요약
NIST가 1인 기업가를 위해 쉬운 말로 쓴 사이버 보안 가이드를 내놓았습니다.
미국 국립표준기술연구소(NIST)가 11월 2일 'Small Business Cybersecurity: Non-Employer Firms'(NIST CSWP 50)를 공개했습니다. 직원 없이 혼자 일하는 사업자를 위해, 보안을 전혀 모르는 독자를 가정하고 쓴 자료입니다.
왜 중요한가
- 미국에서 1인 기업에 해당하는 소기업은 2,800만 곳이 넘습니다.
- NIST의 보안 기준인 사이버보안 프레임워크(CSF, 보안 활동을 정리한 기준)를 기술 지식이나 큰 비용 없이 실천할 단계로 옮겼습니다.
- 기존 소기업용 안내서(NISTIR 7621)의 개정판이며, 범위를 디지털 시스템 공격 방어로 좁혔습니다.
핵심 내용
- 첫걸음으로는 효과가 큰 정기 백업과 소프트웨어 업데이트를 권했습니다.
- 와이파이 공유기 같은 기기의 기본 비밀번호는 쉽게 알려지므로 고유하고 강한 비밀번호로 바꾸라고 했습니다.
- 조치마다 필요한 이유, 시작하는 법, 사업이 커졌을 때의 선택지를 설명하고 관련 CSF 항목을 달았습니다.
- 자산 목록과 완료한 조치를 적는 작업표, 변호사·공예가·컨설턴트의 가상 사례를 끝에 실었습니다.
- 공동 저자 대니얼 엘리엇은 이 가이드가 모든 것을 다루지는 않지만 좋은 출발점이라고 했습니다.
HN 반응
- 제목과 피싱·MFA(다중 인증) 같은 용어가 일반인에게 어렵다는 비판이 많았지만, 본문이 이를 쉽게 풀어 좋은 출발점이라는 반론도 나왔습니다.
- 긴 PDF 대신 쌍방향 웹 자료가 필요하다는 의견이 이어졌고, 영국 국가사이버보안센터(NCSC)의 1인 사업자용 안내가 더 친근하다는 비교도 있었습니다.
‘일반인이 쓰는 말로 쓴 자료‘라고요?
제가 보기엔 빗나갔어요. 사이버 보안을 쉽게 풀어 보려는 시도 자체는 괜찮지만, 이게 입문자나 비전문가를 겨냥한 거라면 안 먹힐 거예요.
제가 처음 맡았던 일 중 하나가 세계 최대급 기업의 교육 자료를 다시 설계하는 거였어요. 교육 내용을 핵심만 남기고 걷어내서 진짜 기초부터 시작했는데, 결과가 놀라웠죠. 이 문서도 똑같이 손보고 싶어서 손이 근질거리네요…
말씀하신 걸 작게라도 샘플로 보고 싶네요. 요즘은 생성된 문서에서 AI 티 나는 군더더기(slop)만 걷어내 주는 것만으로도 상품이 될 것 같거든요.
저도 보고 싶어요. 비전문가에게 다르게 설명하고 싶은 부분이 구체적으로 있나요(xvxvx 님)? 아주 짧은 예시라도 곱씹어 볼 거리가 될 거예요. "A는 C 때문에 B여야 한다" 같은 식으로요.
저는 비전문가에게 설명할 일이 많아요. 저라면 문서를 출력해서 같이 한 줄씩 짚어 가겠어요. 먼저 왜 어떤 것들이 우선순위인지를 이해시키는 걸 목표로 삼고요. 야구에 비유하면, 외야수 셋과 내야수 셋이 있어야 모든 루를 지킬 수 있는 것과 같죠. 이 맥락에서는 이런 관점으로 이야기하는 거라고 알려 주고, "왜"를 이해하고 나면 문서도 제대로 읽어 낼 수 있게 돼요.
저도 동의해요. 피싱이나 MFA가 뭔지 설명도 안 하고 그런 개념부터 꺼내면 안 되죠.
