IT 팀을 위한 데이터 보안 모범 사례 16가지

데이터 보안의 중요성

오늘날, 모든 조직은 크고 작음에 관계없이 점점 더 정교해지는 랜섬웨어, 피싱 및 기타 사이버 공격으로부터의 위험을 줄이기 위해 데이터 보호 모범 사례를 따라야 합니다. 또한, 데이터 보안 지침을 따르는 것은 GDPR 및 CCPA와 같은 엄격한 현대 데이터 보호 법률을 준수하고 유지하며 입증하는 데 필수적입니다.

불행히도, 77%의 조직이 사이버 공격에 대비가 부족하다는 연구 결과가 있습니다.포네몬 연구소. 여기에는 기술 대기업도 포함됩니다 — 2022년, 해커들은 마이크로소프트의 클라우드 보안의 취약점을 악용하여대규모 데이터 유출을 초래했습니다.

자신의 보안이 걱정되십니까? 이 백서는 오늘날 조직을 침해 및 규정 준수 위반으로부터 보호하기 위해 알아야 할 데이터 보안 모범 사례를 공개합니다.

최고의 14가지 데이터 보안 모범 사례

1. 데이터 기술 및 데이터베이스 이해하기

데이터베이스 모델

초기 데이터베이스 시스템은 사용자를 애플리케이션을 통해 데이터에 직접 연결했습니다. 개인 네트워크에서는 물리적 보안이 일반적으로 데이터를 보호하기에 충분했습니다.

오늘날 현대 데이터베이스는 사용자의 필요나 관리자의 필요에 따라 데이터를 동적으로 볼 수 있도록 허용합니다. 모델은 다음과 같습니다:

• 일계층(단일 계층) 모델 — 이 모델에서는 데이터베이스와 애플리케이션이 단일 시스템에 존재합니다. 이는 독립형 데이터베이스를 실행하는 데스크탑 시스템에서 일반적입니다. 초기 유닉스 구현도 이러한 방식으로 작동했습니다. 각 사용자는 터미널에 로그인하고 데이터를 접근하는 전용 애플리케이션을 실행했습니다.
• 이중 계층 모델 — 이중 계층 모델에서는 클라이언트 워크스테이션 또는 시스템이 다른 서버에서 실행되는 데이터베이스와 통신하는 애플리케이션을 실행합니다. 이는 많은 애플리케이션에 잘 작동하는 일반적인 구현입니다.
• 3계층 모델 — 오늘날 일반적으로 사용되는 3계층 모델은 중간 계층 서버를 도입하여 최종 사용자를 데이터베이스와 분리합니다. 이 서버는 클라이언트의 요청을 수락하고 이를 평가한 후 데이터베이스 서버로 전송하여 처리합니다. 데이터베이스 서버는 데이터를 중간 계층 서버로 다시 전송하고, 중간 서버는 데이터를 클라이언트 시스템으로 전송합니다. 중간 서버는 데이터베이스에 대한 접근을 제어하고 추가 보안을 제공할 수도 있습니다.

SQL과 NoSQL 데이터베이스

데이터베이스와 통신하는 데 가장 일반적으로 사용되는 언어는 구조적 쿼리 언어(Structured Query Language, SQL)입니다. SQL은 사용자가 데이터베이스 서버에 실시간으로 쿼리를 보낼 수 있도록 합니다. Oracle, Microsoft SQL Server, MySQL 및 PostGres를 포함한 대부분의 상업적 관계형 데이터베이스 관리 시스템은 SQL을 사용합니다. (SQL 언어와 Microsoft의 데이터베이스 제품인 SQL Server를 혼동하지 마십시오.)

NoSQL 데이터베이스는 관계형 데이터베이스가 아니며 SQL을 사용하지 않습니다. 이러한 데이터베이스는 관계형 데이터베이스보다 덜 일반적이지만, 확장이 중요한 곳에서 자주 사용됩니다.

여기 몇 가지 주요 차이점이 있습니다:

빅 데이터

일부 조직은 단일 서버에 맞출 수 있는 데이터보다 더 많은 데이터를 저장하므로 대신 저장 영역 네트워크(SAN)에 저장됩니다. SAN은 주요 네트워크에 서버처럼 보이도록 설정된 별도의 네트워크입니다. 예를 들어, 여러 서버와 네트워크 저장 장치는 몇 테라바이트의 데이터만 저장하도록 설계된 미니 네트워크로 구성될 수 있습니다. 이는 주요 네트워크에 연결되어 사용자가 SAN의 데이터에 빠르고 편리하게 접근할 수 있습니다.

SAN은 일반적으로 중복 서버를 가지고 있으며 고속 광섬유 연결 또는 구리에서 실행되는 iSCSI를 통해 연결됩니다. 그러나 빅 데이터는 검색, 저장, 공유, 백업 및 관리하기 어려운 크기에 도달할 수 있습니다.

파일 시스템

파일 시스템은 비구조적 데이터를 저장하고 검색하는 방법 중 하나입니다. 파일 시스템이 없으면 저장 매체의 정보는 하나의 큰 데이터 덩어리로 존재하며, 한 정보 조각이 끝나는 지점과 다음 정보 조각이 시작되는 지점에 대한 표시가 없습니다. 데이터를 조각으로 나누고 각 조각에 이름을 부여하면 정보를 훨씬 더 쉽게 격리하고 식별할 수 있습니다.

파일 시스템은 SSD, 자기 테이프 및 광 디스크와 같은 다양한 미디어에서 사용할 수 있습니다. 파일 시스템 유형은 사용되는 운영 체제에 따라 다릅니다. 예를 들어, 리눅스는 ext 계열, xfs 및 jfs와 같은 파일 시스템을 사용하고, 윈도우 OS는 fat, fat32 및 ntfs를 사용하며, MacOS는 apfs 및 hfs+를 사용합니다.

2. 민감한 데이터 식별 및 분류

데이터를 효과적으로 보호하려면 어떤 유형의 데이터가 있는지 정확히 알아야 합니다. 데이터 발견 기술은 데이터 저장소를 스캔하고 결과를 보고합니다. 거기에서 데이터 분류 프로세스를 사용하여 데이터를 카테고리로 구성할 수 있습니다. 데이터 발견 엔진은 일반적으로 검색을 위해 정규 표현식을 사용하여 더 많은 유연성을 제공합니다.

데이터 발견 및 분류 기술을 사용하면 사용자가 중요한 데이터에 접근할 수 있는지 제어하고 안전하지 않은 위치에 저장되는 것을 방지하여 부적절한 데이터 노출 및 데이터 손실의 위험을 줄일 수 있습니다. 모든 중요한 또는 민감한 데이터는 디지털 서명으로 명확하게 레이블이 지정되어야 하며, 이를 통해 조직의 가치에 따라 보호할 수 있습니다. Netwrix 데이터 분류와 같은 타사 도구는 데이터 발견 및 분류를 더 쉽고 정확하게 만들어 줄 수 있습니다.

데이터는 민감도와 가치에 따라 분류되어야 합니다. 예를 들어, 데이터는 다음과 같은 카테고리로 그룹화될 수 있습니다:

• 공공 데이터 — 특별한 보호가 필요하지 않으며 자유롭게 공유할 수 있는 데이터입니다.
• 개인 데이터 — 직원들이 접근할 수 있지만 일반 대중으로부터 보호되어야 하는 데이터.
• 기밀 데이터 — 특정 사용자와만 공유할 수 있는 정보, 예를 들어 독점 정보 및 영업 비밀.
• 제한된 데이터 — 의료 기록 및 규제로 보호되는 재정 정보와 같은 매우 민감한 데이터.

사용자가 데이터의 분류 수준을 부적절하게 수정하지 못하도록 방지하기 위한 통제가 필요합니다. 특히, 선택된 사용자만이 분류를 하향 조정할 수 있어야 하며, 이는 데이터가 더 널리 사용 가능하게 만들 것입니다.

따르세요 이 지침을 강력한 데이터 분류 정책을 만들기 위해. 그리고 데이터 발견 및 분류를 수행하는 것을 잊지 마세요 IT 위험 평가 프로세스의 일환으로.

3. 데이터 사용 정책 만들기

물론, 데이터 분류만으로는 충분하지 않습니다. 접근 유형, 분류에 따른 데이터 접근 조건, 데이터에 대한 접근 권한, 올바른 데이터 사용의 정의 등을 명시하는 정책이 필요합니다. 모든 정책 위반에는 명확한 결과가 있어야 한다는 것을 잊지 마세요.

4. 접근 제어 구현

데이터에 대한 접근을 제한하기 위해 적절한 접근 제어를 적용해야 하며, 공개되지 않은 데이터에 대한 접근을 위해 인증을 요구해야 합니다. 접근 권한은 최소 권한 원칙을 따라야 합니다: 각 사용자는 할당된 책임을 수행하는 데 필수적인 권한만을 부여받습니다.

액세스 제어는 물리적, 기술적 또는 관리적일 수 있습니다:

관리 제어

관리 접근 제어는 모든 직원이 따라야 하는 절차와 정책입니다. 보안 정책은 허용되는 행동, 회사가 감수할 의향이 있는 위험 수준, 위반 시의 처벌 등을 나열할 수 있습니다. 이 정책은 일반적으로 비즈니스 목표와 적용 가능한 규정 준수를 이해하는 전문가에 의해 작성됩니다. 관리 통제의 중요한 구성 요소는 다음과 같습니다:

• 감독 구조 —거의 모든 조직은 관리자가 직원의 활동에 대해 책임을 지도록 합니다: 직원이 행정 통제를 위반하면 감독자도 책임을 지게 됩니다.
• 교육 — 모든 사용자는 회사의 데이터 사용 정책에 대해 교육을 받아야 하며, 회사가 이를 적극적으로 시행할 것임을 알아야 합니다. 또한, 사용자는 주기적으로 재교육을 받고 테스트를 받아 이해도를 강화하고 검증해야 합니다. 사용자는 데이터에 대한 접근 수준과 관련된 책임에 대해서도 교육을 받아야 합니다.
• 직원 해고 절차— 시스템과 데이터를 보호하기 위해, 퇴사하는 직원이 IT 인프라에 대한 접근 권한을 잃는 것이 중요합니다. HR과 협력하여 다음을 따르는 효과적인 사용자 해고 절차를 개발하십시오.사용자 해고 모범 사례.

기술적 통제

데이터 저장

대부분의 경우, 사용자는 민감한 데이터를 로컬에 복사하거나 저장할 수 없어야 합니다. 대신, 그들은 데이터를 원격으로 조작해야 합니다. 사용자가 로그오프하거나 세션이 만료된 후에는 클라이언트와 서버 모두의 캐시를 철저히 청소해야 하며, 그렇지 않으면 암호화된 RAM 드라이브를 사용해야 합니다. 민감한 데이터는 어떤 종류의 휴대용 시스템에도 저장되어서는 안 됩니다. 모든 시스템은 로그인을 요구하고 의심스럽게 사용될 경우 시스템을 잠그는 조건을 포함해야 합니다.

