예산이 적은 기업을 위한 8가지 사이버 보안 관행

인터넷은 중소기업에게 양날의 검과 같습니다. 한편으로는 소규모 사업체가 사업 범위를 넓히고, 고객 기반을 확대하며, 이익을 크게 증진시킬 수 있는 다양한 기회를 제공합니다. 하지만 다른 한편으로는 사이버 공격이라는 심각한 보안 위협을 초래하기도 합니다.

온라인 사업을 하는 기업들은 데이터 유출, 무차별 대입 공격, 악성코드 공격, 피싱, 서비스 거부 공격, 사회 공학, 랜섬웨어 공격 등 다양한 사이버 위협에 노출되어 있습니다.

체크포인트 리서치(CPR)에 따르면 2022년 전 세계 사이버 공격은 2021년에 비해 38%나 증가했으며, 인공지능(AI) 기술이 발전함에 따라 사이버 공격도 더욱 늘어날 가능성이 높습니다.

IBM의 데이터 침해 보고서에 따르면, 2023년 데이터 유출로 인한 전 세계 평균 비용은 445만 달러에 달하며, 이는 지난 3년간 15% 증가한 수치입니다. 또한 버라이즌은 모든 데이터 유출의 43%가 중소기업과 관련되어 있다고 밝혔습니다.

사이버 공격은 갈수록 증가하고 있으며, 이러한 공격으로 인한 피해 비용 또한 점점 늘어나고 있습니다. 실제로 사이버 공격으로 인한 재정적 타격은 소규모 기업이 감당하기 어려울 정도로 막대할 수 있습니다.

중소기업은 사이버 공격에 대한 적절한 투자 여력과 전문 지식이 부족하여 사이버 공격의 주요 표적이 되기 쉽습니다. 따라서 사이버 공격자들은 중소기업을 손쉬운 목표로 인식합니다.

중소기업에 대한 사이버 공격의 심각한 영향을 보여주는 예로, 국립 사이버보안 연구소는 사이버 공격 피해를 입은 중소기업의 60%가 결국 폐업한다는 연구 결과를 발표했습니다.

이러한 통계는 중소기업의 현실이 매우 암울하다는 것을 보여줍니다. 그렇다고 해서 소규모 기업이 인터넷 사용을 포기해야 할까요? 물론 아닙니다. 소규모 기업이 사이버 공격 피해를 예방하기 위해 도입할 수 있는 효과적인 사이버 보안 전략이 있습니다. 하지만 그 전에 사이버 보안 예산이 제한된 소규모 기업이 직면하는 몇 가지 어려움을 먼저 살펴보겠습니다.

사이버 보안 예산 부족으로 인해 중소기업이 겪는 어려움

사이버 보안에 많은 예산을 투자할 수 없는 소규모 기업은 다음과 같은 여러 어려움에 직면합니다.

사내 사이버 보안팀의 부재

대부분의 소규모 기업에는 정보 보안 분석가, 시스템 설계자, 사고 분석 전문가, 침투 테스터 등 사내 사이버 보안 전문가가 부족합니다. 사내 사이버 보안팀을 운영하는 것은 비용이 많이 들기 때문에 소규모 기업에게는 비효율적인 투자일 수 있습니다.

이는 곧 소규모 기업이 보안 시스템을 구축하고 실행하는 데 필요한 사내 사이버 보안 전문 지식을 얻기 어렵다는 것을 의미합니다. 또한, 기존 시스템의 취약점을 파악하고 공격이 발생했을 때 이를 막거나 방어할 전문가가 없을 가능성이 높습니다.

사이버 공격에 대한 수동적인 대응

효과적인 사이버 보안 전략은 악의적인 공격자가 침입하기 전에 취약점과 잠재적인 공격을 파악하는 사전 예방적인 접근 방식을 포함합니다. 이를 위해서는 연구와 위협 분석에 많은 투자가 필요합니다.

