2024. 7. 14. 22:58ㆍGCC/IT 지원
보안을 위한 기업문화 조성
직장에서의 위험
보안 목표
보안과 사용자 생산성 사이에 미묘한 균형을 유지하는 것은 매우 중요합니다. 다양한 보안 도구와 시스템을 통해 이 균형을 어떻게 달성할 수 있는지 살펴보았습니다. 보안 아키텍처 설계를 시작하기 전에 달성하려는 목표를 정확히 정의해야 합니다. 이는 회사가 가장 중요하게 생각하는 것과 관련이 있습니다. 예를 들어, 결제 카드 산업 데이터 보안 표준(PCI DSS) 같은 법적 요구사항이 있는지 알아야 합니다.
PCI DSS의 6가지 광범위한 목표
- 보안 네트워크 및 시스템 구축 및 유지 관리
- 요구사항: 카드 소지자 데이터를 보호하고 시스템 비밀번호 및 기타 보안 매개변수에 공급업체 제공 기본값을 사용하지 않도록 방화벽 구성을 설치하고 유지 관리.
- 구체적 지침: 신뢰할 수 없는 네트워크와 카드 소지자 데이터 환경 간의 모든 시스템 연결 제한.
- 카드 소지자 데이터 보호
- 요구사항: 저장된 카드 소지자 데이터를 보호하고 개방형 공용 네트워크에서 카드 소지자 데이터 전송을 암호화.
- 구체적 지침: 데이터 보관 정책을 수립하여 불필요한 데이터 보관 방지, 강력한 암호화 사용.
- 취약점 관리 프로그램 유지 관리
- 요구사항: 멀웨어로부터 모든 시스템을 보호하고 바이러스 백신 소프트웨어를 정기적으로 업데이트하며 보안 시스템과 애플리케이션을 개발하고 유지 관리.
- 구체적 지침: 바이러스 백신 소프트웨어 설치 및 정기 업데이트, 보안 패치 적용.
- 강력한 액세스 제어 방법 구현
- 요구사항: 카드 소지자 데이터에 대한 액세스 제한, 시스템 구성요소에 대한 액세스 식별 및 인증, 카드 소지자 데이터에 대한 물리적 액세스 제한.
- 구체적 지침: 비밀번호 및 2단계 인증 사용, 물리적 보안 조치.
- 네트워크를 정기적으로 모니터링 및 테스트
- 요구사항: 네트워크 리소스 및 카드 소지자 데이터에 대한 모든 액세스를 추적하고 모니터링하며 보안 시스템과 프로세스를 정기적으로 테스트.
- 구체적 지침: 침입 감지 시스템 설정 및 구성, 정기적인 네트워크 취약점 스캔.
- 정보 보안 정책 유지 관리
- 요구사항: 모든 직원에 대한 정보 보안을 다루는 정책 유지.
- 구체적 지침: 모든 직원이 보안 정책을 숙지하고 준수하도록 교육.
교육과 사용자 참여
사용자 조직을 담당할 때는 사용자 교육과 사용자를 전체 보안 계획에 참여시키는 것이 중요합니다. 사용자 행동이 조직의 보안에 큰 영향을 미치므로, 정보에 기반한 선택을 할 수 있도록 교육을 제공해야 합니다.
위험 측정 및 평가
보안 위험 평가에 대해 알아보겠습니다. 보안 위험 평가는 시스템과 네트워크의 잠재적인 위협을 식별하고 이에 대한 방어를 설계하는 과정입니다. 이 과정은 일상생활에서도 비슷하게 적용되며, 보안 위험 평가의 첫 단계는 위협 모델링입니다.
1. 위협 모델링
위협 모델링은 시스템에 대한 잠재적 위협을 식별하고, 이들의 심각도와 발생 확률을 평가하여 우선순위를 매기는 과정입니다. 이를 위해 해커의 입장이 되어 시스템을 분석하고, 공격자가 노릴 수 있는 가치 높은 타겟과 공격 벡터를 찾아냅니다.
- 가치 높은 자산: 사용자 이름, 비밀번호, 결제 정보 등.
- 공격 벡터: 시스템 취약점, 네트워크 구성 오류 등.
2. 취약점 스캔
시스템과 네트워크의 취약점을 찾아내기 위해 정기적인 취약점 스캔을 수행합니다. 여러 오픈소스 및 상용 솔루션을 활용할 수 있으며, 대표적인 도구로는 Nessus, OpenVAS, Qualys 등이 있습니다.