권한

사용자 권한은 최소 권한 원칙에 엄격하게 따라 부여되어야 합니다. 다음은 Microsoft 운영 체제의 기본 파일 권한입니다:

• 전체 제어 — 사용자는 파일을 읽고, 실행하고, 수정하고, 삭제할 수 있으며, 권한을 할당하고 소유권을 가질 수 있습니다.
• 수정— 사용자는 파일을 읽고, 쓰고, 삭제할 수 있습니다.
• 읽기 및 실행— 사용자는 실행 파일을 읽고 실행할 수 있습니다.
• 읽기 — 사용자는 파일을 읽을 수 있지만 수정할 수는 없습니다.
• 작성 — 사용자는 파일을 읽고 수정할 수 있지만 삭제할 수는 없습니다.

폴더는 동일한 권한을 가지며, 폴더 내용 목록 권한이 추가되어, 사용자가 폴더 안에 무엇이 있는지 볼 수 있지만 파일을 읽을 수는 없습니다.

액세스 제어 목록

액세스 제어 목록(ACL)은 누가 어떤 리소스에 접근할 수 있는지와 그 수준을 나열한 목록입니다. 이는 운영 체제나 애플리케이션의 내부 부분일 수 있습니다. 예를 들어, 사용자 정의 애플리케이션에는 해당 시스템에서 어떤 사용자가 어떤 권한을 가지고 있는지를 나열하는 ACL이 포함될 수 있습니다.

ACL은 화이트리스트 또는 블랙리스트를 기반으로 할 수 있습니다. A 화이트리스트는 허용된 항목의 목록으로, 사용자가 회사 컴퓨터를 사용하여 방문할 수 있는 웹사이트 목록이나 회사 컴퓨터에 설치할 수 있는 제3자 소프트웨어 목록이 포함됩니다. A 블랙리스트는 특정 웹사이트를 방문할 수 없는 직원이나 클라이언트 컴퓨터에 설치할 수 없는 소프트웨어와 같은 금지된 항목의 목록입니다.

파일 관리에서 화이트리스트 ACL이 더 일반적입니다. 파일 시스템 수준에서 구성됩니다. 예를 들어 Microsoft Windows에서는 NTFS 권한을 구성하고 이를 기반으로 NTFS 액세스 제어 목록을 생성할 수 있습니다. NTFS 권한을 올바르게 구성하는 방법에 대한 자세한 정보는 다음 목록에서 확인할 수 있습니다.NTFS 권한 관리 모범 사례. 액세스 제어는 역할 기반 액세스 제어(RBAC)가 있는 모든 애플리케이션에 구현되어야 한다는 점을 기억하십시오.Active Directory 그룹 및 위임.

보안 장치 및 방법

특정 장치 및 시스템은 데이터에 대한 액세스를 추가로 제한하는 데 도움이 됩니다. 가장 일반적으로 구현되는 것들은 다음과 같습니다:

• 데이터 손실 방지 (DLP) — 이러한 시스템은 워크스테이션, 서버 및 네트워크를 모니터링하여 민감한 데이터가 삭제되거나 제거되거나 이동되거나 복사되지 않도록 합니다. 또한 데이터 사용 및 전송을 모니터링하여 무단 사용을 감지합니다.
• 방화벽 — 방화벽은 하나의 네트워크를 다른 네트워크로부터 격리합니다. 방화벽은 독립형 시스템일 수도 있고 라우터나 서버와 같은 다른 인프라 장치에 포함될 수도 있습니다. 방화벽 솔루션은 하드웨어와 소프트웨어 모두로 제공됩니다. 방화벽은 조직의 네트워크에 들어오는 바람직하지 않은 트래픽을 차단하여 맬웨어나 해커가 데이터가 악성 제3자 서버로 유출되는 것을 방지합니다. 조직의 방화벽 정책에 따라 방화벽은 일부 또는 모든 트래픽을 완전히 차단할 수 있으며, 또는 확인 후 일부 또는 모든 트래픽을 허용할 수 있습니다.
• 네트워크 접근 제어 (NAC) — NAC는 보안 정책을 준수하는 엔드포인트 장치에 대한 네트워크 리소스의 가용성을 제한하는 것을 포함합니다. NAC는 무단 장치가 네트워크에서 직접 데이터를 액세스하는 것을 제한할 수 있습니다. 일부 NAC 솔루션은 액세스를 허용하기 전에 비준수 노드를 자동으로 수정하여 보안을 보장할 수 있습니다. NAC는 사용자 환경이 비교적 정적이고 기업 및 정부 기관과 같이 엄격하게 제어될 수 있을 때 가장 유용합니다. 사용자가 다양하고 장치가 자주 변경되는 환경에서는 덜 실용적일 수 있습니다.
• 프록시 서버 — 이러한 장치는 클라이언트 소프트웨어가 다른 서버에서 리소스를 요청할 때 협상자 역할을 합니다. 이 과정에서 클라이언트는 프록시 서버에 연결하여 서비스(예: 웹사이트)를 요청합니다. 프록시 서버는 요청을 평가한 후 허용하거나 거부합니다. 프록시 서버는 일반적으로 트래픽 필터링 및 성능 개선을 위해 사용됩니다. 프록시 장치는 인터넷에서 민감한 데이터에 대한 액세스를 제한할 수 있습니다.

물리적 제어

물리적 보안은 데이터 보안 논의에서 종종 간과되지만, 이를 구현하지 않으면 데이터나 심지어 네트워크가 완전히 손상될 수 있습니다. 각 워크스테이션은 해당 지역에서 제거될 수 없도록 잠겨 있어야 합니다. 각 컴퓨터 케이스도 잠겨 있어야 하며, 하드 드라이브나 기타 저장 구성 요소가 제거되어 손상되지 않도록 해야 합니다. 또한 공격자가 이동식 미디어를 사용하여 다른 운영 체제로 부팅하는 것을 방지하기 위해 BIOS 비밀번호를 구현하는 것이 좋은 관행입니다.

노트북 및 모바일 장치 보안

회사의 노트북이 분실되거나 도난당하면 악의적인 당사자가 하드 드라이브의 데이터에 접근할 수 있습니다. 따라서 조직에서 사용하는 모든 노트북에 전체 디스크 암호화를 사용해야 합니다. 또한, VPN이나 SSH와 같은 안전한 통신 채널을 사용하기 전에 공용 Wi-Fi 핫스팟을 사용하는 것을 피해야 합니다. 계정 자격 증명은 쉽게 탈취될 수 있습니다 무선 공격을 통해 전체 네트워크가 손상될 수 있습니다.

모바일 장치는 바이러스나 기타 악성 코드를 조직의 네트워크로 가져오고 서버에서 민감한 데이터를 추출할 수 있습니다. 이러한 위협 때문에 모바일 장치는 특히 엄격하게 제어되어야 합니다. 연결이 허용된 장치는 바이러스 검사를 받아야 하며, 이동식 장치는 암호화되어야 합니다.

데이터를 중심으로 보안 정책을 수립하는 것이 중요하며, 저장되는 장치의 유형은 고려하지 않아야 합니다. 스마트폰은 종종 민감한 정보를 포함하고 있지만, 일반적으로 노트북보다 보호가 덜 되어 있습니다. 동일한 정보를 포함하고 있을 때에도 마찬가지입니다. 민감한 데이터에 접근할 수 있는 모든 모바일 장치는 동일하게 복잡한 비밀번호를 요구하고 동일한 접근 제어 및 보호 소프트웨어를 사용해야 합니다.

고화질 카메라와 마이크가 장착된 스마트폰은 또 다른 일반적인 데이터 유출 원인입니다. 이러한 모바일 장치로 내부자들로부터 문서를 보호하거나 민감한 데이터가 있는 모니터나 화이트보드를 사진으로 찍는 사람을 감지하는 것은 매우 어렵습니다. 그러나 여전히 건물 내에서 카메라 사용을 금지하는 정책을 가져야 합니다.

네트워크 분리

네트워크 세분화는 네트워크를 기능적 영역으로 분리하는 것을 포함합니다. 각 영역에는 서로 다른 데이터 분류 규칙이 할당될 수 있으며, 적절한 보안 수준으로 설정되고 이에 따라 모니터링됩니다.

Segmentation limits the potential damage from a security incident to a single zone. Essentially, it divides one target into many, leaving attackers with two choices: Treat each segment as a separate network, or compromise one and attempt to jump the divide. Neither choice is appealing. Treating each segment as a separate network creates a great deal of additional work, since the attacker must compromise each segment individually; this approach also dramatically increases the attacker’s exposure to being discovered. Attempting to jump from a compromised zone to other zones is also difficult, because if the segments are designed effectively, the network traffic between them can be restricted. While there are always exceptions — such as communication with domain servers for centralized account management — this limited traffic is easier to identify.

비디오 감시

귀사의 모든 중요한 시설은 모션 센서와 야간 투시 기능이 있는 비디오 카메라를 사용하여 모니터링해야 합니다. 이는 파일 서버, 아카이브 또는 백업에 직접 접근하려는 무단 침입자를 잡고, 제한된 지역에서 민감한 데이터를 촬영할 수 있는 사람을 발견하는 데 필수적입니다.

잠금 및 재활용

작업 공간과 그 안의 모든 장비는 무인 상태로 두기 전에 안전하게 보관해야 합니다. 예를 들어, 문, 책상 서랍 및 창문을 확인하고 책상 위에 종이를 두지 마십시오. 모든 민감한 데이터의 하드 카피는 잠금 처리한 후 더 이상 필요하지 않을 때 파기해야 합니다. 또한 접근 키, ID 카드, 잠금 코드 또는 기타 접근 장치를 공유하거나 복제하지 마십시오.

디스크 드라이브를 폐기하거나 재활용하기 전에 모든 정보를 완전히 지우고 데이터가 더 이상 복구될 수 없도록 해야 합니다. 중요한 정보를 포함했던 오래된 하드 디스크 및 기타 IT 장치는 물리적으로 파괴해야 하며, 특정 IT 엔지니어에게 이 과정을 직접 처리하도록 지정해야 합니다.

5. 변경 관리 및 데이터베이스 감사 구현

또 다른 중요한 보안 조치는 모든 데이터베이스 및 파일 서버 활동을 추적하여 민감한 정보 및 관련 권한에 대한 액세스 및 변경 사항을 감지하는 것입니다. 보안 감사에 대해 로그인 활동은 최소 1년 동안 유지되어야 합니다. 최대 로그인 실패 시도를 초과하는 계정은 자동으로 정보 보안 관리자에게 조사하도록 보고되어야 합니다.

역사적 정보를 사용하여 어떤 데이터가 민감한지, 어떻게 사용되고 있는지, 누가 사용하고 있는지, 어디로 가고 있는지를 이해하는 것은 정확하고 효과적인 정책을 구축하고 환경의 변화가 보안에 미칠 영향을 예측하는 데 도움이 됩니다. 이 과정은 또한 이전에 알려지지 않은 위험을 식별하는 데 도움이 될 수 있습니다. 사용자 활동의 변경 관리 및 감사 작업을 단순화하는 제3자 도구가 있습니다.Netwrix Auditor.

