Today
2020.09.27
로그인 |  회원가입
| 공지/이벤트 | 전체기사
> 뉴스 > 해외자료 > CONTINUITY
     
우리 회사는 보안에 안전할까?
설치된 프로그램 수가 적을수록 안전하다
2012년 11월 21일 (수) 16:39:05 편집국 marketing@di-focus.com


컨티뉴이티 센트럴
회사나 네트워크의 보안에 보안전문가들이 보안 점검을 할 때는 여러 항목들을 살핀다. 기업에서는 소수 항목만으로도 그 회사의 네트워크 건강이 어떤지 정확히 파악할 수 있다.
<위기관리경영 -편집부>

   
 
데이터 침해 사고 보고서 일관되게 말해주는 사실

데이터 침해 사고 보고서 일관되게 말해주는 사실데이터 침해 사고 보고서가 일관되게 말해주는 사실이 있다. 대부분의 악성 보안 침해 사고로써 초기에 감지가 가능하고 피해를 최소화할 수 있다. 보안 평가를 한 대부분은 로그 관리를 하고 있다. 그러나 이런 로그를 수집, 평가하거나, 이에 대한 대처들은 하지 않는다. 로그 관리 시스템과, 이를 레버리지로 활용하는 평가 프로세스를 갖추고 있는 기업이라면 다른 많은 일도 제대로 하고 있을 것이다. 이런 시스템이야말로 보안 대책에 있어서 최종적인 장치 역할을 하기 때문이다.

또한 설치된 프로그램과 서비스의 수와 컴퓨터가 시작될 때 자동 실행되는 프로그램들의 관리다. 불필요한 프로그램과 서비스가 많을수록 보안 침해의 공간이 확대된다. 설치된 프로그램과 서비스의 수가 적을 수록 안전하다. ‘적은 것이 많은 것’이라는 가치가 적용된다. 또한 특정 컴퓨터를 책임진 사람에게 프로그램과 서비스를 설치한 이유와 용도가 무엇인지 묻는 것도 중요하다.모든 설치된 프로그램과 서비스에 중요한 패치를 설치해야 한다. 운영체제는 물론 브라우저 애드온, 생산성 소프트웨어, 펌웨어 모두에 해당된다.

많은 기업들이 철저하게 보안패치를 하고 있다고 생각하지만, 가장 많이 쓰는 브라우저에는 애드인 패치를 설치하지 않았다. 서버에서 많이 쓰는 관리 툴도 마찬가지다. 이런 관리 소프트웨어에는 여러 취약점이 있을 수 있다. 그리고 해커들은 이런 취약점에 침투한다.
 
워크스테이션과 서버의 기본적인 보안 설정
   
언제나 워크스테이션과 서버의 기본적인 보안 설정을 살펴봐야 한다. 기본적인 권장 보안 설정을 했는가? 설정이 탄탄한가? 보안 설정이 컴퓨터를 취약하게 만들지 않는가? 잘못된 설정은 개의치 않는다. 그러나 보호를 위한 패턴을 확보해야 한다. 스마트카드, RSA 토큰, 기타 2중 인증 방법이 과대평가를 받고 있기는 하지만, 그렇다 하더라도 로그온 패스워드 이상의 인증 방법이 필요하다. 어찌됐든, 많은 기업이 쉽게 인증을 해 신분을 도난 당하지 않도록 예방 해야한다. 패스워드만 사용하고 있다면 패스워드가 충분히 길고 복잡한가? 탄탄한 인증 해시와 프로토콜을 사용하고 있는가?를 살펴 봐야한다. 또한 기업은 일관성이 있어야 한다. 해커들은 일관성이 없는 것을 선호한다. 가장 침입이 많은 경우가 일관성이 없는 시스템이다.

처음부터 끝까지 일관성을 유지해야 한다. 일관된 프로세스, 설정 관리, 감시 변경 등이 필요하다. 동일한 역할에 동일한 프로그램을 설치해야 한다. 더 이상의 소프트웨어는 필요 없다. 디렉토리 구조와 폴더도 일관돼야 한다. 관리와 모니터링 툴도 마찬가지다. 일관성은 보안에 있어 근간이 된다. 일관성을 갖추고 있다면 보안에 공백이 있다 하더라도, 이를 쉽게 메워 보안을 튼튼히 할 수 있다. 일관성이 없다면 어떤 추천이나 방법도 무의미하다. 마지막으로 최종 사용자와 직원들을 대상으로 꾸준히 교육을 하는 것이다. 가장 최근의 보안 위협을 교육하고, 신뢰할 수 없는 웹사이트, 첨부 파일, 매크로 바이러스에 대해 경고하는 뉴스레터를 발송하는 것을 예로 들 수 있다.

위험과 취약성
기업의 보안 담당자 일부에서 자주 혼동하는 것이 바로 통상 ‘저’, ‘중’, ‘고’로 위험과 취약성의 순위를 매기는 방법을 가장 많이 사용한다. 불행히도 이는 문제를 초래할 뿐이다. 도대체 ‘고’, ‘중’, ‘저’의 의미가 무엇인가? 보안전문가들은 “정량화된 무언가로 보이지만 그렇지 않다”고 단언했다. 예를 들어, 사람들이 사건 발생 빈도나 확률을 정할 때 이를 ‘고’, ‘중’, ‘저’로 규정해 달라고 요청을 해보기 바란다. 누구도 정확한 의미를 알지 못할 것이다. 결국 제대로 소통을 하지 못하는 문제가 발생한다. 이는 주장을 뒷받침하기 위해 정밀함을 더하려는 것보다도 더 위험한 방법이다. 예를 들어, 위험 발생 확률이 ‘저’라고 말했다고 가정해보자. 어떤 경영진은 10%의 확률이라고 생각하겠지만, 또 다른 경영진은 33%의 확률이라고 생각할 수도 있다. 보안전문가들은  “아무런 생각 없이 숫자를 사용해서는 안 된다. 물론 더 명확한 소통을 위해 수치를 규정하기 원할 것”이라고 말한다.             

글/ Roger A. Grimes

 

편집국의 다른기사 보기  
ⓒ 위기관리경영(http://www.bcperm.com) 무단전재 및 재배포금지 | 저작권문의   

     
전체기사의견(0)  
      자동등록방지용 코드를 입력하세요!   
 
   * 200자까지 쓰실 수 있습니다. (현재 0 byte/최대 400byte)
   * 욕설등 인신공격성 글은 삭제 합니다. [운영원칙]
전체기사의견(0)
가장 많이 본 기사
국내 개발 코로나19 중화항체치료...
그린 뉴딜 8조원 투입, 미세먼지...
제9호 태풍 ‘마이삭’ ‘심각’ ...
전국 사회적 거리두기 2단계 조치...
초미세먼지, 옷 갈아입을 때 평상...
청주시, 9월 1일부터 미세먼지비...
안성시, 미세먼지 농도 측정값 비...
초미세먼지 차단하는 '스마트 lo...
충북 옥천군, 미세먼지 알림전광판...
하남시, 사물인터넷(IoT) 전용...

개인정보취급방침 청소년보호정책 회사소개 정기구독 광고문의 이용약관 이메일무단수집 거부
주소: (우) 07402 서울 영등포구 가마산로46가길 9, 2층 ㆍ TEL) 02-735-0963 ㆍ FAX) 02-722-7073
인터넷신문 등록번호:서울아00353 ㆍ등록연월일:2007년 4월 16일ㆍ 발행인:ㆍ 편집인:
청소년보호책임자:
Copyright 2007 Daily 위기관리경영 All Rights Reserved. mail to admin@di-focus.com