컨티뉴이티 센트럴
회사나 네트워크의 보안에 보안전문가들이 보안 점검을 할 때는 여러 항목들을 살핀다. 기업에서는 소수 항목만으로도 그 회사의 네트워크 건강이 어떤지 정확히 파악할 수 있다.
<위기관리경영 -편집부>

데이터 침해 사고 보고서 일관되게 말해주는 사실
데이터 침해 사고 보고서가 일관되게 말해주는 사실이 있다. 대부분의 악성 보안 침해 사고로써 초기에 감지가 가능하고 피해를 최소화할 수 있다. 보안 평가를 한 대부분은 로그 관리를 하고 있다. 그러나 이런 로그를 수집, 평가하거나, 이에 대한 대처들은 하지 않는다. 로그 관리 시스템과, 이를 레버리지로 활용하는 평가 프로세스를 갖추고 있는 기업이라면 다른 많은 일도 제대로 하고 있을 것이다. 이런 시스템이야말로 보안 대책에 있어서 최종적인 장치 역할을 하기 때문이다.

또한 설치된 프로그램과 서비스의 수와 컴퓨터가 시작될 때 자동 실행되는 프로그램들의 관리다. 불필요한 프로그램과 서비스가 많을수록 보안 침해의 공간이 확대된다. 설치된 프로그램과 서비스의 수가 적을 수록 안전하다. ‘적은 것이 많은 것’이라는 가치가 적용된다. 또한 특정 컴퓨터를 책임진 사람에게 프로그램과 서비스를 설치한 이유와 용도가 무엇인지 묻는 것도 중요하다.모든 설치된 프로그램과 서비스에 중요한 패치를 설치해야 한다. 운영체제는 물론 브라우저 애드온, 생산성 소프트웨어, 펌웨어 모두에 해당된다.

많은 기업들이 철저하게 보안패치를 하고 있다고 생각하지만, 가장 많이 쓰는 브라우저에는 애드인 패치를 설치하지 않았다. 서버에서 많이 쓰는 관리 툴도 마찬가지다. 이런 관리 소프트웨어에는 여러 취약점이 있을 수 있다. 그리고 해커들은 이런 취약점에 침투한다.
 
워크스테이션과 서버의 기본적인 보안 설정
언제나 워크스테이션과 서버의 기본적인 보안 설정을 살펴봐야 한다. 기본적인 권장 보안 설정을 했는가? 설정이 탄탄한가? 보안 설정이 컴퓨터를 취약하게 만들지 않는가? 잘못된 설정은 개의치 않는다. 그러나 보호를 위한 패턴을 확보해야 한다. 스마트카드, RSA 토큰, 기타 2중 인증 방법이 과대평가를 받고 있기는 하지만, 그렇다 하더라도 로그온 패스워드 이상의 인증 방법이 필요하다. 어찌됐든, 많은 기업이 쉽게 인증을 해 신분을 도난 당하지 않도록 예방 해야한다. 패스워드만 사용하고 있다면 패스워드가 충분히 길고 복잡한가? 탄탄한 인증 해시와 프로토콜을 사용하고 있는가?를 살펴 봐야한다. 또한 기업은 일관성이 있어야 한다. 해커들은 일관성이 없는 것을 선호한다. 가장 침입이 많은 경우가 일관성이 없는 시스템이다.

처음부터 끝까지 일관성을 유지해야 한다. 일관된 프로세스, 설정 관리, 감시 변경 등이 필요하다. 동일한 역할에 동일한 프로그램을 설치해야 한다. 더 이상의 소프트웨어는 필요 없다. 디렉토리 구조와 폴더도 일관돼야 한다. 관리와 모니터링 툴도 마찬가지다. 일관성은 보안에 있어 근간이 된다. 일관성을 갖추고 있다면 보안에 공백이 있다 하더라도, 이를 쉽게 메워 보안을 튼튼히 할 수 있다. 일관성이 없다면 어떤 추천이나 방법도 무의미하다. 마지막으로 최종 사용자와 직원들을 대상으로 꾸준히 교육을 하는 것이다. 가장 최근의 보안 위협을 교육하고, 신뢰할 수 없는 웹사이트, 첨부 파일, 매크로 바이러스에 대해 경고하는 뉴스레터를 발송하는 것을 예로 들 수 있다.

위험과 취약성
기업의 보안 담당자 일부에서 자주 혼동하는 것이 바로 통상 ‘저’, ‘중’, ‘고’로 위험과 취약성의 순위를 매기는 방법을 가장 많이 사용한다. 불행히도 이는 문제를 초래할 뿐이다. 도대체 ‘고’, ‘중’, ‘저’의 의미가 무엇인가? 보안전문가들은 “정량화된 무언가로 보이지만 그렇지 않다”고 단언했다. 예를 들어, 사람들이 사건 발생 빈도나 확률을 정할 때 이를 ‘고’, ‘중’, ‘저’로 규정해 달라고 요청을 해보기 바란다. 누구도 정확한 의미를 알지 못할 것이다. 결국 제대로 소통을 하지 못하는 문제가 발생한다. 이는 주장을 뒷받침하기 위해 정밀함을 더하려는 것보다도 더 위험한 방법이다. 예를 들어, 위험 발생 확률이 ‘저’라고 말했다고 가정해보자. 어떤 경영진은 10%의 확률이라고 생각하겠지만, 또 다른 경영진은 33%의 확률이라고 생각할 수도 있다. 보안전문가들은  “아무런 생각 없이 숫자를 사용해서는 안 된다. 물론 더 명확한 소통을 위해 수치를 규정하기 원할 것”이라고 말한다.             

글/ Roger A. Grimes