6. 데이터 암호화 사용

암호화는 가장 기본적인 데이터 보안 모범 사례 중 하나입니다. 모든 중요한 비즈니스 데이터는 휴지 상태이거나 전송 중일 때 암호화되어야 하며, 휴대용 장치나 네트워크를 통해서도 마찬가지입니다. 휴대용 시스템은 중요한 데이터를 저장할 경우 암호화된 디스크 솔루션을 사용해야 합니다. 중요한 또는 독점 정보를 저장하는 데스크탑 시스템의 하드 드라이브를 암호화하면 물리적 장치가 도난당하더라도 중요한 정보를 보호하는 데 도움이 됩니다.

파일 시스템 암호화 (EFS)

The most basic way to encrypt data on your Windows systems is Encrypting File System (EFS) technology. If you use EFS to protect data, unauthorized users cannot view a file’s content even if they have full access to the device. When an authorized user opens an encrypted file, EFS decrypts the file in the background and provides an unencrypted copy to the application. Authorized users can view or modify the file, and EFS saves changes transparently as encrypted data. If unauthorized users try to do the same, they receive an “access denied” error.

Microsoft의 또 다른 암호화 도구는 BitLocker입니다. BitLocker는 Windows 장치에 저장된 데이터에 대한 추가 보호 계층을 제공하여 EFS를 보완합니다. BitLocker는 분실되거나 도난당한 장치를 데이터 도난 또는 노출로부터 보호하며, 장치를 사용 중지할 때 안전한 데이터 폐기를 제공합니다.

하드웨어 기반 암호화

하드웨어 기반 암호화는 소프트웨어 기반 암호화에 추가로 적용될 수 있습니다. 일부 BIOS 구성 메뉴의 고급 구성 설정에서 신뢰할 수 있는 플랫폼 모듈(TPM)을 활성화하거나 비활성화하도록 선택할 수 있습니다. TPM은 마더보드에 설치될 수 있는 칩으로, 암호화 키, 비밀번호 또는 인증서를 저장할 수 있습니다. TPM은 해시 키 생성에 도움을 주고 PC 이외의 스마트폰 및 장치를 보호하는 데 사용할 수 있습니다. 또한 BitLocker와 같은 전체 디스크 암호화를 위한 값을 생성하는 데 사용할 수 있습니다.

7. 데이터를 백업하세요

중요한 비즈니스 자산은 중복되어야 하며, 이를 통해 이중화 및 백업 역할을 해야 합니다. 가장 기본적인 수준에서 서버의 내결함성을 위해서는 데이터 백업이 필요합니다. 백업은 서버 장애 발생 시 데이터를 복구할 수 있도록 데이터를 주기적으로 아카이브하는 것입니다. 보안 관점에서 보면, 세 가지 주요 백업 유형이 있습니다:

• 전체— 모든 데이터가 아카이브됩니다. 전체 백업을 만드는 것은 매우 시간 소모적이며 자원 집약적이며, 서버 성능에 상당한 영향을 미칩니다.
• 차등 백업— 마지막 전체 백업 이후의 모든 변경 사항이 아카이브됩니다. 전체 백업만큼의 영향을 미치지는 않지만 여전히 네트워크 속도를 저하시킬 수 있습니다.
• 증분 — 모든 유형의 마지막 백업 이후의 변경 사항이 보관됩니다.

일반적으로 조직은 이러한 유형의 백업을 조합하여 사용합니다. 예를 들어, 매일 자정에 전체 백업을 수행하고, 그 이후 매 2시간마다 차등 백업 또는 증분 백업을 수행할 수 있습니다. 시스템이 자정 직후에 충돌하면 마지막 전체 백업에서 복원할 수 있습니다. 하루 중 나중에 충돌하면 백업의 조합을 사용해야 합니다.

어떤 백업 전략을 선택하든, 주기적으로 백업 데이터를 테스트 머신에 복원하여 테스트해야 합니다. 또 다른 주요 모범 사례는 백업을 서로 다른 지리적 위치에 저장하여 허리케인, 화재 또는 하드 디스크 고장과 같은 재해로부터 복구할 수 있도록 하는 것입니다.

8. 서버에 RAID를 사용하세요

장애 허용을 위한 기본 도구인 RAID는 독립 디스크의 중복 배열로, 서버가 여러 개의 하드 드라이브를 가질 수 있게 하여 주 하드 드라이브가 실패하더라도 시스템이 작동하도록 보장합니다. 주요 RAID 수준은 여기에서 설명됩니다:

• RAID 0 (스트라이프 디스크) — 데이터는 속도(읽기/쓰기 성능)를 향상시키는 방식으로 여러 디스크에 분산되지만, 결함 허용 기능은 제공하지 않습니다. 최소 두 개의 디스크가 필요합니다.
• RAID 1 — 이 RAID 레벨은 미러링을 통해 내결함성을 도입합니다: 작업에 필요한 모든 디스크에 대해 동일한 미러링된 디스크가 있습니다. 이는 최소 두 개의 디스크가 필요하며 총 용량의 50%를 데이터에, 나머지 50%를 미러에 할당합니다. RAID 1을 사용할 때 시스템은 기본 드라이브가 실패하더라도 백업 드라이브에서 계속 실행됩니다. RAID 1에 또 다른 컨트롤러를 추가할 수 있으며, 이를 '듀플렉싱'이라고 합니다.
• RAID 3或4 (带有专用奇偶校验的条带磁盘) — 数据分布在三个或更多磁盘上。一个专用磁盘用于存储奇偶校验信息，从而将阵列的存储容量减少一个磁盘。因此，如果一个磁盘发生故障，其数据仅部分丢失。其他磁盘上的数据以及奇偶校验信息允许数据恢复。
• RAID 5 (분산 패리티가 있는 스트라이프 디스크) — 이 RAID 수준은 세 개 이상의 디스크를 결합하여 데이터가 하나의 디스크 손실에 대해 보호되도록 합니다. RAID 3과 유사하지만 패리티는 드라이브 배열에 분산되어 있습니다. 이렇게 하면 패리티 비트를 저장하기 위해 전체 디스크를 할당할 필요가 없습니다.
• RAID 6 (이중 패리티가 있는 스트라이프 디스크) — 이 RAID 수준은 네 개 이상의 디스크를 결합하면서 RAID 5에 추가 패리티 블록을 추가하여 시스템이 두 개의 디스크를 잃더라도 데이터를 보호합니다. 각 패리티 블록은 드라이브 배열 전체에 분산되어 패리티가 특정 드라이브에 전용되지 않도록 합니다.
• RAID 1+0 (또는 10) — 이 RAID 레벨은 미러링된 데이터 세트(RAID 1)로, 그 후 스트라이프 처리(RAID 0)됩니다. 그래서 “1+0”이라는 이름이 붙었습니다. 이것을 “거울의 스트라이프”라고 생각하세요. RAID 1+0 배열은 최소 네 개의 드라이브가 필요합니다: 스트라이프된 데이터의 절반을 저장할 두 개의 미러링된 드라이브와 나머지 절반의 데이터를 위한 또 다른 두 개의 미러링된 드라이브입니다.
• RAID 0+1 — 이 RAID 레벨은 RAID 1+0의 반대입니다. 여기서 스트라이프는 미러링됩니다. RAID 0+1 배열은 최소 4개의 드라이브가 필요합니다: RAID 0 배열의 데이터를 복제하기 위한 두 개의 미러링된 드라이브.

9. 클러스터링 및 로드 밸런싱 사용.

RAID는 시스템의 데이터를 보호하는 데 훌륭한 역할을 하며, 이를 통해 정기적인 백업으로 추가 보호를 할 수 있습니다. 그러나 때때로 단일 시스템을 넘어 성장해야 할 필요가 있습니다. 여러 컴퓨터를 연결하여 단일 서버로 함께 작업하는 것을 '클러스터링'이라고 합니다. 클러스터링된 시스템은 병렬 처리를 활용하여 성능과 가용성을 향상시키고, 중복성을 추가하며(비용도 추가됨) 사용합니다.

시스템은 로드 밸런싱을 통해 높은 가용성을 달성할 수도 있습니다. 이를 통해 여러 컴퓨터 — 종종 HTTP 요청에 응답하는 서버(종종 서버 팜이라고 불림) — 간에 작업 부하를 분산할 수 있습니다. 위치를 분할하면 '미러 사이트'가 됩니다. 그 미러링된 복사본은 다운타임을 방지하고 지리적 중복성을 추가하여 요청에 대한 더 빠른 응답을 가능하게 할 수 있습니다.

10. 시스템을 강화하세요

민감한 데이터를 저장할 수 있는 모든 기술은, 심지어 일시적으로라도, 해당 시스템이 잠재적으로 접근할 수 있는 정보의 유형에 따라 적절히 보호되어야 합니다. 여기에는 귀하의 내부 네트워크에 상당한 권한으로 원격으로 접근할 수 있는 모든 외부 시스템이 포함됩니다. 그러나 사용성 또한 고려해야 하며, 기능성과 보안이 적절히 결정되고 균형을 이루어야 합니다.

운영 체제 기준

确保系统安全的第一步是确保操作系统配置尽可能安全。大多数操作系统开箱即用时运行不必要的服务，这给攻击者提供了额外的途径来妥协您的系统。唯一应该启用的程序和监听服务是那些对员工完成工作至关重要的。如果某个功能没有商业目的，则应禁用。为典型员工创建安全的基线操作系统映像也可能是有益的。如果任何人需要额外的功能，可以根据具体情况启用这些服务或程序。

윈도우와 리눅스 운영 체제는 각각 고유한 보안 구성 설정을 가지고 있습니다.

윈도우

윈도우는 소비자와 기업 모두에게 가장 인기 있는 운영 체제입니다. 그러나 이로 인해 가장 많은 공격을 받는 운영 체제이기도 하며, 거의 매주 새로운 취약점이 발표됩니다. 조직에서 사용되는 다양한 윈도우 버전이 있으므로 여기에서 언급된 일부 구성은 모든 버전으로 전환되지 않을 수 있습니다. 보안을 강화하기 위해 수행해야 할 몇 가지 절차는 다음과 같습니다:

• LanMan 인증을 비활성화합니다.
• 모든 계정이 활성화되었든 비활성화되었든 관계없이 비밀번호를 가지고 있는지 확인하십시오.
• 네트워크 공유에 대한 권한을 비활성화하거나 제한합니다.
• 필요하지 않은 모든 서비스를 제거하십시오. 특히 텔넷 및 FTP와 같은 평문 프로토콜을 제거하십시오.
• 중요한 시스템 이벤트에 대한 로깅을 활성화합니다.

여기에서 Windows 보안 강화 모범 사례를 더 찾을 수 있습니다.Windows Server 보안 강화 체크리스트.

리눅스

리눅스 운영 체제가 최근 몇 년 동안 더 인기를 얻고 있습니다. 일부는 리눅스가 윈도우보다 더 안전하다고 주장하지만, 여전히 올바르게 강화하기 위해 수행해야 할 몇 가지 작업이 있습니다:

• 불필요한 서비스와 포트를 비활성화하십시오.
• “r 명령”에서 사용되는 신뢰 인증을 비활성화합니다.
• 불필요한 setuid 및 setgid 프로그램을 비활성화하십시오.
• 필요한 사용자만을 위해 사용자 계정을 재구성합니다.

