조직 보안의 최소한은 어디인가 — 2026년 일본 실제 사고에서 거꾸로 짚은 6가지 우선순위

VPN 장비, 원격 데스크톱 입구, 방화벽 관리 화면 등 인터넷에서 직접 닿는 장비를 목록으로 만들고 기종, 버전, 업데이트 책임자를 적습니다. 일본 경찰청 통계에서는 랜섬웨어 감염 경로의 유효 응답 92건 중 61건이 VPN 장비였습니다.

첫걸음: 목록의 각 장비에 '악용이 확인된 취약점(KEV)이 나오면 며칠 안에 막는가'를 숫자 하나로 정합니다. '순서대로 적용'하는 운영은 디지털청 사건과 같은 구조입니다.

어느 조직에나 직원이 아닌 사람의 계정, 즉 유지보수 업체, 위탁사, 이미 퇴직한 사람의 계정이 있습니다. 편의를 위해 넓은 권한을 받기 쉽고, 누가 관리하는지도 모호합니다.

첫걸음: 직원이 아닌 계정을 모두 목록으로 만들고 각각에 사내 담당자와 만료일을 붙입니다. 그다음 쓸 때만 활성화, 접속 출발지 제한, 피싱에 강한 2단계 인증 필수화를 차례로 진행합니다. 계정 정지는 입사 절차와 같은 서류에 올려 두세요.

Aflac 사건에서 공격은 평소 이용과 똑같은 형태였습니다. 조회 하나하나가 정상이라면 하나씩 검사해서는 막을 수 없습니다. 남는 단서는 시간당 몇 건이 빠져나갔는가와 심야·휴일의 움직임입니다.

첫걸음: 고객 데이터를 가장 많이 돌려주는 기능 하나에 계정당 시간당 상한과 상한의 80%에서 담당자에게 도착하는 알림을 붙입니다. 파일 서버와 클라우드 스토리지에는 평소의 몇 배에 이르는 일괄 다운로드에 알림을 설정합니다.

사쿠라 인터넷 사건에서 무단 접근은 약 3년 전부터 시작되었습니다. 그 기간의 로그가 없으면 무엇이 일어났는지도, 무엇이 일어나지 않았는지도 말할 수 없습니다.

첫걸음: 인증(성공과 실패), 데이터 조회와 출력, 관리 조작 세 종류만은 최소 12개월 남깁니다(결제 카드 업계 기준 PCI DSS를 기준으로). 용량이 부족하면 웹 접근 로그보다 이 세 종류를 먼저 지킵니다.

Gyazo 사건에서 유출된 메타데이터의 중심은 몇 년 전에 업로드된 이미지의 부가 정보였습니다. 유출 규모는 그 시점에 갖고 있던 데이터의 양으로 정해집니다. 갖고 있지 않은 데이터는 유출되지 않습니다.

첫걸음: 고객 데이터의 종류마다 '무엇을 위해, 언제까지 갖는가'를 한 줄로 적습니다. 적을 수 없는 것은 삭제나 익명화의 후보입니다. 해지한 이용자의 정보가 계속 남아 있지 않은지도 확인하세요(사쿠라 인터넷 사건에서는 해지해도 탈퇴하지 않는 한 회원 정보가 보유되고 있었습니다).

Adobe Commerce는 수정 공개 시 공지가 '우선순위 2, 악용 미확인'이었고, 44일 뒤 CISA가 악용을 확인했습니다. WordPress 본체의 경우 그 기간이 3일이었습니다.

첫걸음: 자사에서 쓰는 제품이 KEV에 추가되면 알림을 받는 구조를 하나 마련하고, 추가되면 '업데이트 순서'를 다시 매기는 규칙으로 만듭니다. 판단 절차는 CVSS·EPSS·KEV로 우선순위 정하기에 있습니다.