ISO 27001 인증 준비 8일차.

8일차에는 조금 색다른 일을 했다.

이날은 말이나 문서가 아니라 실제 시스템을 대상으로 모의해킹과 취약점 점검을 해보는 날이었다.

그동안 컨설팅을 받으면서 계속 들었던 이야기가 있었다.

“보안 수준을 확인해야 한다.”

“취약점이 있는지 점검해야 한다.”

“모의해킹도 필요하다.”

머리로는 모두 알고 있었다.

그런데 직접 툴을 돌려서 결과를 보기 시작하니 느낌이 완전히 달랐다.

실제 홈페이지를 대상으로 점검해봤다

먼저 홈페이지와 외부에서 접근할 수 있도록 공개되어 있는 서비스 페이지들을 대상으로 앱스캔(AppScan)을 이용해 점검을 진행했다.

외부에서 접근할 수 있는 서비스가 실제로 어떤 취약점을 가지고 있는지 확인해보는 과정이었다.

평소에도 홈페이지를 운영하고 있고 나름 보안에도 신경을 쓰고 있다고 생각했다.

그런데 점검 결과를 하나씩 확인하면서 생각이 조금씩 달라졌다.

“이 정도는 괜찮겠지.”

라고 생각했던 것들이 실제 점검 결과에서는 확인이 필요한 항목으로 나타나기도 했다.

물론 자동화된 취약점 점검 결과가 곧바로 모든 취약점의 존재를 의미하는 것은 아니다.

결과를 다시 검토하고 실제 환경에서 문제가 되는지 확인해야 한다.

하지만 적어도 한 가지는 확실했다.

우리가 알고 있던 보안 상태와 실제로 점검해서 확인한 보안 상태 사이에는 차이가 있을 수 있다는 것.

내부 자산은 더 복잡했다

외부 공개 서비스만 확인하고 끝난 것도 아니었다.

회사 내부에는 서버가 있고,

네트워크 장비가 있고,

NAS도 있고,

각종 정보자산이 존재한다.

이런 내부 정보자산 역시 점검이 필요했다.

그런데 여기에서는 또 다른 문제가 있었다.

모든 시스템에 동일한 방식으로 자동화된 점검을 적용하기가 어려웠다.

특히 운영과 직접 연결된 시스템은 잘못된 테스트나 스캔 자체가 서비스에 영향을 줄 수도 있다.

그래서 내부 정보자산 중 일부는 스크립트 기반의 점검도구를 활용하고, 운영에 직접적으로 영향을 줄 수 있는 영역이나 자동화 점검이 어려운 영역은 체크리스트 방식으로 확인하기로 했다.

이렇게 하면 안전하게 점검할 수 있다는 장점이 있지만,

반대로 사람이 하나씩 확인해야 하는 부분이 상당히 많아진다.

그리고 여기에서 생각하지도 못했던 일이 생겼다.

체크리스트를 작성하는데 계속 문제가 나왔다

처음에는 체크리스트를 만드는 것도 크게 어렵지 않을 것 같았다.

“이것만 확인하면 되겠지.”

라고 생각했다.

그런데 하나씩 항목을 적어나가고 실제 상태를 확인하다 보니 이야기가 달라졌다.

생각했던 것보다 결함이 너무 많았다.

어떤 부분은 설정이 미흡했고,

어떤 부분은 관리가 제대로 되지 않고 있었고,

어떤 부분은 아예 확인해야 할 절차 자체가 없었다.

하나를 발견하면 그다음 문제가 보였다.

그리고 그 문제를 따라가면 또 다른 문제가 연결되어 있었다.

처음에는 몇 가지 수정사항 정도가 나올 것으로 생각했는데, 점점 수정해야 할 항목이 늘어났다.

결국 체크리스트는 단순히 “점검했다”는 기록이 아니라

“현재 우리 회사에 어떤 문제가 있는지를 한눈에 보여주는 목록”

이 되어가고 있었다.

나는 나름 보안을 잘하고 있다고 생각했다

이날 조금 씁쓸했던 이유는 따로 있었다.

나름대로 보안에 신경 쓰고 있다고 생각했기 때문이다.

평소에도 시스템을 관리하고,

문제가 생기지 않도록 확인하고,

필요한 보안조치를 적용하려고 노력했다.

그런데 전체를 하나의 기준으로 놓고 확인해보니 빈틈이 생각보다 많았다.

이것이 꼭 담당자가 일을 못해서 생긴 문제라고 생각하지는 않는다.

오히려 사람의 노력만으로 관리하기에는 시스템이 너무 크고 복잡하다는 것에 가까웠다.

한 사람이 모든 서버를 기억할 수 없고,

모든 네트워크 정책을 기억할 수도 없고,

모든 계정과 변경사항을 직접 확인할 수도 없다.

결국 보안은 개인의 주의력만으로 유지할 수 있는 영역이 아니었다.

결국 시스템의 문제였다

8일차에 가장 크게 느낀 것은 이것이었다.

보안은 결국 시스템의 문제이기도 하다.

사람이 꼼꼼하게 관리한다고 해도 관리해야 할 대상이 너무 많으면 어느 순간 놓치는 것이 생긴다.

그래서 자동화가 필요하고,

정기점검이 필요하고,

체크리스트가 필요하고,

변경관리 프로세스가 필요하고,

무엇보다 담당할 사람이 필요하다.

결국 처음에 가볍게 생각했던 문제가 다시 인적 자원과 물적 자원의 문제로 돌아왔다.