웹 서버

그들의 광범위한 네트워크 도달 덕분에 웹 서버는 공격자들이 악용하기 좋아하는 영역입니다. 공격자가 인기 있는 웹 서버에 접근하고 그곳의 취약점을 악용하면, 수천 명(아니면 수십만 명)의 사이트 방문자와 그들의 데이터에 도달할 수 있습니다. 웹 서버를 목표로 삼음으로써, 공격자는 사용자의 웹 브라우저에서 모든 연결에 영향을 미치고 그들이 손상시킨 한 대의 기계를 넘어서는 피해를 줄 수 있습니다.

웹 서버는 원래 디자인이 간단하여 주로 HTML 텍스트와 그래픽 콘텐츠를 제공하는 데 사용되었습니다. 현대의 웹 서버는 데이터베이스 접근, 채팅 기능, 스트리밍 미디어 및 기타 많은 서비스를 허용합니다. 그러나 웹사이트에서 지원되는 모든 서비스와 기능은 잠재적인 공격 대상입니다. 최신 소프트웨어 표준을 유지하도록 하십시오. 또한 사용자가 작업을 수행하는 데 필요한 권한만 부여하도록 해야 합니다. 사용자가 익명 계정을 통해 서버에 접근하는 경우, 웹 페이지를 보기 위해 필요한 권한만 가지고 있는지 확인해야 합니다.

웹 서버에 대한 두 가지 특정 관심 분야는 필터와 실행 가능한 스크립트에 대한 접근 제어입니다:

• 필터는 허용되는 트래픽을 제한할 수 있도록 도와줍니다. 비즈니스에 필요한 것만으로 트래픽을 제한하면 공격을 방어하는 데 도움이 될 수 있습니다. 필터는 사용자가 부적절하거나 업무와 관련 없는 사이트에 접근하지 못하도록 네트워크에 적용될 수도 있습니다. 이는 생산성을 높일 뿐만 아니라 사용자가 의심스러운 사이트에서 바이러스를 다운로드할 가능성을 줄입니다.
• 실행 가능한 스크립트, PHP, Python, 다양한 Java 버전 및 공통 게이트웨이 인터페이스(CGI) 스크립트와 같이 종종 높은 권한 수준에서 실행됩니다. 대부분의 경우, 스크립트가 실행된 후 사용자가 자신의 일반 권한 수준으로 돌아오기 때문에 문제가 되지 않습니다. 그러나 사용자가 높은 수준에서 스크립트를 탈출할 수 있는 경우 문제가 발생합니다. 관리자의 경우, 서버의 모든 스크립트가 철저히 테스트되고 디버그되며 사용 승인을 받았는지 확인하는 것이 최선의 조치입니다.

이메일 서버

이메일 서버는 많은 비즈니스의 통신 백본을 제공합니다. 일반적으로 서버에서 추가 서비스로 실행되거나 전용 시스템으로 실행됩니다. 이메일 서버에 활성 바이러스 스캐너를 추가하면 네트워크에 도입되는 바이러스의 수를 줄이고 이메일 서버를 통해 바이러스가 퍼지는 것을 방지할 수 있습니다. 그러나 대부분의 스캐너는 Microsoft의 열린 파일을 읽을 수 없다는 점은 주목할 가치가 있습니다. Exchange 메일 저장소를 스캔하려면 특정 이메일 AV 스캐너가 필요하며, 일부는 기계 학습을 통해 피싱 및 기타 사회 공학 공격을 감지할 수도 있습니다.

이메일 서버는 스팸을 보내기 위해 이를 사용하려는 자동화 시스템에 의해 일반적으로 침수됩니다. 대부분의 이메일 서버가 이러한 위협에 대한 조치를 구현했지만, 점점 더 정교해지고 있습니다. 공격자의 TCP/IP 주소를 라우터의 ACL 거부 목록에 입력하면 시스템에 대한 이러한 접근 시도를 줄일 수 있습니다. 이렇게 하면 라우터가 이러한 IP 주소로부터의 연결 요청을 무시하게 되어 보안이 효과적으로 향상됩니다. 또한 스팸 필터를 사용하여 이 정책을 설정할 수 있습니다.

FTP 서버

파일 전송 프로토콜(FTP) 서버는 고보안 애플리케이션을 위해 설계되지 않았습니다. 대부분의 FTP 서버는 시스템 드라이브의 파일 영역을 생성할 수 있도록 허용하지만, 파일 전송을 위해 별도의 드라이브나 하위 디렉토리를 만드는 것이 훨씬 더 안전합니다. 가능하다면 FTP 관련 활동을 위해 가상 사설망(VPN) 또는 보안 셸(SSH) 연결을 사용하십시오. FTP는 유명하게도 안전하지 않으며 악용될 수 있습니다. 많은 FTP 시스템은 계정 및 비밀번호 정보를 암호화되지 않은 상태로 네트워크를 통해 전송합니다.

최대 운영 보안을 위해 FTP 액세스를 위해 별도의 로그인 계정과 비밀번호를 사용하십시오. 이렇게 하면 시스템 계정이 무단 사용자에게 노출되는 것을 방지할 수 있습니다. 또한 FTP 서버의 모든 파일을 정기적으로 바이러스 검사하십시오.

FTP를 더 쉽게 사용하기 위해 대부분의 서버는 기본적으로 익명 액세스를 허용합니다. 그러나 이러한 익명 계정은 항상 비활성화해야 합니다. 보안 관점에서 볼 때, 익명 사용자가 서버에 파일을 복사하는 것을 허용하는 것은 마지막으로 원하는 일입니다. 익명 액세스가 비활성화되면 시스템은 사용자가 알려진 인증된 사용자여야 액세스할 수 있도록 요구합니다.

FTP 서버를 안전하게 보호하는 가장 좋은 방법은 아예 교체하는 것입니다. 동일한 기능은 SFTP(보안 파일 전송 프로토콜)와 같은 더 안전한 서비스에서 찾을 수 있습니다.

11. 적절한 패치 관리 전략을 구현하십시오

운영 체제와 애플리케이션 모두에 대한 패치 전략을 마련해야 합니다. IT 환경의 모든 애플리케이션 버전이 최신 상태인지 확인하는 것은 번거로울 수 있지만, 데이터 보호를 위해 필수적입니다. 보안을 보장하는 가장 좋은 방법 중 하나는 자동 바이러스 백신 및 시스템 업데이트를 활성화하는 것입니다. 중요한 인프라의 경우, 패치는 기능에 영향을 미치지 않으며 취약점을 도입하지 않도록 철저하게 테스트해야 합니다.

운영 체제 패치 관리

운영 체제 패치는 세 가지 유형이 있으며, 각 유형은 긴급성 수준이 다릅니다:

• 핫픽스 — 핫픽스는 즉각적이고 긴급한 패치입니다. 일반적으로 이러한 패치는 심각한 보안 문제를 나타내며 선택 사항이 아닙니다.
• 패치 — 패치는 추가 기능이나 긴급하지 않은 수정을 제공합니다. 이러한 것들은 때때로 선택적입니다.
• 서비스 팩 — 서비스 팩은 현재까지의 모든 핫픽스와 패치의 전체 세트입니다. 이는 항상 적용되어야 합니다.

생산 환경에 적용하기 전에 모든 패치를 테스트하여 업데이트가 문제를 일으키지 않도록 하세요.

애플리케이션 패치 관리

응용 프로그램을 정기적으로 업데이트하고 패치해야 합니다. 응용 프로그램에서 취약점이 발견되면 공격자가 이를 이용해 시스템에 침입하거나 해를 끼칠 수 있습니다. 대부분의 공급업체는 정기적으로 패치를 게시하며, 사용자는 사용 가능한 패치를 정기적으로 스캔해야 합니다. 오늘날 많은 공격은 클라이언트 시스템을 대상으로 하는데, 그 이유는 클라이언트가 응용 프로그램 패치를 효과적으로 관리하지 않기 때문입니다. 모든 중요한 응용 프로그램의 패치 및 테스트를 위해 전담 유지 관리 일정을 설정하십시오.

12. 내부 위협으로부터 데이터를 보호하세요

조직들이 외부 공격으로부터 네트워크를 보호하기 위해 예외적으로 많은 시간과 돈을 지출하고 있지만, 내부 위협은 데이터 노출의 주요 원인입니다.Netwrix 설문 조사에 따르면 내부 사건이 모든 공격의 60% 이상을 차지하며, 많은 내부 공격이 비즈니스 손실과 회사의 명성 손상을 두려워하여 보고되지 않는다고 합니다.

Insider threats come in two forms. An authorized insider threat is someone who misuses their rights and privileges, either accidentally, deliberately, or because their credentials were stolen. An unauthorized insider is someone who has connected to the network behind its external defenses. This could be someone who plugged into a jack in the lobby or a conference room, or someone accessing an unprotected wireless network connected to the internal network. Insider attacks can lead to data loss or downtime, so it’s as important to monitor activity in your network as closely as activity at the perimeter.

원격 액세스를 사용하는 내부자

재택근무를 하는 사용자가 증가함에 따라 기업 네트워크에 대한 원격 접근도 일반화되고 있습니다. 따라서 원격 연결을 안전하게 유지하는 것이 중요합니다. 원격으로 연결할 때 강력한 인증 프로세스가 필수적입니다. 또한 원격 네트워크 접근에 사용되는 장치가 적절하게 보호되는 것이 중요합니다. 게다가 원격 세션은 적절하게 기록되거나 심지어 비디오로 녹화되어야 합니다.

13. 데이터 보호를 위해 엔드포인트 보안 시스템을 사용하세요.

귀하의 네트워크 엔드포인트는 지속적인 공격을 받고 있으므로 엔드포인트 보안 인프라는 데이터 유출, 무단 프로그램 및 루트킷과 같은 고급 맬웨어로부터 보호하는 데 중요합니다. 모바일 장치의 사용이 증가함에 따라 네트워크 엔드포인트는 확장되고 점점 더 정의되지 않게 됩니다. 시스템 엔드포인트에 존재하는 자동화 도구는 맬웨어로 인한 피해를 완화하는 데 필수적입니다. 최소한 다음 기술을 사용해야 합니다:

안티바이러스 소프트웨어

모든 서버와 워크스테이션에 바이러스 백신 소프트웨어를 설치하고 최신 상태로 유지해야 합니다. 들어오는 파일을 적극적으로 모니터링하는 것 외에도, 소프트웨어는 정기적으로 검사를 수행하여 랜섬웨어와 같이 놓쳤을 수 있는 감염을 잡아야 합니다.

안티스파이웨어

안티 스파이웨어 및 안티 애드웨어 도구는 스파이웨어를 차단하거나 제거하도록 설계되었습니다. 스파이웨어는 사용자의 지식 없이 설치된 컴퓨터 소프트웨어입니다. 일반적으로 그 목표는 사용자의 행동에 대한 더 많은 정보를 알아내고 개인 정보를 수집하는 것입니다.

