보안잇21회 - 알면서도 왜 안 될까? 보안 운영이 막힌 지점과 바꿔본 경험

보안을 위해 바꿔야 한다는 건 알지만, 혹시 업무가 멈추지는 않을까 걱정되는 순간이 있습니다. 

혼자 전산을 맡고 있거나 다른 업무까지 겸하고 있다면, 무엇부터 손대야 할지 막막할 때도 있고요.

이번 보안잇 참가 신청서에도 그런 고민이 남겨져 있었습니다.

“중소기업 보안운영 및 투자의 문제점”

“내부적으로 요구되는 서비스 운영 수준이나 장애 발생시 민감도가 높은 상황에서 보안 관련 수정을 안전하게 하는 방법이 궁금합니다.”

지난 10월 29일, 스물한 번째 보안잇에는 27명의 실무자가 모였습니다. 그중 8명은 보안잇을 처음 찾아주신 분들이었어요. 

주제는 「Back to Basic, 현장에서 보안 운영은 왜 어려울까?」였습니다.

지난 두 번의 모임에서 AI의 활용과 관리를 이야기했다면, 이번에는 각자의 보안 업무로 돌아왔습니다. 

규정은 있는데 지켜지지 않고, 장비는 있는데 원하는 대로 운영되지 않고, 업무에 필요해 열어둔 예외는 어느새 쌓여가는 현장으로요.

무엇을 해야 하는지 아는 것과, 우리 회사에서 실제로 해내는 것 사이. 이날은 그 사이에서 어디가 막혔고, 무엇부터 바꿔봤는지 나누는 시간이었습니다.

기본을 지키려면, 우리 회사부터 알아야 했습니다

패치를 제때 적용하고, 외부에 열린 시스템을 관리하는 일. 보안의 기본이라고 부르지만, 막상 시작하려면 먼저 확인해야 할 것이 있습니다. 

우리 회사에 어떤 시스템이 있고, 누가 관리하는지부터요.

강천수 모임장님은 최근 금융권 침해사고를 짚으며, 알려진 취약점과 빠뜨린 접근통제처럼 운영 과정에서 놓친 부분을 이야기했습니다. 

이벤트 페이지나 대출 조회 화면도 외부에 열린 접점인데, 정작 회사 안에서 누가 관리하는지 바로 답하기 어려운 경우가 있다는 설명이 이어졌습니다.

그래서 제안한 첫걸음은 인터넷에 노출된 자산과 사용 중인 소프트웨어 버전 목록부터 만들어보는 것이었습니다. 

모임장님 역시 회사에서 외부에 열린 자산을 찾는 일부터 하고 있다고 전했습니다.

방화벽의 관리자 접속을 제한하고 2단계 인증을 설정하는 시연도 있었습니다. 

새로운 장비를 알아보기 전에, 이미 가진 장비에서 확인해볼 설정이 있다는 이야기였습니다.

지란지교소프트가 제작한 보안가이드를 함께 살펴본 뒤, 모임장님은 세 가지 질문을 남겼습니다.

우리 회사 자산 목록, 마지막으로 업데이트한 게 언제인가요?

외부에서 접근 가능한 시스템을 지금 바로 꼽을 수 있나요?

사고가 나면 가장 먼저 누구에게 연락하나요?

만족도 조사에는 “최근 동향을 알 수 있었고, 보안의 기본 요소를 다시 생각할 수 있는 시간이었습니다”라는 이야기가 남았습니다. 

익숙한 기본도 우리 회사에 대입해보면, 다시 확인할 질문이 생깁니다.

망을 바꾸는 일에는, 사람을 설득하는 시간도 필요했습니다

문혁기 님은 인사·총무와 전산을 함께 맡고 있습니다. 이날 들려주신 것은 NAC(네트워크 접근제어) 도입을 준비하며 사내망을 다시 정리한 경험이었습니다.

