NIS2 초기 집행이 감사 추적에 대해 알려 주는 것

대부분의 컴플라이언스 요건은 체크박스를 채우는 일에서 시작됩니다. 누군가 로깅이 켜져 있는지 확인하고 항목에 체크한 뒤, 팀은 다음 업무로 넘어갑니다. 그러나 NIS2가 이를 바꾸고 있습니다. 규제 당국은 이제 통제의 증거를 요구합니다. 무슨 일이 있었는지 재구성할 수 있는지, 그리고 누구라도 해당 기록을 신뢰할 수 있는지 묻습니다. 누가 언제 무엇을 했는지 보여 줄 수 없다면 그 통제는 없는 것이나 마찬가지이기 때문입니다.

규제 당국은 증거를 원합니다

과징금 규모는 파악하기 어렵습니다. 온라인에 떠도는 수치는 출처마다 다르며, EU는 아직 과징금에 대한 중앙 등록부를 만들지 않았습니다. 그래도 최근의 집행 양상은 더 많은 것을 알려 줍니다.

독일 BSI는 수십 건의 공식 통지를 발송했습니다. 프랑스 ANSSI는 에너지와 운송 분야의 문제를 시정하라는 명령을 내렸으며, 처벌보다 개선을 선호했습니다. 네덜란드에서는 필수 디지털 인프라 기업을 검토한 결과, 3분의 1 이상이 인시던트 보고 절차가 미흡했고 절반 넘는 기업이 경영진이 승인한 보안 정책을 갖추고 있지 않았습니다.

이 모든 지적은 결국 증거 부재로 귀결됩니다.

실제 요건은 어디에 있는가

대부분의 보도는 10가지 포괄적 보안 조치를 나열한 NIS2의 제21조에서 멈춥니다. 하지만 이 조항은 의도적으로 일반적으로 쓰였습니다. 필요한 세부 내용은 2024년 11월부터 시행 중인 집행위원회 시행 규정(EU) 2024/2690에 있습니다. 이 규정은 10가지 조치를 150개 이상의 구체적 통제로 세분화합니다. 감사 추적의 기반이 되는 통제인 로깅과 모니터링은 부속서 3.2절에서 다룹니다.

이 규정은 클라우드 및 데이터 센터 제공업체, DNS 제공업체, 관리형 서비스 제공업체, 온라인 마켓플레이스 등 특정 기업군에 직접 적용됩니다. 이 목록에 없는 기업은 형식적으로는 구속받지 않지만, 규제 당국이 기준으로 삼을 가능성이 가장 높은 잣대라는 점에는 변함이 없습니다. (NIS2 적용 여부를 가리는 기준은 NIS2 컴플라이언스 개요에서 안내합니다.)

규정에는 "적절한 경우" 또는 "실행 가능한 범위에서" 같은 표현이 자주 나와 재량의 여지가 있는 것처럼 들립니다. 하지만 함정이 있습니다. 어떤 요건이 자사에 적용되지 않는다고 판단했다면 그 이유를 문서로 남겨야 합니다. 특정 시스템에서 로깅을 건너뛰는 선택은 근거를 문서화해 두었다면 문제가 없습니다. 그렇지 않으면 지적 사항이 됩니다.

증거는 누군가 확인하기 전에 사라지는 경우가 많습니다

도메인 컨트롤러의 Windows 보안 로그는 설계상 스스로 덮어쓰입니다. 로그가 크기 제한에 도달하면 가장 오래된 이벤트부터 새 이벤트에 자리를 내줍니다. 아마도 몇 년 전 누군가 디스크 공간을 아끼려고 정했을 이 제한은 증거를 고려하지 않습니다. 바쁜 서버에서는 로그가 몇 분 만에 한 바퀴 돌 수도 있습니다.

하지만 로깅이 켜져 있고 새 기록이 계속 쌓이기 때문에 아무도 손실을 알아차리지 못합니다. 규제 당국이 넉 달 전 일을 물을 때 "로깅은 켜져 있었습니다"라고 답해 봐야 도움이 되지 않습니다.

지금 바로 할 수 있는 두 가지:

• 도메인 컨트롤러와 핵심 서버가 현재 로그를 얼마나 오래 보관하는지 확인하세요. 정책 문서보다 실제 설정이 더 중요합니다.
• 요구되는 증거 보관 기간 중 감사 플랫폼이 직접 검색할 수 있는 범위가 어디까지인지 파악하세요. 최근 데이터는 대체로 빠르게 검색되지만, 오래된 데이터는 복원이 필요할 수 있는 아카이브에 있습니다. 지금 그 복구를 테스트해 보세요. NIS2 제23조는 조기 경보에 24시간을 부여합니다. 6개월 전 활동을 찾는 데 며칠이 걸린다는 사실을 그때 알게 되는 것은 최악의 타이밍입니다.

관리자가 수정할 수 있는 로그는 증거가 아닙니다

NIS2는 로그를 무단 접근과 변경으로부터 보호하도록 요구합니다.

누구를 조사하게 될지 생각해 보세요. 대개는 관리자 권한이 있는 계정입니다. 감사 데이터가 그 계정이 제어하는 시스템에 있다면, 가장 먼저 하는 일 중 하나가 로그 삭제일 수 있습니다. 그리고 Windows는 로그가 삭제되었다는 사실을 기록하지만, 그 항목을 방금 비워진 바로 그 로그에 기록합니다. 기록이 지워졌다는 것은 알 수 있어도 무엇이 담겨 있었는지는 알 수 없습니다.