안티스파이웨어 도구는 안티바이러스 도구와 매우 유사하게 작동하며, 그 기능의 많은 부분이 겹칩니다. 일부 안티스파이웨어 소프트웨어는 안티바이러스 패키지와 결합되어 있으며, 다른 프로그램은 독립형 솔루션으로 제공됩니다. 어떤 유형의 보호를 사용하든, 정기적으로 스파이웨어를 찾아야 하며, 호스트에서 추적 쿠키를 식별하고 제거하는 방법으로 이를 수행할 수 있습니다.

팝업 차단기

팝업은 단순히 짜증나는 것 이상입니다. 보안 위협입니다. 팝업(팝 언더 포함)은 시스템에서 실행되는 원치 않는 프로그램을 나타내므로 시스템의 안전을 위협할 수 있습니다.

호스트 기반 방화벽

个人防火墙是安装在网络中每台计算机上的基于软件的防火墙。它们的工作方式与更大的边界防火墙非常相似：通过过滤某些数据包以防止它们离开或到达您的系统。许多人可能不会看到个人防火墙的必要性，特别是在拥有大型专用防火墙的企业网络中。然而，这些大型防火墙无法防止内部攻击，这些攻击与来自互联网的攻击不同，通常是由病毒发起的。与其禁用个人防火墙，不如根据您组织的需求配置标准个人防火墙，并将这些设置导出到其他个人防火墙中。

호스트 기반 침입 탐지 시스템 (IDSs)

호스트 IDS는 시스템 상태를 모니터링하고 예상대로인지 확인합니다. 대부분의 호스트 기반 IDS는 무결성 검증을 사용하며, 이는 맬웨어가 퍼질 때 일반적으로 호스트 프로그램이나 파일을 수정하려고 시도한다는 원칙에 따라 작동합니다. 무결성 검증은 알려진 깨끗한 상태에서 모니터링해야 할 파일의 '지문'(암호화 해시로 감지 가능)을 계산하여 예상치 못하게 수정된 시스템 파일을 확인하려고 합니다. 그런 다음 스캔을 수행하고 모니터링된 파일의 지문이 변경될 때 경고를 발행합니다.

그러나 무결성 검증은 사실 이후에만 맬웨어 감염을 감지하며 이를 방지하지는 않습니다.

14. 취약성 평가 및 사이버 보안 침투 테스트 수행

취약점 평가는 일반적으로 nmap, OpenVas 및 Nessus와 같은 포트 스캐너 및 취약점 스캐닝 도구로 구성됩니다. 이러한 도구는 외부 머신에서 환경을 스캔하여 열린 포트와 해당 서비스의 버전 번호를 찾습니다. 테스트 결과는 엔드포인트 시스템에 있어야 하는 알려진 서비스 및 패치 수준과 교차 참조할 수 있어 관리자가 시스템이 엔드포인트 보안 정책을 준수하고 있는지 확인할 수 있습니다.

침투 테스트는 시스템, 네트워크 또는 애플리케이션을 테스트하여 보안 취약점을 찾는 실습입니다. 또한 보안 정책, 준수 요구 사항 준수, 직원 보안 인식 및 보안 사고 탐지 및 대응을 테스트하는 데 사용할 수 있습니다. 이 과정은 자동화되거나 수동으로 수행될 수 있습니다. 어떤 방식이든 조직은 침투 테스트를 정기적으로 수행해야 합니다. 이상적으로는 연간 한 번 수행하여 보다 일관된 네트워크 보안 및 IT 관리를 보장해야 합니다.

다음은 보안 전문가들이 사용하는 주요 침투 테스트 전략입니다:

• 대상 테스트는 조직의 IT 팀과 침투 테스트 팀이 협력하여 수행합니다. 이는 모든 사람이 테스트가 수행되는 것을 볼 수 있기 때문에 때때로 "불이 켜진" 접근 방식이라고 불립니다.
• 외부 테스트는 회사의 외부에서 볼 수 있는 서버 또는 장치를 대상으로 하며, 도메인 서버, 이메일 서버, 웹 서버 및 방화벽을 포함합니다. 목표는 외부 공격자가 침입할 수 있는지와 얼마나 멀리 갈 수 있는지를 알아내는 것입니다.
• 내부 테스트은 표준 접근 권한을 가진 승인된 사용자가 방화벽 뒤에서 내부 공격을 수행합니다. 이러한 종류의 테스트는 일반 직원이 얼마나 많은 피해를 줄 수 있는지를 추정하는 데 유용합니다.
• 블라인드 테스트는 테스트를 수행하는 사람이나 팀에게 제공되는 정보를 심각하게 제한하여 실제 공격자의 행동과 절차를 시뮬레이션합니다. 일반적으로 침투 테스트 담당자에게는 회사 이름만 제공됩니다.
• 이중 맹검 테스트는 맹검 테스트를 한 단계 더 발전시킵니다: 조직 내에서 테스트가 진행되고 있다는 것을 아는 사람은 한두 명뿐입니다.
• 블랙 박스 테스트는 기본적으로 블라인드 테스트와 동일하지만, 침투 테스트 담당자는 테스트가 진행되기 전에 아무런 정보를 받지 않으며, 시스템에 접근하기 위해 스스로 방법을 찾아야 합니다.
• 화이트 박스(크리스탈 박스) 테스트침투 테스트 담당자에게 작업을 시작하기 전에 대상 네트워크에 대한 정보를 제공합니다. 이 정보에는 IP 주소, 네트워크 인프라 도면, 사용 중인 프로토콜 등이 포함될 수 있습니다.

넷윅스가 어떻게 도와줄 수 있나요

우리가 보았듯이, 데이터 보호는 많은 주제와 통제를 포함하고 있으며, 이는 모든 보안 팀에게 어려운 도전이 될 수 있습니다. Netwrix와 같은 선도적인 보안 회사와 협력하는 것은 성공과 실패 사이의 차이를 만들 수 있습니다.

Netwrix는 데이터 접근 거버넌스, 정보 거버넌스 및 랜섬웨어 보호를 위한 도구를 포함하여 포괄적인 데이터 보호 솔루션 세트를 제공합니다. 오늘 연락하여 Netwrix가 귀하의 민감한 데이터가 적절하게 보호되도록 도와줄 수 있는 방법에 대해 자세히 알아보세요.

평균적인 데이터 침해 사고는 현재 전 세계적으로 조직에 444만 달러의 비용을 초래하는 것으로, IBM's 2025 Cost of a Data Breach Report 라고 보고했습니다. 이 수치는 사고 대응, 법적 리스크, 규제에 따른 벌금 등 직접 비용은 반영하지만, 운영 차질, 평판 손상, 그리고 첫 번째 침해 이후에 이어질 수 있는 두 번째 침해의 위험이 누적되는 영향은 포함하지 않습니다.

대부분의 침해 사고는 견고하게 방어된 시스템에 대한 정교한 공격의 결과가 아닙니다. 수년 동안 조직이 반복해서 경고받아 온 동일한 취약점에서 비롯됩니다. 즉, 분류되지 않은 민감 데이터가 보안이 취약한 위치에 저장되어 있는 경우, 이를 생성했던 업무적 필요가 종료된 뒤에도 남아 있는 과도한 권한, 중요 시스템에 대한 모니터링되지 않은 변경, 그리고 패치되지 않은 취약점입니다. 이러한 격차를 메우는 제어 체계는 이미 잘 정립되어 있지만, 문제는 이를 일관되게 적용하는 데 있습니다.

이 가이드는 가장 중요한 데이터 보안 모범 사례 16가지를 다룹니다. 각 모범 사례가 무엇인지, 왜 효과가 있는지, 그리고 중견 기업이나 엔터프라이즈 환경에서 어떻게 구현하는지 설명합니다.

데이터 보안이란?

데이터 보안은 디지털 정보를 전체 라이프사이클 전반에 걸쳐 무단 접근, 무결성 손상(변조), 도난 또는 손실로부터 보호하기 위한 일련의 제어 체계, 정책, 기술을 의미합니다. 데이터의 생성과 저장부터 사용, 전송, 삭제에 이르기까지 모든 단계가 포함됩니다.

사람, 프로세스, 기술을 모두 포괄하며 데이터가 존재하는 위치와 무관하게 적용됩니다. 즉, 온프레미스 서버, 클라우드 환경, 엔드포인트 또는 데이터베이스 등 어디에 있든 해당됩니다.

데이터 보안은 사이버보안 및 데이터 프라이버시와 구분되지만 관련이 있습니다. 사이버보안은 디지털 공격으로부터 시스템, 네트워크, 프로그램을 보호하는 더 넓은 범주의 분야입니다. 데이터 프라이버시는 동의와 규제 의무에 근거해 개인 데이터의 적법한 수집, 사용, 보관을 관리합니다. 완전한 데이터 보호 프로그램에는 이 세 가지가 모두 필요하지만, 데이터 보안은 대부분의 일상적인 업무가 이루어지는 운영 계층입니다.

데이터 보안은 데이터 프라이버시와 구분되지만 관련이 있습니다. 데이터 보안은 통제 수단을 통해 데이터를 무단 액세스로부터 보호하는 반면, 프라이버시는 그 데이터가 어떻게 합법적으로 수집되고 사용되는지를 관리합니다.

데이터 보안이 중요한 이유는 무엇인가요?

강력한 데이터 보안 프로그램은 조직이 운영을 지속하고 규정을 준수하며, 비즈니스를 가능하게 하는 신뢰를 유지할 수 있도록 보호합니다.

재정적 위험은 측정 가능하며 계속 증가하고 있습니다

IBM 2025 Cost of a Data Breach Report에 따르면 전 세계 평균 유출 비용은 4.44백만 달러로, 사고 대응, 법적 위험, 규제 벌금, 통지 비용이 포함됩니다. 보안 인력이 더 적은 중견 기업의 경우 한 번의 사고가 미치는 재정적 영향은 복구에 사용할 수 있는 자원에 비해 종종 지나치게 큽니다.

규제 준수는 직접적인 법적 위험을 수반합니다

GDPR, CCPA, HIPAA compliance 및 PCI DSS는 개인정보 또는 규제 대상 데이터를 처리하는 조직에 대해 의무적인 보안 의무를 부과합니다. 준수를 입증하려면 문서화된 통제, 감사 기록, 지속적인 모니터링의 증거가 필요합니다. GDPR 벌금만으로도 전 세계 연간 매출의 4%까지 부과될 수 있습니다.

운영 연속성은 데이터 가용성에 달려 있습니다

랜섬웨어 사고에서의 복구는 몇 주가 걸릴 수 있으며 서비스 중단으로 인한 피해는 매출 손실과 고객 신뢰의 하락으로 측정됩니다. 탐지되지 않은 데이터 손상은 똑같이 치명적입니다. 조용히 변경된 데이터를 기반으로 돌아가는 운영은, 손상된 토대 위에 구축된 의사결정과 마주하게 됩니다.

평판 피해는 사건보다 오래 지속됩니다

고객 신뢰를 회복하는 데에는 기술적 복구보다 훨씬 더 오랜 시간이 걸립니다. 규제 산업에서의 침해 사고는 사건 이후 수개월 또는 수년 동안 영업 파이프라인, 고객 유지, 파트너 관계에 영향을 미칩니다. 이러한 비용은 침해 사고 추정치에 잘 나타나지 않으며, 보안 투자 의사결정에서도 일관되게 낮게 반영됩니다.

