사이버 보안 정책은 직원들이 회사의 시스템, 계정, 기기 및 디지털 데이터를 보호해야 하는 방법을 귀하의 소규모 비즈니스가 명확하게 설명할 수 있도록 돕는 기초 문서입니다.
이것은 허용되는 관행, 직원이 피해야 할 행동, 결정 권한의 주체, 문제 발생 시 대처 방안과 같은 질문에 답변함으로써, 보안을 산재된 권고 사항에서 공유된 기대치로 전환합니다.
이 가이드는 귀하의 소규모 비즈니스를 위한 사이버 보안 정책을 작성하거나 검토할 수 있는 실용적인 프레임워크를 제공합니다. 귀하는 이를 기본 템플릿으로 사용하고, 각 섹션을 귀하의 도구와 위험에 맞게 조정하며, 정책을 쉽게 준수할 수 있도록 운영 통제 방식과 연결할 수 있습니다.
비즈니스용 IT 보안 정책이 실패하는 이유는 무엇인가요?
Proton Pass for Business가 정책 집행을 지원하는 방법
사이버 보안 정책이란 무엇인가요?
사이버 보안 정책은 귀하의 비즈니스가 정보, 시스템, 기기 및 계정을 사이버 위협(새 창)으로부터 보호하는 방법을 정의하는 문서입니다. 관리자 및 운영자를 포함한 직원과 계약업체가 일상 업무에서 준수해야 할 사항을 설명해야 합니다.
강력한 정책은 의사 결정이 불확실할 때 사람들이 실제로 참고할 수 있는 지침서 역할을 해야 합니다. 다음과 같은 질문에 답할 수 있어야 합니다:
- 어떤 비밀번호와 계정에 추가적인 보호가 필요한가요?
- 직원이 업무에 개인 기기를 사용할 수 있나요?
- 민감한 데이터는 어디에 저장해야 하나요?
- 누가 비즈니스 시스템에 대한 접근을 승인할 수 있나요?
- 보안 사고가 의심되는 경우 어떻게 해야 하나요?
- 정책은 얼마나 자주 검토되나요?
- 누군가 퇴사할 때 접근 권한은 어떻게 되나요?
SMB의 경우, 가장 좋은 사이버 보안 정책은 불필요한 추측을 삭제할 수 있을 정도로 짧고 명확하며 구체적이어야 합니다.
소규모 비즈니스에 사이버 보안 정책이 필요한 이유
사이버 보안 정책은 귀하의 비즈니스에 세 가지 방식으로 도움이 될 수 있습니다:
기대치 설정: 직원이 허용되는 사항, 요구되는 사항, 승인이 필요한 사항을 알 수 있습니다.
책임성 수립: 접근, 기기, 데이터 처리 및 침해 사고 대응에 명확한 책임자가 지정되면, 보안이 개인의 기억력에만 의존하는 일이 없어집니다.
규정 준수 및 고객 신뢰 지원: GDPR과 같은 데이터 규정을 준수하려면 귀하의 비즈니스는 위험 분석, 조직 정책, 기술적 조치를 포함한 적절한 기술적 및 조직적 조치를 사용하여 개인 데이터를 안전하게 처리해야 합니다.
문서화된 정보 보안 정책은 귀하의 비즈니스가 이러한 책임을 고려하고 위험을 줄이기 위한 통제 조치를 마련했음을 보여주는 데 도움이 됩니다.
Proton의 SMB 사이버 보안 보고서는 소규모 팀에 이것이 왜 중요한지 보여줍니다. SMB는 대기업과 같은 리소스 없이 실제 보안 위험에 직면하는 경우가 많습니다. 실용적인 정책은 이러한 팀이 기본 사항의 우선순위를 정하고 이를 반복 가능하게 만드는 방법을 제공합니다.
사이버 보안 정책 템플릿: 9가지 핵심 섹션
다음 구조를 사이버 보안 정책 템플릿으로 사용하십시오. 모든 섹션을 너무 길게 작성할 필요는 없습니다. 규칙을 정의하고, 담당자를 지정하며, 직원이 이를 적용하는 방법을 설명하는 것이 목표입니다.
1. 정책 목적 및 범위
먼저 정책의 존재 이유와 적용 대상에 대해 설명하십시오. 이 섹션은 정책이 ‘IT 시스템’ 또는 정직원에게만 적용된다고 가정하는 일반적인 문제를 방지합니다.
