주요 동맹국들이 힘을 합해 중소기업들을 위한 보안 가이드라인을 발표했다. 현실적인 문제로 인해 보안을 등한시 하는 중소기업들이 많은데, 대기업들처럼 예산을 투자하지 않더라도 기본적인 밑바탕이 탄탄히 깔리도록 하는 데 도움이 될 만한 내용이다.

[보안뉴스 문정후 기자] 미국, 영국, 오스트레일리아, 뉴질랜드, 캐나다 등 일명 파이브아이즈(Five Eyes)라고 불리는 동맹들이 중소기업들을 위한 보안 가이드라인을 합동으로 발표했다. 중소기업들은 보안에 대한 투자를 할 여유가 없다고 스스로들 말하는 경우가 많은데, 이번 가이드라인을 통해 파이브아이즈는 “오히려 평판과 미래의 성공을 보장하기 위해 보안은 경쟁적으로 탑재해야 할 요소”라고 안내하고 있다. 하지만 그러면서도 중소기업의 현실적인 상황을 잘 알기에 “비용 부담이 적은 보안 조치들을 모았다”고 가이드라인 서두에 밝혔다.


[이미지 = gettyimagesbank]

1단계 : 위협 이해하기
가이드라인에서는 “규모에 관계 없이 신기술을 보유한 기업들이라면 특정 국가의 표적이 되고 있다”는 경고가 나오고 있다. 아무래도 외교적 문제가 발생할 여지를 남기지 않기 위해 국가의 이름을 직접적으로 밝히고 있지는 않으나 파이브아이즈는 주로 러시아, 중국, 이란, 북한의 해커들을 ‘해킹 국가’로 간주하고 있다. 이번 문건에서는 이런 국가들의 이름이 언급되지 않고 있다.

“또한 국가의 지원을 받는 해커들만이 신기술을 빼앗으려 하는 건 아닙니다. 사이버 위협자라고 하면 그런 해커들은 물론 상업적 이익을 추구하는 경쟁자와 보안이 약한 회사를 악용하여 더 큰 회사나 기관으로 침투하려는 공격자들이 있을 수 있습니다. 이런 자들은 회사의 규모를 전혀 따지지 않습니다. 오히려 ‘보안이 취약한가’가 더 큰 고려 요인이 되지요.”

그러면서 공격자들의 목적은 크게 세 가지로 분류 가능하다고 설명한다.
1) 신기술을 빠르게 가져가 경쟁에서 우위를 점하고 동시에 상대를 약화시킨다.
2) 정부에 반대하는 정치적 반대파들을 억제하기 위해 공격하여 펴판을 손상시킨다.
3) 군사적 우위를 강화하여 국가 안보를 위협한다.

그러면서 이들 공격자들의 접근 방법이 다양하다고도 경고한다.
1) 내부자 : 해킹 공격 대상이 되는 단체의 내부자를 포섭한다.
2) 사이버 공격 : 보안이 취약한 기업의 경우 직접 해킹 공격을 하여 뚫는다.
3) 물리 공격 : 물리적으로 직접 침투해 자산을 훔쳐낸다.
4) 해외에서의 공격 : 특정 임직원이 해외로 출장을 간 사이에 호텔 등 투숙 장소에서 해킹 공격을 실시한다. 이런 곳이 회사보다 보안에 취약한 경우가 많기 때문이다.
5) 투자 : 투자자로 위장하여 회사에 접근하거나 영향력을 발휘할 수 있게 된다.
6) 공급망 : 공급 업체로 위장하거나 업체를 직접 침해하는 등의 방법으로 공급망을 손상시킨다.