취약점 스캐너는 다음과 같은 단계를 거쳐 작업을 수행합니다.
- 네트워크 스캔: 핑 스윕이나 포트 스캔을 통해 호스트를 찾아냅니다.
- 포트 스캔: 발견된 호스트에 대해 공통 포트 및 가능한 모든 유효한 포트를 스캔하여 수신 중인 서비스를 판별합니다.
- 서비스 스캔: 서비스 유형과 버전에 대한 정보를 수집하고, 이를 알려진 취약점 데이터베이스와 비교합니다.
- 보고서 생성: 발견된 취약점과 호스트 정보를 컴파일하여 보고서를 작성합니다.
3. 취약점 보고서
취약점 보고서에는 다음과 같은 정보가 포함됩니다.
- 발견된 취약점: 심각도와 기타 카테고리별로 우선순위가 지정됩니다.
- 취약점의 세부 정보: 악용 가능성, 제공하는 액세스 유형, 원격 악용 가능성 등.
- 취약점 제거 방법: 경우에 따라 권장되는 해결 방법도 포함됩니다.
4. 정기적인 취약점 스캔 및 데이터베이스 업데이트
정기적인 자동화된 취약점 스캔을 수행하고, 취약점 데이터베이스를 최신 상태로 유지하여 새로운 취약점을 신속하게 감지할 수 있도록 합니다.
5. 침투 테스트
취약점 스캔 외에도 정기적인 침투 테스트를 수행하는 것이 좋습니다. 침투 테스트는 실제 공격자가 시스템이나 네트워크에 침입을 시도하는 방식으로 방어를 테스트하는 방법입니다.
- 침투 테스트의 목적: 시스템의 방어가 예상대로 작동하는지 확인하고, 약점이나 맹점을 식별합니다.
- 수행 방법: 사내 보안 팀 멤버나 타사를 고용하여 테스트를 수행할 수 있습니다.
- 보고서: 약점이나 맹점을 보여주고, 방어를 개선하는 데 도움이 됩니다.
6. 결론
보안 위험 평가와 관련된 과정은 조직의 보안을 강화하는 데 매우 중요합니다. 이러한 과정들은 시스템을 공격으로부터 보호하고, 취약점을 신속하게 식별하고 수정하는 데 도움이 됩니다. 정기적인 취약점 스캔과 침투 테스트를 통해 보안 수준을 지속적으로 높여 나갈 수 있습니다.
개인정보처리방침
고객 데이터를 처리하는 시스템을 지원할 때, 무단 액세스로부터 데이터를 보호하는 것은 매우 중요합니다. 외부 위협뿐만 아니라 내부 직원의 오용도 방지해야 합니다. 이를 위해 개인정보처리방침을 철저히 수립하고 준수해야 합니다.
개인정보처리방침의 중요성
1. 개인정보처리방침 정의 및 역할
- 정의: 민감한 정보의 액세스 및 사용을 감독하고 적절한 사용을 정의하는 정책입니다.
- 역할: 직원들이 보안에 미치는 영향을 인식하고, 민감한 정보를 안전하게 처리하는 방법을 안내합니다.
정책 적용 및 구현
2. 정책 적용 방법
- 정기적인 감사를 통해 정책 적용: 로깅 및 모니터링 시스템을 활용하여 민감한 정보에 대한 액세스를 정기적으로 감사합니다.
- 데이터 액세스 로그 감사: 최소 권한 원칙을 적용하고, 데이터 액세스 요청과 사용량을 기록하여 필요 없는 액세스를 방지합니다.
3. 최소 권한의 원칙
- 적절한 액세스 요청: 정당한 이유와 특정 데이터를 지정하여 액세스를 요청해야 합니다.
- 시간 제한: 액세스 요청에 시간 제한을 두어 비즈니스 이유로만 데이터를 사용할 수 있도록 합니다.
데이터 분류 및 처리 지침
4. 데이터 분류
- 기준 설정: 민감한 정보와 기밀 데이터를 분류하는 기준을 명확히 합니다.
- 다양한 데이터 클래스: 다양한 유형의 데이터를 처리하는 방법에 관한 지침을 제공합니다.
5. 이동식 미디어 및 기기
- 저장 금지 조항: 민감한 정보를 쉽게 분실하거나 도난당할 수 있는 미디어에 저장하지 않도록 합니다.
- 암호화 조항: 민감한 정보를 저장해야 할 경우, 적절한 암호화 솔루션을 사용합니다.