템플릿 사본:
본 사이버 보안 정책은 [회사 이름]이 비즈니스 시스템, 계정, 기기 및 데이터를 보호하는 방법을 정의합니다. 이는 회사 정보 또는 시스템에 접근하는 직원, 계약업체, 임시직 직원 및 제삼자에게 적용됩니다.
범위에는 회사 소유 기기, 승인된 클라우드 서비스, 비즈니스 계정, 원격 근무 환경, 업무용 개인 기기 및 공급업체 접근 권한이 포함되어야 합니다.
2. 이용 허용 정책
이용 허용 섹션은 직원이 회사 시스템과 계정을 사용하는 방법을 설명합니다.
다음 내용을 다루어야 합니다:
- 승인된 비즈니스 소프트웨어 및 서비스
- 승인되지 않은 앱 또는 브라우저 확장 프로그램에 대한 제한
- 파일 및 소프트웨어 다운로드 규정
- 회사 이메일 및 메시징 사용
- 회사 기기의 개인적 사용
- 승인 없이 계정을 공유하거나 보안 제어를 우회하는 등 금지된 행위
이 섹션을 실용적으로 유지하십시오. 직원은 기술적인 언어를 해석할 필요 없이 일상적인 선택 중 어떤 것이 허용되는지 이해할 수 있어야 합니다.
템플릿 사본:
직원은 회사 업무에 승인된 비즈니스 시스템을 사용해야 합니다. [역할/팀]의 승인이 없는 한, 회사 데이터를 저장, 처리 또는 공유하기 위해 승인되지 않은 어플리케이션, 개인 저장공간 계정 및 무단 브라우저 확장을 사용해서는 안 됩니다.
3. 비밀번호 및 접근 관리 요구 사항
관리자 제어 기능을 고려하는 것이 중요합니다. 정책을 통해 접근 권한이 있어야 하는 사람, 2단계 인증(2FA)이 필요한 시기, 오프보딩 진행 방식을 정의할 수 있지만, 팀은 여전히 이러한 규칙을 적용할 수 있는 운영적인 방법이 필요합니다. Proton Pass for Business와 같은 비즈니스 비밀번호 관리자는 관리자 패널을 통해 이를 지원하며, 여기서 귀하의 팀은 접근을 관리하고, 정책을 적용하며, 활동을 검토하고, 비공식적인 비밀번호 처리에 대한 의존도를 줄일 수 있습니다.
귀하의 정책에는 다음 사항이 명시되어야 합니다:
- 업무용 비밀번호는 고유하고 강력해야 합니다.
- 비즈니스 계정과 개인 계정 간에 비밀번호를 재사용해서는 안 됩니다.
- 공유 자격 증명은 이메일, 채팅, 스크린샷, 티켓 또는 문서와 같이 승인되지 않은 방식으로 보내기해서는 안 됩니다.
- 위험도가 높은 계정을 시작으로 모든 곳에서 2단계 인증을 활성화해야 합니다.
- 접근 권한은 역할 및 비즈니스 요구에 따라 부여되어야 합니다.
- 역할이 변경되거나 퇴사할 때는 접근 권한을 삭제해야 합니다.
- 2단계 인증을 아직 활성화할 수 없는 경우, 공유 계정이 일시적으로 불가피한 경우, 공급업체에 시간 제한이 있는 상위 접근 권한이 필요한 경우, 또는 이전 버전 시스템이 표준 비밀번호 또는 접근 요구 사항을 충족할 수 없는 경우를 포함한 예외 사항은 문서화되어야 합니다.
Proton의 비밀번호 정책 작성 가이드는 비밀번호 규칙, 공유, 접근 관리 및 2단계 인증에 대한 자세한 세부사항을 제공하여 이 섹션을 지원할 수 있습니다.
이것은 정책에 운영상의 지원이 필요한 부분이기도 합니다. 직원이 여전히 모든 비밀번호를 수동으로 생성하고 기억해야 한다면 ‘고유한 비밀번호 사용’이라는 규칙은 효과가 떨어집니다.
Proton Pass for Business와 같은 비즈니스 비밀번호 관리자는 팀이 비밀번호 요구 사항을 일상적인 방식으로 실천할 수 있도록 돕습니다. 직원은 하나의 앱에서 강력하고 고유한 비밀번호를 생성하고, 암호화됨 보관함에 저장하고, 자동완성을 사용하고, 불안정한 채널을 사용하는 대신 비밀번호를 안전하게 공유할 수 있습니다.
