품질
기업 웹사이트 보안에서 확인할 것
보안은 사고가 나기 전에는 비용으로만 보이고 사고가 난 뒤에는 늦습니다. 기업 사이트에서 실제로 문제가 되는 항목을 순서대로 정리했습니다.
웹사이트 보안란
웹사이트 보안은 사이트가 외부 공격으로 변조되거나 정보가 빠져나가지 않도록 서버·프로그램·접근 권한을 관리하는 일입니다. 개인정보를 다루는 사이트는 법에서 정한 기준을 함께 지켜야 합니다.
가장 먼저 — 인증서와 접속 경로
브라우저 주소창에 「안전하지 않음」이 뜨는 사이트는 첫 화면에서 방문자를 잃습니다. SSL 인증서가 있는지, 만료일이 언제인지, 자동 갱신이 걸려 있는지 확인하십시오.
인증서만 있으면 되는 것이 아닙니다. http:// 로 들어와도 https:// 로 넘어가야 합니다. 넘어가지 않으면 같은 내용이 암호화되지 않은 경로로도 열립니다.
도메인 앞에 www 를 붙였을 때도 정상으로 열리는지 확인하십시오. 인증서에 www 가 포함돼 있지 않으면 그 주소로 들어온 방문자에게 경고가 뜹니다.
관리자 화면 — 사고가 가장 많이 나는 곳
기업 사이트에서 실제로 뚫리는 경로는 대부분 관리자입니다. 주소가 뻔하고, 암호가 단순하고, 퇴사자 계정이 남아 있는 조합이 흔합니다.
관리자 주소를 기본값에서 바꾸고, 접속 가능한 IP를 제한하고, 2단계 인증을 켜는 것이 기본입니다. 계정은 사람마다 따로 만들어 누가 무엇을 했는지 기록이 남게 해야 합니다.
퇴사자 계정 정리를 정기 작업으로 만들어 두십시오. 실무에서 가장 자주 빠뜨리는 항목입니다.
지금 확인할 것
- 관리자 계정 목록에 지금 근무하지 않는 사람이 있습니까.
- 관리자 접속에 2단계 인증이 켜져 있습니까.
- 관리자 주소가 흔한 기본값 그대로입니까.
- 누가 언제 무엇을 고쳤는지 기록이 남습니까.
개인정보를 다룬다면
문의 폼 하나만 있어도 이름과 연락처를 받으므로 개인정보를 다루는 사이트입니다. 수집 항목·목적·보관 기간을 안내하고 동의를 받아야 합니다.
받은 정보를 어디에 얼마나 두는지도 정해야 합니다. 문의 내용이 관리자 화면에 몇 해째 쌓여 있는 경우가 많습니다. 보관 기간이 지난 것은 지우는 절차를 만들어 두십시오.
회원 정보나 결제 정보가 있으면 요구 수준이 올라갑니다. 저장 방식, 암호화, 접근 권한, 접속 기록 보관에 정해진 기준이 있으므로 구축 단계에서 확인해야 합니다.
취약점 점검
구축이 끝나면 점검을 한 번 받는 것이 좋습니다. 자동 점검 도구로 알려진 취약점을 훑고, 필요하면 전문 업체의 모의 침투 점검을 받습니다.
공공 입찰이나 대기업 협력사 등록에서는 점검 결과를 요구하는 경우가 있습니다. 요구받을 가능성이 있으면 구축 계약에 점검 비용을 미리 넣어 두십시오.
점검은 한 번으로 끝나지 않습니다. 새 기능을 붙이거나 라이브러리를 갱신할 때마다 상황이 달라지므로 주기를 정해 두는 편이 낫습니다.
쓰고 있는 것이 아직 지원되는지
프레임워크, 데이터베이스, 운영체제에는 지원 종료일이 있습니다. 종료된 뒤에는 취약점이 발견돼도 보안 갱신이 나오지 않습니다.
지금 쓰는 것들의 지원 종료일을 목록으로 정리해 두면 언제 무엇을 올려야 할지 미리 계획할 수 있습니다. 종료 직전에 급하게 올리면 비용이 더 듭니다.
공개 소프트웨어 기반 사이트라면 플러그인도 함께 봐야 합니다. 개발이 멈춘 플러그인은 갱신이 나오지 않으므로 대체하거나 걷어내야 합니다.
사고가 났을 때
미리 정해 둘 것은 세 가지입니다. 누구에게 알리는가, 무엇부터 멈추는가, 어떻게 되돌리는가.
백업이 있어도 되돌려 본 적이 없으면 그때 되돌아가지 않습니다. 정기적으로 다른 환경에 복원해 보고 정상 동작하는지 확인해 두십시오.
개인정보가 빠져나간 경우에는 정해진 기간 안에 이용자와 관계 기관에 알려야 합니다. 절차를 미리 문서로 만들어 두면 그 상황에서 판단할 일이 줄어듭니다.
자주 묻는 질문
소개용 홈페이지에도 보안이 필요합니까.
필요합니다. 정보를 가져갈 것이 없어도 사이트를 변조해 다른 곳으로 보내거나 광고를 심는 경우가 있습니다. 회사 이름으로 검색했을 때 이상한 페이지가 나오면 신뢰를 잃습니다. 최소한 인증서와 관리자 접근 관리는 해 두어야 합니다.
워드프레스가 보안에 약하다는 말이 맞습니까.
워드프레스 자체보다 플러그인이 문제인 경우가 많습니다. 널리 쓰여 공격 대상이 되기 쉽고, 갱신이 멈춘 플러그인을 그대로 두면 취약점이 남습니다. 플러그인 수를 줄이고 갱신을 따라가면 상당 부분 관리됩니다.
보안 점검은 얼마나 자주 받아야 합니까.
사이트 성격에 따라 다릅니다. 회원과 결제가 있으면 정기적으로, 소개용이면 큰 변경이 있을 때마다 받는 정도로 잡습니다. 자동 점검 도구는 더 자주 돌려도 부담이 적습니다.
이 주제와 관련된 서비스
관련 구축 사례
이어서 읽어 볼 글
준비 중인 프로젝트가 있으시다면
요구 사항과 일정을 알려 주시면 범위에 맞춘 제안을 드립니다.
문의하기
