Offcanvas

보안

우리 회사는 안전할까? 10가지 보안 점검

2012.07.20 Roger A. Grimes   |  InfoWorld
6. 라이프사이클 관리
라이프사이클 관리는 아주 중요하다. 라이프사이클 관리는 액티브 디렉토리, DNS 등 네임스페이스에 객체를 추가하기 앞서, 이것이 필요한 지 확인하는 데서 시작된다. 
 
항상 책임자를 지정해야 한다. 문제가 있을 경우, 누구에게 연락을 할지 쉽게 파악할 수 있도록 하기 위해서다. 필자는 이런 객체나 멤버가 더 이상 필요 없을 때, 정기적으로 이를 제거하는지 평가한다. 많은 기업들이 추가에는 능숙하다. 그러나 디프로비저닝을 중심으로 사후처리에는 많은 문제를 보이고 있다.
 
7. 보안 강화
필자는 언제나 워크스테이션과 서버의 기본적인 보안 설정을 살펴본다. 기본적인 권장 보안 설정을 했는가? 설정이 탄탄한가? 보안 설정이 컴퓨터를 취약하게 만들지 않는가? 
 
잘못된 설정은 개의치 않는다. 그러나 보호를 위한 패턴을 확보해야 한다.
 
8. 정교한 인증
스마트카드, RSA 토큰, 기타 2중 인증 방법이 과대평가를 받고 있기는 하지만, 그렇다 하더라도 로그온 패스워드 이상의 인증 방법이 필요하다. 
 
어찌됐든, 많은 기업이 쉽게 인증을 해 신분을 도난 당하지 않도록 예방하고 있다. 패스워드만 사용하고 있다면 두 가지 질문을 하고 싶다. 패스워드가 충분히 길고 복잡한가? 탄탄한 인증 해시와 프로토콜을 사용하고 있는가? 
 
그렇지 않다면, 이미 루트에 많은 침입이 있을 확률이 높다.
 
9. 일관된 설정
지금까지 설명한 대책에 대해 일관성이 있어야 한다. 해커들은 일관성이 없는 것을 선호한다. 가장 침입이 많은 경우가 일관성이 없는 시스템이다. 
 
처음부터 끝까지 일관성을 유지해야 한다. 일관된 프로세스, 설정 관리, 감시 변경 등이 필요하다. 동일한 역할에 동일한 프로그램을 설치해야 한다. 더 이상의 소프트웨어는 필요 없다. 디렉토리 구조와 폴더도 일관돼야 한다. 관리와 모니터링 툴도 마찬가지다. 일관성은 보안에 있어 근간이 된다. 
 
일관성을 갖추고 있다면 보안에 공백이 있다 하더라도, 이를 쉽게 메워 보안을 튼튼히 할 수 있다. 일관성이 없다면 어떤 추천이나 방법도 무의미하다. 
 
10. 직원 교육
마지막으로 강조하고 싶은 부분은 최종 사용자와 직원들을 대상으로 꾸준히 교육을 하는 것이다. 가장 최근의 보안 위협을 교육하고, 신뢰할 수 없는 웹사이트, 첨부 파일, 매크로 바이러스에 대해 경고하는 뉴스레터를 발송하는 것을 예로 들 수 있다.
 
필자를 채용해 보안 환경을 분석해달라고 의뢰할 경우, 필자는 컴퓨터 몇 대를 점검한 후 그 기업의 보안이 어떤지 판단할 수 있다. 그리고 이런 첫 인상이 틀린 경우는 거의 없다. editor@itworld.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.