2단계 : 보안 문화를 위한 ‘배경’ 만들기
사이버 위협들에 대하여 이해한 후에는 탄탄한 환경을 만드는 절차가 필요하다고 파이브아이즈는 짚는다. “그러기 위해서 제일 먼저 해야 할 것은 명확한 보안 리더십을 정의하는 겁니다. 이 사람이 보안 책임자이고, 어떤 권한과 책임을 갖는다는 걸 분명하게 정해줘야 한다는 것이죠. 이런 책임자의 중요한 임무 중 하나는 회사 내에서 보안과 관련된 대화를 촉발시키는 겁니다. 보안이 무엇인지, 왜 중요한지, 얼마나 우리와 가까이에 있는 문제인지 구성원들끼리 나누고, 자연스럽게 배우고 훈련할 수 있는 분위기를 형성해야 합니다. 보안 문화를 형성하는 데 있어 가장 중요한 단계입니다.”


[이미지 = gettyimagesbank]

그 다음 보안 강화를 위해 해야 할 일은 유형 자산과 무형 자산에 어떤 것이 있는지 파악하는 것이다. 유형 자산은 건물과 장비와 같은 물리적 자산을 말하고, 무형 자산은 아이디어, 소프트웨어, 브랜드 가치, 전문 지식, 노하우 등을 말한다. 이들 중 어떤 것이 침해됐을 때 회사 전체에 어떤 영향을 미치는지 이해하는 것이 보안의 시작점이라고 가이드라인은 강조한다. “기업으로서 가질 수 있는 리스크를 평가하라는 건데, 보안 평가 역시 리스크 평가와 결을 같이 하는 게 좋습니다.”

그러면서 가이드라인은 보안 리스크 평가를 위한 시나리오를 다음과 같이 제시하고 있다.
1) 직원과 방문자, 또는 외부 당사자에 의한 회사 자산과 정보에 대한 불법 접근 및 열람, 도난
2) 여행 중(혹은 출장 중) 회사 자산과 정보에 대한 불법 접근 및 열람, 도난
3) 원격으로부터의 IT 시스템과 정보, 중요 자산에 대한 불법 접근 및 열람, 도난
4) 서드파티 업체들을 통한 지적 재산의 상실

평가를 완료한 후에는 각 자산의 취약성과 위험성을 보다 구체적으로 이해할 수 있게 된다는 게 가이드라인이 짚어주는 내용이다. “그냥 대강 ‘해킹은 위험해’라고 알고 있는 것과, 나의 어떤 자산이 어디에 있고, 어떤 위험에 처해 있으며, 어떤 영향을 퍼트릴 수 있다는 걸 이해하는 것은 전혀 다른 이야기입니다. 특히 위험 완화 조치를 택하고 실제 취하는 데 있어서 큰 차이가 날 수밖에 없습니다.”

물론 이 단계에서 어떤 조치를 취하느냐는 기업의 상황마다 판이하게 달라지므로 가이드라인에서 천편일률적으로 다룰 수 없었다. 대신 다음 세 가지 기본 사항을 제안하긴 했다.
1) 보안 전략을 수립할 때 주요 자산, 전반적인 리스크, 허용 가능한 리스크를 기반으로 하라.
2) 보안 전략에 의해 수립되는 정책과 절차라는 건 영구적일 수 없으니 정기적으로 검토하는 게 중요하다.
3) 신규 직원과 계약자, 공급업체들까지도 전부 고려해서 보안에 대한 책임을 설정해야 한다.

3단계 : 자산의 보호
자산을 파악했다면 우선적인 보호가 필요한 자산들의 우선순위가 어느 정도 수립되었을 텐데, “보호가 시급히 필요한 자산 주변에 물리적 또는 논리적 보호 장치를 설치해야 한다”고 가이드라인은 강조한다. “물리적 보호 장치란 출입을 통제하는 장치나 공간을 말하는 것이 될 수 있고, 논리적 보호 장치란 방화벽 같은 것이 될 수 있습니다. 이렇게 해 둔 후에 해당 자산에 꼭 필요한 임직원만 접근할 수 있도록 권한을 할당하는 것도 중요합니다. 그런 권한을 받은 자들도 꼭 거쳐야 하는 접근 절차도 만들고, 이런 권한과 절차를 누군가 어겼을 때 탐지할 방법과 대응 방법도 같이 마련해야 합니다.”


