사태 파악은 시간·자원 낭비할 뿐..실효성 낮아
최악 가정이 실질적·신속 조치로 이어져

[보안뉴스=알렉시스 웨일즈 깃허브 CISO] 오늘날 소프트웨어 개발은 그 어느 때보다 빠르게 진행된다. 이 과정에서 사고가 발생할 가능성도 커진다. 가장 치명적 사고는 개인정보나 내부 소스코드와 같은 ‘민감 데이터’ 유출 경우다.

사고 발생시 기업들은 신속 상황 파악위해 분주하다. 특히, “얼마나 많은 데이터가 유출되었는가?”라는 질문에 매몰돼, 피해 규모를 가늠하려 한다. 하지만 이러한 접근 방식은 본질적으로 의미 없다.

미미한 수준의 데이터 유출이란 있을 수 없다. 데이터 유출이 발생한 순간부터, 모든 데이터가 외부에 노출됐다고 가정하는 것이 현실적이고 실용적인 접근법이다.


▲알렉시스 웨일즈 깃허브 CISO [자료: 깃허브]
데이터 유출 규모 추적의 비효율성
한 기업의 민감 데이터가 공개된 저장소에 업로드된 사고가 발생했다고 가정해 보자. 이때 기업은 첫 반응으로 누가 데이터에 접근했는지, 얼마나 오랫동안 노출됐는지, 다운로드된 이력이 있었는지 파악하려 한다. 이러한 조치는 논리적으로 타당해 보이지만, 현실적으로 시간과 자원만 낭비할 뿐 실효성이 낮다.

인터넷은 광범위하고 익명성이 보장된 공간이다. 따라서 정확한 노출 범위를 파악하려는 시도는 결국 허상을 좇는 것과 다름없다. 민감한 데이터가 외부에 공개된 순간, 누구나 접근할 수 있다는 사실을 인정하는 것이 중요하다.

데이터 유출을 기정사실로 받아들이기
초기 대응부터 최악의 상황을 가정하는 것이 “어느 정도까지 유출되었는가?”라는 질문보다 현실적이다. 이를 인정하는 기업은 더 신속하게 피해를 최소화할 실질적인 조치를 취할 수 있다.

유출 사고 발생 시 취해야 할 현실적인 대응 방안
○보안 정보 변경: API 키나 개인 액세스 토큰과 같은 민감한 데이터가 포함된 경우, 이미 유출된 것으로 간주하고 즉시 변경해야 한다. 이를 통해 무단 접근을 방지할 수 있다.
○영향 분석: 유출된 데이터가 시스템에 미칠 영향을 면밀히 검토해야 한다. 어떤 취약점이 발생할 수 있는지 철저히 분석하고, 이를 기반으로 보안 강화를 위한 조치를 마련해야 한다.
○투명한 커뮤니케이션: 이해관계자와 고객, 대중과의 신속하고 투명한 소통이 필수적이다. 현재 상황과 위험을 완화하기 위한 조치 그리고 사용자가 취해야 할 대응 방안을 명확히 전달해야 한다.
○법적 검토: 유출로 인해 발생할 수 있는 법적 영향을 파악하고, 지적 재산권 문제나 계약 위반 사항이 없는지 법률 전문가와 상의해야 한다.

완전 유출을 가정했을 때의 이점
○신속한 대응: 데이터가 완전히 유출됐다고 가정하면 즉각적인 대응이 가능해지고, 피해를 최소화할 수 있다.
○명확한 전략 수립: 모호한 추측을 줄이고, 보다 명확한 대응 전략을 세울 수 있다.
○보안 강화: 유출 사고를 계기로 보안 체계를 재점검하고, 전반적인 보안 수준을 높이는 계기골 삼을 수 있다.

요컨대, 데이터 유출 사고가 발생했을 때 ‘얼마나 많이 유출되었는가?’라는 사태 파악에 집중하는 것보다 ‘모든 데이터가 노출됐다’고 가정하는 것이 더 도움이 된다는 것이다. 이러한 발상의 전환을 통해 기업들은 신속하고 효과적으로 대응할 수 있다. 또, 시스템 보안 강화와 민감한 데이터 보호 그리고 이해관계자의 신뢰 유지라는 목표에 집중할 수 있다.

사이버보안에서 처음부터 최악의 상황을 가정하는 것이 개발자와 조직 모두에게 현실적이고 효과적인 전략이 될 수 있다.
[글_ 알렉시스 웨일즈 깃허브 CISO]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>