추가 권장사항
6. 정기적인 교육 및 지침 제공
- 정기 교육: 직원들에게 정기적으로 보안 교육을 실시하여 최신 보안 위협과 방어 방법을 숙지하게 합니다.
- 사용 지침 제공: 암호화 솔루션 사용법과 안전한 정보 처리 방법에 관한 지침을 제공합니다.
7. 데이터 액세스 및 처리 예외 상황 대응
- 안전한 대처 방법: 불가피하게 민감한 정보를 이동식 미디어에 저장해야 하는 경우, 안전하게 대처하는 방법을 안내합니다.
이 모든 방침과 절차를 종합하여, 고객 데이터를 보호하는 데 필요한 모든 조치를 취할 수 있습니다. 잘 정의된 개인정보처리방침은 데이터의 무단 액세스를 방지하고, 직원들이 민감한 정보를 안전하게 처리하는 방법을 이해하도록 도와줍니다. 이를 통해 조직의 보안을 강화하고, 고객 데이터를 보호할 수 있습니다.
사용자
사용자 습관
보안과 관련된 사용자 참여는 매우 중요합니다. 가장 강력한 보안 시스템도 사용자가 안전하지 않은 행동을 한다면 그 효과는 크게 감소할 수 있습니다. 이를 해결하기 위해 사용자가 합리적이고 보안적으로 적절한 행동을 취할 수 있도록 유도하는 것이 필요합니다.
사용자 교육과 합리적인 보안 정책
- 사용자 교육
- 보안 정책 설명: 사용자에게 회사의 보안 정책을 명확히 설명하고, 왜 이러한 정책이 필요한지를 이해시킵니다.
- 사용자 습관 개선: 포스트잇에 비밀번호를 적지 않고, 노트북을 무단으로 방치하지 않도록 교육합니다.
- 보안 정책 적용
- 적절한 도구 제공: 직원들이 업무를 수행하는 데 필요한 도구를 제공하되, 보안을 저해하지 않는 방법을 찾습니다.
- 승인된 메커니즘 제공: 대용량 파일을 안전하게 공유할 수 있는 승인된 메커니즘을 제공하여, 직원이 보안 정책을 준수하면서도 업무를 효율적으로 할 수 있도록 돕습니다.
- 비밀번호 정책 관리
- 유연한 정책: 너무 까다로운 비밀번호 정책은 사용자의 불편을 초래할 수 있습니다. 따라서 보안 위협에 따라 적절하게 정책을 조정하여 사용자가 쉽게 따를 수 있도록 합니다.
- 비밀번호 재사용 방지: 사용자가 동일한 비밀번호를 여러 곳에서 사용하지 않도록 유도하고, 이전에 사용했던 비밀번호를 재사용하는 것을 방지합니다.
- 피싱 예방
- 교육과 도구 제공: 피싱 공격에 대비하여 사용자를 교육하고, 필요한 경우 2단계 인증과 같은 추가 보안 메커니즘을 제공하여 보호합니다.
- 스팸 필터링 강화: 피싱 이메일을 차단하기 위해 강력한 스팸 필터링 시스템을 구축하여 사용자를 보호합니다.
사용자의 보안 교육과 합리적인 보안 정책 적용은 조직의 보안을 강화하는 중요한 요소입니다. 사용자가 회사의 보안 정책을 이해하고 적절히 따를 수 있도록 지속적으로 지원하고 교육하는 것이 필요합니다. 이를 통해 사내 보안 문화를 증진시키고, 조직 전반의 보안을 더욱 강화할 수 있습니다.
제3자 보안
타사 솔루션 또는 서비스를 사용할 때의 보안 리스크를 최소화하기 위해 몇 가지 중요한 접근 방법을 제시해 드릴겠습니다.
1. 신뢰할 수 있는 공급업체 선택
- 평판과 신뢰성: 타사를 선택할 때 그들의 평판과 보안 역량을 검토하세요. 신뢰할 수 있는 공급업체인지 여부를 판단하는 데에는 시장에서의 평판과 과거의 고객 리뷰가 유용합니다.
- 보안 검토 및 평가: 공급업체의 보안 관행을 평가하는 것이 중요합니다. 보안 평가, 침투 테스트, 보안 정책 검토 등을 통해 그들의 보안 수준을 평가할 수 있습니다. 공급업체에게 보안 관련 문서, 보고서, 인증서 등을 요청하여 실제 보안 수준을 확인하세요.