하지만 소규모 기업은 이러한 기능을 갖추기 어려워 사이버 보안에 대해 사후 대응적인 태도를 취하는 경우가 많습니다. 즉, 소규모 기업은 사이버 공격을 예측하거나 예방하는 것이 아니라 공격이 발생한 후에야 대응합니다.

복잡한 위협 환경

사이버 공격은 끊임없이 진화하고 있습니다. 예를 들어 서비스형 랜섬웨어(Ransomware-as-a-Service)는 불과 몇 년 전만 해도 존재하지 않았습니다. 이제는 랜섬웨어를 직접 만들 수 있는 기술이 없더라도 랜섬웨어를 빌려 배포할 수 있습니다. 이러한 위협 환경의 끊임없는 변화는 소규모 기업이 따라가기 어려울 수 있습니다.

제3자 위험

소규모 기업은 자체적으로 소프트웨어를 개발하기 어렵기 때문에 타사 애플리케이션에 의존해야 하는 경우가 많습니다. 이러한 방식은 비용 효율적일 수 있지만, 기업에 잠재적인 보안 위험을 초래할 수도 있습니다. 때때로 타사 소프트웨어에는 해당 소프트웨어를 사용하는 기업에 피해를 줄 수 있는 취약점이 존재하기도 합니다.

사회 공학

사회 공학은 악의적인 공격자가 사람들을 속여 기밀 정보를 유출하거나 보안을 위협하는 행동을 하도록 조종하는 공격 기법입니다. 소규모 기업은 직원들의 사이버 보안 교육이 부족하거나 미흡하여 사회 공학 공격에 쉽게 노출될 수 있습니다.

소규모 기업은 교육 수준이 낮고, 보안 조치가 미흡하며, 소수의 직원으로 운영되어 신뢰가 쉽게 형성될 수 있다는 점 때문에 사회 공학 공격에 취약합니다.

실제로 바라쿠다의 조사에 따르면, 직원 수가 100명 미만인 중소기업의 직원은 대기업 직원보다 사회 공학 공격을 평균적으로 350% 더 많이 경험하는 것으로 나타났습니다.

소규모 기업이 보안을 강화하고 잠재적인 공격을 예방하기 위해 도입할 수 있는 모범 사례는 다음과 같습니다.

직원 교육 및 훈련

세계경제포럼은 사이버 보안 문제의 95%가 인적 오류로 인해 발생한다고 보고했습니다. 직원은 사이버 공격에 대한 최전방 방어선이 될 수 있지만, 적절한 교육을 받지 못하면 오히려 가장 취약한 연결 고리가 될 수 있습니다.

직원의 부주의한 비밀번호 관리나 민감한 정보 공유와 같은 실수는 기업을 사이버 공격에 노출시킬 수 있습니다.

따라서 소규모 기업은 직원을 위한 사이버 보안 교육에 지속적으로 투자해야 합니다. 직원들에게 다양한 유형의 사이버 공격과 그 공격 방식에 대해 교육하고, 피싱 사기, 사회 공학 등의 공격을 식별하는 방법과 온라인에서 데이터를 안전하게 수집하고 사용하는 방법을 알려주어야 합니다.

또한 직원들에게 의심스러운 이메일과 웹사이트를 감지하는 방법과 장치가 악성 소프트웨어에 감염되었는지 확인하는 방법을 교육해야 합니다. 기본적인 비밀번호 모범 사례, 다단계 인증 사용, 민감한 데이터 처리 방법, 온라인에서 자신을 보호하는 방법을 교육하는 것도 중요합니다.

또한 공격이 임박했거나 발생했다고 의심되는 경우 어떻게 해야 하는지 교육해야 합니다. 이러한 교육을 통해 기업의 보안 수준을 크게 향상시킬 수 있습니다.

보안 정책 및 절차 수립

보안 정책과 절차는 사이버 보안에 관심 있는 모든 기업에 필수적입니다. 이러한 정책과 절차는 사이버 보안 조치가 명확하게 정의되고 표준화되어 회사 전체에 적용되도록 보장합니다. 이는 조직의 잠재적인 취약점을 최소화하는 데 도움이 됩니다.