[이미지 = gettyimagesbank]

하지만 이것만으로는 충분히 안전할 수 없는 게 요즘과 같은 시대다. 해커들은 마음만 먹으면 어디든 뚫고 들어갈 수 있기 때문이다. 특히 갈수록 강력해지는 랜섬웨어 공격의 경우 주의에 주의를 거듭해도 어느 새 공격이 시작되고 있는 경우가 많다고 가이드라인은 경고한다. “그렇기에 주요 데이터라면 정기적으로 백업을 해두는 게 맞습니다. 자동화 기술을 통해 주기적인 백업이 자연스럽게 진행되도록 해두면 효율적일 수 있습니다. 백업 드라이브는 물리적, 논리적으로 분리된 공간에 두어야 합니다.”

방화벽과 백신 솔루션도 유용하다고 가이드라인은 강조한다. 하지만 이 두 가지는 중소기업들이 비용 문제로 잘 구매하지 않는 게 보통이다. “대부분의 인기 있는 운영 체제에는 방화벽이 포함되어 있습니다. 사용자 편에서 이를 활성화하기만 하면 됩니다. 백신 소프트웨어도 무료로 제공되는 것이 많습니다. 따라서 얼마든지 받아서 회사 내에서 사용되는 모든 장비들에 설치하는 게 좋습니다. 최신 스마트폰이나 태블릿의 경우 공식 애플리케이션 스토어에서만 앱을 설치한다면 따로 백신이 필요하지는 않습니다.”

기업들이 중요하게 보호해야 할 것 중 하나가 ‘계정’인데, 현재 가장 널리 사용되는 방법은 비밀번호다. 비밀번호가 완전하지 않다는 건 널리 알려진 사실인데, 그나마도 잘 활용하지 않는 경우가 많다고 가이드라인은 지적한다. “특히 각종 모바일 장비나 컴퓨터를 비밀번호 없이 사용하는 사람들이 많습니다. 그냥 전원만 올리면 누구나 그 장비를 쓸 수 있게 되는 것이죠. 지문, PIN, 화면 패턴, 얼굴 인식 등 여러 가지 안전한 로그인 방식이 있으니 알맞은 걸 활성화하여 사용하는 게 좋습니다. 디폴트 비밀번호가 설정되어 있는 경우가 있긴 한데, 그런 경우 임직원들에게 배포하면서 비밀번호를 변경하도록 해야 합니다. 기억하기 쉽고 남이 추측하기 어려운 비밀번호를 설정하는 게 핵심인데, 세 개 이상의 단어로 문장을 만들어 비밀번호로 하는 게 좋은 효과를 발휘합니다. 중요한 계정이라면 다중 인증을 활성화하는 걸 추천합니다.”

장비를 항상 최신 상태로 유지하는 것도 가이드라인은 짚고 넘어갔다. “제조사에서 제공하는 최신 소프트웨어와 펌웨어 업데이트를 꼼꼼하게 적용해야 합니다. 새로운 기능이 추가될 수도 있지만, 그 무엇보다 보안 취약점들이 해결되기 때문입니다. 다만 이것을 담당자 한두 사람이 전부 책임지는 건 힘듭니다. 장비를 직접 사용하는 임직원 스스로가 업데이트 현황을 파악하여 제 때 적용하는 것이 좋습니다. 지원 종료가 되는 제품이나 소프트웨어가 있을 수 있는데, 그런 경우는 최근의 대체품으로 교체하는 걸 고려하는 게 안전합니다.”