2. 계약 전 보안 사항 명확히 하기
- 보안 요구사항: 서비스 계약에서 보안 요구사항을 명확히 기술하세요. 데이터 보호, 액세스 제어, 사건 관리, 데이터 소멸 정책 등을 포함하여 어떤 보안 기준을 준수해야 하는지 명시하세요.
- 서비스 수준 계약(SLA): 서비스 수준 계약에서 보안 관련 사항을 포함시키세요. 예를 들어, 데이터 손실에 대한 책임 소재, 보안 사고 대응 시간 등을 명시하여 법적으로 보호받을 수 있습니다.
3. 데이터 보호
- 데이터 암호화: 데이터 전송 및 저장 중에 암호화를 사용하여 데이터 유출을 방지하세요. 데이터베이스 액세스 및 저장소에 대한 엄격한 암호화 정책을 수립하고 적용하세요.
- 접근 제어: 사용자 인증 및 엄격한 접근 제어 메커니즘을 설정하여 민감한 데이터에 대한 접근을 제한하세요. 이는 타사가 직접적으로 데이터베이스나 시스템에 접근하는 경우에도 적용되어야 합니다.
4. 지속적 모니터링과 평가
- 보안 이벤트 모니터링: 타사와의 연결이 유지될 동안 보안 이벤트를 지속적으로 모니터링하세요. 비정상적인 활동을 신속하게 탐지하고 대응할 수 있는 시스템을 구축하세요.
- 정기적인 보안 검토: 타사의 보안 정책과 절차를 정기적으로 검토하고, 필요한 경우 보안 업데이트나 추가적인 보호 조치를 요구하세요. 기술적 취약성 점검 및 침투 테스트도 포함시킬 수 있습니다.
5. 위험 관리
- 위험 평가: 타사와의 계약 전 및 계약 중에 위험을 식별하고 관리하세요. 이는 타사가 데이터 처리 중에 추가된 보안 위협을 방지하거나 해결할 수 있도록 도와줍니다.
- 비상 계획: 타사 서비스가 중단되거나 보안 사고가 발생했을 때를 대비한 비상 계획을 수립하세요. 긴급 상황에서의 대응 절차를 정의하고 이를 타사와 공유하세요.
이러한 접근 방법을 통해 타사와의 협력을 안전하게 유지하면서도 데이터와 시스템 보안을 보호할 수 있습니다. 필요한 경우 전문적인 보안 컨설턴트나 법률 자문을 받아보시는 것도 좋은 방법입니다.
공급업체 보안 평가 설문지에 관한 보충 읽기 자료
Google은 최근 공급업체 보안 평가 설문지를 무료로 제공했습니다. 여기에서 확인해보세요.
보안 학습
보안 교육을 효과적으로 설계하고 진행하기 위한 몇 가지 중요한 접근 방법을 소개해 드리겠습니다.
1. 목표 설정
- 교육 목표: 먼저 보안 교육의 목표를 명확히 합니다. 이는 직원들이 이해하고 기억할 수 있는 특정 보안 관행이나 정책을 포함해야 합니다. 예를 들어, 피싱 공격 방지, 안전한 비밀번호 관리, 공공 장소에서의 데이터 사용 등이 포함될 수 있습니다.
2. 적절한 형식 선택
- 비디오 및 프레젠테이션: 짧은 동영상이나 정보 프레젠테이션을 통해 주제를 도입하세요. 시각적인 자료는 효과적인 학습을 촉진할 수 있습니다.
- 퀴즈 및 시나리오: 교육 후에 퀴즈를 통해 직원들이 교육 내용을 잘 이해하고 있는지 확인하세요. 시나리오 기반 퀴즈는 실제 상황에서의 응용 능력을 테스트하는 데 유용합니다.
3. 정기적인 업데이트
- 업데이트 정책: 보안 관련 법규나 최신 위협에 대응하기 위해 정기적으로 교육 콘텐츠를 업데이트하세요. 새로운 보안 피해 사례나 방어 전략을 포함시킬 필요가 있습니다.
- 재교육: 직원들이 항상 최신 정보를 기억하고 있도록 하기 위해 일정 간격으로 재교육을 실시하세요. 특히 보안 위협이 새로운 방식으로 발전할 때마다 직원들에게 필요한 내용을 재강조하고 업데이트된 정책을 설명하세요.
4. 참여 유도
- 질문 및 토론 장려: 교육 과정에서 직원들이 질문을 할 수 있도록 장려하세요. 이는 직원들이 보다 적극적으로 학습에 참여하고 보다 실질적인 지식을 얻을 수 있게 합니다.
