정보보호 기업을 위한 보안관리 가이드

[출처 : http://www.ciokorea.com/ ]

문제의 핵심을 파악해라
기업의 '보안영웅'이 되고 싶은가? 간단하다.

기업을 위협하는 실제적인 위험 요소들에 맞는 보안 솔루션을 적재적소에 배치하면 된다. 이보다 더 명료한 방법은 결코 없다.

즉, 자신의 기업에 가장 위협이 되는 것이 앞서 설명한 것과 같이 최종 사용자에 의해 발생하는 클라이언트 측 악성코드라고 가정하자. 회의 석상에 가만히 앉아 온화한 미소를 지으며 경청해 보자.

더 길고 복잡한 비밀번호? 좋다. 디스크 암호화도 좋다. 보안이 약한 인증 프로토콜을 없애는 것도 좋다.

그런데 문제는 과연 이 방법들이, 방금 자신 기업을 해킹한 그 침입자를 막을 수 있었느냐는 것이다. 아니지 않은가? 그러면 회의 석상을 두 주먹으로 내려 치며 "이렇게 해선 안됩니다!"라고 소리쳐야 한다.

연애할 때와 마찬가지로, 보안에서도 미래를 예측하는 가장 좋은 방법은 과거를 반추하는 것임을 알아두자. 패치가 안 된 자바를 포함한 시스템 때문에 해킹을 당했다면, 제발 다른 무엇보다도 자바 패치부터 하라는 말이다.

해킹 피해 사례의 50% 이상이 패치가 안 된 자바와 관계가 있고, 49%가 사용하지 말아야 할 소프트웨어를 사용하는 사용자 때문에 일어난 일이라면, 다른 모든 해킹 경로는 다 합쳐 봤자 전체의 1% 밖에 안 된다는 소리다.

다섯 장의 프레젠테이션으로 올바른 방향 제시하기
기업에서는 시각적인 자료로 설명해 주는 걸 좋아한다. 보안맨이 되기 위해 필요한 건 파워포인트 슬라이드 다섯 장뿐이다.

첫 번째 슬라이드에서는 리스크 정도에 따라 기업 보안을 위협하는 다양한 요소를 나열한다.

- 패치가 안 된 소프트웨어
- 우연히 다운받은 악성코드
- 기타 등등

두 번째 슬라이드에서는 한두 가지 방어 솔루션으로 제1 리스크를 없앨 수 있음을 보여준다. 예를 들어 자바 패치를 끝내면 전체 해킹 공격의 50%를 막을 수 있음을 보여 주는 것이다.

세 번째 슬라이드는 제2 리스크를 막을 방법에 대해 설명한다. 그리고 네 번째 슬라이드에서는, 나머지 1% 가량을 차지하는 기타 다른 리스크에는 무엇이 있는지 설명한다.

마지막 슬라이드에서는 그 1%의 리스크를 없애기 위해 얼마나 많은 돈이 들어가는지 보여준다. 그런 후 "어떤 방어 솔루션에 돈을 쓰는 것이 좋겠습니까?"라고 물어본다.

너무 잘난 체 하는 것 같다고? 어쩌면 그럴 지도 모른다. 하지만 확신없는 태도로는 아무것도 할 수 없다.

'다른 사람이 진행 중인 프로젝트를 밟고 올라서는 것 아닐까'하는 걱정은 하지 말고, 우선 자신의 기업을 구한 보안 영웅이 되는 것이다.