템플릿 사본:
업무용 비밀번호는 고유하고 강력해야 하며, 승인된 비즈니스 비밀번호 관리자에 저장됨 상태여야 합니다. 비밀번호는 개인 계정과 비즈니스 계정 간에 재사용해서는 안 되며 이메일, 채팅, 스크린샷, 티켓 또는 문서를 통해 공유해서는 안 됩니다. 위험도가 높은 계정에는 다요소 인증을 활성화해야 하며, 접근 권한은 역할 및 비즈니스 요구에 따라 부여되어야 합니다. 직원, 계약업체 또는 공급업체에 더 이상 접근 권한이 필요하지 않은 경우, 권한을 검토하고 삭제해야 합니다.
4. 데이터 분류 및 처리
사이버 보안 정책은 귀하의 비즈니스가 취급하는 정보의 유형과 각 정보 유형을 보호하는 방법을 정의해야 합니다. 소규모 비즈니스에서 복잡하지 않게 사용할 수 있는 세 가지 계층은 다음과 같습니다:
공개: 일반인 사용이 승인된 정보
내부: 외부 공유에 적절하지 않은 직원 및 승인된 계약업체용 비즈니스 정보
기밀: 고객 데이터, 재무 데이터, 자격 증명, 계약서, 직원 기록 또는 민감한 운영 정보 등 유출 시 피해를 줄 수 있는 모든 정보
템플릿 사본:
기밀 정보는 승인된 시스템에만 저장됨 상태여야 하고, 승인된 사람과만 공유되어야 하며, 무단 접근으로부터 보호되어야 합니다. 직원은 기밀 비즈니스 데이터를 개인 계정, 관리되지 않는 문서 또는 승인되지 않은 기기에 저장해서는 안 됩니다.
5. 침해 사고 보고 및 최초 대응
귀하의 정책은 직원이 취약점을 발견하거나 의심할 때 해야 할 조치를 설명해야 합니다. 이것이 완전한 침해 사고 대응 요금제일 필요는 없지만, 최초 조치와 담당자를 정의해야 합니다.
다음과 같은 예를 포함하십시오:
침해 사고가 발생하기 전에 보안 사고 위험을 줄이는 방법에 대한 자세한 안내는 Proton의 비즈니스를 위한 데이터 보안 사고 예방 가이드를 참조하십시오.
템플릿 사본:
직원은 의심되는 보안 사고를 [역할/팀/연락처]에 즉시 보고해야 합니다. 직원은 사고 담당자의 지시가 없는 한 증거를 삭제하거나, 영향을 받은 시스템을 재설정하거나, 사고에 대해 외부와 소통해서는 안 됩니다.
6. 원격 근무 및 개인 기기 업무 사용(BYOD) 규정
적절히 관리되지 않을 경우 원격 근무 및 비즈니스 네트워크 내의 개인 기기는 불필요한 위험을 초래할 수 있습니다. 사이버 보안 정책에는 직원이 개인 기기를 사용할 수 있는지 여부, 적용되는 보안 요구 사항(예: BYOD 보안), 기기 분실 또는 퇴사 시 어떻게 되는지 설명해야 합니다.
다음 사항을 포함하십시오:
- 승인된 기기 및 운영 체제
- 화면 잠금 및 기기 암호화
- 기기 분실 또는 도난 보고
- 공용 WiFi(새 창) 사용
- 개인 기기에서의 회사 시스템 접근
- 개인 클라우드 저장공간 규정
- 인증 앱 및 2단계 인증 요구 사항
- 원격 근무 직원의 오프보딩 절차
Proton의 원격 근무 정책 및 BYOD 정책 가이드는 분산된 팀과 직원 소유 기기에 대한 보다 자세한 규칙을 제공하여 이 섹션을 지원할 수 있습니다.
템플릿 사본:
직원은 보안 요구 사항을 충족하는 승인된 기기에서만 회사 시스템에 접근할 수 있습니다. 기기를 분실하거나 도난당한 경우 즉시 보고해야 합니다. 회사 데이터는 개인 클라우드 계정이나 관리되지 않는 어플리케이션에 저장됨 상태로 두어서는 안 됩니다.