공정하게 말하자면, 링크된 문서에는 MFA와 피싱을 비롯해 다루는 거의 모든 주제에 링크가 달려 있습니다.
https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.50.pdf
https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf
https://www.cisa.gov/sites/default/files/publications/MFA-Fact-Sheet-Jan22-508.pdf
링크는 거의 안티패턴이에요. 독자가 링크를 클릭하지 않아도 되어야 하고, 정말 그 주제를 깊게 파고 싶은 사람만 누르면 되는 거죠. 그것도 본문 중간이 아니라 미주 같은 데 있는 게 이상적이고요.
일반인을 위해 쓴 글이 아니라는 걸 오히려 증명하는 거 아닌가요?
문서를 읽어 보세요. 피싱 같은 것도 문서 안에서 일반인이 알아듣게 쉬운 말로 설명합니다. 윗분은 문서에 언급된, 더 공부해 볼 수 있는 자료를 알려 준 것뿐이에요.
네, 용어집에서요. 하지만 전문 용어를 던지기 전에 먼저 설명부터 해야죠. 안 그러면 사람들은 읽다가 나가 버리거나 그 단어를 자기 멋대로 잘못 이해한 채로 읽어요. 대상 독자 중에 용어집을 들여다보는 사람은 거의 없고, 앞에서 따로 짚어 주지 않으면 용어집이 있는지조차 모를 테니까요.
저는 MSP(관리형 서비스 제공업체) 쪽에서 일하면서 수백 곳의 소규모 업체를 지원해 봤어요. 이 문서를 읽어야 할 사람의 80% 넘게는 처음 몇 페이지도 못 넘길 거라는 건 믿으셔도 됩니다.
아니요, 피싱은 용어집에 없고 CSWP50 문서 3.3.1절에서 직접 설명합니다. 피싱에 강한 MFA를 켜는 방법도 다루고요.
다른 개념들도 마찬가지입니다. 전부 쉽게 설명되어 있고, 깊은 보안 기술 얘기가 아니에요. 문서를 읽어 보셔야 합니다.
인터넷이니 무슨 주장이든 할 수 있지만, 그걸 받아들일 필요는 자기 경험(그리고 동료 기술자들의 경험)과 맞을 때만 있는 거죠.
저는 일반인들에게 사이버 보안 개념을 많이 설명해 봤는데, 개별 기술 개념을 이해하지 못한 적은 한 번도 없었어요. 늘 어려웠던 건 처음부터 끝까지 이어지는 사슬의 고리를 하나씩 짚어 가며 취약점이 어디 있는지 설명해서 큰 그림을 보게 하는 일이었죠. 이걸 간단하고 높은 수준에서 적절한 비유를 들어 하면 거의 모든 사람이 이해해요.
이 문서는 아주 좋은 출발점이고 모두에게 권해야 합니다.
저는 기술자인데, 이 문서 내용은 누구의 보안도 눈곱만큼 나아지게 하지 못할 학계식 헛소리예요.
그런데 제목은 이렇습니다.
소규모 업체들은 자기를 '무고용 업체(Non-Employer Firms)'라고 여기지 않고, 'NIST'가 뭔지도 모르고, 대부분은 백서가 뭔지도, 50이라는 번호가 뭔지도 모를 거예요.
'소규모 업체를 위한 사이버 보안 속성 강좌(A Crash Course in Cybersecurity for Small Businesses)' 정도로 하면 훨씬 나을 텐데요.
저작권이 없는 자료라서 5분이면 통째로 다시 쓸 수 있어요.
찾아볼 마음만 있었다면 다 있어요. https://news.ycombinator.com/item?id=50349123
링크된 페이지는 장벽이 하나 더 있을 뿐이에요. 사업가가 먼저 이걸 클릭해야 하거든요.
그러고 나서야 이미 말씀드린 순서대로, 난해한 소규모 업체 사이버 보안: 무고용 업체 (NIST 사이버 보안 백서 50) (Small Business Cybersecurity: Non-Employer Firms)를 클릭해야 하고, 그러면 보고서가 있는 학술지 같은 페이지로 넘어가죠.
