기고 | 기업 보안 수준을 끌어올리기 위한 체크리스트 10선

이상적인 정보 보안 환경에 대한 답은 사람마다 제 각각이다. 보안 엔지니어라면 방화벽과 침입 감지 시스템, 또는 특정 보안 기술을 언급할 것이다. 반면 보안 테스터라면 보안 위젯이 제 기능을 하는지 확인하기 위해 모의 해킹(Penetration Testing)을 실시하자고 제안을 할 것이다.

이번 기사는 기업들이 자신들의 독특한 환경에 맞춰 적절한 보안 수준을 확보하는데 토대를 마련해주는 유용한 체크리스트를 제공하고 있다.

모든 기업이 똑 같은 정보 보안 체크리스트를 사용할 수는 없다. 들어맞지 않는 경우가 있기 때문이다. 또 정보 보안을 위해서는 특정 기업, 특정 시점에 들어맞는 수단과 관리 방법을 도입하는 것이 중요하다. 위험 요소는 변하기 마련이다. 또 기존 취약 요소는 없어지는 반면, 새로운 취약 요소가 등장하기도 한다. 따라서 보안 또한 이런 변화에 발맞춰 발전해야 한다.

체크리스트 1: 보안 책임자 지정

어떤 기업이든지 보안 책임자를 지정해야 한다. 다른 책임을 맡고 있는 특정인에게 이런 책임을 부과해도 무방하다. 규모가 큰 기업들은 정규직으로 보안 책임자를 임명해 놓고 있을 수도 있다. 정보 보안을 전담하는 전문가들로 구성된 팀을 총괄하는 최고 보안 책임자(CSO: Chief Security Officer)다.

보안 책임자는 정보 보안 예방과 대책을 마련하는 업무에서 구심점 역할을 한다. 보안과 관련된 일상 업무는 기업의 규모와 기업이 무엇에 중점을 두고 있는지에 따라 달라질 수 있다. 하지만 어떤 경우라도 보안 책임자는 다음을 책임져야 한다:

전략--기업에 필요한 보안 행동과 수준, 이를 달성하는 방법을 파악한다.

운영--보안 위험을 감시하고 침입 감지 시스템, 점프 호스트, 방화벽, 스캐닝 툴 같은 보안 자산을 관리한다.

아키텍처--기술과 프로세스에 보안 설계를 반영한다.

자문--요건을 정하고, 평가를 하고, 권장을 하고, 위험을 평가하는 방식으로 프로젝트 팀이나 비즈니스 단위들에게 자문을 제공한다.

분석--기술 지원과 취약성 해소를 위해 제품과 특정 기술 문제들을 연구한다.

테스팅--프로젝트와 롤링 보증 업무를 대상으로 한 모의 해킹과 같은 보안 테스트를 제공한다.

긴급 대응--정보 자산의 손실, 서비스 거부 공격으로 인한 서비스 중단 같은 긴급한 보안 사고에 대응한다.

프로그램 매니저--롤링 보안 프로그램 업무를 후원한다.

체크리스트 2: 보안 리포팅

리포팅은 전사적으로 정보 보안 기능을 하도록 만든다. 이는 보안 수준에 영향을 미치게 되는 가장 최근의 계획과 위협, 사고들에 대한 정보를 담당자에게 전달하는 역할을 하기 때문이다. 정보 자산을 책임진 사람들은 정기적인 리포팅을 통해 내재된 위험과 이를 방어할 관리 대책을 깨닫게 된다.

이런 보안 보고서는 서면으로 작성, 전달돼야 한다. 이는 보안 담당자들이 자칫 놓치곤 하는 부분이다. 내용이 정확해야 하지만 보고서를 읽는 사람들이 이해할 수 있는 수준으로 작성돼야 한다.

평가와 도움을 줄 수 있는 기술자들에게 제공되는 보고서는 직관적이어야 하며 기술 용어를 써 취약성과 관리 방법을 설명해야 한다. 반면 기술과 관련된 지식을 갖고 있는 관리자들을 대상으로 한 보고서에서는 개념을 설명해야 한다. 또 결론을 내리는데 도움을 줄 수 있는 세부적인 기술에 대한 참조를 포함시켜야 한다.

마지막으로 CEO나 최고 위험 책임자(Chief Risk Officer) 등 기술 부서 외의 사람들을 대상으로 한 보고서는 기술 백서를 나열하는 식이 아닌, 잘 설계되고 정립된 프로세스로 여타의 결론을 정당화 할 수 있도록 기업에 미치는 파급효과를 중점적으로 다뤄야 한다.

