사무실 네트워크 보안, 최소한 뭘 해야 하나요?

점검 항목과 확인 방법

보안은 새 장비를 사는 일이 아니라 열려 있는 문을 닫는 일에서 시작합니다. 아래 다섯 가지는 추가 비용 없이 설정만으로 되는 항목이고, 실제 사고 대부분이 이 중 하나가 빠진 곳에서 납니다.

쓰지 않는 것을 끄는 것도 보안입니다

예전에 잠깐 쓰려고 열어 둔 포트포워딩, 퇴사자 계정, 테스트용 공유폴더가 그대로 남아 있는 경우가 많습니다. 이런 항목은 아무도 관리하지 않기 때문에 가장 먼저 노려집니다. 반기에 한 번 목록을 열어 필요 없는 것을 지우는 것만으로도 노출면이 크게 줄어듭니다.

다섯 가지가 각각 막는 길

다섯 항목은 임의로 고른 것이 아니라 사고가 들어오는 길에 하나씩 대응합니다. 외부에서 열린 포트로 직접 들어오는 길, 와이파이를 통해 내부망에 붙는 길, 이미 감염된 PC 나 USB 가 내부에서 옆으로 퍼지는 길, 그리고 다 막지 못했을 때 복구하는 길입니다.

공유기 관리자 비밀번호와 펌웨어 업데이트는 첫 번째 길을 좁힙니다. 공장 초기 비밀번호와 오래된 펌웨어는 자동화된 공격 도구가 가장 먼저 시도하는 조합입니다. 게스트망 분리는 두 번째 길입니다. 손님 스마트폰이 회사 NAS 와 같은 망에 있으면 그 폰 하나가 내부 입구가 됩니다. 포트 개방 최소화와 VPN 은 첫 번째 길을 아예 닫는 조치입니다.

백업은 앞의 넷과 성격이 다릅니다. 막는 것이 아니라 뚫렸을 때 돌아올 자리를 만드는 일입니다. 랜섬웨어는 파일을 암호화하고 돈을 요구하는데, 최근 사본이 안전한 곳에 있으면 요구에 응할 이유가 없어집니다.

비용 없이 되는 것부터 하는 순서

다섯 가지를 한꺼번에 하려면 부담스럽습니다. 순서를 나누면 첫째는 오늘 바로 되는 것입니다. 공유기 관리자 비밀번호 변경, 와이파이 비밀번호를 길고 추측하기 어려운 것으로 교체, 장비 펌웨어 업데이트입니다. 돈이 들지 않고 30분이면 됩니다.

둘째는 설정을 바꾸는 것입니다. 게스트망을 켜서 손님과 개인 기기를 분리하고, 공유기의 포트포워딩 목록을 열어 지금 쓰지 않는 항목을 지웁니다. 원격 접속이 꼭 필요하면 공유기나 NAS 의 VPN 기능을 켜고 열어 둔 포트를 닫습니다.

셋째는 투자가 필요한 것입니다. NAS 와 PC 의 백업 체계입니다. 여기서부터는 자료량과 복구 목표에 따라 구성이 달라지므로 상담이 필요합니다. 앞의 둘을 먼저 해 두면 셋째를 준비하는 동안에도 위험이 크게 줄어 있습니다.

다 했는데도 뚫리는 실수

항목은 다 했다고 하는데 실제로는 구멍이 남아 있는 경우가 흔합니다. 와이파이 비밀번호는 바꿨지만 사무실 벽에 붙여 두어 방문자가 다 찍어 가는 경우, NAS 를 밖에서 쓰려고 포트포워딩으로 열어 두고 VPN 은 만들어만 놓은 경우, 백업을 같은 NAS 의 다른 폴더에 두어 랜섬웨어에 원본과 사본이 함께 잠기는 경우가 대표적입니다.

퇴사자 계정도 자주 남습니다. NAS 와 공유기, 원격 접속 계정은 사람이 나갈 때 같이 지우는 절차를 만들어 두는 것이 좋습니다. 기술보다 습관의 문제이고, 점검 문서에 이 항목을 넣어 두면 잊지 않게 됩니다.