Digital Risk Intelligence

01 · 문제

밖에서 보이는 우리 회사를 우리가 보지 못합니다

조직의 보안 통제는 대부분 경계 안쪽을 향합니다. 그런데 침해의 출발점은 밖에 있는 경우가 많습니다. 자산 대장에 없는 서버, 이미 팔리고 있는 계정, 우리 상표를 단 가짜 사이트가 그것입니다.

이 셋은 성격이 다르지만 공통점이 하나 있습니다. 우리가 관측하지 않으면 존재를 모른다는 점입니다. 방화벽 로그에도, 단말 탐지에도 남지 않습니다.

국내 조직에서는 여기에 조건이 더 붙습니다. 계열사와 협력사가 많아 「우리 자산」의 경계 자체가 흐릿합니다. 사업부가 직접 띄운 서비스, 마케팅용으로 만든 도메인, 협력사가 운영하는 우리 브랜드 페이지가 각각 다른 관리 체계 아래 있습니다.

02 · 기존 방식의 한계

알림은 늘었는데 판단은 늘지 않았습니다

세 가지 모두 도구의 성능 문제가 아닙니다. 받은 신호를 판단으로 바꾸는 구간이 설계되지 않은 것입니다.

특히 유출 계정에서 이 문제가 분명합니다. 목록에 우리 도메인이 보이면 전 직원 비밀번호를 초기화하고, 몇 달 뒤 같은 상황이 반복됩니다. 「유출되었다」와 「지금 사용 가능하다」가 구분되지 않기 때문입니다.

03 · 접근

관측하고, 걸러내고, 판정하고, 닫습니다

1. 01외부 관측공개 출처·소셜·다크웹에서 조직 관련 신호를 상시 수집합니다.
2. 02조직 맥락 적용우리 도메인·브랜드·업종·협력사 기준으로 걸러 판단 대상만 남깁니다.
3. 03실사용 판정유출 자격증명이 지금도 통과하는지, 노출 자산이 실제로 뚫리는지 확인합니다.
4. 04차단과 회수사칭 자산 내리기, 계정 무효화, 노출 자산 정리까지 이어 붙입니다.

세 번째 단계가 이 구성의 분기점입니다. 관측과 필터링은 여러 제품이 제공하지만, 그것이 실제로 성립하는지 판정하는 단계는 별개의 능력입니다. 이 단계가 있으면 대응 대상이 크게 줄고, 줄어든 만큼 빨라집니다.

여기에서 S—01 노출 검증과 맞물립니다. 밖에서 찾은 유출 자격증명을 안쪽 인증 경로에 넣어 판정하면, 두 서비스가 하나의 흐름이 됩니다.

04 · 범위와 산출물

네 갈래를 하나의 화면에서 봅니다

갈래	관측 대상	산출물
외부 공격면	도메인·인증서·노출 시스템·클라우드 설정	자산 목록과 소유 미확정 항목
다크웹	유출 자격증명·거래 게시물·침해 언급	판정된 유효 계정 목록
브랜드 보호	사칭 도메인·위장 계정·가짜 애플리케이션	차단 요청 이력과 처리 시간
위협 인텔리전스	위협 행위자·캠페인·침해지표	탐지 규칙 반영 항목

산출물의 성격을 눈여겨보십시오. 네 갈래 모두 목록이 아니라 처리 상태가 붙은 항목입니다. 발견 건수가 아니라 닫은 건수와 걸린 시간이 보고 지표가 됩니다.

공급망 관점의 관측도 함께 다룹니다. 협력사와 계열사를 대상에 넣으면 우리 경계 밖에서 시작되는 경로가 드러납니다.

05 · 의사결정 가치

대응 대상이 좁아지고 보고 문장이 바뀝니다

전수 대응이 표적 대응으로 바뀝니다. 유출 계정 가운데 지금 통과하는 것만 남기면 전 직원 초기화가 필요 없어집니다. 현업 저항이 줄고 조치가 빨라집니다.

차단까지의 시간이 지표가 됩니다. 탐지 건수는 늘어도 위험이 줄었는지 말하지 못합니다. 발견에서 차단까지 걸린 시간을 재면 개선을 증명할 수 있습니다.

모르던 자산이 목록에 들어옵니다. 외부 관측에서 시작하면 자산 대장에 없던 것이 먼저 드러납니다. 그 차이가 대개 가장 위험한 구간입니다.

협력사 위험이 숫자가 됩니다. 구매 부서의 서면 점검으로만 관리되던 항목이 관측 가능한 지표로 바뀝니다.

06 · 적용 조건

대응 창구가 정해져 있어야 작동합니다

국내 채널 대응 경로를 먼저 확인해야 합니다. 사칭 대응의 실효는 탐지가 아니라 차단에서 나오는데, 국내 도메인 등록기관과 국내 플랫폼은 별도 신고 절차를 가집니다. 글로벌 채널 커버리지만으로는 국내 피해에 대응하지 못합니다.

계열사를 범위에 넣으려면 법적 근거가 필요합니다. 관측 대상에 포함하는 행위 자체가 동의를 전제로 하므로, 지주사 차원의 합의를 먼저 확보해야 합니다.

데이터 처리 위치를 규제와 함께 확인해야 합니다. 유출 자료 판정에 도메인과 계정 정보가 오가므로, 금융권이라면 클라우드 이용 절차와 같은 트랙에 놓아야 합니다.

07 · 전달 맥락

한 갈래에서 시작해 절차를 확인한 뒤 넓힙니다

네 갈래를 동시에 열면 알림만 늘고 처리 절차는 서지 않습니다. 국내에서는 대개 다크웹 유출과 사칭 도메인이 먼저 문제가 되므로 그 갈래부터 시작하는 편이 실효적입니다.

첫 회차에 현재 노출 상태를 한 번 훑어 기준선을 남깁니다. 이후 보고는 그 기준선과의 차이로 이루어집니다.

착수 전에 확정하는 편이 이후 재협의 비용이 낮은 항목은 다음과 같습니다.

질문 1  알림을 받고 24시간 안에 판단할 담당이 지정되어 있는가?
질문 2  국내 도메인·플랫폼에 대한 차단 요청 경로가 있는가?
질문 3  계열사·협력사를 관측 범위에 넣을 근거가 확보되었는가?
질문 4  발견에서 차단까지의 시간을 지표로 삼을 것인가?
질문 5  유출 계정의 실사용 판정을 어디에서 수행할 것인가?

마지막 항목은 S—01 노출 검증과 함께 검토하시기 바랍니다. 밖에서 찾은 것을 안에서 판정하는 구조가 되어야 이 흐름이 닫힙니다.