오히려 링크된 페이지는 단계가 하나 더 필요해서 찾기가 더 어려워져요.
할 일이 산더미 같은 소규모 사업주를 위한 거라면서, 가이드를 글 더미 사이에 숨기고 낯선 링크와 제목의 토끼굴 아래로 보내 놓으면 이탈이 크게 생길 수밖에 없습니다.
아니, 참나! 최신 업데이트 소식 페이지를 훑어보고도 못 찾았다면 그건 본인 탓이죠. 그리고 소규모 사업주가 웹사이트 둘러보고 원하는 걸 못 찾는다고 생각하신다면, 뭘 모르고 하시는 말씀이에요.
포털 왼쪽에 목차가 잘 되어 있어서 훑어보기만 하면 원하는 곳에 쉽게 갈 수 있어요. 전부 깔끔하고 사용하기 편하고요.
참고로 위 링크는 NIST 포털에 대해 제가 HN에 올린 글이라서, 거기서 같이 토론하시라고 건 거예요.
이런 가이드는 좋은 뜻으로 만들었어도 거의 예외 없이 효과가 아주 떨어집니다. 기술자한테 사이버 보안 가이드를 만들라고 하면, 한 발 물러나 생각해 보지도 않고 글과 표만 잔뜩 든 PDF 문서를 내놓는 것과 같아요.
시장에 파고들고 싶다면 대신 이렇게 해야 합니다.
사람들이 알아볼 수 있게 자체 웹사이트를 갖춘 브랜드를 만드세요. "Cyber Basics"든, "미국의 인프라를 지키는 사람들이 내놓은 간단한 지침"이든 뭐든요. 브랜드 색과 로고를 입히고 언론에도 내보내서 사람들이 알아보게 하세요.
UX를 생각하세요. 지식이 전혀 없는 사람, IT 지식은 있지만 사이버 보안 지식은 없는 사람, 둘 다 조금씩 있는 사람이 있을 텐데, 이 모두가 이 자료를 접할 수 있어야 해요. 하나의 크기가 모두에게 맞을 수는 없으니까요.
웹 애플리케이션이 나온 지 수십 년인데 왜 PDF를 만드나요? 클릭해서 넘겨 볼 수 있는 인터랙티브 콘텐츠를 만들고, 소개 영상이나 겁나는 통계, IT 담당자용 상세 내용 같은 것도 넣을 수 있잖아요.
정보를 항상 최신으로 유지하세요. PDF는 다음 버전이 나오기까지 이런저런 승인과 제작 과정을 거칠 가능성이 높아서 틀림없이 최신이 아닐 거예요.
SwiftOnSecurity가 예전에 이걸 정말 잘했어요. 최선의 관행을 권하려 하지 않고, 쉽게 할 수 있으면서 지금보다 나아지는 것들만 간단하고 재미있는 스타일로 보여 줬죠.
완벽하진 않지만, 영국 NCSC에는 개인과 소규모 업체를 위한 안내가 잔뜩 있고 NIST 문서보다 훨씬 접근하기 쉬워요.
https://www.ncsc.gov.uk/section/advice-guidance/self-employed-sole-traders
저는 아이들용으로 나온 그런 소소한 팁이 좋아요. "이 아이처럼 하지 말고(나쁜 습관을 보여 줌), 이 아이처럼 하자(좋은 습관을 보여 줌)" 같은 거요. 100% 정치적으로 올바르지는 않을 수 있어도 기억하기 쉽잖아요. 하하, 심슨 가족이 그걸 패러디한 장면도 있어요. "Don’t do what Donny-Don’t does"라는 제목의 소책자가 나오죠.
Goofus and Gallant요.
PDF를 공유하는 게 본질적으로 나쁜 건 아니에요. 사실 AI 클라이언트에 먹이기에는 이쪽이 더 낫죠. 그래도 제목에 일반인 눈높이라고 해 놓고는, 막상 가 보니 본문인 이 PDF까지 가려면 링크를 이리저리 건너뛰어야 하고 첫 페이지에는 변변한 요약도 없어서 놀랐어요.