공격 표면이 확대되고 있습니다

원격 근무, 클라우드 도입, 모바일 기기 확산으로 인해 명확히 정의된 네트워크 경계가 여러 제공업체, 개인 기기, 제3자 통합까지 아우르는 분산 환경으로 대체되었습니다. 이 환경과 함께 진화하지 못한 데이터 보안 프로그램은 더 이상 존재하지 않는 경계를 지키고 있는 셈입니다.

데이터 보안 모범 사례 16가지

아래의 모범 사례는 기업의 데이터 보안 프로그램 전 범위를 다룹니다. 보유한 데이터가 무엇인지 파악하는 것부터 방어 체계가 실제로 유지되는지 테스트하는 것까지 포함합니다.

1. 민감 데이터를 식별하고 분류하기

효과적인 데이터 보안은 보유한 데이터의 유형과 데이터가 저장된 위치를 정확히 파악하는 것에서 시작됩니다. 데이터 검색 기술은 데이터 저장소를 스캔하고 결과를 보고합니다. 그다음 분류 프로세스를 통해 데이터를 범주로 정리합니다.

데이터 검색 엔진은 일반적으로 정규 표현식과 패턴 매칭을 사용하여 검색을 수행하므로, 구조화된 데이터와 비구조화된 데이터 전반에 대해 유연하게 대응할 수 있습니다.

데이터 검색 및 분류 기술을 사용하면 사용자가 중요 데이터를 액세스할 수 있는지 여부를 제어하고, 안전하지 않은 위치에 저장되는 것을 방지하여 부적절한 노출과 데이터 손실의 위험을 줄일 수 있습니다.

모든 중요 또는 민감 데이터를 분류를 나타내는 디지털 서명으로 라벨링하여, 그 가치에 따라 보호할 수 있도록 하세요.

데이터는 민감도와 가치에 따라 분류하세요. 일반적인 분류 체계에는 다음이 포함됩니다:

• 공개: 특별한 보호가 필요하지 않으며 자유롭게 공유할 수 있는 데이터.
• 개인 정보: 직원이 접근할 수 있지만 일반 대중으로부터 보호되어야 하는 데이터입니다.
• 기밀: 독점 정보 및 영업 비밀과 같이, 일부 지정 사용자에게만 공유될 수 있는 정보입니다.
• 제한: 의료 기록, 금융 정보, 그리고 개인정보 등 규정에 의해 보호되는 고도로 민감한 데이터입니다.

사용자가 데이터의 분류 수준을 부적절하게 변경하지 못하도록 통제를 마련하세요. 분류를 낮추면 데이터가 더 널리 이용 가능해지므로, 분류 하향은 지정된 사용자만 수행할 수 있어야 합니다.

자동 분류는 수동 방식이 일관되지 않고 오류가 발생하기 쉬운 ‘확장성’ 문제를 해결하며, 성숙한 컴플라이언스를 위한 데이터 분류 프로그램의 기반이 됩니다.

2. 데이터 사용 정책을 수립합니다

데이터 분류만으로는 충분하지 않습니다. 분류 수준별로 허용되는 액세스 유형, 데이터에 접근할 수 있는 조건, 액세스 권한을 보유한 주체, 적절한 사용에 해당하는 기준을 명시하는 정책도 필요합니다. 모든 정책 위반에는 명확하고 문서화된 결과가 뒤따라야 합니다.

조직의 목표와 적용되는 준수 규정을 이해하는 사람에게 소유권을 부여합니다. 정책을 모든 사용자에게 공지하고 일관되게 준수하도록 하며, 규정이나 데이터 환경이 변경되면 정기적으로 검토하세요.

3. 접근 통제를 구현합니다

적절한 접근 통제는 principle of least privilege 원칙에 따라 데이터에 대한 액세스를 제한합니다. 즉, 각 사용자는 자신에게 부여된 책임을 수행하는 데 반드시 필요한 권한만 부여받으며 그 이상은 부여받지 않습니다. 접근 통제는 세 가지 계층에 걸쳐 작동합니다.

관리적 통제

이는 모든 직원이 반드시 따라야 하는 절차와 정책입니다. security policy 에서는 허용되는 행위, 조직이 감수할 의사가 있는 위험 수준, 그리고 위반 시 적용되는 처벌을 명시합니다.

주요 구성 요소로는 감독 책임 체계(관리자가 소속 직원의 활동에 대해 책임을 지는 구조), 사용자에게 데이터 사용 정책을 교육하고 정기적으로 이해도를 강화하는 교육 프로그램, 그리고 퇴사하는 직원이 IT 인프라에 즉시 대한(접근) 권한을 상실하도록 보장하는 효과적인 직원 퇴직(해고/퇴사) 절차가 포함됩니다.

Active Directory 그룹과 같은 역할 기반 액세스 제어(role-based access control, RBAC)를 사용하는 모든 애플리케이션에 접근 통제를 적용하세요.

기술적 통제

이 규칙은 데이터가 어떻게 저장되는지, 그리고 누가 그 데이터에 접근할 수 있는지에 대해 정합니다. 대부분의 경우 사용자는 민감한 데이터를 로컬에 복사하거나 저장해서는 안 됩니다. 대신 원격으로 데이터를 처리하세요. 사용자가 로그오프하거나 세션이 종료되면 클라이언트와 서버 모두에서 캐시를 철저히 비우세요.

최소 권한 원칙에 따라 사용자 권한을 적용하세요. 전체 제어(Full Control), 수정(Modify), 읽기 및 실행(Read and Execute), 읽기(Read), 쓰기(Write) 권한은 역할 요구사항에 엄격히 맞춰서만 부여되어야 합니다.

접근 제어 목록(ACLs)은 누가 어떤 리소스에 어떤 수준으로 접근할 수 있는지를 정의하며, 화이트리스트(허용 항목) 또는 블랙리스트(금지 항목)에 기반할 수 있습니다.

Microsoft Windows에서는 NTFS permissions 가 파일 시스템 수준에서 설정되며, 대부분의 ACL 구현의 기반이 됩니다.

일부 보안 장치는 데이터 접근을 추가로 제한합니다:

• 데이터 유출 방지(Data Loss Prevention, DLP) 시스템은 워크스테이션, 서버, 네트워크를 모니터링하여 민감한 데이터가 권한 없이 삭제되거나 제거, 이동 또는 복사되지 않도록 보장하고, 해당 데이터를 누가 전송하는지 추적합니다.
• 방화벽 은(는) 한 네트워크를 다른 네트워크로부터 격리하여, 원치 않는 트래픽이 조직의 네트워크에 유입되는 것을 차단하고, 권한이 없는 제3자 서버로의 데이터 유출을 막습니다.
• 네트워크 접근 제어(Network Access Control, NAC) 는 보안 정책을 준수하는 엔드포인트 장치에만 네트워크 리소스의 사용 가능성을 제한하여, 권한이 없는 장치가 데이터를 직접 액세스하는 것을 방지합니다.
• 프록시 서버 는 클라이언트 소프트웨어가 다른 서버의 리소스를 요청할 때 중개 역할을 하며, 요청을 평가하고 필터링하여 인터넷을 통해 민감한 데이터에 대한 액세스를 제한합니다.

물리적 통제

물리적 통제는 자주 간과되지만, 방치할 경우 완전한 침해로 이어질 수 있습니다. 모든 워크스테이션이 구역 밖으로 반출될 수 없도록 잠금 처리하세요. 하드 드라이브가 제거되지 않도록 컴퓨터 케이스를 잠그십시오.

UEFI Secure Boot를 활성화하고, BitLocker 사전 부팅 인증과 함께 TPM 2.0을 구성하여 공격자가 승인되지 않은 운영 체제로 부팅하거나 이동식 미디어에서 디스크 콘텐츠에 접근하는 것을 방지하십시오.

VPN 또는 SSH 연결 없이 공용 Wi‑Fi를 사용하지 마십시오. 민감한 데이터에 접근할 수 있는 모바일 기기는 복잡한 암호를 요구하고, 다른 엔드포인트와 동일한 액세스 제어 및 보안 소프트웨어를 사용해야 합니다.

네트워크 세분화는 네트워크를 기능별 영역으로 나누고, 각 영역에 서로 다른 데이터 분류 규칙과 보안 수준을 할당합니다. 세분화를 통해 보안 사고로 인한 잠재적 피해를 단일 영역으로 제한하여, 공격자가 각 세그먼트를 개별적으로 침해하도록 강제합니다. 이 과정은 탐지 노출 가능성을 크게 높입니다.

4. 변경 관리와 데이터베이스 감사를 구현하세요

모든 데이터베이스 및 파일 서버 활동을 추적하는 것은 기본적인 보안 통제입니다. 민감한 정보와 관련 권한에 대한 접근 및 변경 사항을 모니터링하면, 무단 활동을 탐지하고 사고를 조사하며 준수 여부를 입증하는 데 필요한 과거 관점의 가시성을 확보할 수 있습니다.

보안 감사를 위해 로그인 활동을 최소 1년 이상 보관하세요. 실패한 로그인 시도 횟수가 최대 허용 횟수를 초과한 계정을 자동으로 정보보안 관리자에게 보고하여 조사를 진행합니다.

과거 정보를 활용해 어떤 데이터가 민감한지, 어떻게 사용되고 있는지, 누가 사용하고 있는지, 그리고 어디로 이동하는지를 파악하면 정확하고 효과적인 정책을 수립하는 데 도움이 되며, 그동안 알려지지 않았던 위험을 발견할 수 있습니다.

5. 데이터 암호화를 사용하세요

암호화는 가장 기본적인 데이터 보안 통제 중 하나입니다. 휴대용 기기에서든 네트워크 전송 중이든, 중요 비즈니스 데이터는 저장 시와 전송 중 모두 암호화하십시오.

어떤 종류의 민감한 데이터를 저장하는 휴대형 시스템은 암호화된 디스크 솔루션을 사용해야 합니다. 중요하거나 독점적인 정보를 포함한 데스크톱 시스템의 하드 드라이브를 암호화하면, 물리적 장치가 도난당하더라도 필수 데이터가 보호됩니다.

Windows 시스템에서는 BitLocker가 전체 디스크 암호화를 제공하며, 관리되는 장치에서 저장 중인 데이터를 보호하기 위한 Microsoft의 권장 방식입니다.

Microsoft Purview Information Protection은 민감도 레이블에 따라 파일과 이메일까지 암호화를 확장하여, 데이터와 함께 이동하는 액세스 제어를 적용합니다.

암호화 파일 시스템(Encrypting File System, EFS)은 Windows에서 계속 사용할 수 있지만, 대부분의 환경에서는 더 이상 권장되는 방식이 아닙니다.

권한이 없는 사용자는 "액세스 거부" 오류를 받습니다. BitLocker는 EFS를 보완하여 Windows 기기에 저장된 데이터에 대한 추가 보호 계층을 제공함으로써, 분실 또는 도난된 기기를 보호하고 장치를 폐기할 때 안전한 데이터 삭제를 제공합니다.