인터넷을 어떤 기술로 연결하는지 점검하는 것도 중요한 지점이다. “실천이 꽤 안 되고 있는 것 중 하나인데 많은 사용자들이 무료로 제공되는 공공 와이파이에 스스럼 없이 장비를 연결하곤 합니다. 하지만 출처도 제대로 알 수 없는 이런 와이파이 핫스팟 연결하게 된다면, 그 핫스팟을 제공하는 자가 연결된 사람들의 활동을 감시하거나 로그인 정보를 볼 수 있게 됩니다. 따라서 가능하다면 모바일 네트워크를 사용하거나, 그렇지 않다면 VPN을 통해 인터넷에 연결하는 게 좋습니다.”

장비의 분실에도 대비해야 하는데, 이를 위해 기업은 임직원에게 나눠주는 도구들에 다음과 같은 장치들을 심어둘 수 있다.
1) 기기 위치 추적 장치
2) 기기 원격 잠금 장치
3) 기기 내 데이터에 대한 원격 삭제 권한
4) 기기 내 데이터에 대한 백업 복구 장치

지적재산 역시 기업이 반드시 보호해야 할 자산 중 하나다. 기업의 존폐 여부가 달려 있기도 한 문제이니 더욱더 신중히 이 문제에 접근해야 한다. “가능하다면 지적재산을 공식 등록하는 게 가장 좋습니다. 그러면 누군가 그것을 훔쳐간다 하더라도 사용하기가 힘들어집니다. 하지만 그렇게 하지 못할 경우들도 많지요. 무엇을 어떻게 보호해야 하는지에 대해서는 국가가 법률로 정해두고 있는데, 이와 관련된 정보를 습득해 적용하는 게 좋습니다. 그래야 최소한의 법적 피해 보상이 이뤄지고 지적재산에 대한 권리를 인정 받을 수 있게 되니까요. 또한 그런 법률적 이해를 바탕으로 지적재산에 대한 모니터링 기술을 도입하고, 임직원들을 교육시키는 것도 중요합니다.”

4단계 : 서드파티 보호하기
이제 어떤 기업이라도 홀로 성공할 수 없다. 반드시 협력 업체를 두고 사업을 진행해야 한다. 하지만 그렇기 때문에 해커들이 침투할 경로가 늘어나는 것도 사실이다. 따라서 협력 업체와 보안까지도 협력해야 하는 게 점점 더 필수 요소로 자리 잡고 있다. 가이드라인에서도 이 문제를 짚으며 “제일 먼저는 협력의 목적을 정의하는 것부터 시작해야 한다”고 권고한다.


[이미지 = gettyimagesbank]

“협력을 통해 얻어내야 할 결과는 무엇인지, 파트너십을 통해 각자가 얻어가는 것이 무엇인지, 서로가 어떤 잠재적 위험을 가지고 있으며 파트너십의 한계가 무엇인지를 명확하게 평가해야 합니다. 당연하지만 한쪽의 생각만으로 이것을 규정해서는 안 되고, 서로의 대화를 통해 이것을 분명히 해야 할 필요가 있습니다.”

그 후에는 협력 업체가 가지고 있는 잠재적 위험성을 평가해야 한다. 파이브아이즈의 가이드라인에서는 “실사를 통한 평가”가 권장되고 있다. 다음과 같은 항목을 기준으로 평가하는 것이 제안됐다.
1) 조직 구조나 관계가 독립성과 신뢰성을 훼손할 가능성이 있는가?
2) 외국의 군대나 경찰, 보안 기관과 연계되어 있는가?
3) 정치적 인사나 정당과 관련이 있는가?
4) 법적 체계상 협력 업체가 데이터를 공유하거나 국가와 협력하도록 강제될 수 있는가?
5) 협력 업체가 국가 제재 목록에 포함되어 있는가?
그 외에도 필요에 따라 여러 기준이 있을 수 있다.

