네트워크 연결 직원이 알아야 할 사이버보안 필수 지식

사이버 공격의 상시적 위협

사이버 공격은 언제든, 어떤 규모로든, 네트워크에 연결된 모든 기기를 통해 발생할 수 있습니다. 사이버 침해가 오래 지속될수록 더 많은 데이터, 시간, 비용이 손실됩니다.

단일 사이버 공격만으로도 공급망을 황폐화시킬 수 있습니다. 또한 공급망 각 단계의 자격 증명 효과는 비즈니스의 다른 모든 부분에 직접적인 영향을 미칩니다.

2020년 사이버 보안 침해 조사에 따르면, 46%의 기업이 지난 1년 내 침해나 공격을 식별했습니다. 조사에 따르면 가장 흔한 사이버 공격 유형은 피싱 공격(직원이 수신한 이메일로 사기 웹사이트로 유도)입니다.

"이는 훨씬 적은 정도로 사칭, 바이러스 또는 기타 멀웨어가 따릅니다." 조사는 말합니다. "이 일련의 조사에서 일관된 교훈 중 하나는 직원의 경계심이 중요하다는 점입니다. 식별되는 침해와 공격의 대다수가 [그런 유형의 공격]을 통해 오기 때문입니다."

공급망 내 소기업의 취약성

공급망의 일부인 소기업의 경우, 네트워크에 접근할 수 있는 모든 사람이 사이버보안 지식을 갖는 것이 중요하다는 점이 보고서를 통해 명확해집니다. 이들은 모두 공격자의 실행 가능한 표적이 될 수 있습니다. 아래 보고서에서 가져온 이미지에서 이러한 공격의 영향을 볼 수 있습니다.

피싱 공격의 작동 원리

피싱은 위협 행위자가 신뢰할 수 있는 실체로 가장하는 사회 공학적 공격입니다. 이메일, 전화, 문자 메시지 수신자는 자신이 신뢰하는 사람이라고 믿는 대상에게 속아 민감한 정보를 제공하게 됩니다.

이 공격 방식은 보통 피해자를 악성 링크 클릭으로 유도하여 멀웨어, 랜섬웨어 설치나 비밀번호, 신용카드 정보 같은 민감한 개인 데이터 유출을 초래합니다.

최근 가장 정교한 피싱 캠페인 중 일부는 미국 질병통제예방센터(CDC)와 세계보건기구(WHO) 대표를 사칭한 개인들로부터 나왔습니다.

기술의 한계와 사람의 역할

사이버 침해 조사는 사람에 의해 탐지된 공격이 70% 증가했음을 보여줍니다. 기술은 무언가 명백히 잘못되었을 때 탐지할 수 있지만, 사실(fact)을 찾을 뿐 의도(intent)는 찾지 못합니다. 연구에 따르면 기술은 피싱 및 바이러스 포함 이메일의 약 999/1000을 차단합니다. 하지만 빠져나가는 것들은 기술적 관점에서 볼 때 잘못되어 보이지 않는 것들입니다. 사기 웹사이트 로그인 초대가 합법적으로 보입니다. 메시지와 웹사이트의 맥락을 인간이 읽을 때만 위협으로 식별할 수 있습니다.

인공지능과 정부의 능동적 방어 캠페인 형태로 기술 지원이 오고 있습니다. 그러나 현재로서는 우리 사용자가 위협을 식별하는 데 달려 있습니다. 그래서 모든 직원에 대한 교육이 필수적입니다.

공급망 보안의 연쇄 효과

공급망의 각 파트너는 다른 모든 파트너에 의존하며, 이는 사이버보안에서 특히 그렇습니다. 첫 번째 바이러스에 감염되어 나머지 체인과 파트너를 감염시키고 결국 고객에게 영향을 미치는 주체가 되고 싶지는 않을 것입니다.

모든 기업은 이러한 유형의 확산을 방지하기 위해 좋은 사이버보안 프로세스를 실천해야 합니다. 그래야만 위에서 아래까지 보안을 보장하고, 2017년 M.E.Doc 소프트웨어 해킹 같은 공격을 방어할 수 있습니다.

직원이 실천해야 할 5가지 필수 단계

모든 직원은 피싱의 명백한 징후, 잠재적 보안 문제를 보고할 대상, 비정상적이거나 평범하지 않은 요청(특히 긴박감이 수반된 경우)을 인지해야 합니다. 다음은 직원이 잠재적 공격을 방어하기 위해 취해야 할 5가지 단계입니다:

• 길고 고유한 비밀번호 생성 (12자 이상)
• 가능한 곳마다 2단계 인증 사용
• 피싱의 명백한 징후에 대해 스스로 교육
• 예상치 못한 전화로 민감한 정보 공유 금지. 상대방 확인 후 다른 출처(예: 인보이스, 웹사이트)에서 연락처를 찾아 다시 전화
• 비정상적으로 보이는 모든 것 재확인, 특히 정상 프로세스 밖의 일을 요청받을 때

교육이 열쇠입니다

비즈니스의 모든 직원이 사이버보안 프로세스를 준수하고 항상 경계하며, 특히 네트워크에 연결된 개인 장비 사용에 주의할 때, 성공적인 공격 확률이 70% 줄어듭니다.

교육이 비즈니스를 안전하게 지키는 열쇠입니다. 기술은 한계가 있습니다. 결국 항상 직원이 보안과 잠재적 위협에 대한 소유권을 갖고 올바른 방식으로 대처하는 방법으로 귀결됩니다. 그 능력은 오직 교육과 조율된 전략적 프로세스에 대한 투자를 통해서만 나옵니다.

Colin Robbins는 Nexor의 보안 컨설턴트 매니저입니다.