' 그럴싸한 ' 보안 낭설 14 가지 - CIO Korea 
 보안 분야 에 도 별다른 의문 없이 받아들여 지 는 그럴듯한 속설 들 이 있 다 . 대부분 꽤 나 그럴 듯 한 이 들 속설 들 은 때로 는 그럴만한 이유 를 가지 고 있 지만 , 때로 는 사실 과 전혀 다른 엉뚱 한 것 들 이 기 도 하 다 . 여기 보안 분야 의 미신 과 낭설 들 을 정리 했 다 . 
 우리 회사 엔 훔치 거나 보호 할 만 한 것 이 없 다 
 모든 조직 에 는 나름 훔칠 만 한 가치 있 는 것 이 있 다고 블루 캣 ( BlueCat ) 의 리드 보안 아키 텍 트 조시 엠 데 는 말 했 다 . 지적 재산 이나 회사 비밀 이 아닐지라도 브랜드 평판 이나 신뢰 의 가치 는 이 에 못지 않 을 수 있 다 . 리 테일 업계 에서 는 고객 데이터 유출 로 인해 브랜드 명성 이 큰 타격 을 입 고 매출 부진 , 법 적 벌금 , 추가 모니터링 비용 지출 , 고객 신용 재 구축 을 위한 장기 적 비용 지출 등 의 대가 를 치르 는 경우 를 흔하 게 찾아볼 수 있 다 . 
 공격 당할 가능 성 이 희박 하 다 
 공격 당할 지 가 문제 가 아니 라 언제 공격 당할 지 가 문제 다 . 정부 차원 의 해킹 조직 , 세련 되 고 지속 적 인 공격 등 의 시대 속 에서 100 % 안전 함 을 유지 하 는 것 은 불 가능 하 다 . 안전 조치 를 마련 하 는 게 중요 하 지만 공격 에 얼마나 빠르 게 그리고 어떻게 대응 하 고 해결 하 는 게 중요 하 다 . 
 컴플라이언스 와 보안 은 거의 같 다 
 많 은 조직 들 은 준수 수준 을 기업 목표 로 달성 하 려 하 며 , 표준 준 수 가 안전 을 의미 한다고 생각 한다 . 안타깝 게 도 표준 준수 만 으로 는 대부분 최소한 의 제어 를 갖추 고 있 음 을 의미 할 뿐 이 다 . 성숙 한 보안 프로그램 은 준수 의 기반 이 지만 준 수 가 보안 을 완벽 하 게 하 진 않 는다 . 
 무언가 잘못 되 면 알 아야 할 모든 것 이 애플리케이션 로그 데이터 속 에 있 다 
 시 트릭스 ( Citrix ) 의 위협 과 조사 서비스 선임 관리자 마이크 오로스 는 애플리케이션 과 하드웨어 가 로 깅 작업 을 하 고 있 다면 그 데이터 가 유용 하 다는 흔한 오해 가 있 다고 말 했 다 . 많 은 이 들 이 보안 리스크 이해 와 관련 해 애플리케이션 로그 데이터 활용 에 대해 이야기 한다 . 머신 러닝 , 휴리스틱 스 같 은 용어 들 이 널리 애용 된다 . 하지만 리스크 측정 사용 자 행동 에 대해 깊이 파 기 앞서 몇 가지 질문 을 해야 한다 : 
 - 마련 된 기업 로 깅 정책 이 있 나 ? 실행 되 고 있 나 ? 
 - 그 로그 가 통합 되 고 분석 되 는가 ? 만약 그렇 다면 데이터 가 손쉽 게 사용 될 수 있 는 방식 으로 통합 되 고 있 는가 ? 
 보안 정책 이 자동 으로 보안 문제 를 고칠 것 이 다 
 보안 리스크 는 종종 잘 마련 된 보안 정책 과 표준 으로 완화 될 수 있 다 . 그러나 훌륭 한 정책 이 위력 을 발휘 하 려면 공유 오너 십 이 중요 한 경우 가 많 다 . 팀 들 이 보안 정책 을 책임지 도록 해야 하 며 이 를 위해서 는 공동 으로 규정 을 검토 하 고 이해 당사자 들 로 구성 된 승인 그룹 들 이 중심 에 위치 해야 한다 . 마지막 으로 준수 와 장기 적 성공 을 보장 하 기 위해서 는 이 사진 이 개입 해야 한다 . 
 정책 강제 화 수준 을 높이 면 내부자 위협 문제 가 해결 될 것 이 다 
 내부자 들 은 내부 의 가치 있 는 정보 와 정책 에 대해 알 고 있 다 . E 8 시큐리티 ( E 8 Security ) 의 제품 헤드 맷 로져스 는 즉 , 내부자 들 은 “ 알려진 ” 감시망 아래 서 행동 하 는 방법 을 파악 하 고 있 을 가능 성 이 높 다고 말 했 다 . 보안 정책 강제 화 에 노력 을 기울인다고 할지라도 단지 내부자 의 작업 을 조금 어렵 게 할 뿐 이 라는 설명 이 다 . 그 는 장기간 내부자 행동 을 추적 하 고 그 행동 에 대한 변화 를 감지 하 도록 하 는 것 이 더 유용 할 수 있 다고 덧붙였 다 . 
 피싱 은 과거 의 일 이 다 
 지난 3 년 간 23 억 달러 의 손실 에 달하 는 소셜 엔지니어링 공격 이 증가 하 고 있 다 . 종종 직원 이메일 을 표적 화 하 는 이런 공격 전략 은 수신자 의 실명 을 담 고 그 들 이 조직 내부 에서 온 것 처럼 보이 고 청구서 , RFP , 심지어 회사 행사 처럼 비즈니스 문서 첨부물 이나 링크 를 가지 기 도 한다 . 마이크 로 포커스 의 보안 전문가 시몬 푸 레 오 는 여전히 첨부 파일 이 있 거나 개인 정보 요청 을 담 은 내부 이메일 을 조심 하 라고 할 필요 가 있 다고 강조 했 다 . 
