화재, 홍수, 지진, 허리케인 등 자연재해가 점점 더 빈번하게 발생하고 있다. 이는 사이버 보안에 위협이 될 수 있으며, 기업의 레이더망이 놓치기도 쉽다. 최악의 상황에 대비할 수 있는 몇 가지 방법을 소개한다.
자연재해가 점점 더 많은 지역에서, 한때는 안전하다고 여겨졌던 곳에서까지 빈번히 일어나고 있다. 미국 국립해양대기청에 따르면 2023년 10월까지 기후 관련 재해가 미국에서만 250억 달러 피해를 입혔으며, 이는 역대 최고 수준(첫 10개월간 피해액)이었다.
자연재해는 모든 사람이 우려하는 일이지만, 최근 급증한 랜섬웨어, 국가 단위 공격, 점점 더 복잡해지는 규정 준수로 인해 사이버 보안 담당자의 업무량도 크게 늘었다. 이 때문에 보안 담당자는 자연재해 문제를 우선순위에 두지 않을 가능성이 높다.
하지만 자연재해는 보안을 위협할 수 있으며, 앞으로도 그럴 것이다. 지진, 허리케인, 홍수, 산불은 데이터 보안 운영 센터 등 시설을 손상 및 파괴하고 전력을 차단한다. 폭염 피해, 예기치 않은 비, 눈 등으로 인한 침수 등은 근로자를 이동시키고, 문제를 해결할 기술과 도구를 가진 사람들 사이의 중요한 연결고리를 끊을 수도 있다.
이 모든 시나리오가 보안을 위협할 수 있다. 물리적 운영과 액세스 관리에 혼란을 야기할 뿐만 아니라 악의적 공격자에게 혼란을 악용할 기회를 줄 수도 있다.
CSO와 CISO에게 있어 이러한 경향은 심각한 질문으로 이어진다. 어떻게 하면 자연재해 발생 시나 발생 이후 사이버 보안 상태를 유지하면서 데이터와 운영에 액세스할 수 있을까? 데이터 보안을 담당하는 IT 전문가들의 의견을 모았다.
재해가 발생하기 전 비상 사이버 보안 계획 준비
자연재해 발생 시와 발생 후 데이터 사이버 보안을 보장하는 최선의 방법은 미리 계획하고 대비하는 것이다. 아마존 EBS(Elastic Block Storage) 및 AWS 데이터 보호 총괄 매니저 겸 부사장 라즈 세스는 “재해 계획과 관련해 CSO와 CISO는 선제적으로 생각하고 규정 준수와 보안을 우선시하는 포괄적인 백업 전략을 수립해야 한다”라고 말했다.
대다수의 재해 복구 계획에는 지리적 이중화(geographic redundancy, 둘 이상의 물리적 사이트에 운영을 분산하는 것)가 포함된다. 세스는 고급 데이터 복원 기술을 통합하면 더 많은 보호 및 데이터 복구 옵션을 확보할 수 있다고 언급했다. 그는 “백업은 애플리케이션 데이터를 복구해야 할 때 최후의 방어선이 될 수 있다. 훌륭한 데이터 백업 계획은 저렴한 스토리지, 최소한의 컴퓨팅, 특정 시점 복구를 통해 빠르고 안정적으로 애플리케이션을 복구하고 데이터 손실을 최소화한다”라고 설명했다.
IT 부서가 실제로 자연재해에 대비하는 방식에 관해 마이크로소프트 디펜더 전문가(Microsoft Defender Experts) 수석 총괄 관리자 저스틴 터너는 “한 페이지짜리 문서에서부터 여러 단계로 문서화된 실행 계획에 이르기까지 수많은 계획을 봐 왔다. 경험상 최고의 계획은 가장 가능성이 높은 시나리오에서 시작해 가장 극단적인 시나리오를 구축하는 데 이르는 것이었다”라고 말했다.