체크리스트 3: 거버넌스 개발

보안 수준을 일관되게 유지해야 하는 기업의 임직원들에게는 어떤 방식으로 행동을 해야 하는지 명쾌하게 지시를 내려야 한다. 거버넌스는 사람들에게 행동 방법을 알려주고, 이들이 보안 수준을 유지하거나 더 나아가 개선할 수 있는 방향으로 행동하도록 장려해야 한다. 이와 관련, ISO(International Standards Organisation), 미국국립표준국(NIST:National Institute for Standards and Technology), 정부통신보안국(GCSB: Government Communications Security Bureau) 같은 기관들이 베스트 프랙티스로 사용할 수 있는 유용한 표준을 제공하고 있다.

체크리스트 4: 보안 사고 관리 계획 수립

보안 사고를 피해갈 수 있는 기업이란 없다. 그리고 사고에 따른 영향과 똑같은 사고가 반복될 확률은 기업이 사고를 어떻게 관리하느냐에 좌우된다.

사고를 명백하게 파악, 검증, 억제했는가? 사고를 초래한 취약 요소를 파악했는가? 이를 바로잡을 계획이 있는가? 추가 대책을 적용했는가? 기업 내부의 책임자와 외부 관계자에게 사고를 보고했는가? 이는 보안 사고 관리 계획을 통해 대답해야 할 많은 질문들 중 일부에 불과하다.

이러한 관리 계획은 현장에서 잠재적인 사고를 보고하게 될 사람들을 규정하고 있어야 한다. 또 사고를 판단해 이를 처리할 대응 팀을 가동하는 프로세스를 감사가 가능하도록 규정해야 한다.  그리고 대응팀에서 구심점 역할을 하게 될 보안 책임자가 이런 계획을 관장해야 한다. 계획에는 사고 과정을 기록하는 체계와 여러 사람에게 정보가 공개됐을 때 어떤 조치를 취해야 하는지에 대한 내용도 담겨 있어야 한다. 일반적으로 예기치 않은 긴급 상황에서가 아닌 일반적인 상황을 상정해 비즈니스에 맞춰 고안된 변경 정책과 다른 프로세스를 건너 뛰는 방식으로 대응팀이 거버넌스 밖에서 대응을 할 수 있도록 권한을 부여하게 된다.

체크리스트 5: 보안 프로그램 업무를 계획

보안 계획에는 설계와 구축, 이행까지 이끌어줄 장치가 필요하다. 이런 부분들을 하나의 프로그램으로 만들면 예산에 입각한 관리가 쉬어진다. 또 정보 보안에 대한 투자가 투명해진다. 방화벽, 안티바이러스 등의 보안 장치 업그레이드 또한 프로그램의 일부가 되어야 한다. 신분 및 접근 관리 시스템 같은 정보 보안에 대한 투자 또한 마찬가지다.

보안 프로그램은 정보 보안을 강화하는데 중점을 두고 있어야 하며, 기업이 적정하다고 생각하는 수준에서 재원을 조달해 사용해야 한다. 보안 책임자는 우선 순위에 따라 계획을 수립해야 하고, 가장 우선 순위가 높은 계획부터 재원을 제공해야 한다.

체크리스트 6: 모든 계획을 대상으로 보안 평가

불행히도 많은 기업들이 특정 영역의 보안에만 투자를 집중한다. 하지만 예산의 제약 때문에 다른 영역은 무시하는 경향을 보인다. 웹사이트를 예로 들면, 광범위하게 기술을 통제하고 자주 보안 테스팅을 실시한다. 하지만 '제3 신뢰 기관(Trusted Third Party)'과의 연동은 내버려둔다. 특정 행동이 보안에 어떤 영향을 미치는지 잘못 가정을 해서 이런 판단을 내리는 경우가 많다.

보안 평가는 비즈니스 부문에 권한을 부여해 이들이 특정 계획을 발전시켜야 하는지, 방향을 바꿔야 하는지 직접 결정할 수 있도록 초점을 맞춰야 한다. 또 보다 정밀하게, 또는 가혹한 상황을 가정해 평가를 해야 한다.

체크리스트 7: 정기적인 보증 업무

모든 계획을 대상으로 보안을 평가하는 것은 예방에 속한다. 하지만 대응에도 역시 중요하다. 계획과 설계가 아무리 훌륭해도, 인적 실수나 기술 통합 등으로 인해 특정 기술 환경에 취약 요소가 생길 수 있다. 그리고 정기적으로 보증과 관련된 작업을 수행하면 이런 취약성을 파악해 관리할 수 있다.

가장 많이 활용되는 보증 방법 중 하나는 모의 해킹이다. 이는 특정 기술이 숙련된 공격자의 공격에 저항할 수 있는지를 파악해 대처할 수 있도록 해준다. 하지만 상대적으로 비용이 많이 들며 범위가 좁은 경우가 많다. 보안 테스팅이 본질적으로 전문화돼 있다는 점을 감안하면 기업 외부의 보안 전문 기관을 활용하는 방법을 고려해 볼 수도 있다. 이들 전문 기업들은 적합한 범위에 맞춰 테스트를 실시할 수 있는 역량을 보유하고 있다.

