[중소기업 보안의 모든것 1탄] 보안 첫 걸음, 어디서부터 시작해야 할까?

디지털 전환의 흐름의 시대에 접어들면서 많은 기업들이 클라우드 서비스를 적극 도입하며 빠르게 변화의 흐름에 동참했습니다. 코로나 19 팬대믹으로 인해 그 속도는 더욱 가속화 되었고 그에 따른 보안의 위협도 함께 급속도로 증가했습니다. 비대면 업무 형태로 급격하게 변화하게 되면서 늘어난 원격회의와 업무로 인해 이메일을 통한 피싱 메시지의 침투가 늘었으며 BEC(비즈니스 이메일 손상), 랜섬웨어와 같은 사이버 위협이 날이 갈수록 증가하고 더욱더 교묘하게 변화하며 진화하고 있습니다.

​

한국인터넷진흥원(KISA) 자료에 따르면, 지난해 사이버 공격 피해의 92%가 중소기업에 집중되어 있는 것으로 나타났습니다. 디지털 전환 시대의 흐름에 동참했지만 정작 보안에 대한 준비는 하지못해 보안 위협에 그대로 노출되어 있는 중소기업들이 많음을 여실히 보여주고 있습니다. 이처럼 국내 수많은 중소기업이 보안의 중요성과 필요성을 충분히 인지하고 있음에도 불구하고 환경적인 문제와 한계로 인해 전사적인 보안 전문 서비스를 도입하거나 보안 시스템을 운영하고 관리할 보안 책임자를 채용할 여력이 없는 경우가 많습니다.

​

대기업에 비해 재정적·인적 자원이 적은 중소기업의 경우 보안에 대한 예산과 내부 보안 인력에 대한 리소스가 턱없이 부족하여 사이버 위협이나 침해로부터 타겟이 되기 쉽습니다. 규모가 작은 조직일수록 사내 전문 사이버 보안팀을 운영하고 있지 않을 가능성이 크기 때문에 사이버 위협이나 침해로부터 대응이 어려운것이 현실입니다.

이 때문인지 최근 많은 기업들이 사이버 리스크를 주요 비즈니스 위협 요인으로 여기기 시작하면서 대기업 뿐 아니라 보안에 비용을 덜 쓰던 중소기업 또한 보안에 대한 필요성을 느끼고 다방면으로 알아보는 기업들이 늘고 있습니다.

​

실제 고우아이티 기술지원팀으로도 보안 문의가 늘어나고 있어 저희도 보안의 중요성을 체감하고 있는데요.

저희 기술지원팀을 통해 중소기업 담당자 분들께서 가장 많이 문의주시고 실제 가장 크게 우려하고 있는 공통적인 보안 고민은 다음과 같습니다.

“직원 개개인의 계정​은 잘 관리되고 있는지 궁금합니다.” –A사

​

“비즈니스의 주된 커뮤니케이션 수단인 이메일을 포함하여 외부에서 유입되는 위험으로부터 직원들이 잘 대응하고 있는지, 노트북과 기타  다양한 디바이스를 통한 보안 관리는 어떻게 이루어지고 있는지 모르겠어요..” – B사

​

“회사에서 관리되는 민감한 정보, 중요 문서들에 대한 보안 측면에서의 자산 보호는 어떻게 해야하는지 막막합니다.. “- C사

이처럼 조직내 내구성원들을 통한 보안이 잘 지켜지고 관리되고 있는지, 그렇다면 조직에 맞는 보안을 어디서부터 시작해야 하는지 막염함을 느껴 문의를 주시는 경우가 많았습니다.

​

“그렇다면, 중소기업이 내/외부 위협으로부터 중요 자산을 보호하기 위해 고려해야 할 사항은 어떤 것들이 있을까요?”

중소기업에서 내/외부 위협으로부터 중요 자산을 보호하기 위해 기본적으로 고려해야 하는 기본 사항들에 대해 고우아이티는 다음 6가지의 프로세스를 설명합니다. 그리고 그 보안 프로세스를 실제 조직에 적용할 수 있도록 기업의 보안 상황을 면밀히 검토하여 Microsoft 365 를 활용한 보안 단계(총 5단계)를 통해 그에 맞는 보안 가이드를 제안해드리고 있습니다.

​먼저 중소기업의 디지털 보안을 위해 고려해야 하는 기본 프로세스부터 살펴보겠습니다.

[중소기업 디지털 보안을 위한 프로세스]

“알려주신 보안 팁, 인지하고 있지만 어떻게 어디서부터 시작해야 할지 모르겠어요. 

내부에 보안 담당자도 없습니다. 저희가 시도 볼 수 있는 보안 방안은 무엇이 있을까요?”

앞서 말씀드린 것처럼 저희 고우아이티는 5단계의 Microsoft 365를 활용한 보안 가이드를 통해 단계별 보안을 제안드립니다.

고우아이티는 조직 구성원들의 계정 보호, 이메일 보안, 기업의 민감한 정보와 중요 문서를 보호하고 모니터링할 수 있는 Microsoft 365 서비스의 보안 기능을 기반으로 하여 각 보안 단계를 세분화하여 기업의 규모와 상황에 맞춰 적용할 수 있도록 세부 보안 가이드를 다음과 같이 5단계로 나누어 안내합니다.

[고우아이티가 제안하는 중소기업의 단계별 보안 단계]

​1. 계정 보호 – 보안 기본 값 설정 / 조건부 액세스

2. 이메일 보호 – 이메일 보호 설정 / 메시지 암호화, 메시지 규칙

3. 자산 보호 – MDM / MAM

4. 문서 보호 – AIP / DLP

5. 모니터링 – 감사로그, e-Discovery, 콘텐츠 탐색/ 로그인 시도, 인시던트 경고