 문자 메시지 이중 인증 은 강력 하 다 
 이중 인증 은 암호 만 쓰 는 것 보다 더 나 은 인증 을 제공 한다 . 그러나 이중 인증 에서 생성 된 코드 는 손쉽 게 해커 에 의해 탈취 될 수 있 어서 중간자 공격 에 취약 하 다 . NIST ( National Institute of Standards and Technology ) 가 2016 년 7 월 정부 기관 을 대상 으로 발간 한 가이드 에 따르 면 문자 메시지 보다 더 나 은 대안 은 모바일 앱 의 일부 로 소프트웨어 토큰 을 쓰 는 것 이 다 . 
 방지 보다 는 감지 에 초점 을 맞춰야 한다 
 팔 로 알토 네트워크 유닛 42 위협 인텔리 전 스 팀 의 디렉터 라이언 올슨 은 이 속설 의 위험 성 을 경고 했 다 . 비록 방어 를 뚫 는데 유능 한 고도 의 능력 을 가진 공격자 들 이 있 지만 보 안 사고 대부분 은 알맞 은 기술 과 프로세스 로 방지 가능 하 다 . 그 는 가장 효과 적 인 보안 조치 는 그런 능력 있 는 적 들 을 감지 하 고 대응 하 겠 다는 방어 의식 에서 시작 한다고 그 는 말 했 다 . 
 러시아 코드 를 찾 았 다 . 그러므로 러시아 에서 공격 한 것 이 다 
 루크 시큐리티 ( Rook Security ) 의 전략 부회장 마이크 패터슨 는 두 가지 를 말 했 다 : 우선 해커 는 바보 가 아니 다 . 해커 들 은 가짜 빵 부스러기 들 을 흘려 보 안 팀 이 그걸 쫓 게 만들 고 그 들 의 존재감 과 근원 을 숨기 는데 아주 능숙 하 다 . 해커 들 은 보안 팀 이 이런 흔적 을 쫓 게 하 는 방법 을 안다 . 
 둘째 로 해커 들 은 협동 한다 : 미국 사람 이 우크라이나 에 사 는 해커 가 알바니아 에 있 는 친구 와 함께 작업 해 러시아어 로 쓴 맬 웨어 를 구입 해서 터키 의 표적 을 공격 할 수 있 다 . 조사 에서 러시안 코드 를 찾 아서 즉각 적 으로 러시아 에 책임 을 묻 는 것 은 범죄자 들 이 수사망 에서 벗어날 시간 을 줄 뿐 이 다 . 하나 의 단서 를 찾 았 다고 빨리 수사 를 마무리 지으려 하 면 안 된다 . 작 은 증거 조각 일 뿐 이 다 . 
 보안 예산 이 예상 대로 집행 될 것 이 다 
 긍정 론 은 좋 은 것 이 다 . 기대 한 보안 예산 이 오 면 훌륭 하 겠 지만 현실 은 다르 다 . 사고 가 발생 해야 예산 이 마련 되 고 벤더 들 이 붐빈다 . 예산 은 지속 적 으로 평가 될 필요 가 있 으며 , 단일 사고 가 예산 나머지 에 영향 을 끼치 지 않 도록 해야 한다 . 당신 의 조직 이 성장 하 고 있 으며 더 많 은 공격 에 직면 하 거나 더 많 은 기기 를 네트워크 에 추가 하 려 한다면 ? 그렇 다면 벤더 계약 비용 또한 변화 할 것 으로 예상 해야 한다 . 
 방화벽 과 안티 바이러스 면 충분 하 다 
 방화벽 과 안티 바이러스 는 당연히 필수 지만 데이터 를 보호 하 기 에 는 부족 하 다 . 모든 유출 의 40 % 가 애플리케이션 레이어 를 통해 발생 했 다 . 좋 은 웹 앱 과 네트워크 보안 프로그램 은 회사 보안 에 필수 라고 화이트햇 시큐리티 의 위협 연구 센터 부회장 라이언 오리어리 는 말 했 다 . 
 해킹 은 TV 에 나온 것 과 같 다 
 TV 나 영화 가 해커 들 을 가끔 다루 었 지만 제대로 다른 것 은 거의 없 다 . 현실 의 해킹 에 는 수많 은 시도 와 오류 가 필요 하 고 통하 는 해킹 방법 이 나오 기 까지 상당 한 시간 이 걸린다 . 
 해커 들 은 모두 검 은 옷 을 입 고 어두운 지하실 에 있 다 
 어느 정도 만 사실 이 다 . 이런 편견 에 맞 는 해커 들 도 있 지만 대부분 의 해커 는 보통 사람 들 이 다 . 수많 은 해커 들 이 다른 분야 에서 경력 을 시작 해서 취약점 을 찾 는 요령 을 발견 할 뿐 이 다 . 
 치명 적 취약점 들 은 그리 흔하 지 않 다 
 화이트 핵 의 연례 웹 애플리케이션 보안 통계 보고 에 의하 면 거의 모든 단일 웹 사이트 에 최소한 한 가지 이상 의 치명 적 취약점 이 있 다 . 만약 기업 에게 웹 사이트 가 있 다면 심각 한 공격 에 현재 무방비 일 수 있 다는 의미 다 . ciokr @ idg . co . kr 
 가트너 가 밝히 는 10 가지 IT 보안 미신 들 
 보안 / 속설 / 내부자 위협 / 낭설 / 미신 / 이중 인증 / 해커 / 피싱 / 해킹 / 로그 데이터