 원하면 지역 MEP 내셔널 네트워크 센터에 문의하세요.