7. 타사 공급업체 접근 권한
소규모 비즈니스는 종종 대행사, 계약업체, 소프트웨어 제공업체, 회계사, 컨설턴트 및 관리형 서비스 제공업체에 의존합니다. 공급업체 접근 권한은 귀하의 비즈니스가 완전히 통제하지 못하는 백도어를 생성할 수 있으므로 절대 소홀히 취급해서는 안 됩니다.
비즈니스 비밀번호 관리자는 팀이 공급업체 자격 증명의 범위를 지정 및 모니터링하고, 계약이 종료될 때 쉽게 취소할 수 있도록 하여 통제를 더욱 실용적으로 만드는 데 도움이 될 수 있습니다.
귀하의 정책에는 다음 사항이 정의되어야 합니다:
- 누가 공급업체 접근을 승인할 수 있는지
- 공급업체가 어떤 시스템에 접근할 수 있는지
- 공급업체 계정이 개인용이어야 하는지 아니면 공유되어야 하는지
- 접근 권한이 얼마나 지속되는지
- 공급업체 접근 권한이 얼마나 자주 감사되는지
- 각 공급업체에 대한 최소 권한이 어떻게 결정되는지
- 계약이 종료되면 어떻게 되는지
이 섹션은 공급망 보안도 지원합니다. NCSC의 10대 조치(새 창)는 이를 사이버 위험 관리를 위한 핵심 영역으로 포함하고 있으며, 이는 IT, 재무, 마케팅 또는 운영의 일부를 아웃소싱하는 소규모 비즈니스에 특히 중요합니다.
템플릿 사본:
타사 접근 권한은 [역할/팀]의 승인을 받아야 하며, 업무에 필요한 시스템으로 제한되고, 계약 종료 시 검토되어야 합니다. 더 이상 필요하지 않은 공급업체 접근 권한은 삭제해야 합니다.
8. 직원 교육 요구 사항
온보딩 기간에만 정책을 확인한다면 사이버 보안 정책은 효과를 발휘할 수 없습니다. 정기적인 보안 인식 교육을 통해 정책이 항상 준수되도록 해야 합니다.
귀하의 정책은 다음 사항을 설명해야 합니다:
- 직원이 보안 교육을 받는 시기
- 교육에서 다루는 주제
- 재교육이 얼마나 자주 진행되는지
- 누가 교육을 완료해야 하는지
- 새로운 위험 또는 정책 변경 사항이 전달되는 방식
교육 주제에는 피싱, 비밀번호 관리, 2단계 인증, 안전한 파일 공유, 데이터 처리, 원격 근무, 기기 보안 및 침해 사고 보고가 포함될 수 있습니다.
교육은 짧고 실용적으로 유지하십시오. 지나치게 길고 장황한 40페이지 분량의 문서보다는 짧은 예시를 통한 지원 및 체크리스트가 포함된 간결한 다섯 페이지 분량의 정책이 대개 더 유용합니다.
템플릿 사본:
직원은 온보딩 시와 최소 [매년/연 두 번] 사이버 보안 교육을 완료해야 합니다. 교육에서는 비밀번호 보안, 피싱, 데이터 처리, 기기 보안 및 침해 사고 보고를 다룹니다.
9. 정책 검토 주기
사이버 보안 정책은 비즈니스가 변화함에 따라 함께 변경되어야 합니다. 새로운 시스템, 원격 근무 형태, 공급업체, 규정 및 사고 등으로 인해 이전 규칙이 미흡해질 수 있습니다.
다음 사항을 정의하십시오:
- 정책이 검토되는 빈도
- 사이버 보안 정책 검토 담당자
- 변경 사항이 승인되는 방식
- 업데이트가 전달되는 방식
- 비정기 검토를 유발하는 요인
템플릿 사본:
본 정책은 [담당자]에 의해 매 [여섯 개월 또는 12개월]마다 검토됩니다. 또한 중대한 보안 사고, 중요한 시스템 변경, 규정 업데이트 또는 비즈니스 운영의 실질적인 변경이 있을 때도 검토되어야 합니다.
비즈니스용 IT 보안 정책이 실패하는 이유는 무엇인가요?
대부분의 사이버 보안 정책은 현실적인 이유로 실패합니다:
정책이 너무 깁니다: 소규모 비즈니스 사이버 보안 정책이 모든 가능한 시나리오를 다루려고 해서는 안 됩니다. 너무 길어지면 직원은 정책을 사용하지 않게 됩니다. 내용을 간결하게 유지하고 필요한 경우 더 세부적인 절차에 대한 링크를 제공하십시오.