Trusted Platform Module (TPM)를 통한 하드웨어 기반 암호화는 소프트웨어 기반 암호화에 더해 적용할 수 있습니다. TPM 칩은 암호화 키, 비밀번호 또는 인증서를 저장하며, BitLocker 같은 전체 디스크 암호화 솔루션을 위한 해시 키 생성에 도움을 줄 수 있습니다.

6. 제로 트러스트 원칙을 적용하세요

기존의 방화벽(주변) 기반 보안은 네트워크 내부 사용자는 신뢰할 수 있다고 가정합니다. 제로 트러스트는 이러한 가정을 제거합니다. 액세스를 허용하기 전에 요청의 출처와 무관하게 모든 액세스 요청을 인증하고, 권한을 부여하며, 지속적으로 검증하십시오.

데이터 보안에 제로 트러스트를 적용한다는 것은 네트워크 주변부만이 아니라 데이터 계층에서 검증을 요구한다는 의미입니다. 확인된 신원, 장치 상태, 그리고 상황(컨텍스트)을 기반으로 액세스를 부여하십시오.

민감한 데이터에 대한 상시 액세스를 just-in-time access 로 대체하되, 만료되는 권한만 부여하세요. 마이크로 세그멘테이션으로 측면 이동을 제한합니다. 근본 원칙은 신뢰가 항상 일방적으로 얻어지는 것이 아니며 지속적으로 재평가되어야 한다는 점입니다.

Microsoft 환경을 운영하는 조직의 경우 제로 트러스트 구현은 일반적으로 모든 액세스 경로에서 MFA를 강제하고, Entra ID에서 조건부 액세스 정책을 배포하며, 지속적인 관리자 권한이 아니라 시간 제한이 있는 권한 상승(time-limited elevation)으로 특권 액세스를 관리하는 것을 포함합니다.

7. Data Security Posture Management (DSPM) 구현

Data security posture management (DSPM)는 클라우드 및 온프레미스 환경 전반에 걸쳐 데이터의 보안 태세를 지속적으로 발견하고, 분류하며, 평가합니다. 과도하게 노출되었거나 잘못 구성되었거나 충분히 보호되지 않은 민감한 데이터를 식별하고, 대응(개선) 가이드를 제공합니다.

기존의 데이터 보안 도구가 IT가 알고 있는 범위에서 작동한다면, DSPM은 데이터 환경 전체를 대상으로 작동합니다. 여기에는 아직 한 번도 인벤토리(목록)로 파악된 적 없는 데이터, 일반적인 IT 프로세스 밖에서 프로비저닝된 클라우드 리포지토리, 그리고 부적절한 액세스 제어가 적용된 위치로 흘러들어간(드리프트한) 민감한 데이터가 포함됩니다.

하이브리드 환경을 운영하는 조직의 경우, Data Security Posture Management는 개별(포인트) 도구가 남기는 가시성 격차를 메워줍니다.

Netwrix Access Analyzer는 민감한 데이터 검색, 분류, 데이터 액세스 거버넌스, 위험 우선순위 지정을 단일 솔루션으로 통합한 엔터프라이즈 Data Security Posture Management 기능을 제공합니다. 과도한 권한을 식별하고, 민감한 데이터에 대한 공개 액세스를 탐지하며, 파일 서버, SharePoint 및 기타 데이터 저장소 전반에서 고위험 권한 구성까지 드러냅니다.

8. 보안이 강화된 클라우드 데이터 환경

클라우드 환경은 온프레미스 도구와 프로세스로는 충분히 해결할 수 없는 고유한 데이터 보안 과제를 도입합니다. 예를 들어, 공유 인프라, API를 통해 접근 가능한 공격 표면, 관리되지 않는 데이터 저장소를 만들어내는 빠른 프로비저닝, 그리고 서비스 모델에 따라 달라지는 공급자 의존형 통제가 있습니다.

주요 클라우드 데이터 보안 모범 사례에는 다음이 포함됩니다.

• 마이그레이션 전에 데이터를 분류하여 무엇이 이동되는지, 어떤 보호가 필요한지 파악합니다.
• 온프레미스 계정에 적용하는 것과 동일한 엄격함으로 클라우드 IAM 역할에 대해 최소 권한을 강제합니다.
• 모든 클라우드 워크로드에 대해 저장 데이터와 전송 중 데이터 모두 암호화합니다.
• 주기적으로가 아니라 지속적으로 잘못된 구성(오구성)을 모니터링합니다.
• 서비스 계약서에 데이터 소유, 저장 위치, 삭제 의무가 명확히 정의되어 있는지 확인합니다.

클라우드 서비스 제공업체를 선택한다고 해서 규정 준수 의무가 이전되지는 않습니다. 클라우드 기반 애플리케이션과 서비스가 규제 요구 사항을 지속적으로 충족하도록 보장하는 책임은 귀하의 조직에 그대로 남아 있습니다.

신뢰할 수 있는 제공업체는 ISO 27001 및 SOC 2와 같은 인증을 보유하고, 독립적인 감사를 받을 것에 동의합니다. 제공업체에 계약하기 전에 이를 확인하세요.

9. 데이터를 백업하세요

중요한 비즈니스 자산을 중복으로 확보해 중복성을 제공하고 백업 역할을 하게 하세요. 보안 관점에서 백업 유형은 크게 세 가지가 있습니다:

• 전체: 모든 데이터가 아카이브됩니다. 시간이 많이 걸리고 리소스를 많이 사용하며, 서버 성능에 큰 영향을 줍니다.
• 차분: 마지막 전체 백업 이후의 모든 변경 사항이 아카이브됩니다. 전체 백업보다 영향이 적습니다.
• 증분: 어떤 유형이든 마지막 백업 이후의 모든 변경 사항이 아카이브됩니다.

조직은 일반적으로 조합을 사용합니다. 고정된 주기로 전체 백업을 수행하고, 그 사이에는 차분 또는 증분 백업을 진행합니다. 시스템이 전체 백업 직후에 실패하면 그 백업에서 복원하고, 더 나중에 실패하면 조합을 사용합니다.

어떤 백업 전략을 선택하든, 테스트 머신에 백업 데이터를 복원해 정기적으로 테스트하십시오. 화재나 하드웨어 장애와 같은 물리적 재해에 대비해 백업을 여러 지리적 위치에 저장하여 복구 가능성을 높이세요. 민감한 데이터를 포함하는 모든 백업은 암호화하십시오.

10. 랜섬웨어에도 견디는 백업 아키텍처 구축

백업은 공격자가 백업에 도달할 수 없을 때에만 복구 보장을 제공합니다. 랜섬웨어 운영자는 암호화를 배포하기 전에 복구 지점을 정기적으로 찾아 파괴하므로, 손상된 관리자 계정이 삭제할 수 있는 백업은 신뢰할 수 있는 통제가 아닙니다.

현재의 표준은 3-2-1-1-0 규칙입니다. 즉, 데이터 사본 3개를 서로 다른 2가지 매체에 저장하고, 사본 1개는 원격지(offsite)에 두며, 사본 1개는 변경 불가능(immutable) 또는 air-gapped 상태로 유지하고, 정기적인 복원 테스트를 통해 오류 0건을 확인합니다.

불변(immutable) 스토리지는 Write Once Read Many (WORM) 제어를 사용하여, 보관 기간이 정의되어 있는 동안(심지어 권한이 있는 계정이라도) 수정 또는 삭제를 방지합니다.

하이브리드 환경에서는 클라우드 계층 백업에 대해 S3 Object Lock을 compliance 모드로 활성화하거나 Azure immutable blob storage를 사용하고, 온프레미스에서는 강화된 Linux 저장소 또는 용도에 맞게 제작된 불변(immutable) 어플라이언스를 배포하여 이를 구현합니다.

백업 플레인은 운영 환경과 분리된 별도의 identity store에서 실행하고, 모든 백업 콘솔에 피싱 방지(피싱 내성) MFA를 요구하며, 백업 관리는 전용 권한 역할에만 제한하세요. 백업을 실제로 필요하기 전에 사용할 수 있는지 확인하려면 격리된 환경에서 분기마다 복구를 테스트하십시오.

11. 비(非)인간 ID 및 비밀(시크릿) 관리

대부분의 엔터프라이즈 환경에서 서비스 계정, API 키, OAuth 토큰, CI/CD 파이프라인 자격 증명, 인증서, 클라우드 IAM 역할이 인간 계정 수를 이제 더 많이 차지하며, 이러한 계정/자격은 사람 계정 침해를 탐지할 수 있게 해주는 행동 신호 없이도 권한을 보유합니다.

OWASP 2025 Non-Human Identities Top 10은 가장 흔한 실패 유형을 정리합니다. 즉, 부적절한 퇴사(오프보딩), 시크릿 유출, 과도한 권한을 가진 서비스 계정, 그리고 환경 간 자격 증명 재사용입니다.

대부분의 non-human identities (NHIs) 는 정적이고 장기간 유지되는 자격 증명을 사용하며, 이를 전혀 교체하지 않고(로테이션하지 않고) 소스 코드나 구성 파일에 포함되어 있습니다. 또한 해당 사용에 대해 책임질 담당 소유자가 없습니다.

HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, 또는 GCP Secret Manager와 같은 전용 보관소(vault)에 비밀 저장소를 집중화하세요. 소스 코드, 컨테이너 이미지, CI/CD 구성에서 하드코딩된 자격 증명을 제거하십시오.

가능한 경우 워크로드 ID 페더레이션(workload identity federation) 또는 OIDC 신뢰(OIDC trust)를 사용해 정적 자격 증명을 짧은 수명의 동적으로 생성되는 토큰으로 교체하세요. 온프레미스와 클라우드 테넌트 전반에 걸친 NHI 목록(인벤토리)을 유지하고, 각 항목에 사람(인간) 소유자를 지정한 뒤, 애플리케이션이 퇴역하면 토큰 회전(rotation)과 비활성화(deprovisioning)를 자동화하십시오.

12. 시스템을 강화하세요

민감한 데이터를 설령 일시적으로라도 저장할 수 있는 모든 기술은, 해당 기술이 접근할 수 있는 정보의 유형에 따라 적절하게 보안이 설정되어야 합니다. 첫 번째 단계는 운영 체제가 가능한 한 안전하게 구성되었는지 확인하는 것입니다.