한 페이지짜리 계획이라도 전혀 없는 것보다는 낫다. 베리타스(Veritas)의 CISO인 크리스토스 툴룸바는 “많은 조직에서 발견되는 한 가지 공통점은, 시작할 준비가 돼 있지 않다는 것이다. 미리 준비하지 않고 적절한 모범 사례를 따르지 않으면 결국 발목을 잡히고 문제를 야기할 수 있다”라고 말했다.
자연재해 발생 시 데이터를 보호할 계획을 세우는 것만으로는 충분하지 않다. IBM의 클라우드 보안 CTO 나타라즈 나가라트남은 무단 액세스로부터 데이터를 보호하는 방법과 정상 운영이 중단됐을 때 해당 액세스를 관리할 주체를 설정해야 한다고 조언했다.
그는 “데이터를 효과적으로 보호하는 능력은 데이터 안전의 핵심 요소다. 가령 데이터가 암호화돼 있는가? 만약 그렇다면 데이터 암호화에 사용되는 키를 누가 제어할 수 있는가? 이러한 문제는 미리 해결해야 한다”라고 말했다.
자연재해에 대한 최고의 사이버 보안 계획은 협업
자연재해 데이터 사이버 보안 계획이 필요할 때 제대로 작동하도록 하려면 기업은 최종 사용자, 벤더, IT 보안 전문가와의 협업을 통해 개발해야 한다. 업계 모범 사례와 이전 자연재해에서 얻은 교훈을 바탕으로 해야 한다.
툴룸바는 “적절한 사이버 보안 프로그램을 구축하는 데는 몇 가지 주춧돌이 있다. 백업 외에도 엔드포인트 보호, 메일 게이트웨이 및 기타 핵심적인 기본 요소들이 있다. 하지만 자주 간과되는 것은 데이터 백업과 회복 탄력성이다. 많은 기업이 백업 복사본이 얼마나 정확하고 회복 탄력성이 있는지 모르면서도 ‘네, 백업을 하고 있고, 백업을 보유하고 있습니다’라고 한다”라고 말했다.
부담이 되는가? 심호흡을 하고 긴장을 풀어도 된다. 터너에 따르면 조직이 계획을 수립하는 데 도움이 되는 리소스는 시중에 많이 있다. 대표적으로 NIST(미국 국립표준기술연구소), ISO 22301 비즈니스 연속성 관리 시스템(BCMS) 등이 프레임워크와 지침을 제공하고 있다.
세스는 “단순하게 하라고 조언하고 싶다. 백업이 필요한 비즈니스 크리티컬 데이터를 식별하는 것부터 시작하라. 그런 다음, 보호 대상 데이터에 대한 액세스를 보호하고 백업된 데이터가 변경되지 않도록 한다. 마지막으로 데이터 보호 태세에 대한 모니터링, 감사, 보고 기능을 활성화한다”라고 설명했다.
백업 스토리지와 전문성을 위한 여러 장소 구축
오프사이트 클라우드 기반 스토리지는 자연재해 상황에서 데이터 사이버 보안과 액세스를 보장하는 데 탁월하다. 기본 데이터 저장소의 서비스가 중단되더라도 해당 데이터가 재해의 영향을 받지 않는 장소에 백업돼 있다면 사이버 보안을 손상시키지 않으면서도 사용자에게 데이터 서비스를 비교적 쉽게 복원해 줄 수 있다.
하지만 더 광범위하게 발생하는 자연재해가 문제일 수 있다. 이로 인해 백업 사이트까지 가동 중단되는 경우도 있다. 터너는 여러 장소에 백업 사이트(온프레미스, 클라우드 또는 둘 다)를 구축할 것을 권장한다. 그는 “모든 계획에 지리적 다양성을 적극 권장한다. 여기에는 시스템뿐만 아니라 여분의 인력에 대한 역량도 필요하다”라고 말했다.