문서에서 실제로 권고하는 조치는 이렇습니다(중요성에 대한 서두를 지나고 나면 나오는 내용입니다).
GOVERN(통제)
IDENTIFY(식별) 4. 사업이 의존하는 가장 중요한 하드웨어, 소프트웨어, 데이터, 서비스(클라우드 서비스 포함)의 목록을 만들고 분류하고 관리한다 5. 사이버 보안 사고 대응 계획을 만든다 6. 더 이상 필요하지 않은 데이터와 데이터 저장 장치는 안전하게 정리하고 파기한다 7. 지속적인 개선에 힘쓴다 8. 사업 자산에 대한 사이버 보안 위험을 문서화한다
PROTECT(보호) 9. 민감한 자산에 대한 접근을 업무 수행에 필요한 사람으로만 제한한다 10. 제조업체가 설정한 기본 비밀번호를 바꾼다 11. 소프트웨어와 운영체제를 정기적으로 업데이트하고 패치한다 12. 흔한 공격을 알아보고 기본적인 사이버 위생 작업을 수행한다 13. 데이터를 정기적으로 백업한다. 백업을 보호하고 테스트할 방안을 마련한다 14. 지원하는 모든 계정에 다중 인증(MFA)을 켜고, 강력하고 고유한 비밀번호를 만들고 보호하는 데 비밀번호 관리자를 쓰는 것을 고려한다
DETECT(탐지) 15. 공격이나 침해의 징후를 찾기 위해 자산을 계속 모니터링한다 16. 물리적 환경에 조작이나 수상한 활동의 흔적이 있는지 점검한다
RESPOND(대응) 17. 관련 제3자와 협력해 사고 대응 계획을 실행한다 18. 법률, 규정, 정책에서 요구하는 대로 대응 활동에 대해 내부와 외부 이해관계자와 소통한다
RECOVER(복구) 19. 사고 대응 계획 중 복구 부분을 실행한다 20. 내부와 외부 관계자와 복원 작업을 조율한다 21. 사고에서 얻은 교훈을 문서화한다
https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.50.ipd.pdf
요약하면 이렇게 되네요.
체크박스 컴플라이언스
보험
접근 통제
행운을 빈다
이건 사이버 보안이 아니라 헛된 희망 회로예요.
너무 비관적이시네요. 비밀번호 관리자, 기기 기본 설정 변경, 백업, 접근 통제는 다 아주 좋은 권고예요. 좀 기본적이긴 해도요.
나머지는 정말로 컴플라이언스 쪽에 가깝긴 하지만, 위에서 말한 네 가지조차 안 하는 소규모 업체가 수두룩하거든요.
"SI"를 현실에서 보는 건 이번이 처음이에요. 정말 잘못된 용어예요. 어울리지 않는 자리에 끼어든 전문 용어죠.
엄청나게 근사한 알고리즘이고 멋진 도구일 뿐이에요. 현실에 발붙이게 하지 않고 받들어 모신다고 누구한테 도움이 되겠어요. 저자분들께 심심한 위로를 전합니다.
"SI"는 쉽볼렛(shibboleth, 집단 구분용 암호어)이에요. 지금 정부가 누가 자기들에게 충성하는지 알아보려고 만든 거죠.
더 나쁜 게, 이건 충성도 시험도 아니에요. 미국 연방 행정기관은 좋든 싫든 이걸 도입해야 하거든요.
연방 행정기관은 정부에 충성해야 합니다. 그들이 곧 정부니까요. 정부에서 일하면서 정부가 원하는 걸 거부하는 건 잘해야 업무 태만이고 심하면 반역이에요.
웃기네요, 저는 그들이 그 자리에 앉은 사람이 아니라 헌법과 법에 충성하는 줄 알았는데요. 미국은 정말 군주제인가 봐요.
아동 학대범을 감싸 주고 학교에 폭탄을 떨어뜨려야 하다니, 정부 공무원 하기에 좋은 때는 아니에요(그런 걸 좋아하는 사람한테는 아주 좋은 때일 수도 있고요).