또한 보안 정책과 절차는 직원들에게 사이버 보안 모범 사례와 민감한 정보를 보호하고 공격을 예방하기 위해 무엇을 해야 하는지에 대한 지침을 제공합니다.

더불어 사이버 보안과 관련하여 각 직원에게 기대되는 사항을 명확히 제시함으로써 직원 간에 책임감을 높이고 보안 의식을 확립하는 데 도움이 됩니다.

바이러스 백신 및 방화벽 설치

바이러스 백신 및 방화벽 설치는 기업의 시스템과 네트워크를 보호하는 데 중요한 단계입니다. 바이러스 백신 소프트웨어는 랜섬웨어, 트로이 목마, 웜, 스파이웨어, 키로거와 같은 악성 소프트웨어를 감지하고 제거하는 데 사용됩니다.

바이러스 백신은 악성 소프트웨어가 네트워크 및 시스템에서 실행되기 전에 감지하고 제거하기 위해 검사를 예약할 수 있도록 하여 사이버 보안 전략을 보다 적극적으로 수행하는 데 도움이 됩니다.

한편, 방화벽은 네트워크를 통해 들어오고 나가는 트래픽을 모니터링하고 기업 내부 네트워크에 접근하는 트래픽을 제어하므로 매우 중요합니다. 즉, 방화벽은 기업 네트워크에 접근하는 악성 트래픽을 효과적으로 차단하여 잠재적인 공격을 예방할 수 있습니다.

평판이 좋은 공급업체로부터 소프트웨어 구매

기업에서 사용하는 소프트웨어에는 공격자가 악용할 수 있는 취약점이나 백도어가 있을 수 있습니다. 이는 비용을 줄이기 위해 신뢰할 수 없는 공급업체로부터 소프트웨어를 구매할 때 흔히 발생하는 문제입니다. 기업의 보안을 강화하려면 시장에서 오랫동안 신뢰를 쌓아온 평판이 좋은 공급업체로부터만 소프트웨어를 구매하는 것이 중요합니다.

평판이 좋은 공급업체는 일반적으로 소프트웨어를 철저하게 테스트하여 취약점을 확인하고, 소프트웨어 개선을 위해 정기적으로 업데이트와 패치를 출시합니다. 이러한 노력은 장기적으로 기업에 도움이 될 것입니다.

또한, 기업 시스템에 접근할 수 있는 제3자 파트너 회사가 안전한 소프트웨어를 사용하고 강력한 보안 정책을 갖추고 있는지 확인하여 제3자 취약점을 통한 공격을 예방해야 합니다.

장치 및 소프트웨어 정기 업데이트

이는 매우 당연해 보일 수 있지만, 실제로는 그렇지 않습니다. 최근에 카스퍼스키는 사람들이 소프트웨어 업데이트를 처리하는 방법에 대한 연구를 의뢰했습니다. 그 결과, 조사 대상 조직의 거의 절반이 어떤 형태로든 구형 소프트웨어를 사용하고 있다는 사실이 밝혀졌습니다. 또한, 설문 조사에 참여한 직원 중 48%는 새로운 버전이나 업데이트된 장비 사용을 거부하는 동료와 함께 일한 경험이 있다고 답했습니다.

많은 사람들이 장치를 정기적으로 업데이트하지 않습니다. 공격자들은 이러한 점을 인지하고 악용합니다. 예를 들어, 2017년 5월에 큰 피해를 입힌 워너크라이 웜은 그해 3월에 Microsoft가 출시한 보안 업데이트를 설치하지 않은 컴퓨터에 영향을 미쳤습니다.

소프트웨어 회사는 정기적으로 소프트웨어의 취약점을 테스트하고 업데이트를 출시하여 소프트웨어를 개선하고 발견된 취약점을 해결합니다. 따라서 소규모 기업은 업데이트가 제공되는 즉시 모든 장치와 소프트웨어를 업데이트해야 합니다.