언어가 너무 기술적입니다: 직원이 비즈니스 사이버 보안 지침을 준수하기 위해 보안 분야의 지식을 갖출 필요는 없습니다. 쉬운 언어를 사용하고 가급적 기술 용어는 일상적인 설명으로 대체하십시오.
정책이 온보딩 때만 제공됩니다: 온보딩 시 단 한 번만 언급되는 정책은 일상적인 행동 방식으로 자리 잡지 못합니다. 교육, 알림, 퀵 레퍼런스 가이드 및 프로세스 변경 시의 업데이트를 통해 이를 지속적으로 보강하십시오.
정책이 전혀 검토되지 않음: 이 년 전에 작성된 정책은 현재 시스템, 원격 근무 방식, 공급업체 접근 권한 또는 규정 준수 기대치를 반영하지 못할 수 있습니다. 정기적으로 검토하십시오.
정책이 집행되지 않습니다: 이는 실패의 가장 흔한 원인입니다. 정책상 비밀번호는 안전하게 저장됨 상태여야 하고, 2단계 인증을 활성화해야 하며, 공급업체 접근 권한을 삭제해야 한다고 명시할 수 있지만, 아무도 이를 모니터링하지 않는다면 규칙은 무용지물이 됩니다. 집행이란 담당자를 지정하고, 가능한 경우 관리자 제어 기능을 사용하며, 예외 사항을 검토하고, 안전하게 행동하는 것이 단축키를 쓰는 것보다 더 쉬워지도록 만드는 것을 의미합니다.
비밀번호 및 접근 관리를 위해 Proton Pass for Business는 운영상 정책 집행을 지원할 수 있습니다. 이는 팀에 암호화됨 보관함, 안전한 공유, 비밀번호 생성 및 관리자 가시성을 제공하여 귀하의 비즈니스가 이론에만 의존하지 않도록 합니다. 또한 관리자는 직원의 비밀번호를 알지 못해도 조직 전반에서 안전하게 비밀번호 건강도를 모니터링하고, 자격 증명 재사용 및 다크 웹 보안 사고 노출 상태를 모니터링할 수 있습니다.
Proton Pass for Business가 정책 집행을 지원하는 방법
사이버 보안 정책은 비즈니스에서 이를 실제로 실천할 수 있을 때만 유용합니다. 비밀번호 및 접근 규칙이 좋은 예입니다. 비밀번호는 고유해야 하고, 안전하게 공유되어야 하며, 퇴사 시 삭제되어야 한다고 문서화할 수 있습니다. 하지만 직원이 여전히 브라우저, 스프레드시트, 채팅 메시지 또는 개인 메모를 사용한다면 정책은 무시되기 쉽습니다.
Proton Pass for Business는 직원에게 자격 증명을 생성, 저장, 자동완성 및 공유하는 안전한 방법을 제공하는 동시에 관리자에게 접근이 관리되는 방식에 대한 더 나은 가시성을 부여합니다. 이를 통해 귀하 정책의 비밀번호 및 접근 관리 섹션을 더욱 쉽게 준수할 수 있습니다.
소규모 비즈니스의 경우 이점은 실용적입니다. 자격 증명 위생을 개선하기 위해 대규모 보안 팀이 필요하지 않습니다. 비즈니스 비밀번호 관리자는 귀하의 팀에 업무용 자격 증명을 관리할 수 있는 중앙 집중식 장소를 제공하고, 보다 안전한 협업을 지원하며, 비밀번호 재사용 또는 통제되지 않는 공유의 위험을 줄이는 데 도움이 됩니다.
접근 제어는 정책을 행동으로 전환할 수 있는 가장 실용적인 부분 중 하나입니다. 자격 증명을 더 쉽게 생성, 저장, 공유하고 안전하게 취소할 수 있다면 직원이 불안정한 임시 조치에 의존할 가능성이 줄어듭니다. 또한 관리자는 일상 업무에서 비밀번호 및 접근 요구 사항을 지원하는 더 명확한 방법을 확보하게 됩니다.
Proton Pass for Business와 같은 안전한 비즈니스 비밀번호 관리자를 통해 귀하의 사이버 보안 정책을 집행하십시오.
