CISO 기업 대상 긴급 보안 점검 이후, 기업의 보안 상태를 명확히 진단하고 체계적으로 개선하는 방법을 안내해 드리겠습니다.
2025년 9월, 과학기술정보통신부와 한국인터넷진흥원(KISA)은 국내 CISO(정보보호 최고책임자) 신고 기업 대상으로 ‘CISO 기업 대상 긴급 보안 점검’을 실시했습니다. 해당 점검은 기업이 자율적으로 보안 체계를 점검하고 취약점을 조기에 발견할 수 있도록 정부 차원에서 시행한 대응 조치였습니다. 최근 중소기업을 노린 피싱, 랜섬웨어, 계정 탈취 공격이 빠르게 증가하면서, 기업 규모와 관계없이 자사의 정보보호 수준을 주기적으로 점검해야 할 필요성도 더욱 커지고 있습니다. 이러한 환경 속에서 CISO 기업 대상 긴급 보안 점검은 단순한 일회성 점검을 넘어, 기업 보안 수준을 객관적으로 점검할 수 있는 기준을 제시한다는 점에서 의미를 가졌습니다.
CISO 기업 대상 긴급 보안 점검에서 제시된 항목은 ▲IT 자산 ▲인터넷 접점 ▲인터넷 접점 자산 취약점 점검 ▲백업 체계 점검 등 총 네 가지로 구성되어 있습니다. 이 점검 항목은 긴급 보안 점검 이후에도 상시 보안 관리 기준으로 활용할 수 있으며, 기업의 보안 상태를 지속적으로 점검하고 취약점을 체계적으로 개선하는 데 도움이 됩니다. 이는 단순한 기술 점검을 넘어, 기업의 보안 리스크를 사전에 예방하고 사고 발생 시에도 신속한 대응과 복구를 가능하게 하는 핵심 요소입니다. 각 항목별 주요 점검 포인트와 효과적으로 점검하는 방법을 안내해 드리겠습니다.
1. IT 자산 실사
IT 자산 실사는 기업이 보유하고 운영 중인 모든 정보기술 자산을 목록화하고, 이를 확인·분류해 자산관리대장을 작성하는 절차입니다. IT 자산에는 서버, PC, 네트워크 장비, 보안 장비 등 정보통신 업무 및 서비스에 사용되는 각종 하드웨어가 포함됩니다. 이러한 자산을 정확히 식별하고 관리하는 것은 정보보호의 기반이 되며, 이후 모든 보안 점검의 출발점이 됩니다.
각 자산에 대해서는 자산명, 자산코드, 위치, IP 주소, 운영체제, 담당자, 관리부서 등의 정보를 기록하고, 변경 사항이 발생할 때마다 자산관리대장을 지속적으로 업데이트하는 것이 좋습니다. 또한 자산의 중요도를 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability) 기준으로 평가해 관리 우선순위를 설정할 수 있습니다. 예를 들어 고객 정보를 다루는 데이터베이스는 기밀성이 높은 자산으로, 웹 서버는 가용성이 중요한 자산으로 분류할 수 있습니다. 이러한 절차는 실제 현장에서 보안 예산을 배분하거나 취약점 점검 대상을 선정할 때 큰 도움이 됩니다. 자산관리대장 작성 시에는 KISA 지역정보보호센터 자료실에서 제공하는 작성 양식과 가이드를 참고하는 것을 추천드립니다.
2. 인터넷 접점 자산 식별
인터넷 접점 자산 식별은 기업이 보유한 정보자산 중 외부 네트워크와 연결된 자산을 파악하고 체계적으로 관리하기 위한 절차입니다. 인터넷 접점 자산이란 홈페이지, 이메일, VPN, PC 등 외부(인터넷)와 직접 연결되거나 외부에서 접근 가능한 모든 시스템·서비스·단말을 의미합니다. 클라우드 서비스를 사용하는 경우에도 인터넷망을 통해 연결되거나 접속되는 영역이 있다면 점검 대상에 포함됩니다.
자산 관리의 첫 단계는 보유 자산을 정확히 식별하고 등록하는 것이며, 자산관리대장은 최초 작성 이후에도 신규 도입, 변경, 폐기 내역을 지속적으로 반영해 항상 최신 상태로 유지해야 합니다. 자산 항목에는 자산명, 구분(서버·PC·네트워크 장비 등), 관리번호, 설치 위치, IP 주소, 담당 부서, 담당자, 사용 목적 등의 정보가 포함됩니다. 또한 인터넷 연결 장비나 외부 서비스 제공 시스템 등 보안 위험이 높은 자산은 중요 자산으로 분류해 별도로 관리하는 것이 바람직합니다. 이를 위해 기업은 자산관리대장을 기준으로 인터넷 연결 여부 및 외부 서비스 제공 여부를 함께 검토하고, 해당 자산을 중요 관리 대상으로 지정해 보안 점검의 우선순위를 높이는 것이 좋습니다. 이러한 절차를 통해 인터넷 접점 자산을 포함한 전체 정보자산을 체계적으로 관리할 수 있습니다.