터너는 “미국 남동부에서 기상 이변으로 데이터센터와 위성 텔레포트가 오프라인 상태가 돼 피해를 입은 기업이 다른 ‘핫 백업’ 사이트로 서비스를 이전해야 했던 적이 있다. 그중 한 사례는 직원들에게 가족과 함께 대피할 시간을 주기 위한 예방책으로 조직의 보안 운영 센터(SOC)를 폐쇄했다. 운영은 지역 외부의 대체 장소로 이관됐으며, 고객에게는 측정 가능한 영향이 거의 없거나 전혀 없었다”라고 설명했다.
직원 연락처 정보와 재택 근무 리소스를 최신 상태로 유지
코로나19 팬데믹 기간의 봉쇄 조치는 직원들에게 재택 근무에 필요한 모든 권한을 부여하는 것이 얼마나 유용한지 보여줬다. 하지만 위험도 뒤따랐다. 회사 데이터베이스에 대한 액세스 권한을 가지면서도 일반적으로 보안이 취약한 가정용 컴퓨터에 의존해야 했기 때문이다.
자연재해로 인해 회사 사무실의 운영이 중단된 경우에도 마찬가지다. 원활하고 안전한 재택 근무로 전환하기 위해 IT 부서는 직원 연락처 데이터베이스와 원격 액세스 사이버 보안 절차를 최신 상태로 유지해야 한다.
보안 담당자는 가능한 한 직원들이 지속적으로 가정용 컴퓨터의 보안을 강화해 컴퓨터에서 발생하는 사이버 보안 위협을 줄일 수 있도록 지원해야 한다. 또한 핵심 직원이 인터넷에 접속할 수 없게 될 경우 어떻게 지원할지 결정해야 한다.
터너는 “기업은 직원들과 어떻게 소통할 것인지, 직원이 개인적으로 영향을 받은 경우 어떻게 지원할 것인지, 일부 또는 전체 직원이 온라인 상태에서도 비즈니스를 계속 수행할 수 있는지에 대해 고민해야 한다”라고 언급했다.
리허설, 업데이트, 다시 리허설
아무리 훌륭한 자연재해 사이버 보안 계획이라도 직원들이 긴급한 상황에서 이를 실행하는 방법을 모르거나 계획이 오래됐다면 소용이 없다.
계획을 업데이트하고 리허설하지 않으면 잘 준비된 듯 보이는 기업도 실제 자연재해가 발생했을 때 어려움을 겪을 수 있다. 툴룸바는 “사람들은 보통 ‘그래, 어딘가에 데이터를 백업해 뒀지’라고 생각하지만 복구 계획을 직접 테스트하지는 않는다. 백업이 제대로 작동하는지 검증하지 않다가 정작 중요한 시기에 자연재해가 발생하면 모든 것이 무너질 수 있다”라고 지적했다.
그렇기 때문에 “이러한 모든 기능을 통제된 실험과 실제 상황 시뮬레이션을 통해 정기적으로 테스트해야 한다. 이렇게 하면 실제 비상 상황에서 무엇을 기대할 수 있는지 알 수 있다”라고 세스는 설명했다.
터너는 경험자로서 “대응 계획을 처음 시도하는 것이 보통 가장 어려웠다. 일해 본 모든 기업에서 그랬다”라고 조언했다. 그는 “좋은 점이라면 무엇이 효과가 있고 무엇이 아닌지 빠르게 파악하고 조정할 수 있다는 것이다. 일해 본 모든 곳에서 이를 통해 눈에 잘 띄지 않지만 조직에 영향을 미칠 수 있는 부분들을 알아낼 수 있었다”라고 전했다.
터너는 “또한 ‘오픈 북’과 ‘클로즈드 북’ 시험을 모두 실시하는 것이 중요하다는 사실도 배웠다. 오픈 북 시험은 사람들이 실행 방법을 배우고 연습할 수 있게 해주며 클로즈드 북 시험은 실제 상황에서 사람들이 어떻게 행동하는지에 대한 인사이트를 제공한다. 사람의 행동은 각각 다르기 때문에 2가지를 모두 고려해야 한다”라고 덧붙였다. dl-ciokorea@foundryco.com