그렇다면 평가 후에 두 회사는 어떻게 서로를 제어하거나 관리해야 할까? 그에 대해 파이브아이즈는 다음 기본 사항들을 제시한다.
1) 서로 공유해야 하는 데이터의 범위를 파트너십 체결 초기 단계에서 결정하고, 꼭 필요한 데이터로 제한해야 한다.
2) 민감한 시스템이 있다면, 협력 업체가 접근할 수 없게 하고, 협력 업체가 접근해야만 한다면 그 외 다른 파트너사들이 접근할 수 없도록 관리해야 한다.
3) 협력 관계가 끝나면 데이터를 회수할 수 있는 방안까지 확보해야 한다.
4) 해외 업체와 파트너십을 맺을 경우 현지 법규와 규정을 꼼꼼하게 알아봐야 한다.
5) 자산 및 데이터를 보호하기 위해서 비밀 유지 계약을 체결한다.

공급망은 요즘 사이버 공격자들에게 있어서 가장 공격하기 쉬운, 가장 공격하고 싶어하는 표적이다. 공급망 공격은 조직 전체에 심각한 영향을 미칠 수 있으며, 사업의 존속도 위협할 수 있다. 그렇기 때문에 처음부터 협력 업체를 조심스럽게 선정해야 하고, 아무리 신뢰 관계가 돈독히 쌓여 있다 하더라도 민감한 데이터나 시스템에 대한 불필요한 공유는 지양해야 한다.

5단계 : 클라우드 보안
클라우드 서비스를 제공하는 업체는, 사용자 기업이 하드웨어에 투자하지 않고도 고도의 확장 가능한 서비스를 경험할 수 있도록 해 준다. 최근 클라우드 업체들은 보안에 큰 투자를 하고 있기 때문에 이를 잘만 이용한다면 보안 전문 인력을 따로 두기 힘든 중소기업들이 오히려 외부에 보안 전문가를 두는 것과 비슷한 효과를 거둘 수도 있다.


[이미지 = gettyimagesbank]

하지만 클라우드 업체들마다 보안의 수준이 다를 수밖에 없다. 수준도 다르지만, 성향도 다르다. 이 클라우드 업체가 중시하는 게 있고, 저 클라우드 업체가 중시하는 게 있다. 가이드라인에서도 이 부분이 지적되고 있다. “예를 들어 한 업체는 데이터의 기밀성을 강조하고 있는데, 다른 업체는 복원력을 가장 중요하게 여기고 있을 수도 있습니다. 데이터의 가용성에 초점을 맞춘 클라우드 업체도 있지요. 그러니 이런 점들을 세세히 알아보고 자신에게 맞는 클라우드 업체를 고르는 게 클라우드 보안의 시작입니다.”

클라우드 서비스를 이용할 경우 데이터가 저장되는 위치에 따라 적용되는 법적 관할권이 다르다는 것도 유의해야 한다. 유럽의 업체라면 GDPR의 영향 아래 있을 가능성이 높고, 미국의 특정 주라면 CCPA가 중요한 고려 요소가 되어야 하기도 한다. 이 내용에 대해서 가이드라인은 다음과 같은 외부 자료를 참고할 것을 권고했다.
1) NCSC의 The Security Benefits of a Good Cloud Service
2) NCSC의 Cloud Security Principles
3) NCSC의 New Cloud Security Guidance

6단계 : 각종 법률
보안은 어쩔 수 없이 다양한 규정이나 법과 얽혀 있을 수밖에 없다. 특히 최근 몇 년 동안에는 보안 관련 법률이 여기 저기서 등장하고 있어 앞으로는 법과 더 밀접한 분야가 될 것이다. 가이드라인에서도 이 부분이 강조되고 있다. “어느 기업이나 시장을 확장하려 합니다. 표적이 되는 국가가 있겠죠. 그러려면 무엇보다 현지 법률을 이해하는 것이 중요합니다. 국가마다 수출 통제 법률, 지적재산과 데이터 처리 및 저장과 관련된 법률, 데이터 전송에 관한 법률 등이 상이하거든요. 하지만 이 단계를 소홀히 하면 나중에 큰 대가를 치르게 됩니다.”