공유기와 허브로 이어 붙인 사내망에서는 상단 랜선 하나가 끊기면 두 구역이 한꺼번에 인터넷 장애를 겪었습니다. 

개발·비개발 인원도, 업무·개인 장비도 하나의 사무망에 섞여 있었고요.

문혁기 님은 승인된 업무용 장비인지, 인증을 거쳤는지, 필수 보안 프로그램이 설치돼 있는지 접속 기준을 세웠습니다. 

사무망을 업무별 VLAN으로 나누고, 앞으로의 확장까지 고려해 IP 주소 체계도 다시 설계했습니다.

그 과정이 순탄하지만은 않았습니다. VLAN을 추가한 뒤 한 사옥에서 IP를 받지 못하는 문제가 생겼고, 원인을 찾는 데 이틀 가까이 걸렸습니다. 

발표 자료에 남긴 한 줄에 그때의 시행착오가 담겨 있었습니다.

“같은 구조라고 생각해, 상단 스위치 한 대를 놓쳤습니다.”

기술적인 문제를 풀어도 설득이 남았습니다. 

경영진에게 해킹·침해 사례를 정리해 보고하고, 개발 부서에 어떤 영향을 줄지 분석해 다시 설명해야 했습니다. 

검토 과정에서 중요한 질문은 ‘업무에는 어떤 영향이 있는가’였습니다.

적용 계획도 단계로 나눴습니다. 

첫 달에는 통제 없이 사용 현황을 모니터링하고, 이후에는 필수 프로그램 설치를 안내하며 유예기간을 두는 방식입니다. 

정책은 비개발부서부터 적용하고, 업무 영향이 큰 개발부서에는 별도의 예외정책을 마련했습니다.

문혁기 님은 NAC가 도입하고 끝나는 문제가 아니라는 것을 배웠다고 했습니다. 

정책 설계 자료가 필요한 참가자에게는 따로 나누겠다는 이야기도 전했습니다.

참가자 중에는 가장 인상 깊었던 이야기로 이 사례를 꼽은 분도 있었습니다.

“혼자서 NAC 구현하신 인사총무 겸하시는 대리님 사례”

장비를 도입하기까지 무엇을 확인했고, 어디서 시간을 썼으며, 누구를 설득해야 했는지. 

같은 일을 맡은 사람에게는 그런 과정 하나하나가 참고할 경험이 됩니다.

통제를 강화한 뒤에도, 고민은 남았습니다

김태완 님은 정책을 적용한 뒤 마주한 어려움을 꺼냈습니다. 파일 첨부를 막았더니 업무에 필요한 사이트까지 막히면서 직원들의 불만이 커졌던 경험입니다.

정책을 강하게 적용하면 업무가 불편해지고, 예외를 하나씩 열어주다 보면 허용 기준이 흐려집니다. 

통제와 업무 편의 사이에서 어디에 선을 그어야 할지, 담당자의 고민은 계속됩니다.

김태완 님은 다른 회사에서는 이 균형을 어떻게 맞추고 있는지 듣고 싶다는 질문으로 발표를 마쳤습니다. 

자신의 경험을 나누고, 아직 풀지 못한 부분은 함께 묻는 시간이었습니다.

이날 세 사람이 들려준 현장은 달랐지만, 맞닿은 부분이 있었습니다. 

자산을 파악하는 일도, 망을 정리하는 일도, 정책을 적용하는 일도 회사의 업무와 사람을 함께 살펴야 한다는 점이었습니다.

자기소개가 길어진 밤

커뮤니티 시간에는 신청서에 남겨주신 고민을 기준으로 테이블을 나눴습니다. 

처음 오신 분과 다시 오신 분이 함께 앉고, 포스트잇에 요즘 가장 고민인 보안 이슈를 적어두도록 했습니다.

그런데 자기소개가 각자의 현장 이야기로 이어졌습니다. 이름과 담당 업무를 말하다 보니, 지금 맡고 있는 일과 막힌 지점까지 꺼내게 된 것이지요.