3. 인터넷 접점 자산 취약점 점검
세 번째 항목은 인터넷 접점 자산 취약점 점검으로, 외부에 노출된 자산의 보안 취약점을 사전에 식별하고 개선하기 위한 절차입니다. 홈페이지, 이메일, VPN, PC 등 외부(인터넷)와 직접 연결되거나 외부에서 접근 가능한 모든 시스템·서비스·단말은 기업 내부망으로 유입될 수 있는 주요 진입 통로가 되므로, 관리 부서와 보안 담당자가 함께 정기적으로 점검 범위를 재검토하는 것이 바람직합니다.
주요정보통신기반시설로 지정된 기업의 경우, 한국인터넷진흥원(KISA)이 제공하는 「주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세 가이드」에 따라 총 478개 세부 보안 항목을 기준으로 전반적인 취약점 점검을 수행하는 것이 권장됩니다. 해당 가이드는 서버, 웹 서비스, 보안 장비, 네트워크 장비, 제어 시스템, PC, 이동 통신, 클라우드 등 다양한 영역의 기술적·관리적 취약점을 포괄하고 있습니다. 일반 기업의 경우에도 이 가이드를 참고해 자사 환경에 적합한 필수 점검 항목을 선별해 적용하는 것이 효과적입니다. 인터넷 접점 자산 취약점 점검 결과는 위험도에 따라 ‘치명적’, ‘높음’, ‘보통’, ‘낮음’으로 분류해 우선순위를 설정하고, 이에 따른 조치 일정을 수립하는 것이 좋습니다. 점검 결과는 단순한 보고서로 끝내기보다, 실제 보안 개선 활동을 추진하기 위한 근거 자료로 활용하는 것이 중요합니다.
또한 자체 인력만으로 모든 보안 항목을 점검하기 어렵다면, 외부 전문기관의 취약점 진단 서비스를 활용하거나 보안 관리 플랫폼을 도입해 자동 점검 체계를 마련하는 것도 현실적인 방법입니다. 이러한 절차를 통해 점검 결과를 ‘점검 대상, 발견된 취약점, 조치 현황, 미조치 사유 및 향후 일정’ 등의 항목으로 정리해 문서화하면, 기업의 전반적인 보안 현황을 보다 명확히 파악하고 향후 개선 방향을 설정하는 데 도움이 됩니다.
4. 백업 체계 점검
네 번째 항목인 백업 체계 점검은 사이버 공격이나 랜섬웨어 감염 이후에도 기업이 업무를 지속할 수 있는지를 판단하는 핵심 절차입니다. 단순한 백업을 넘어, 실제 복원이 가능한 체계를 마련하고 정기적으로 점검하는 것이 중요하며, 이를 위해 한국인터넷진흥원(KISA)이 제시한 ‘랜섬웨어 대응을 위한 데이터 백업 8대 보안 수칙’을 참고하는 것이 좋습니다.
오프사이트 운영: 중요 데이터는 서비스 망과 분리된 오프사이트(클라우드, 외부 저장소, 오프라인 공간)에 백업해야 합니다.
3-2-1 보관 전략: 데이터는 3개의 사본을 보유하고, 2개는 서로 다른 매체에, 1개는 오프사이트에 보관해야 합니다.
접근 통제 및 권한 관리: 백업 저장소 접근은 최소 권한만 부여하고, 관리자 계정도 다단계 인증으로 보호해야 합니다.
백업 서버 모니터링: 보안 솔루션을 통해 백업 서버와 데이터 무결성을 지속적으로 점검해야 합니다.
정기적 복구 훈련: 최소 연 1회 이상 복구 훈련을 통해 실제 복원 가능 여부를 검증해야 합니다.
최신 보안 패치 적용: 백업 서버와 소프트웨어는 항상 최신 상태로 유지해야 합니다.
백업 전 무결성 검증: 감염된 원본이 그대로 백업되지 않도록 사전 검증이 필요합니다.
자동 백업체계 운영: 일간, 주간, 월간 백업을 자동화해 실수와 누락을 방지해야 합니다.
이러한 보안 수칙을 적용하면 기업은 복구 가능성을 사전에 검증하고, 복구 시간 목표(RTO)와 데이터 손실 허용 한도(RPO)를 보다 현실적으로 설정할 수 있습니다. 이는 단순히 백업 파일을 보유하는 수준을 넘어, 실제 사고 발생 시 신속하게 서비스를 복구할 수 있는 기반을 마련하는 과정입니다. 백업 체계 점검은 랜섬웨어 대응 전략의 출발점이자 기업 생존을 위한 최소한의 안전장치라 할 수 있습니다. 이를 위해 기업은 백업 정책을 문서화하고, 정기적인 점검과 복원 훈련을 통해 실제로 작동하는 복구 체계를 지속적으로 유지해야 합니다.
엑소스피어는 CISO 기업 대상 긴급 보안 점검 이후에도 엔드포인트 보안을 안정적으로 운영할 수 있도록 지원합니다.
