1.7. 보안을 마지막 보루로 여기지 말것
시스템이 실행되는 환경에 상관없이, 보안을 당연시 여겨서는 안됩니다. 인터넷에 연결되지 않은 독립된 시스템도 침입의 위험이 있다는 사실을 염두하시기 바랍니다. (물론 외부 인터넷에 연결된 시스템과는 다른 종류의 위험이 존재합니다).
따라서 모든 작업을 수행시 항상 보안을 먼저 생각하셔야 합니다. 다음에서는 보안과 관련하여 고려해야할 사항을 정리해보았습니다:
자신의 관리하에 있는 각 시스템에서 발생가능한 침입 유형
시스템의 위치, 유형 및 저장된 자료의 중요도
이 시스템으로 접속이 인가된 사용자 및 접속 빈도
침입자가 오직 회사 외부에서만 공격을 시도할 것이라고 추측하신다면 큰 실수입니다. 실제로 많은 경우 침입자는 회사 내부 사람이었던 것으로 밝혀졌습니다. 따라서 다음에 사무실 주변을 걷게될 경우 여러분 주위의 사람들을 둘러보며 스스로 이러한 질문을 해보십시오:
만일 저 사람이 회사 시스템 보안을 뒤엎어버리려고 시도한다면 어떠한 결과가 초래될 것인가?
 | 알림 |
|---|---|
이러한 질문을 한다고 해서 회사 동료를 모두 범죄자처럼 취급하라는 얘기는 결코 아닙니다. 단지 각 개인이 수행할 수 있는 작업 유형을 살펴보고 그 사람이 자신의 위치를 이용하여 어떠한 유형의 보안 침입이 가능한지 판단하시길 바랍니다. |
1.7.1. 사회 공학적(Social engineering) 칩입 수법
대다수의 시스템 관리자는 보안을 생각시 먼저 기술적인 측면을 중점적으로 살피게 됩니다. 그러나 종종 기술적인 요소가 아닌 인적 요소로 인한 보안 침해가 발생하기도 합니다.
경우에 따라서 기술적 접근 제어 방식을 전혀 거치지 않은채 오직 인간적인 요소만 사용하여 보안 침해를 당하는 경우가 있습니다. 이러한 것을 사회 공학적(social engineering) 침입 수법이라고 부릅니다. 이러한 공격의 예를 들자면:
두번째 교대 근무 중인 교환원이 외부에서 걸려온 전화를 받습니다. 전화를 건 사람은 자신이 회사의 CFO (CFO의 이름과 기본 정보를 회사 웹사이트의 "관리팀" 페이지에서 알아냈습니다)라고 소개합니다.
발신자는 현재 자신이 지구 반바퀴 떨어진 먼 외국에서 전화를 하고 있다고 이야기합니다. (아마 이러한 정보는 완전히 꾸며낸 이야기일 수도 있고, 또는 회사 웹페이지에 CFO가 박람회에 참여한다는 보도 자료가 올라와있을 가능성도 있습니다).
발신자는 공항에서 랩탑 컴퓨터를 잃어버린 경황에 대한 넋두리를 해댄 후 현재 중요한 고객과 함께 있으며 이 고객의 계좌 상태를 확인하기 위하여 기업 인트라넷에 접속해야한다고 합니다. 이 교환원은 발신자에게 친절하게 필요한 접속 정보를 알려줄까요?
교환원이 어떻게 이러한 상황에 대응할지 알고 계십니까? 이 교환원이 따라야할 방침 및 절차에 대한 안내서를 제공하지 않은 경우에는 이 교환원의 반응을 추측할 방법이 없습니다.
방침 및 절차를 제공하는 목적은 마치 신호등과 같이 적절한 행위란 무엇이며 적절하지 못한 행위란 무엇인지 명확히 설명하기 위함입니다. 그러나 신호등과 마찬가지로 방침 및 절차는 모든 사람이 따르는 경우에만 효과가 있습니다. 방침과 절차의 가장 큰 난관은 모든 사람이 방침과 절차를 따를 확율이 낮다는 점입니다. 실제로 기업체의 성격에 따라서 올바른 방침을 결정하고 시행할 권위자와 재량이 없을 경우도 있습니다. 그렇다면 어떻게 하겠습니까?
불행히도 이것에 대한 쉬운 해결책은 없습니다. 사용자 교육에서 시작하여, 사용자의 보안과 사회 공학적 보안 침해에 대한 인식을 높일 수 있는 여러 방법을 취하십시오. 예를 들면 점심 시간을 이용하여 보안에 대한 토론 시간을 갖고, 회사 메일링 리스트에 보안 관련 뉴스 자료를 보내는 방법도 있습니다. 또한 사용자가 옳지 않다고 느끼는 작업에 대한 질문을 항상 귀기울여 듣고 대답해 주십시오.
한마디로 가능한 모든 방법을 취하여 메시지를 전달하셔야 합니다.