‘당황하면 진다’ 해킹 사고에 침착하게 대응하는 방법 5가지

워너크라이 공격이 진정되고 기업의 운영이 정상으로 돌아오기 시작하자 이번에는 기다렸다는 듯 낫-펫티아(NotPetya) 악성코드 공격이 IT 부서를 정신없게 만들고 있다.



낫-펫티아는 머스크(Maersk), AP 몰러-머스크(AP Moller-Maersk), 렉킷 벵키저(Reckitt Benckiser), 페덱스(FedEx), WPP 등을 차례로 공략하며 이들을 긴급 피해 대응 상태로 만들었다. 설령 낫-펫티아 공격을 운 좋게 피했다고 해도 안심하기 이르다. 머지않은 미래에 워너크라이 공격이나 낫-펫티아 공격이 반드시 다시 발생할 것이다. 과연 그때를 위해 충분한 대비가 되었는가?

이 질문에 자신 있게 답하려면 최신 보안 프로그램을 깔고, 취약점 관리를 위한 상세한 프로세스를 준비하고, 완벽한 사고 대응 계획을 세워야 한다. CEO나 이사회에 시장을 강타한 주요 랜섬웨어 리스크에 대해 브리핑을 하는 것이 좋다. 그러나 공격에 대비가 됐는가와 별개로 사이버 보안이 위협받은 비상 상황에서 IT 전문가가 어떻게 대처해야 하는가도 생각해 볼 문제다.

사이버 보안 전문가라고 해도 여러 번 치명적 보안 위기 상황에서 마인드 컨트롤을 해 본 경험이 없다면, 공격에 심리적으로 완벽하게 준비돼 있다고 할 수 없다. 실제로 낫-펫티아와 같은 고난도 보안 위협에 대처하는 과정은 매우 혼란스러우며 최고의 전문가조차 상황을 분명하게 보지 못할 수 있다. 아무리 사고 대응 계획이 완벽해도, 감정에 휩쓸린 상황에서 계획에 차질이 생기거나 원래 계획대로 이행하지 못할 수도 있다.

지금 당장은 사이버 공격을 피하기에 급급한, 그러나 보안 문제와 직접 닿아있지 않은 이해 관계자가 이런 상황에서는 오히려 더 많은 데미지를 야기할 수 있다. 이들은 주어진 기업 관할권을 넘어서는 범위까지 상황을 통제하려 하고 중요한 운영 다운타임을 거스르려 하기 때문이다. 성급하게 행동하다 보면 종종 공적으로 실언을 하는 경우도 있다.

이처럼 사이버 공격 발생 초기에 침착을 유지하는 것은 생각보다 쉽지 않다. 모두가 혼비백산한 상태에서도 침착함을 유지하는 5가지 방법을 소개한다.

이해 관계자의 범주를 설정하라
사이버 공격이 발생하면 회사는 최고 책임자보다 보안 담당자에 더 의지할 가능성이 크다. 보통 이런 상황에서는 보안 담당자가 곧 리스크 관리 전문가가 되며 회사는 단순한 보안 프로그램 관리 이상의 역할을 기대한다.

따라서 비상 상황이 닥치기 전에 미리 컴플라이언스, 법무팀, 오퍼레이션 리스크 관리팀 등과 안정적인 관계를 구축해 둘 필요가 있다. 또 마케팅, HR, 재무, 조달팀 등과의 관계에도 시간을 투자해 둔다면 후회할 일이 없을 것이다. 특히 위기의 순간이 오면 투명성이 그 무엇보다 큰 자산이다. 가장 난감한 상황은 평소에 잘 알지도 못하던 부서의 사람들이 낯선 문제로 공황에 빠지게 만드는 것이다.

이해관계자의 우선순위를 파악하라
데이터 유출 사건이 발생하기 전에 미리 이해 관계자에 대한 대응을 미리 준비할 수는 없을까? 그 방법의 하나가 '위기의 순간에 반드시 물어봐야 할 3가지 질문’ 같은 것을 미리 생각해 두는 것이다. 이를 통해 관계자의 우선순위를 파악하고 이를 효과적으로 관리할 수 있다.


정직성과 투명성만이 신뢰를 낳는다
당연한 말이지만 사이버 공격이 발생할 경우 안 좋은 소식을 전할 일이 생기게 된다. 이 경우 이해 관계자의 신뢰를 잃지 않기 위해서는 일 처리에서 정직한 태도와 투명성을 유지하는 것이 무엇보다 중요하다. 불필요한 잡음을 막는 또 다른 방법은 이해 관계자에게 사이버 공격 발생 시 혼란스러운 상황과, 이에 대응하는 과정에서 평상시의 보안 조치와는 다른 대처가 행해질 수 있고, 이것이 어떤 식으로 일어날 것인지를 먼저 알려두고 안심시키는 것이다.

커뮤니케이션의 프레임을 잘 짜야 한다
사이버 공격의 예방, 인식 개선, 진단 등에 대해 의견을 전달할 때에는 이를 위한 정책이나 프로세스를 ‘상대방에 대한 불신’에 기반 한 것으로 보이게 해서는 안 된다. ‘우리’와 반대편에 선 ‘그들’에 대해 대비하기 위한 수단이라고 설명해야 한다. 그렇지 않을 경우 보안 정책을 따라야 하는 직원들 입장에서는 사생활을 침해 당한다고 불안을 느끼거나 혹은 자신이 의심받고 있다고 생각할 수 있다.

이들에게 불필요한 걱정을 심어줄 필요는 없다. 막대한 피해를 예방하기 위해 따라야 하는 최소한의 가이드라인임을 인지시켜 주기만 하면 된다.

분명하고 직설적인 커뮤니케이션
서드 파티 업체에는 보안 정책의 진짜 목표에 대해 분명하고 직설적으로 전달해야 한다. 서드 파티 업체와 소통하면서 가장 중요한 것은 바로 보안 정책의 목표이다. 어떤 기업은 최대한 빨리 정상 상태로 돌아가 기업 운영을 개시하는 것이고, 또 어떤 기업은 고객에게 미친 데미지 컨트롤을 최우선으로 한다. 이처럼 기업의 목표에 따라 업체의 사고 대응 방식도 달라질 수 있다.

어느 경우이건, 가장 중요한 것은 내가 ‘아는 것’과 ‘생각하는 것’을 뒤섞으면 안 된다는 것이다. 자기 자신을 믿는 것은 좋다. 그러나 데이터 유출 발생시 마인드 컨트롤을 하는 과정에서 사실과 의견을 구분할 수 있어야 한다. 어떤 것이 사실이고 어떤 것이 의견인지를 분명히 나누고, 철저하게 전자에 기반해 결정해야 한다. 일단 일련의 사실이 확정되면 그 밖의 다른 가능성 중에서 어떤 것을 선택하고, 이를 어떻게 이행할 것인가를 생각해야 한다.

지금까지 소개한 팁을 사용할 일이 없다면 가장 좋겠지만, 불행히도 우리는 사이버 보안에 대해 잠시도 안심할 수 없는 시대에 살고 있다. 이 소소한 팁이 가장 혼란스럽고 힘든 시기에 도움이 되기를 기대한다.

*Jon Ramsey는 보안 업체 시큐어웍스(SecureWorks)의 CTO다. ciokr@idg.co.kr