- 메일링 리스트 또는 피드백 체계: 직원들이 보안 관련 문제를 의심하거나 신고할 수 있는 메일링 리스트나 피드백 체계를 구축하세요. 직원들이 문제를 신고하고, 그에 대한 명확한 대응을 받을 수 있는 공간을 제공하는 것이 중요합니다.
5. 문화 조성
- 보상 및 인식: 보안 규정을 준수하고 예방적인 보안 조치를 취하는 직원들을 인식하고 보상하는 문화를 조성하세요. 이는 보안을 모든 직원의 책임으로 만들어 효과적인 보안 문화를 유지하는 데 도움이 됩니다.
- 예시 제공: 리더십 팀이 보안 관련 좋은 예를 제공하고, 보안을 적극적으로 지지하는 모습을 보여주세요. 직원들에게 올바른 보안 관행을 보여주는 것이 중요합니다.
6. 다양한 방법의 결합
- 다양한 교육 방법: 비디오, 프레젠테이션, 퀴즈, 시나리오, 실습 등 다양한 교육 방법을 결합하여 직원들의 관심을 유지하고 학습 효과를 극대화하세요.
보안 교육을 통해 직원들이 보안을 우선으로 하는 회사 문화를 함께 만들어 나가는 것이 중요합니다. 이는 최신 보안 위협에 대응하고, 조직의 데이터와 시스템을 보호하는 데 중요한 역할을 합니다.
사고 처리
사고 보고 및 분석
사고 처리를 효과적으로 진행하기 위한 각 단계와 그 중요성을 더 자세히 살펴보겠습니다.
1. 사고 감지
사고 처리의 첫 번째 단계는 사고를 식별하고 감지하는 것입니다. 이 과정에서는 다음과 같은 활동이 중요합니다:
- 침입 감지 시스템: 공격의 징후를 포착하고 관련된 위협을 식별합니다. 이 시스템은 정상적인 네트워크 및 시스템 활동에서 벗어난 이상 징후를 탐지합니다.
- 사용자 보고: 직원이나 사용자가 의심스러운 활동을 발견하면 보고할 수 있는 메커니즘이 필요합니다. 이는 조직 내에서의 신속한 대응을 가능하게 합니다.
2. 사고 분석
사고를 감지한 후, 사고가 어떻게 발생했는지를 분석하고 이해하는 것이 중요합니다:
- 사고의 종류 파악: 데이터 유출, 시스템 손상, 인증 정보 유출 등 다양한 사고 유형을 구분하고 분석합니다.
- 영향 평가: 사고로 인해 발생한 영향과 손상의 범위를 평가합니다. 어떤 데이터가 노출되었는지, 얼마나 중요한지 등을 판단합니다.
- 사고의 원인 분석: 공격자가 어떻게 접근하고, 어떤 취약점을 이용했는지를 분석합니다. 예를 들어, 의심스러운 IP 주소나 이상한 네트워크 트래픽을 탐지할 수 있습니다.
3. 사고 범위 및 심각도 결정
사고의 범위와 심각도를 결정하는 것은 후속 조치를 계획하는 데 필수적입니다:
- 시스템 및 데이터 연관성: 감지된 사고와 관련된 모든 시스템 및 데이터를 식별하고 연관성을 분석합니다. 이는 공격자의 활동 범위를 이해하는 데 도움이 됩니다.
- 사고 심각도 평가: 어떤 시스템이 얼마나 많이 손상되었는지, 비즈니스 운영에 어떤 영향을 미칠 수 있는지를 평가합니다.
4. 사고 제어
사고의 추가적인 확산을 방지하고 손상을 제어하기 위한 조치를 취해야 합니다:
- 계정 및 액세스 제어: 손상된 계정의 비밀번호를 즉시 변경하거나, 계정을 잠그는 등의 조치를 취합니다.
- 시스템 격리 및 제거: 감염된 시스템을 네트워크에서 격리하고, 필요한 경우 백업을 통해 시스템을 복원합니다.
5. 사고 복구 가능성 평가
사고를 복구하고 시스템을 초기 상태로 되돌리는 데 필요한 절차와 가능성을 평가합니다:
- 복구 절차 문서화: 백업 및 복구 절차를 문서화하고, 실제로 복구할 수 있는지 테스트합니다.
- 복구 가능성 평가: 복구 시스템이 얼마나 빠르고 효과적으로 수행될 수 있는지를 평가합니다. 필요한 경우 외부 전문가의 도움을 받습니다.
