업무 환경 보안 수칙: 흔히 놓치는 설정 점검표

왜 기본이 계속 문제가 되나

침해 사고 분석에서 반복적으로 확인되는 원인은 정교한 신기술 공격이 아니라 적용되지 않은 기본 설정입니다. 알려진 취약점의 미패치, 재사용된 비밀번호, 꺼져 있는 2단계 인증이 대부분을 차지합니다.

아래는 개인과 조직 모두에 적용되는 점검 항목입니다.

1. 계정

• 2단계 인증을 켭니다. 특히 이메일 계정을 최우선으로 합니다. 이메일은 다른 모든 서비스의 비밀번호 재설정 경로이기 때문에, 이메일이 뚫리면 나머지도 같이 뚫립니다.
• 인증 방식을 고릅니다. SMS보다 인증 앱이, 인증 앱보다 보안 키가 안전합니다. 중요 계정부터 단계적으로 올리세요.
• 비밀번호를 재사용하지 않습니다. 한 서비스의 유출이 다른 서비스로 번지는 경로가 됩니다. 비밀번호 관리자를 쓰는 편이 외우는 것보다 안전합니다.
• 복구 수단을 점검합니다. 예전 전화번호나 사용하지 않는 이메일이 복구 수단으로 남아 있으면 그것이 취약점이 됩니다.

2. 업데이트

• 운영체제와 브라우저는 자동 업데이트를 켜 둡니다.
• 브라우저 확장 프로그램을 정리합니다. 쓰지 않는 확장은 지웁니다. 소유권이 넘어간 확장이 악성으로 바뀌는 사례가 있습니다.
• 모바일 앱도 동일합니다. 설치만 해 두고 쓰지 않는 앱은 제거합니다.

3. 백업

• 3-2-1 원칙: 사본 3개, 서로 다른 매체 2종, 1개는 물리적으로 분리.
• 랜섬웨어는 연결된 백업까지 암호화합니다. 상시 연결되지 않은 사본이 하나는 있어야 합니다.
• 복원을 실제로 해 봅니다. 백업이 돌아가는 것과 복원이 되는 것은 다릅니다.

4. 기기

• 디스크 암호화를 켭니다. 분실·도난 시 유일한 방어선입니다.
• 화면 잠금 시간을 짧게 둡니다.
• 공용 Wi-Fi에서 업무 시스템에 접속할 때는 회사 VPN을 씁니다.
• USB를 포함해 출처가 불분명한 저장 매체를 연결하지 않습니다.

5. 업무 환경에서 추가로

• 권한을 최소로 유지합니다. 일상 업무를 관리자 계정으로 하지 않습니다.
• 퇴사자·직무 변경자의 접근 권한 회수 절차가 실제로 동작하는지 확인합니다.
• 외부 공유 링크의 만료 기간을 설정합니다. 영구 공개 링크가 검색에 노출되는 일이 흔합니다.
• 개발 환경의 자격증명이 코드 저장소에 들어가지 않도록 점검합니다.

한 장 점검표

정리

새로운 위협을 좇기 전에 위 항목부터 채우는 편이 투자 대비 효과가 큽니다. 조직 단위로는 이 점검을 자산 목록과 연결해 누락 없이 수행하는 것이 다음 단계입니다.