• 운영 체제 기준선: 대부분의 운영 체제는 기본적으로 불필요한 서비스를 실행하여 공격자가 시스템에 침투할 수 있는 추가 경로를 제공합니다. 직원이 업무를 수행하는 데 꼭 필요한 프로그램과 리스닝 서비스만 활성화하세요. 업무 목적이 없는 항목은 모두 비활성화하십시오. 일반 직원용 보안 기준선 OS 이미지를 만들어 구성 변경(구성 드리프트)을 줄이고, 예외 관리의 출발점으로 삼으세요.
• Windows: NTLMv1을 비활성화하고 NTLMv2 또는 Kerberos 전용 인증만 사용하도록 강제하세요. SMBv1을 비활성화하고 SMB 서명을 강제하세요. 하드닝 기준선으로 CIS 벤치마크 또는 DISA STIG를 적용하세요. 중요 시스템 이벤트에 대한 로깅을 활성화하세요.
• Linux: 불필요한 서비스와 포트를 비활성화하고, "r commands"에서 사용되는 신뢰 인증을 비활성화하며, 불필요한 setuid 및 setgid 프로그램을 비활성화하고, 꼭 필요한 사용자만 사용하도록 사용자 계정을 재구성하세요.
• 웹 서버: 비즈니스에 필요한 트래픽만 허용하세요. 사용자에게 작업에 필요한 권한만 부여되도록 보장합니다. 배포 전에 모든 실행 가능한 스크립트를 철저히 테스트하고 디버그하며 승인하세요.
• 이메일 서버: 이메일 서버에 실시간(액티브) 안티바이러스 스캐너를 추가하여 네트워크로 유입되는 바이러스를 줄이세요. Exchange 메일 스토어의 경우에는 피싱 및 기타 사회공학 공격을 탐지할 수 있는 전용 이메일 안티바이러스 스캐너를 사용합니다.
• FTP 서버: FTP는 본질적으로 안전하지 않습니다. 많은 FTP 시스템이 자격 증명을 암호화하지 않고 전송합니다. 파일 전송용으로 별도의 드라이브 또는 하위 디렉터리를 생성하세요. 가능하면 VPN 또는 SSH 연결을 사용합니다. 익명 액세스를 비활성화하세요. 가장 효과적인 방법은 FTP를 완전히 없애고 SFTP로 교체하는 것입니다.

13. 적절한 패치 관리 전략을 구현하세요

운영체제와 애플리케이션 모두에 대한 패치 전략을 수립하세요. IT 환경에 있는 모든 애플리케이션 버전이 최신 상태인지 보장하는 작업은 번거로울 수 있지만, 데이터 보호를 위해 필수입니다.

보안을 보장하는 가장 좋은 방법 중 하나는 자동 백신 및 시스템 업데이트를 활성화하는 것입니다. 중요 인프라의 경우, 배포 전에 패치를 충분히 테스트하여 기능에 영향을 주지 않으며 새로운 취약점을 유발하지 않는지 확인하세요.

운영체제 패치 관리

운영체제 패치에는 세 가지 유형이 있으며, 각각 긴급도 수준이 다릅니다:

1. Hotfix: 즉시 그리고 긴급하게 적용해야 하는 수정으로, 보통 심각한 보안 문제를 해결합니다. 이는 선택 사항이 아닙니다.
2. Patch: 추가 기능을 제공하거나 긴급하지 않은 수정 사항을 적용합니다. 때로는 선택적으로 제공될 수 있습니다.
3. Service pack: 현재까지의 업데이트와 패치 전체 세트입니다. 항상 적용하세요.

운영(프로덕션)에 적용하기 전에 모든 업데이트를 테스트하여 문제가 발생하지 않는지 확인하세요.

애플리케이션 패치 관리

애플리케이션을 정기적으로 업데이트하고 패치를 적용하는 것 또한 필요합니다. 애플리케이션에서 취약점이 발견되면 공격자는 이를 악용해 시스템에 대한 접근을 얻거나 시스템을 손상시킬 수 있습니다. 대부분의 벤더는 패치를 정기적으로 배포하므로, 새로운 패치가 있는지 수시로 확인해야 합니다.

오늘날 많은 공격이 고객사의 패치 적용을 항상 효과적으로 관리하지 못하는 경우가 많다는 단순한 이유로 클라이언트 시스템을 표적으로 삼습니다. 모든 중요 애플리케이션에 대해 패치 적용과 테스트를 수행할 수 있도록 전용 유지보수일을 지정하세요.

14. 내부 위협에 대비하기

조직이 외부 공격으로부터 네트워크를 보호하기 위해 상당한 자원을 투입하는 동안,내부 위협 은 데이터 노출의 주요 원인으로 남아 있습니다. 내부 위협은 두 가지 형태로 나타납니다. 권한이 있는 내부자는 실수로든 고의로든, 또는 자신의 자격 증명이 도난당했기 때문에 자신의 권리와 특권을 남용하는 사람입니다.

무단 내부자는 외부 방어를 통과해 네트워크에 연결한 사람을 말합니다. 예를 들어 로비의 잭에 직접 연결한 사람, 또는 내부 네트워크에 연결된 보호되지 않은 무선 네트워크에 접속하는 사람입니다.

내부 활동을 방화벽 주변 활동만큼 엄격하게 모니터링하세요. 사용자가 점점 더 원격으로 업무를 수행함에 따라 원격 연결을 확보하는 일도 똑같이 중요합니다. 모든 원격 연결에 대해 강력한 인증을 요구하세요. 원격 네트워크 액세스에 사용되는 장치를 적절히 보안하세요. 모든 원격 세션을 로깅하세요.

15. 엔드포인트 보안 시스템을 사용하세요

네트워크 엔드포인트는 지속적으로 공격을 받고 있으며, endpoint security 인프라는 데이터 유출, 무단 프로그램, 그리고 advanced malware 로부터 보호하는 데 매우 중요합니다. 모바일 기기 사용이 증가하면서 네트워크 엔드포인트는 확대되고 범위가 점점 더 불명확해지고 있습니다.

최소한 다음을 배포하세요:

• 백신 소프트웨어 는 모든 서버와 워크스테이션에 설치하고 최신 상태로 유지해야 합니다. 유입되는 파일을 적극적으로 모니터링하는 것 외에도, 랜섬웨어를 포함해 보안 조치를 피해 들어올 수 있는 감염을 발견하기 위해 정기적으로 스캔을 수행해야 합니다.
• 안티 스파이웨어 도구 는 스파이웨어를 차단하거나 제거합니다. 스파이웨어는 사용자의 동의나 인지 없이 설치되어 개인 정보 수집 또는 행위(행동) 모니터링을 수행하는 소프트웨어입니다. 호스트에서 추적 쿠키(tracking cookies)를 포함해 스파이웨어를 정기적으로 검사(스캔)하세요.
• 호스트 기반 방화벽 은 네트워크의 각 컴퓨터에 설치하는 소프트웨어 기반 방화벽입니다. 패킷을 필터링하여 시스템을 벗어나거나 시스템에 도달하는 것을 방지합니다. 대규모 외곽(퍼리미터) 방화벽은 일반적으로 외부 침입이 아니라 바이러스에 의해 수행되는 내부 공격을 막을 수 없습니다. 조직의 필요에 맞게 표준 개인 방화벽을 구성하고, 해당 설정을 환경 전반에 걸쳐 내보내(적용)세요.
• 호스트 기반 침입 탐지 시스템(IDS) 은 시스템 상태를 모니터링하고, 실제 상태가 예상한 대로인지 확인합니다. 대부분 무결성 검증(integrity verification)을 사용합니다. 즉, 알려진 정상 상태에서 모니터링할 파일의 암호학적 해시(cryptographic hashes)를 계산한 다음, 변경 사항을 스캔하고 모니터링 중인 파일의 지문(fingerprint)이 바뀌면 경고를 발생시키는 방식입니다.

16. 취약점 평가 및 침투 테스트를 수행합니다

정기적인 테스트를 통해 보안 제어가 의도한 대로 실제로 작동하는지 확인할 수 있습니다. 취약점 평가는 nmap, OpenVAS, Nessus 같은 포트 스캐너 및 스캐닝 도구를 사용해 외부 머신에서 환경을 스캔하면서 열려 있는 포트 와 실행 중인 서비스의 버전 번호를 찾습니다.

결과는 알려진 취약점 및 예상 패치 수준과 대조해, 엔드포인트 시스템이 보안 정책을 준수하고 있는지 확인할 수 있습니다.

침투 테스트 는 한 단계 더 나아가, 보안 취약점을 찾아 악용하기 위해 시스템, 네트워크 또는 애플리케이션을 적극적으로 테스트합니다. 또한 보안 정책을 테스트하고, 규정 준수 여부를 평가하며, 직원의 보안 인식 수준을 점검하고, 사고 탐지 및 대응을 시험할 수도 있습니다.

침투 테스트는 최소한 연 1회 수행하세요. 보안 전문가들이 사용하는 주요 전략은 다음과 같습니다:

• 표적 테스트: 조직의 IT 팀과 테스트 팀이 협업하여 수행합니다. 때로는 "lights on" 접근 방식이라고도 합니다.
• 외부 테스트: 외부에서 노출된 서버와 장비를 대상으로, 외부 공격자가 침투할 수 있는지와 어느 정도까지 침투할 수 있는지 판단합니다.
• 내부 테스트: 표준 액세스 권한을 가진 승인된 사용자가 방화벽 뒤에서 내부 공격을 수행하며, 잠재적인 내부자 피해 규모를 추정하는 데 유용합니다.
• 블라인드 테스트: 테스트 팀에 제공되는 정보를 크게 제한하여(보통 회사 이름만 제공) 실제 공격자를 시뮬레이션합니다.
• 더블 블라인드 테스트: 블라인드 테스트를 한층 더 발전시킨 형태로, 테스트가 진행 중이라는 사실을 조직 내에서 1~2명만 알고 있습니다.
• 블랙박스 테스트: 침투 테스터는 테스트 전에 어떠한 정보도 제공받지 않으며, 스스로 방법을 찾아 침투해야 합니다.
• 화이트 박스 테스트: 테스트가 시작되기 전에 테스터에게 대상 네트워크에 대한 정보(IP 주소, 인프라 도식, 프로토콜)를 제공합니다.

Netwrix가 데이터 보안을 지원하는 방법

민감한 데이터를 식별하고, 누가 접근할 수 있는지 관리하며, 환경 전반에서 어떤 변화가 있었는지에 대한 명확한 기록을 유지하는 것은 대부분의 데이터 보안 프로그램이 얻을 수 있는 바가 가장 큰 세 가지 실천입니다. 또한 수동 방식은 지속적으로 한계를 드러냅니다.

Netwrix Access Analyzer 파일 서버, SharePoint 및 기타 데이터 저장소 전반에서 민감 데이터를 발견하고 분류하며, 누가 해당 데이터에 접근할 수 있는지 파악하고, 위험을 초래하는 과도한 권한과 무제한(오픈) 액세스 구성 여부를 식별합니다. 또한 조직이 사후 대응형 사고 대응에서 선제적 위험 감소로 전환하는 데 필요한 데이터 보안 포스처 관리 기능을 제공합니다.

Netwrix Auditor Active Directory, 파일 서버, Microsoft 365 및 기타 시스템 전반에서 발생한 변경 사항을 검색 가능한 '변경 전/후' 형태로 가시화하여, 컴플라이언스 프레임워크가 요구하고 조사 담당자가 필요로 하는 감사(감사 추적) 로그를 생성합니다. 또한 네이티브 로그가 불완전하더라도 그 로그를 뒤질 필요 없이, 보안 팀이 무엇이 일어났는지, 누가 수행했는지, 언제 발생했는지 이해할 수 있는 맥락을 제공합니다.

데모를 요청하세요 Netwrix가 하이브리드 환경 전반에서 민감한 데이터를 조직이 찾아내고, 분류하고, 관리(거버넌스)하는 방법을 확인해 보세요.