6. 사고 후 대응 및 보고
사고 처리 후, 조직 내부 및 외부에 대한 적절한 보고가 필요합니다:
- 내부 보고 및 감사: 사고가 발생한 사실을 조직 내부적으로 보고하고, 관련된 모든 당사자와 팀이 대응할 수 있도록 합니다.
- 외부 보고: 필요한 경우, 법적 요구사항에 따라 외부 기관이나 관할 당국에 사고를 보고해야 할 수도 있습니다.
이러한 단계들을 따라 사고 처리를 체계적으로 진행하면, 사고 발생 시 빠르고 효과적으로 대응할 수 있습니다. 이는 조직의 보안을 유지하고, 재발을 예방하는 데 중요한 역할을 합니다.
사고 대응 및 복구
위에서 설명한 사고 대응 절차는 시스템 보안을 유지하는 데 중요한 역할을 합니다. 사고가 발생할 경우 철저한 사고 대응 절차를 따르면서 신속하게 대응하는 것이 중요합니다. 이를 통해 시스템의 손상을 최소화하고 잠재적인 재발을 방지할 수 있습니다.
- 사고 감지 및 분석: 사고를 감지하고 발생 원인과 피해 범위를 파악합니다. 이 과정에서는 어떤 종류의 공격이 발생했는지, 시스템이 얼마나 손상되었는지 등을 분석합니다.
- 사고 제어: 사고 발생 후 즉시 사고 영향을 받는 시스템을 격리하고, 추가적인 손상을 방지하기 위한 조치를 취합니다. 네트워크 접근 권한을 제한하고, 멀웨어와 같은 공격 소프트웨어를 제거하거나 격리합니다.
- 사고 정리: 영향을 받은 시스템을 초기 상태로 복구하거나, 백업된 데이터로 시스템을 복원합니다. 이 과정에서는 시스템의 안정성을 회복하고, 공격자가 설치한 백도어와 같은 보안 취약점을 제거합니다.
- 사고 분석과 정리 후 통합: 사고 조사를 통해 학습한 내용을 통합하여 전반적인 보안 방어 전략에 반영합니다. 공격의 흔적을 제거하고, 시스템의 보안 강화를 위해 방화벽 규칙과 ACL을 업데이트합니다.
- 보안 강화 및 모니터링: 사고 후에는 추가적인 보안 강화를 위해 시스템을 지속적으로 모니터링하고, 새로운 위협에 대비할 수 있도록 대응 능력을 강화합니다. 필요한 경우 네트워크 감시 및 로깅을 강화하여 다시 발생할 가능성이 있는 징후를 조기에 감지할 수 있도록 합니다.
사고 대응 절차는 조직의 전반적인 보안 전략에 중요한 요소로서, 신속하고 효율적으로 실행될 수 있도록 사전에 계획하고 준비하는 것이 필요합니다.
모바일 보안 및 개인정보보호
보안을 강화하고 모바일 기기의 데이터를 보호하는 것은 매우 중요합니다. 모바일 기기에 저장된 데이터는 개인적이고 중요한 정보를 포함할 수 있으며, 이 데이터가 유출되면 신원 도용, 금융 사기 등의 위험이 발생할 수 있습니다. 따라서 다음과 같은 기본적인 보호 조치를 취하는 것이 필수적입니다.
1. 화면 잠금 설정
화면 잠금은 모바일 기기의 첫 번째 보호 장치입니다. 이를 통해 기기가 잃어버려지거나 도난당한 경우 타인이 쉽게 접근하지 못하도록 방지할 수 있습니다. 주로 사용되는 방법은 PIN, 패턴, 비밀번호, 지문 인식, 얼굴 인식 등이 있습니다.
2. 스토리지 암호화
기기 스토리지의 데이터를 암호화하는 것은 추가적인 보호를 제공합니다. 기기가 잃어버려지거나 도난당해도 데이터에 접근하기 어렵게 만듭니다. 일부 모바일 운영 체제는 기본적으로 스토리지 암호화를 제공하며, 필요한 경우 설정에서 활성화할 수 있습니다.
3. 앱 권한 관리
앱 권한은 모바일 운영 체제에서 제공하는 기능으로, 각 앱이 사용할 수 있는 데이터와 기능을 제어할 수 있습니다. 사용자는 앱을 설치할 때나 첫 실행 시 권한 요청을 확인하고, 필요하지 않은 권한을 거부할 수 있습니다. 예를 들어 위치 정보, 마이크 접근, 카메라 사용 등을 제한할 수 있습니다.
