침해사고 대응 조직
IT 위키
- CERT; Computer Emergency Response Team; CSIRT; Computer Security Incident Response Team
- 기업·기관의 관할 범위 안에서 발생하는 침해사고의 접수·분석·대응·복구를 전담하는 조직. 침해사고대응팀이라고도 한다.
1988년 모리스 웜 사태를 계기로 미국 카네기멜런 대학교에 CERT/CC 가 설치된 것이 시초다. 이후 각국과 각 조직이 같은 기능의 조직을 두게 되었고, 오늘날 CERT 는 고유명사가 아니라 침해사고 대응 조직 일반을 가리키는 말로 쓰인다.
- CERT : 가장 널리 쓰이는 이름. 원래는 CERT/CC 의 등록 상표에서 비롯했다.
- CSIRT : 상표 문제를 피하면서 같은 기능을 가리키는 중립적 명칭. 국제적으로는 이쪽이 더 정확한 용어로 취급된다.
- 국가 단위 : 국내에서는 한국인터넷진흥원이 KrCERT/CC 를 운영하며 민간 분야 침해사고를 접수·대응한다.
- 사고 대응(Reactive)
- 침해사고 신고 접수와 초동 분석
- 피해 범위 파악, 격리, 차단 등 봉쇄 조치
- 원인 분석과 증거 수집(디지털 포렌식)
- 절차는 침해사고 대응절차 문서 참조
- 복구 지원과 재발 방지 대책 수립
- 사전 예방(Proactive)
- 취약점 정보와 보안 권고문 배포
- 로그·트래픽 상시 모니터링(침입탐지시스템)
- 모의 훈련과 대응 절차 점검
- 임직원 보안 교육
- 품질 관리
- 보안 정책·구성 점검, 위험 평가, 감사 지원
침해사고 대응체계의 한 축이다. 일반적으로 다음 단계로 진행한다.
- 준비 : 조직·연락 체계·절차·도구를 미리 갖춘다
- 탐지와 분석 : 사고 여부를 판별하고 유형·범위·심각도를 판정한다
- 봉쇄 : 피해 확산을 막는다. 증거 보존과 서비스 연속성 사이에서 판단이 필요하다
- 근절 : 악성코드·백도어·침입 경로를 제거한다
- 복구 : 시스템을 정상화하고 재침해 여부를 감시한다
- 사후 검토 : 원인과 대응을 기록하고 절차·통제를 개선한다
| 약어 | 이름 | 성격 |
|---|---|---|
| CERT / CSIRT | 침해사고대응팀 | 사고 대응을 수행하는 조직 |
| CISO | 정보보호 최고책임자 | 조직 전체의 정보보호를 총괄하는 임원 |
| CPO | 개인정보 보호책임자 | 개인정보 보호 업무를 총괄하는 책임자 |
| CPPG | 개인정보관리사 | 개인정보보호 분야 자격증 |
| SOC | 보안 관제 센터 | 상시 모니터링을 담당하는 조직. CERT 와 협업하거나 포함 관계를 이룬다 |
