사이버보안 위험 식별: 기업을 위한 실무 가이드

이 기사는 원래 IndustryWeek에 게재되었습니다. 오하이오 MEP의 남서부 지역 파트너인 TechSolve, Inc.의 보조금 프로그램 매니저 Traci Spencer의 게스트 블로그 게시물입니다.

이 기사는 '제조업체를 위한 사이버보안' 모범 사례를 개요하는 5부작 시리즈의 첫 번째 글입니다. 이 권고사항은 미국 제조업계의 표준이 된 국립표준기술연구소(NIST) 사이버보안 프레임워크를 따릅니다.

2018년 Ponemon Institute가 IBM 후원으로 수행한 연구에 따르면, 데이터 유출의 전 세계 평균 비용은 386만 달러입니다. 이는 도난당한 기록 하나당 거의 150달러에 해당합니다. 중소 제조업체라면 이런 통계가 남의 얘기 같을 수 있습니다. 하지만 보고서에 포함된 17개 산업 중 가장 큰 영향을 받은 부문은 금융, 서비스, 그리고 바로 제조업이었습니다.

제조업체는 정보 보안에 더 적은 자원을 투입하는 경향이 있어 사이버 범죄자들의 인기 표적이 됩니다. 단 한 번의 사이버 공격으로 중소 제조업체의 전체 운영 시스템이 무너질 수 있습니다. 네트워크로 연결된 기계, 공급업체, 유통업체, 심지어 고객까지 제조 시설의 한 컴퓨터/기기를 통해 해킹당할 수 있습니다.

기타 위험에는 다음이 포함됩니다:

• 비즈니스 운영에 필수적인 정보 손실
• 고객 신뢰에 부정적 영향
• 규제 벌금 및 그에 따른 법적 비용
• 생산성 저하 또는 중단

다행히 국립표준기술연구소(NIST)가 개발한 5단계 사이버보안 프레임워크로 규모에 관계없이 어떤 비즈니스든 운영을 보호하는 법을 배울 수 있습니다. 이 프레임워크는 온라인에서 확인할 수 있으며, 미국 제조업 발전을 위한 최적의 전문가인 지역 MEP National Network 대표를 통해 더 자세히 설명받을 수 있습니다. 또한 '제조업체 사이버보안 가이드(Manufacturers Guide to Cybersecurity)'(문서 위치 확정 후 링크 추가)를 참조하면 제조업체가 사이버보안 프로그램을 개발하는 데 필요한 기본 관행과 도구를 제공받을 수 있습니다.

데이터 보안을 향한 첫걸음을 내딛을 준비가 되셨나요? 과정은 위험 식별에서 시작됩니다.

정보 접근 권한자 통제

컴퓨터 접근 권한이 있는 직원 목록을 작성하고 모든 비즈니스 계정, 접근 유형(물리적 또는 비밀번호)을 포함하세요. 사용하지 않을 때 노트북과 모바일 기기를 물리적으로 안전하게 보관하세요. 직원들이 프라이버시 스크린을 사용하거나 지나가는 사람이 화면 정보를 볼 수 없도록 모니터 위치를 조정하게 하고, 컴퓨터를 사용하지 않을 때 화면 잠금이 활성화되도록 설정하세요.

다음과 같은 무권한 인원의 컴퓨터나 시스템 물리적 접근을 허용하지 마세요:

• 청소팀이나 유지보수 인력
• 시스템이나 기기에서 작업하는 비감독 컴퓨터/네트워크 수리 인력
• 사무실이나 현장에 직원의 확인 없이 들어오는 낯선 사람

잠금 해제된 기기에 범죄자가 접근하는 데는 몇 초면 충분합니다. 그들이 귀사의 민감한 정보를 훔치기 쉽게 만들지 마세요.

모든 직원에 대한 신원 조회 및 보안 검사 실시

신원 조회는 사이버보안 위험 식별에 필수적입니다. 컴퓨터와 회사 시스템 및 장비에 접근할 모든 예비 직원이나 기타 인원에 대해 전국 단위 전수 조사를 실시해야 합니다.

이 검사에는 다음이 포함되어야 합니다:

• 범죄 경력 조회
• 성범죄자 조회
• 신용 조회(가능한 경우, 일부 미국 주는 신용 조회 사용 제한)
• 이전 고용주 근무 기간 확인을 위한 추천인 조회
• 학력 및 학위 검증

자신에 대한 신원 조회도 고려해 보세요. 자신도 모르게 신원 도용 피해자가 되었는지 빠르게 경고받을 수 있습니다.

직원별 개별 사용자 계정 필수

데이터 손실이나 무단 데이터 조작 발생 시, 각 사용자별 개별 계정이 없으면 조사하기 어렵습니다. 접근이 필요한 각 직원과 계약자별로 별도 계정을 만드세요. 각 계정에 강력하고 고유한 비밀번호 사용을 요구하세요.

관리자 접근 권한을 가진 직원 수를 제한하세요. 특히 일상 업무에 필요하지 않은 경우라면 더욱 그렇습니다. 방문자나 고객을 위한 인터넷 접속만 가능한 게스트 계정 생성을 고려하세요.

사이버보안 정책 및 절차 수립

첫 사이버보안 정책을 만드는 게 벅찬 일처럼 느껴질 수 있지만, MEP National Network의 따라 하기 쉬운 팁이 많이 있어 시작을 도울 수 있습니다. 사이버 법에 정통한 법률 전문가와 상담하여 정책이 지역 법규를 준수하는지 검토받는 것도 좋습니다.

새 사이버보안 정책에는 다음이 포함되어야 합니다:

• 회사 정보 보호를 위한 직원에 대한 기대사항
• 보호가 필요한 필수 자원과 직원이 그 정보를 보호하길 기대하는 방식
• 정책을 읽고 이해했음을 확인하는 각 직원의 서명 동의서

서명된 동의서를 각 직원의 인사 파일에 보관하세요. 정책을 최소 연 1회 검토하고 회사 기술 변경 시 업데이트하세요. 그런 다음 사이버보안 정책을 활용해 신입 직원의 정보 보안 책임을 교육하고 모든 비즈니스 운영에 대한 허용 관행을 설정하세요.

이제 위험을 식별하고 자원을 평가하는 방법을 배웠으니, 그것들을 보호하는 방법을 생각할 차례입니다. MEP National Network의 5부작 '제조업체를 위한 사이버보안' 시리즈 2부에서는 사이버 위협으로부터 소중한 데이터와 정보를 보호하는 핵심 단계를 안내합니다.