CISO 기업 대상 긴급 보안 점검 이후에도 기업 PC 보안 상태를 상시로 점검하고 관리할 수 있는 체계가 필요합니다. 엑소스피어는 백신과 정보유출예방(DLP) 등 기업에 필요한 핵심 보안 기능을 통합한 SaaS 기반의 올인원 PC보안 서비스로, 기업 PC보안 점검을 효율적으로 지원합니다.
CISO 기업 대상 긴급 보안 점검에서 생성되는 자산 식별 내역, 취약점 점검 결과, 백업 점검 및 복구 테스트 결과는 과학기술정보통신부로 직접 제출하는 방식이 아니라, CEO에게 보고 후 CEO 확인·서명 자료를 회신하는 구조로 운영되었습니다. 따라서 보안 담당자에게는 점검 결과를 빠르게 정리하고, 경영진이 이해할 수 있는 형태로 보고 자료를 만드는 과정이 중요한 실무 과제였습니다. 엑소스피어는 이러한 보안 점검 실무를 고려해, PC 기반 자산 식별·취약점 점검·백업 확인 결과를 관리자 페이지에서 바로 확인하고 자료로 활용할 수 있도록 지원합니다.
1. ‘IT 운영최적화 기능’으로 IT 자산·인터넷 접점 자산 식별 지원
엑소스피어는 IT 운영최적화 기능을 통해 쉽게 관리하기 어려운 하드웨어 변경이력을 자동 수집해 제공하고, 사내에 실제 설치된 소프트웨어를 쉽게 파악할 수 있습니다. 관리자 페이지에서 에이전트 현황을 확인하고 CSV 파일로 다운로드하여, 자산관리대장 양식에 맞게 바로 정리할 수 있습니다. 이를 통해 수작업으로 PC 정보를 취합하지 않아도 되며, PC 자산 식별 내역을 근거 자료 형태로 신속하게 확보할 수 있습니다.
2. ‘PC 보안점검’ 기능으로 인터넷 접점 자산 취약점 점검 결과 정리 지원
엑소스피어는 PC 보안 점검 결과를 관리자 페이지에서 확인할 수 있도록 제공합니다. 로그 조회 → PC 보안점검 → 점검 내역 메뉴를 통해 취약점 점검 결과를 확인하고, CSV 파일로 다운로드할 수 있습니다. 해당 CSV 파일을 점검 결과 보고서로 수정하거나 활용할 수 있습니다. 이를 통해 보안 담당자는 점검 결과를 기반으로 조치 대상, 조치 여부, 향후 계획을 정리해 CEO 보고 자료로 활용할 수 있습니다.
3. ‘반출파일 백업’ 기능으로 백업체계 점검 대응 및 반출된 파일 자동 백업 지원
CISO 기업 대상 긴급 보안 점검에서 요구하는 백업 체계 점검의 핵심은 백업 데이터가 실제로 복구 가능한지 여부를 확인하는 것이며, 복구 테스트 수행 여부도 중요한 점검 항목에 포함됩니다. 엑소스피어는 파일 반출 시 자동으로 원본 데이터를 백업해 안전하게 보존할 수 있도록, 반출 파일 백업 기능을 유료 부가 서비스로 제공하고 있습니다. 해당 기능을 활용하면 유출 사고 발생 시 추적이 가능한 사후 통제 자료를 확보할 수 있으며, 저장소 현황과 다운로드 이력을 시각화해 반출 파일 관리의 효율성을 높일 수 있습니다. 또한 백업 파일의 삭제 및 다운로드 이력을 체계적으로 기록해, 보안 감사 및 컴플라이언스 대응을 보다 용이하게 지원합니다.
엑소스피어는 PC 기반 점검 항목을 빠르고 명확하게 정리하고, 보안 담당자가 CEO 보고 및 점검 대응 자료를 준비하는 과정을 실질적으로 줄여주는 역할을 합니다. 이를 통해 보안 담당자는 PC 자산 식별 내역 정리, PC 취약점 점검 결과 정리, 백업 및 복구 가능 여부 확인 근거 확보를 보다 효율적으로 수행할 수 있으며, CISO 기업 대상 긴급 보안 점검 이후에도 상시적인 PC 보안 관리 체계를 유지할 수 있습니다!
오늘의 포스팅을 통해 엑소스피어에 대해 관심이 생기셨다면, ‘무료체험 시작하기’ 링크를 통해 회원가입을 진행해 주세요. 회원가입 이후 2주간 엑소스피어 기능을 무료로 체험하실 수 있습니다. 무료체험 중 엑소스피어 기능에 대해 궁금한 점이나 PC보안 서비스 도입 관련 고민이 있으시다면 언제든지 문의 부탁드립니다. 담당자가 빠르고 친절하게 안내 도와드리겠습니다! 감사합니다.
[참고 링크 및 문서]
KISA 보호나라&KrCERT/CC - CISO기업 대상 긴급 보안점검 FAQ(2025.09)
KISA 지역정보보호센터 자산관리대장 작성 양식 및 가이드(2022.05)
KISA 보호나라 - 랜섬웨어 대응을 위한 데이터백업 8대 보안수칙(2025.07)