4. 백업과 원격 삭제 기능 사용
모바일 기기에서는 정기적으로 데이터를 백업하여 데이터 손실을 방지하는 것이 좋습니다. 또한 원격 삭제 기능을 사용하면 기기가 도난당한 경우 원격으로 데이터를 삭제할 수 있습니다. 이는 기기가 영구적으로 분실되었을 때 개인 정보가 유출되는 것을 막을 수 있습니다.
5. 보안 소프트웨어 사용
보안 소프트웨어는 악성 소프트웨어와 같은 위협으로부터 모바일 기기를 보호하는 데 도움을 줍니다. 이 소프트웨어는 악성 코드 스캔, 위협 탐지 및 차단, 안전한 웹 브라우징 등의 기능을 제공할 수 있습니다.
추가적인 고려 사항
모바일 기기의 보안을 강화하기 위해 사용자 교육도 중요합니다. 사용자는 안전한 패스워드 사용, 악성 링크 및 첨부 파일 조심하기, 공공 와이파이 사용 시 주의 등을 실천해야 합니다.
이러한 보호 조치는 모바일 기기의 데이터 보안을 강화하는 데 중요한 역할을 합니다. 사용자는 기기를 사용할 때 이러한 보호 방법들을 실천하여 개인 정보를 안전하게 유지할 수 있습니다.
인증
인증은 LDAP 서버가 중앙에서 처리하고 일회용 비밀번호 생성기가 2단계 인증 요소로 통합됩니다.
외부 웹사이트
고객 대상 웹사이트는 방문자가 제품을 둘러보고 구매할 뿐만 아니라 계정을 만들고 로그인할 수 있는 이커머스 사이트입니다. 따라서 HTTPS를 통해 제공됩니다. 이 웹사이트는 공개적으로 액세스할 수 있습니다.
내부 웹사이트
직원이 액세스할 때 인증을 요구하도록 내부 직원 웹사이트 역시 HTTPS를 통해 제공합니다. 또한 회사 내부 네트워크에서 오직 인증된 계정만 사용해서 액세스할 수 있습니다.
원격 액세스
엔지니어는 워크스테이션에 대한 원격 명령줄 액세스뿐만 아니라 내부 웹사이트에 대한 원격 액세스도 필요하기 때문에, OpenVPN 같은 네트워크 수준 VPN 솔루션이 필요합니다. 내부 웹사이트에 더 쉽게 액세스하려면 VPN 외에도 역방향 프록시를 사용하는 것이 좋습니다. VPN과 역방향 프록시 둘 다 앞서 인증 및 권한 부여와 관련하여 언급한 LDAP 서버에 의존합니다.
방화벽
네트워크 기반 방화벽 어플라이언스가 필요합니다. 어플라이언스에는 암시적 거부 규칙에서 시작하여 선택적으로 포트를 여는 등 여러 서비스에 대한 트래픽을 허용하는 규칙이 포함됩니다. 외부 웹사이트에 대한 공개 액세스를 허용하고 역방향 프록시 서버와 VPN 서버에 대한 트래픽을 허용하는 규칙도 필요합니다.
무선
무선 보안을 위해 EAP-TLS를 통한 802.1X를 사용해야 합니다. 이를 위해서는 클라이언트 인증서를 사용해야 합니다. 클라이언트 인증서는 VPN, 역방향 프록시, 내부 웹사이트 인증 등 다른 서비스를 인증하는 데도 사용할 수 있습니다. WPA2보다 802.1X를 사용하는 것이 좋은데, 회사가 성장할수록 더 안전하고 관리가 수월하기 때문입니다.
VLAN
네트워크 세분화의 한 형태로 VLAN을 네트워크 구조에 통합하는 것이 좋습니다. 이렇게 하면 여러 서비스에 대한 액세스 제어를 더 쉽게 관리할 수 있습니다. 기기 및 서비스에 다양한 역할이나 기능으로 사용할 VLAN을 만들 수 있습니다. 엔지니어링 VLAN을 사용하여 모든 엔지니어링 워크스테이션과 엔지니어링 서비스를 배치할 수 있습니다. 인프라 VLAN은 무선 AP, 네트워크 기기, 인증 서버와 같이 중요한 서버 등 인프라 기기에 사용할 수 있습니다. 판매 VLAN은 엔지니어링 이외의 시스템에 사용할 수 있고, 게스트 VLAN은 다른 VLAN 할당에 맞지 않는 기타 기기에 사용할 수 있습니다.