“자기소개 시간에 세션이 되어버린 분들이 있지만 유익했습니다”

보안 솔루션을 도입하고 1년쯤 지나면 정책이 풀려 있고 인수인계도 되어 있지 않다는 이야기, 혼자 전산을 맡다 보니 예외 요청을 한 번 열어주면 다시 기준을 세우기 어렵다는 이야기가 오갔습니다.

발표에서 나온 통제와 예외의 고민이 테이블에서도 이어졌습니다. 

회사는 달라도, 각자의 자리에서 비슷한 어려움을 겪고 있었습니다.

고민을 기준으로 함께 앉은 방식에는 이런 반응이 남았습니다.

“관심사 인원끼리 모여있다보니 대화가 더 매끄러웠던것 같습니다”

“자리를 정해주는 방식이 좋았고 매번 이런 방식으로 커뮤니티를 구성했으면 좋겠습니다.”

“첫 만남이었음에도 함께 할 분야가 생각났어요”

아쉬움도 있었습니다. 발표와 자기소개가 길어지면서, 주제별 테이블로 자리를 옮기려던 계획은 진행하지 못했습니다. 

참가자들도 서로 이야기 나눌 시간이 짧았다는 의견을 남겨주셨습니다.

다음 모임에서는 발표와 자기소개 시간을 조정해, 서로의 경험을 묻고 답할 시간을 충분히 마련하겠습니다.

우리 회사에서 해볼 작은 일 하나

이날 모든 질문의 답을 찾은 것은 아닙니다. 

예외를 어디까지 허용할지, 업무에 영향을 주지 않으면서 어떻게 바꿔갈지는 각자의 현장에서 계속 풀어야 할 문제로 남았습니다.

다만 다른 사람의 경험을 들으며 점검해볼 출발점은 찾을 수 있었습니다. 

외부에 열린 자산 목록을 다시 확인하거나, 이미 가진 장비의 설정을 살펴보거나, 새로운 정책에 모니터링과 유예기간을 두는 것처럼요.

만족도 조사 응답자 15명 중 13명은 만족스러웠던 점으로 ‘실무 사례를 들을 수 있어서’를 꼽았습니다. 

잘된 결과뿐 아니라 놓쳤던 장비 한 대, 설득에 들인 시간, 아직 남은 고민까지 나눴기에 참고할 수 있는 이야기들이었습니다.

이날은 강천수 모임장님이 직업교육에서 인연을 맺은 고등학생 한 분도 함께했습니다. 현장에서 일하는 선배들의 고민과 경험을 가까이에서 들어본 시간이 되었기를 바랍니다.

실무자는 실무자에게 배웁니다. 누군가 먼저 겪은 시행착오가 다른 사람에게는 시작할 방향이 되기도 합니다. 보안잇은 그런 경험을 함께 쌓아가고 있습니다.

올해의 마지막 보안잇은 낮에, 판교에서 만나요

12월에는 한 해를 마무리하는 스물두 번째 보안잇이 열립니다. 

한 해 동안 각자의 자리에서 애쓴 실무자들이 잠시 모여, 먼저 길을 걸어온 선배의 경험을 듣고 자신의 다음 걸음을 생각해보는 자리로 준비하고 있습니다.

업무시간에 열리는 만큼 참가 안내 공문도 함께 보내드릴 예정입니다. 자세한 프로그램은 확정되는 대로 안내드리겠습니다.

아직 해결하지 못한 고민이 있어도 괜찮습니다. “다른 회사에서는 어떻게 하고 계세요?”라는 질문 하나를 가지고 오셔도 좋고요. 

함께한 분의 경험에서 우리 회사에 맞는 다음 걸음을 찾아보면 좋겠습니다.

막혔던 경험과 아직 풀지 못한 고민까지 나눠주신 모든 분께 감사드립니다.