보안을 제대로 하려면 솔루션만 사면 되는 것도 아니고,

사람만 투입한다고 되는 것도 아니었다.

사람 + 시스템 + 프로세스

이 세 가지가 함께 있어야 했다.

그리고 회사 규모가 커지고 관리해야 할 시스템이 많아질수록 이 필요성은 더 커질 것 같았다.

점검을 할수록 ‘보안 인력’의 필요성을 느꼈다

이날은 특히 보안 업무를 전담하거나 충분한 시간을 확보할 수 있는 인력의 필요성을 강하게 느꼈다.

취약점을 찾는 것은 시작일 뿐이다.

발견한 문제를 분석해야 하고,

실제 위험인지 판단해야 하고,

누가 수정할지 정해야 하고,

수정한 뒤 다시 확인해야 한다.

그러다 보니 하루 이틀 점검한다고 끝나는 작업이 아니었다.

오히려 점검 결과를 어떻게 관리하고 개선하는가가 더 중요한 것처럼 느껴졌다.

결국 보안은 일회성 프로젝트가 아니라 계속 돌아가는 업무였다.

그리고 이것이 ISO 27001이 이야기하는 “지속적인 관리와 개선”과도 연결되는 것 같았다.

그런데 또 하나의 고민이 생겼다

점검 결과가 쌓이면서 다른 생각도 하나 들었다.

이날 얻어진 자료는 컨설팅 회사로 전달됐다.

홈페이지와 외부 서비스의 점검 결과,

내부 정보자산에 대한 점검 결과,

체크리스트,

취약점과 개선이 필요한 내용 등.

당연히 컨설팅을 진행하기 위해서는 필요한 자료다.

컨설팅사가 현재 우리 회사의 상태를 알아야 문제점을 파악하고 개선방향을 제시할 수 있기 때문이다.

그런데 자료를 정리해서 전달하고 나니 문득 이런 생각이 들었다.

“이런 민감한 정보들이 외부 회사로 전달되고 있는데, 이 정보들은 결국 어떻게 관리되는 걸까?”

보안 상태를 점검한 자료라면 회사의 취약점이 고스란히 들어 있을 수 있다.

어떤 시스템이 운영되는지,

어떤 서비스가 외부에 공개되어 있는지,

어떤 부분이 취약한지,

어떤 문제가 발견됐는지.

이런 정보 자체가 또 다른 중요한 정보라는 생각이 들었다.

결국 아이러니했다.

보안을 강화하기 위해 보안정보를 외부에 전달해야 한다.

그렇다면 그 정보를 전달받은 곳에서도 당연히 충분한 보안관리가 필요하지 않을까?

보안을 점검하는 자료 자체도 중요한 정보였다

이 생각을 하면서 앞에서 배웠던 것들이 다시 떠올랐다.

외부 업체가 우리 시스템에 접근한다면 어떤 권한을 가지고 있는지 관리해야 하고,

정보보안서약서도 받아야 하고,

필요한 정보만 제공해야 하고,

접근이나 작업에 대한 기록도 남겨야 한다.

결국 컨설팅 회사라고 해서 예외가 될 수는 없었다.

오히려 우리 회사의 보안상태를 자세히 알고 있는 외부 업체라면 더 신중하게 관리해야 할 수도 있겠다는 생각이 들었다.

물론 이번 컨설팅을 진행하면서 실제 보안정보가 어떻게 관리되는지는 별도로 확인해야 할 문제다.

하지만 최소한 이번 일을 통해 하나는 확실히 알게 됐다.

정보보호를 위해 만들어진 자료라고 해서 그 자료 자체가 중요하지 않은 것은 아니다.

오히려 그 안에 회사의 취약점과 중요한 운영정보가 담겨 있다면 그 자체가 보호해야 할 정보자산이 된다.

8일차를 마치며

8일차는 조금 복잡한 날이었다.

한편으로는 실제 모의해킹과 점검을 통해 회사의 보안 상태를 객관적으로 바라볼 수 있었다.

하지만 다른 한편으로는 생각보다 많은 문제를 발견하면서 막막해졌다.

“이것도 고쳐야 하고, 저것도 고쳐야 하는데 언제 다 하지?”

라는 생각이 들었다.

그런데 한 가지는 분명해졌다.

문제가 없는 회사를 만드는 것보다, 문제를 발견하고 관리하고 개선할 수 있는 회사를 만드는 것이 더 현실적인 목표일 수 있겠다.

취약점이 발견됐다고 해서 실패한 것이 아니라,

그 취약점을 알고 있고,

위험을 평가하고,

개선 계획을 세우고,

조치하고,

다시 확인할 수 있다면

그것 역시 하나의 관리체계가 될 수 있기 때문이다.

그리고 마지막으로 하나 더 배웠다.

보안을 점검하는 과정에서 만들어지는 자료 역시 중요하게 관리해야 한다는 것.

우리 회사의 취약점이 담긴 자료가 외부로 전달되는 순간,

그 자료 역시 새로운 정보자산이 된다.

그래서 8일차에는 두 가지를 동시에 느꼈다.

“우리 회사에 문제가 생각보다 많다.”

그리고,

“그 문제를 찾는 것만큼 그 문제를 관리하는 체계도 중요하다.”

ISO 27001을 준비하면서 처음에는 인증을 받기 위해 보안을 점검한다고 생각했다.

그런데 이제는 조금 다르게 보인다.

인증을 준비하면서 우리 회사가 실제로 무엇을 보호해야 하는지 하나씩 발견하고 있는 것 같다.