[이미지 = gettyimagesbank]

그러면서 중소기업들이 보안과 관련해서 반드시 살펴야 할 것들을 다음과 같이 꼽았다.
1) 수출 통제 : 수출하려는 기술이나 상품이 해당 지역에서는 수출 통제 대상이 될 수 있으니 확인이 필요하다.
2) 지적재산 보호법 : 지적재산에 대한 권리와 법률은 나라와 지역마다 다르다. 지금 자신이 누리고 있는 규정이 반드시 저 나라에도 통용되리라는 법은 없다. 자신의 지적재산이 정당히 보호받을 수 있는지 검토하는 건 너무나 당연한 절차다.
3) 국가보안법 : 데이터의 저장이나 전송과 관련된 법률 역시 나라와 지역마다 다르다. 이걸 모른 채 사업을 진행하다가 나중에 큰 벌금을 내야만 하는 상황에 직면할 수 있다.
4) 데이터 보호법 : 유럽의 GDPR이 가장 유명하긴 한데, 그것 외에도 여러 나라와 지역마다 각각의 필요에 따라 데이터 보호의 방법을 규정으로 정하고 있다. 이 역시 잘 알고 있어야 한다.

7단계 : 인적 보안과 대비
보안의 핵심은 사람이라는 말이 많다. 가이드라인에서는 이 부분을 다음과 같은 항목으로 분류하고 있다.
1) 입사 전 신원 확인 : 직원을 채용할 때 지원자에 대한 사전 검토가 필수다. 특히 중요 자산을 다루는 사람을 뽑을 때는 물론 특정 부서 간 인원들을 이동시킬 때에도 필요한 작업이다.
2) 보안 문화 유지 : 사람들이 보안 규정을 잘 지키게 하려면 그 무엇보다 보안이 문화로서 자리를 잡아야 한다. “무엇보다 보안과 관련된 우려 사항을 공개적으로 이야기할 수 있는 환경을 조성하는 게 필수적입니다. 그래야 보안 책임자가 놓칠 수 있는 세세한 문제도 해결할 수 있고, 이것이 곧 자신감의 근거가 될 수 있습니다.”
3) 보안 교육 : 임직원들이 비즈니스가 직면한 위협이 무엇인지, 개개인의 보안 책임이 무엇인지, 문제를 발견했을 때 어떤 절차로 보고해야 하는지를 이해시키는 게 가장 중요하다. 특히 피싱 공격을 개개인이 알아채고 보고할 수 있도록 하면 조직 전체가 꽤나 튼튼해질 수 있다.
4) 고위험 직책 : 중요한 데이터를 집중적으로 다루는 특수한 직책들이 있다. 이런 직책이 무엇인지 분류하고, 리스크 평가를 실시해 적절한 보안 교육과 지원책을 마련하는 게 중요하다. 모든 임직원에게 일률적인 보안 교육을 실시할 경우 효과가 높지 않다.


[이미지 = gettyimagesbank]

아무리 대비를 잘 한다 하더라도 보안 사고는 필연적으로 일어나기 마련이다. 그러므로 모든 기업들은 규모나 업종에 상관 없이 ‘이미 사고가 발생했는데 모르고 있을 뿐’이라는 마음으로 전략을 마련하고 조치를 취해야 한다는 게 보안 업계의 중론이다. 이 지점이 가이드라인에서도 지적되고 있다. “먼저는 사고가 발생했을 때의 관리 계획을 마련해야 합니다. 여기에는 다음과 같은 사항이 포함될 수 있습니다.”

가이드라인에서 제시하는 ‘반드시 포함되어야 하는 요소’들은 다음과 같다.
1) 관련자들의 연락처(예 : 웹 호스팅 제공 업체, IT 지원 서비스, 보험 회사 등)
2) 명확한 책임과 역할 분배
3) 주요 의사 결정의 기준과 절차
4) 조사 및 조치 내역을 추적하고 문서화 할 수 있는 기능.
5) 사고를 통해 얻은 내용을 반영하여 조직 내 보안을 강화하기 위한 절차, 규정, 전문가.
[국제부 문정후 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>