또한 악의적인 공격의 피해자가 되지 않도록 모든 패치를 출시 즉시 설치해야 합니다.

사이버 보안 자동화 및 AI 활용

IBM은 2023년 데이터 유출 비용 보고서에서 보안 AI와 자동화를 적극적으로 활용하는 조직은 그렇지 않은 조직에 비해 평균 176만 달러의 비용을 절감하는 것으로 나타났습니다. 따라서 소규모 기업은 사이버 보안 전략에 AI(인공지능)와 자동화를 활용하여 많은 비용을 절감할 수 있습니다.

위협 조사, 엔드포인트 보호, 권한 관리, 위협 추적, 사고 대응 등 사이버 보안 작업을 자동화할 수 있는 AI 및 소프트웨어 솔루션이 다양하게 출시되어 있습니다.

이러한 도구를 사용하면 인력 개입 없이 기업의 사이버 보안을 관리할 수 있습니다. 소프트웨어 도구의 높은 정확성은 소규모 기업의 보안을 크게 향상시킬 수 있습니다. 또한 사내 사이버 보안 전문가를 많이 확보할 필요가 없으므로 비용 절감에도 도움이 될 수 있습니다.

중요 데이터 백업

효과적인 사이버 보안 전략에는 공격이 발생했을 때 취할 수 있는 조치가 포함되어야 합니다. 사업에 타격을 줄 수 있는 중요한 정보 손실을 막는 좋은 방법은 중요한 정보를 암호화하고 정기적으로 백업하는 것입니다. 가능하면 별도의 안전한 위치에 보관하는 것이 좋습니다.

이렇게 하면 공격이 발생하더라도 암호화로 인해 사용자 자격 증명과 같은 중요한 정보에 접근할 수 없습니다. 또한, 랜섬웨어가 배포되어 기업이 데이터에 더 이상 접근할 수 없는 경우 백업을 사용하여 데이터를 복구할 수 있습니다.

별도의 업무용 장비 제공

많은 소규모 기업이 원격 근무를 장려하는 재택근무 모델을 채택했습니다. 이러한 모델은 기업 운영 비용을 최소화하는 데 도움이 되지만, 동시에 보안 위험도 증가시킵니다.

Alliance Virtual Offices의 연구에 따르면 재택근무로 인해 사이버 공격 빈도가 238% 증가하는 것으로 나타났습니다. 원격 근무자는 회사 시스템에 접근할 수 있으므로 집에서 일한다는 것은 여러 사람이 해당 장치에 접근할 수 있다는 것을 의미할 수 있습니다. 이는 결국 비밀번호가 공유되거나 업무 자격 증명이 유출될 가능성을 높입니다.

이러한 위험을 방지하려면 직원들에게 별도의 업무용 장비를 제공해야 합니다. 이러한 장비에는 보안 위험을 방지하기 위해 바이러스 백신, 방화벽 및 VPN이 설치되어 있어야 합니다.

또한 직원들에게 소셜 미디어 사이트 접속, 도박, 게임, 개인 파일 다운로드 등 업무와 관련 없는 활동을 위해 업무용 장비를 사용하지 않도록 지시해야 합니다. 또한, 이러한 장치를 구성하여 위험한 사이트에 대한 액세스를 차단해야 합니다.

결론

사이버 보안은 기업의 규모와 관계없이 모든 조직에 매우 중요합니다. 예산이 부족하다고 해서 소규모 기업이 온라인 보안에 대한 주의를 소홀히 해도 된다는 뜻은 아닙니다.

중소기업도 중요한 정보를 다루기 때문에 데이터 보안과 고객 보호를 위한 조치를 취하는 것이 중요합니다. 만약 소규모 기업이고 시스템 보안 방법에 대해 잘 모르는 경우 이 기사에서 공유한 모범 사례를 도입해 보시기 바랍니다.

또한 조직을 보호하기 위해 AI 기반 사이버 보안 플랫폼을 활용하는 것도 고려해 볼 수 있습니다.