대상: 팀으로 개발·운영하며 그 규모에서 표준으로 여겨지는 보안 베이스라인을 원하는 중대규모 조직. 1인 또는 소규모라면 1인 / 소규모 운영자 베이스라인을 보세요. 공격 절차는 없습니다 — 오직 규모에서의 표준 토대를 우선순위 순으로.
본 사이트의 견해: 우리는 작지만 — 규모에서 표준이 요구하는 것을 지도로 그린다
솔직히 본 사이트는 작은 운영이라 일상적으로는 1인 / 소규모 버전을 돌립니다. 이 글은 규모가 커졌을 때 업계 표준이 요구하는 토대를 지도로 그린 것입니다. 바탕 원칙은 같습니다 — "우선순위가 높은 계층부터, 시스템으로 채워라." 조직에서 커지는 것은 화려한 기술이 아니라 사람과 프로세스입니다. 피싱, 탈취된 자격증명, 방치된 퇴직 접근, 제3자 침해가 커질수록 주원인이 됩니다.
Tier 0 — 신원 거버넌스
SSO · MFA 강제 · 입사/이동/퇴사 생애주기 · 최소 권한
Tier 1 — 시크릿과 공급망
시크릿 인프라 · 단기 자격증명 · SBOM · 서명/출처 · CI/CD 보호
Tier 2 — 앱과 인프라
보안 SDLC · SAST/DAST · WAF · 네트워크 분할 · IaC 스캐닝
Tier 3 — 탐지와 대응
중앙 로그/SIEM · 경보 · IR 계획/런북 · 훈련 · DR 복원
가로지름 — 사람과 거버넌스
담당자/팀 · 정책 · 교육 · 벤더 관리 · 직무 분리 · 감사
Tier 0 — 신원을 거버넌스한다(가장 먼저)
이것이 조직 규모에서 1인 "왕국의 열쇠"에 해당합니다. 규모에서 그 열쇠는 당신의 신원 공급자(IdP)와 관리자 계정입니다. 이것을 잃으면 조직 전체가 무너집니다.
SSO로 인증을 중앙화한다
조직 전체에 피싱 저항 MFA를 강제한다
접근 생애주기(입사/이동/퇴사)를 자동화한다
최소 권한과 권한 접근 관리
Tier 1 — 시크릿과 공급망을 인프라로 만든다
이것은 1인 "시크릿과 코드"를 지속적 인프라로 돌리는 것입니다. 손으로 관리하는 .env 파일은 확장되지 않습니다.
시크릿 관리 플랫폼을 도입한다
단기·동적 자격증명으로 옮긴다
SBOM, 서명, 출처
CI/CD 파이프라인 자체를 보호한다
Tier 2 — 앱과 인프라를 기본값으로 단단히
이것은 1인 "앱 자체"를 프로세스와 인프라 표준으로 승격합니다 — 한 사람의 검토가 아니라 시스템으로 보증됩니다.
심층 방어(WAF, 분할, 제로 트러스트)
인프라를 코드로, 안전하게
Tier 3 — 탐지와 대응을 기능으로 만든다
침해를 가정하세요. "알아채고, 멈추고, 복구한다"를 담당자가 있는 기능으로 보유하세요.
로그를 중앙화하고 이상을 탐지한다
사고 대응 계획과 런북을 둔다
실제로 실행할 수 있는지 훈련한다
재해 복구와 테스트된 복원
가로지름 — 사람과 거버넌스(규모가 진짜 무는 곳)
기술 아래에 조직이 특별히 필요로 하는 토대가 있습니다. 이것이 약하면 위의 모든 통제가 사람이라는 구멍을 통해 무너집니다.
흔한 실패
- 도구는 배치했으나 담당자가 없음
- 퇴직자 접근과 오래된 토큰을 검토한 적 없음
- 보안 교육이 없어 피싱 이메일 하나로 충분
- 제3자 벤더 위험을 평가한 적 없음
표준화할 토대
- 보안 담당자/팀과 정책
- 정기 접근 검토와 직무 분리(권한 집중 회피)
- 전사 보안 교육(특히 피싱 방지)
- 벤더 / 제3자 위험 관리, 데이터 분류, 필요 시 감사(SOC 2 / ISO 27001)
1인 버전과의 관계
올바른 관점: 같은 골격, 각 계층이 "작업"에서 "프로그램"으로 자랄 뿐. 작게 시작해 단계적으로 시스템화할 수 있습니다. 그러니 1인 / 소규모 버전의 우선순위를 먼저 체화하고, 팀이 커지면 각 계층을 여기의 "담당자가 있는 지속 운영"으로 끌어올리세요 — 다른 길이 아니라 이어지는 길입니다.
본 사이트는 이를 어떻게 보는가
본 사이트는 작아서 일상적으로는 1인 토대를 자신에게 적용합니다(분리를 위한 전용 서버, 별도 키, git에 절대 두지 않는 시크릿, 자동 의존성 CVE 모니터링, 외부 백업). 이 글은 "규모가 커졌을 때 표준이 요구하는 것"의 지도입니다. 일관된 메시지: 화려한 작업보다, 우선순위가 높은 계층을 시스템으로 채워라. 순서 원칙은 규모에 따라 바뀌지 않습니다.
다음으로 읽기
- 1인 / 소규모 버전: 보안 베이스라인 체크리스트
- 공급망: osv-scanner로 의존성 CVE 머신 모니터링 · 사고 Codecov 침해
- 패치 규율: CVE를 놓치지 않기 · 사고 Equifax
- 시크릿: .env 파일과 시크릿
FAQ
Q1인 버전과 가장 크게 달라지는 것은 무엇인가요?
통제가 '한 사람이 돌리는 체크리스트'에서 '담당자가 있는 프로그램'으로 옮겨갑니다. 우선순위(신원 → 시크릿과 공급망 → 앱과 인프라 → 탐지와 대응)는 같지만, 각 계층이 사람과 프로세스와 함께 시스템으로 지속 운영됩니다.
Q조직은 무엇을 먼저 잠가야 하나요?
신원 거버넌스: SSO로 인증을 중앙화하고, 조직 전체에 피싱 저항 MFA를 강제하며, 직원 생애주기에 맞춰 접근을 부여/회수하세요(특히 퇴직자 접근을 즉시 회수). 규모가 커지면 방치된 퇴직 계정이 가장 큰 침입 경로가 됩니다.
Q의존성 스캐닝(osv-scanner 등)도 조직의 베이스라인인가요?
그렇고, 규모가 커지면 한 걸음 더 나갑니다: 소프트웨어 자재 명세서(SBOM)를 만들고, 산출물에 출처(provenance)를 서명하며, CI/CD 파이프라인 자체를 보호하세요. 공급망 침해는 공격자가 조직을 노리는 고전적 수법입니다.