그래서 "얼마나 오래 보관하는가?"는 잘못된 첫 질문입니다. 관리자가 수정할 수 있는 7년치 아카이브는 관리자가 손댈 수 없는 6개월치 아카이브보다 약합니다. 신뢰할 수 있는 기록에는 세 가지가 필요합니다.

1. 모니터링 대상 환경 밖의 시스템이 데이터를 수집하고 저장합니다.
2. 해당 시스템을 운영하는 사람이 저장된 기록을 변경할 수 없습니다.
3. 감사 저장소가 자신에게 가해진 모든 변경을 기록합니다.

기업이 가장 많이 실패하는 것은 두 번째 요건입니다. 감사 데이터를 수집하는 계정이 설정하기 가장 쉬웠다는 이유로 도메인 관리자인 경우가 많습니다. 그러면 관리자 로그인을 탈취한 공격자가 증거에도 접근하게 됩니다. 감사 데이터베이스와 아카이브에 쓰기 권한이 있는 사람이 누구인지 오늘 확인하세요.

세 번째 요건은 가장 놓치기 쉽습니다. 플랫폼은 감사 로그가 언제 삭제되었는지, 감사 설정이 언제 바뀌었는지, 누가 저장소를 열람했는지 알려 줘야 합니다. 그렇지 못하다면 증거를 뒷받침하는 증거가 없는 셈입니다.

규제 당국보다 먼저 실행해 볼 6가지 테스트

두 시간을 비우고 스톱워치를 준비해, 실제 환경에서 다음 각 항목에 대한 증거를 제시해 보세요.

1. 권한 있는 계정이 침해됩니다. 그 계정이 모든 시스템에서 한 모든 행위를 순서대로 볼 수 있습니까?
2. 누군가 가져서는 안 될 권한을 얻습니다. 중첩 그룹을 거친 경우에도 누가 언제 부여했는지 알 수 있습니까?
3. 중요한 설정이 바뀝니다. 이전 값과 현재 값을 보여 줄 수 있습니까?
4. 수상한 계정이 나타납니다. 누가 만들었고 이후 무엇을 했는지 알 수 있습니까?
5. 하나의 인시던트가 여러 시스템에 걸쳐 있습니다. 제23조의 24시간 조기 경보를 뒷받침할 만큼 빠르게 명확한 타임라인을 만들 수 있습니까?
6. 지난 화요일 누군가 보안 로그를 삭제했습니다. 알아챌 수 있고, 어떻게 알았는지 보여 줄 수 있습니까?

스스로 점수를 매기고, 테스트한 기간을 기록하세요. 팀들은 지난주에는 통과하지만 지난 분기에는 실패하는 경우가 많습니다. 이 연습이 보여 주는 것이 바로 그 차이입니다. 그리고 "네, 하지만 사흘과 다섯 개 팀이 필요했습니다"는 실패입니다. 24시간 시계는 몇 명이 필요했는지 신경 쓰지 않습니다.

Netwrix Auditor가 맞는 지점

여섯 가지 테스트는 하나의 역량으로 귀결됩니다. 누가 무엇을 언제 변경했고 이전 상태가 어땠는지에 대한 신뢰할 수 있는 이력을, 모니터링 대상 환경이 몰래 고쳐 쓸 수 없는 곳에 보관하는 것입니다.

Netwrix Auditor는 Active Directory, Entra ID, Microsoft 365, 파일 서버, SQL Server 등의 변경, 접근, 관리자 활동을 자체 감사 저장소로 수집합니다. 이력이 더 이상 도메인 컨트롤러가 로그를 얼마나 오래 보관하느냐에 좌우되지 않습니다.

여섯 가지 테스트와 긴밀하게 맞물리는 NIS2 보고서 팩도 있습니다. 예를 들어 Administrative Group Membership Changes는 테스트 1을, Account Permissions Reports는 테스트 2를 다룹니다. Audit Log Clearing과 Local Audit Policy Changes는 테스트 6을 다루고, Access to Archive Data는 증거 자체를 누가 열람했는지 보여 줍니다. NIS2 요건 매핑 가이드는 각 요건에서 보고서로 이어지는 연결선을 규제 당국에 보여 주는 데 도움이 됩니다.

어떤 감사 도구도 그것만으로 NIS2를 준수하게 해 주지는 않습니다. 제21조는 모니터링보다 훨씬 많은 것을 다루지만, 모든 조치는 결국 입증되어야 하고 입증은 감사 증거에서 나옵니다. 증거가 없으면 규제 당국의 눈에는 작동하는 통제와 없는 통제가 똑같이 보입니다.

핵심 정리

초기 집행은 유럽 규제 당국이 어디로 향하고 있는지 보여 주는 신호입니다. 컴플라이언스의 무게중심이 정책이 말하는 내용에서 직접 보여 줄 수 있는 증거로 옮겨 가고 있습니다.

그러니 여섯 가지 테스트를 실행하되, 넉 달 전 날짜를 겨냥하세요. 실패하는 항목이 있다면 규제 당국이 같은 수정을 더 비싸게 만들기 전에 이번 주 최우선 과제로 삼으세요.