노트북 보안
회사에서 결제 정보 및 사용자 데이터를 처리하므로 개인정보보호는 큰 우려사항입니다. 기기 분실 또는 도난 시 무단 데이터 액세스를 방지하기 위해 노트북에서 전체 디스크 암호화(FDE)를 요구사항으로 설정해야 합니다. 또한 일반적인 멀웨어 감염을 방지하기 위해 바이러스 백신 소프트웨어를 설치하는 것이 좋습니다. 흔하지 않은 공격과 알려지지 않은 위협을 방지하기 위해 바이러스 백신 소프트웨어 외에도 바이너리 화이트리스팅 소프트웨어를 사용하는 것이 좋습니다.
애플리케이션 정책
클라이언트 시스템의 보안을 더욱 강화하려면 제3자 소프트웨어 중 업무 기능과 관련된 애플리케이션만 설치할 수 있도록 제한하는 애플리케이션 정책을 마련해야 합니다. 특히 위험하고 법적으로 문제가 있는 애플리케이션 카테고리는 명시적으로 금지해야 합니다. 불법 복제본 소프트웨어, 라이선스 키 생성기, 크랙된 소프트웨어 등이 이에 해당합니다.
일부 소프트웨어를 제한하는 정책뿐만 아니라, 소프트웨어 패치를 적시에 설치하도록 요구하는 정책도 포함되어야 합니다. 여기서 '적시'란 패치가 널리 사용 가능해진 날로부터 30일 이내로 정의됩니다.
사용자 데이터 개인정보처리방침
사용자 개인정보보호를 중시하는 회사이므로 사용자 데이터 액세스와 관련한 강력한 정책이 반드시 필요합니다. 사용자 데이터에는 특정 작업 또는 프로젝트와 관련된 특정 업무 목적으로만 액세스해야 합니다. 지나치게 광범위한 탐색을 위한 요청이 아니라 구체적인 특정 데이터에 대한 액세스 요청을 해야 합니다. 액세스 권한을 부여하기 전에 요청을 검토하고 승인해야 합니다. 검토 및 승인을 거친 이후에만 요청된 특정 사용자 데이터에 대한 액세스 권한이 개인에게 부여됩니다. 사용자 데이터에 대한 액세스 요청에는 종료일도 있어야 합니다.
사용자 데이터 액세스 외에도 사용자 데이터의 처리 및 저장에 관한 정책을 정의하는 것도 중요합니다. 이를 통해 사용자 데이터가 분실되거나 악용되는 것을 방지할 수 있습니다. 사용자 데이터는 USB 키나 외장 하드 드라이브와 같은 휴대용 저장 기기에 허용되어서는 안 됩니다. 예외가 필요한 경우 암호화된 휴대용 하드 드라이브를 사용하여 사용자 데이터를 전송해야 합니다. 사용자 저장 데이터는 무단 액세스를 방지하기 위해 항상 암호화된 미디어에 있어야 합니다.
보안 정책
강력하고 안전한 비밀번호 사용을 보장하기 위해 아래의 비밀번호 정책을 시행해야 합니다.
- 비밀번호는 8자 이상이어야 합니다.
- 비밀번호는 최소 한 개 이상의 특수문자 또는 문장 부호를 포함해야 합니다.
- 비밀번호는 12개월마다 변경해야 합니다.
이러한 비밀번호 요구사항 외에도, 모든 직원이 1년에 한 번 필수 보안 교육을 이수해야 합니다. 보안 교육에서는 피싱 공격의 피해자가 되지 않는 방법, 노트북 보안을 유지하기 위한 권장사항, 지난번 교육 이후 새롭게 등장한 위협 등 흔한 보안 관련 시나리오를 다루어야 합니다.
침입 감지 또는 방지 시스템
네트워크 활동을 감시하여 공격이나 멀웨어 감염의 징후를 찾기 위해서는 네트워크 침입 감지 시스템을 사용하는 것이 좋습니다. 이를 통해 네트워크 사용자에게 불편을 끼치지 않고 뛰어난 모니터링 기능을 사용할 수 있습니다. 사용자 데이터를 포함하는 서버가 있는 네트워크에는 네트워크 침입 방지 시스템(NIPS)을 사용하는 것이 좋습니다. 공격의 타겟이 될 가능성이 더 높은 중요한 데이터가 있기 때문입니다. 이러한 서버에서 중요한 시스템의 모니터링을 강화하려면 네트워크 침입 방지 외에도 호스트 기반 침입 감지(HIDS) 소프트웨어를 설치하는 것이 좋습니다.