[보안뉴스]박세준 티오리 대표 “해킹은 ‘기본’ 간과때문...지속점검 집중해야”

내용 요약

한국 IT 산업의 핵심 통신사 KT가 겪은 해킹 사고를 배경으로, 티오리(보안 용역 기업)의 박세준 대표가 “기본”과 **“지속점검”을 강조한 국회 과학기술방송통신위원회 국정감사 출석이 이뤄졌다. 이번 감사는 기업·정부가 해킹 대응 전략을 재정비해야 함을 재확인시켰다.

핵심 포인트

• 기본 보안: 취약점 최소화, 접근 제어, 암호화 등 조직 보안의 기초를 다지는 것.
• 지속점검: 실시간 모니터링, 자동화된 취약점 스캔, 정기적 보안 감사로 보안 체계를 끊임없이 점검하는 프로세스.
• 제3자 보안 용역: 내부 역량이 부족한 기업이 외부 전문가를 통해 보안 인프라를 강화하고 위협 대응을 체계화할 수 있는 모델.

기술 세부 내용

1️⃣ Basic Security (기본 보안)

1️⃣ 취약점 관리
- ✅ 취약점 스캔
1. 시스템 및 애플리케이션을 정기적으로 스캔한다.
2. 자동화 툴(예: Nessus, OpenVAS)을 사용해 알려진 CVE를 탐지한다.
3. 스캔 결과를 우선순위에 따라 분류(고/중/저)한다.
- ✅ 패치 관리
1. 스캔 결과를 토대로 패치 일정표를 수립한다.
2. 테스트 환경에서 패치를 먼저 적용해 안정성을 검증한다.
3. 프로덕션 환경에 패치를 롤아웃하고, 적용 후 정상 동작을 확인한다.

2️⃣ 접근 제어
- 역할 기반 접근 제어(RBAC)
1. 조직 내 역할(예: 개발자, 운영자, 관리자)을 정의한다.
2. 각 역할에 필요한 최소 권한만 부여한다.
3. 권한 요청 및 변경은 승인 프로세스를 거친다.
- 다단계 인증(MFA)
1. 로그인 시 비밀번호 외에 OTP, 생체인식, 보안키 등 추가 인증 수단을 요구한다.
2. MFA 구현 시 사용 편의와 보안 강도를 균형 있게 설계한다.

3️⃣ 암호화
- 전송 시 암호화(TLS/SSL)
1. 모든 웹 트래픽에 TLS 1.2 이상을 적용한다.
2. 서버와 클라이언트 간 TLS 핸드쉐이크가 성공하면 통신을 진행한다.
- 저장 시 암호화(데이터베이스, 파일)
1. 암호화 알고리즘으로는 AES‑256이 가장 많이 쓰인다.
2. 암호화 키는 KMS(Key Management Service)를 통해 중앙에서 관리한다.

2️⃣ Continuous Monitoring (지속점검)

1️⃣ 실시간 보안 모니터링
- SIEM(Security Information and Event Management)
1. 로그 수집: 방화벽, IDS/IPS, OS, 어플리케이션 로그를 수집한다.
2. 로그 정규화: 서로 다른 포맷을 공통 구조로 변환한다.
3. 이벤트 상관 분석: 의심스러운 패턴을 실시간으로 탐지한다.
- 알림 및 대응 자동화
1. 보안 이벤트 발생 시 알림(이메일/SMS/Slack)을 자동으로 전송한다.
2. 인텔리전스 피드와 연동해 최신 위협에 대한 대응 매뉴얼을 제공한다.

2️⃣ 자동화된 취약점 스캔
- ⚙️ 주기적 스캔(예: 주 1회)
1. 새로 배포된 서비스나 업데이트가 있을 때마다 즉시 스캔을 실행한다.
2. 스캔 결과를 SIEM과 연동해 시각화한다.
- ️ 자동 패치(예: WSUS, SCCM)
1. 스캔 결과를 토대로 패치 적용 후보를 선정한다.
2. 승인된 패치는 자동으로 배포되며, 실패 시 재시도 로직이 동작한다.

3️⃣ 보안 감사와 리포팅
- 정기 감사(분기/연간)
1. 외부 보안 컨설턴트(예: 티오리)와 협력해 감사 범위를 정의한다.
2. 정책 준수 여부, 제어 효과성, 위험 수준을 평가한다.
- 대시보드 제공
1. KPI(보안 사건 수, 평균 대응 시간 등)를 실시간으로 모니터링한다.
2. 경향 분석을 통해 장기적인 보안 전략을 수립한다.

3️⃣ Third‑Party Security Consulting (제3자 보안 용역)

1️⃣ 역할과 책임
- 외부 전문가와 내부 팀 협업
1. 외부 용역사는 최신 위협 인텔리전스를 제공한다.
2. 내부 팀은 정책과 절차를 담당하며, 외부와의 정보 교류를 관리한다.
- 보안 컨설팅 범위
1. 보안 아키텍처 설계
2. 위험 평가와 취약점 분석
3. 정책 수립 및 교육

2️⃣ 보안 모델
- ️ Security‑by‑Design
1. 시스템 설계 단계부터 보안 요소를 통합한다.
2. 보안 설계 리뷰를 정기적으로 수행한다.
- Zero Trust Architecture
1. 모든 사용자와 디바이스를 인증된 상태로만 허용한다.
2. 최소 권한 원칙을 적용해 내부 데이터 유출 위험을 최소화한다.

3️⃣ 성과 측정
- 보안 성과 지표
1. 취약점 해결률, 보안 사고 감소율, 대응 시간 감소율 등.
2. KPI 달성도를 기반으로 용역 계약을 재평가한다.

---

추가 가이드: 실무 적용 팁

단계	핵심 활동	도구/기술	비고
1. 기초 확보	정책 수립, 위험 평가	ISO 27001, NIST CSF	내부/외부 인증 필요
2. 자동화 도입	CI/CD 보안 검사	GitLab CI, Snyk	코드 수준 보안 강화
3. 실시간 모니터링	로그 수집/분석	Splunk, ELK	대시보드 커스터마이징
4. 정기 감사	외부 감사	SOC 2, ISO 27001 외부 검토	연말/연중 감사 계획
5. 교육 & 인식	보안 인식 교육	PhishMe, KnowBe4	인식 프로그램 자동화

Tip: 보안은 한 번 설치하면 끝나는 것이 아니다. 지속점검과 피드백 루프를 통해 보안 성능을 지속적으로 개선해야 한다.

---

마무리

티오리 대표가 강조한 “기본”과 **“지속점검”은 해킹 사고를 예방하고 대응하는 데 핵심적인 두 축이다. 조직은 기본 보안(취약점 관리, 접근 제어, 암호화)과 지속점검(실시간 모니터링, 자동화 스캔, 정기 감사)을 동시에 강화해야 하며, 필요 시 제3자 보안 용역을 활용해 전문성을 보강할 수 있다. 이러한 체계적 접근이 바로 오늘날 급변하는 사이버 위협 환경에서 조직을 안전하게 보호하는 가장 확실한 방법이다.

 

출처: http://www.boannews.com/media/view.asp?idx=139866&kind=&sub_kind=