체크리스트 8: 보안 모의 훈련

많은 기업들이 보안 훈련을 실시하고 있다. 하지만 아주 기본적인 수준에 그치는 경우가 너무 많다. 예를 들어 함부로 비밀번호를 적지 않도록 알려주는 정도의 훈련만 시킨다.

물론 이런 기본적인 훈련 또한 바람직하다. 그러나 더 나아가 사람들이 보안 정책을 이해하도록 만들어야 한다. 또 역할에 따라 교육을 달리해야 한다. 경영진과 헬프데스크 직원들이 직면하는 위험에는 차이가 있다. 물론 대책도 다르다. 따라서 경영진에게는 1대1 교육이, 헬프데스크 직원들에게는 단체 교육이 필요하다.

보안 훈련을 제공하기 위해서는 비용이 든다. 하지만 기업 입장에서는 투자에 따른 수익이 가장 높은 부분이다. 예를 들어 이런 훈련을 통해 피싱 시도를 단 한차례만 막아내더라도 큰 계약을 체결하거나 중요한 정보가 누출되는 것을 막을 수 있다.

체크리스트 9: '내부고발자' 프로세스 정립

보안 전문가만 기업 보안을 책임지지는 않는다. (접근 권한이 다를 수도 있는) 청소부부터 경영진까지 모든 사람이 보안을 책임져야 한다. 더 나아가 협력업체나 협력업체의 직원, 이들의 하도급업체에까지도 확대된다. 직원들과 기업 외부의 관계사들은 보안과 관련된 정보를 제공하는 유용한 정보원으로서의 역할을 한다. 이들이 취약 요소를 발견할 수도 있다. 더 나아가 누군가가 이런 취약 요소를 이용해 공격을 했는지 알아챌 수도 있다. 이런 정보들은 아주 값지다. 따라서 보안 수준을 개선하기 위해 포착을 해야 하고, 프로세스로 만들어야 한다.

결점을 보고하도록 만드는 게 쉽지만은 않다. 특히 직책이 높을 수록 그렇다. 또 중간 관리자들이 자신이 책임진 분야의 결점을 보고한다고 해서 인센티브가 주어지지도 않는다. 업무나 혼란을 가중시킬 수 있을 뿐이다. 이런 이유로 잠재적인 위험이 수면 아래 감추어지곤 한다. 해결책은 누구나가 보안 관련 문제를 감지하면 정보 보안 책임자에게 주저하지 않고 보고를 할 수 있도록 만드는 내부 고발자(whistleblower) 프로세스를 수립하는 것이다. 당연히 이로 인한 반향이 있어서는 안 된다.

체크리스트 10: 보안을 기능으로 고려

많은 기업들이 직면하고 있는 도전 중 하나는 보안 전문가들이 업무를 수행하기 위해 그만한 권한을 요구한다는데 있다. 이들은 감독과 관리를 위해 무소불위의 시스템 사용자 권리를 행사하곤 한다. 또 불필요하게 고위 경영진에게 보고를 하곤 한다. 보안은 계급이 아닌 기능 요건이다.

보안 책임과 역할을 정할 때 계급에 초점을 맞추게 되면 기업의 정보 보안 관리 역량을 약화시킨다. 이는 보안 보고서가 한층 일반적인 무언가로 요약되기 때문에 중요한 정보가 전달되는 것을 막을 수도 있다. 또 적합한 당사자와의 자문이 없는 상태에서 보안 제품에 불필요한 투자를 하도록 만들 수도 있다.

*주

위의 체크리스트 10가지만 가지고서 모든 문제를 해결할 수는 없다. 항목별로 효과를 얻기 위해서는 숙련된 보안 전문가가 필요하다. 그리고 이런 사람들을 찾기란 쉽지 않다. 엔지니어들은 방화벽을 구축할 수 있고, 테스터들은 이를 무너뜨릴 수 있다. 하지만 이들에 앞서 방화벽이 필요한지 판단할 수 있는 사람이 필요하다.

*Simon Burson은 정보 보안 컨설턴트로, 금융에서 유틸리티에 이르는 많은 뉴질랜드 기업들에게 운영 모델과 거버넌스 프레임워크를 제공했다. 그는 ISIG(Information Security Interest Group)의 오클랜드 지부를 공동 경영하고 있으며, 브라이트스타(Brightstar) 컨퍼런스와 뉴질랜드 정보 보안 포룸에도 참여하고 있다. ciokr@idg.co.kr