데이터 유출로부터 중소기업을 보호하는 방법

사이버 보안 은 오늘날의 사이버 위협 환경에서 다양한 산업의 모든 규모의 비즈니스에 영향을 미치는 문제가 되었습니다.

10년 전 해커들은 Target이나 Yahoo!와 같은 대규모 소매업체와 조직을 표적으로 삼았습니다. 단일 네트워크 침해로 대량의 판매 가능한 데이터를 캡처하기를 희망하는 오늘날 그들은 소규모 소매업체와 서비스 제공업체를 표적으로 삼는 경우가 많습니다.

2018년 단일 데이터 유출로 인한 전체 비용은 평균 400만 달러 이상이며 이러한 비용은 계속해서 증가할 것입니다.

주유소, 레스토랑, 호텔과 같은 소규모 소매업체 및 프랜차이즈가 계속해서 데이터 유출의 피해자가 되고 있습니다.

이 기사에서는 소규모 기업에 데이터 침해가 발생하는 방법과 이유를 설명한 다음 해킹을 피하기 위해 따를 수 있는 9가지 모범 사례를 설명합니다.

이미지 | Pixabay

데이터 침해란 무엇입니까?

데이터 침해 는 개인 데이터 또는 귀중한 데이터의 무단 공개입니다 .

뉴스에서 자주 듣는 전형적인 데이터 침해는 네트워크 공격입니다.

때로는 지구 반대편에 안전하게 앉아 있는 외부 해커 가 회사 네트워크에 액세스하고 인터넷을 통해 도난당한 데이터를 자신에게 전송합니다. 해커는 악의적으로 회사의 IT 시스템을 비활성화할 수도 있습니다.

내부자가 데이터를 훔쳐 공개 할 때도 데이터 침해가 발생합니다.

가장 흔한 배우?

불만을 품거나 최근에 해고된 직원, 또는 뇌물을 받았거나 적절한 보안 조치를 취하지 않아 외부 범죄자가 회사 데이터를 훔치는 진입 지점이 된 제3자 계약자.

데이터 침해가 발생하는 세 번째 방법은 실수로 발생하는 것입니다. 때때로 IT 직원이나 다른 직원이 데이터를 인터넷에서 공개적으로 볼 수 있도록 남겨둡니다.

또 다른 예는 직원이 공공 장소에서 회사 노트북을 잊어버렸거나 도난당한 경우입니다.

이러한 침해는 부주의와 열악한 보안 정책 으로 인해 발생합니다.

데이터 침해는 어떻게 발생합니까?

모든 사이버 보안 전문가의 마음속에 있는 질문은 "데이터 유출이 어떻게 발생할 수 있습니까?" 입니다.

답이 많기 때문에 어려운 질문이고 미리 다 추측하기도 어렵습니다.

데이터 침해는 보안 정책과 직원이 범죄자가 자신의 보안을 침해할 수 있는 방법을 알지 못하기 때문에 자주 발생합니다.

하지만 해커가 개인 비즈니스(또는 개인) 네트워크에 침입하는 일반적인 방법에는 여러 가지가 있습니다.

• 이메일 피싱 : 이것은 회사 네트워크에서 침해를 경험하는 가장 일반적인 방법입니다. 피싱 이메일의 주요 목표는 직원 자격 증명을 성공적으로 훔치거나 직원을 속여 업무용 컴퓨터에 맬웨어를 다운로드하도록 하는 것입니다. 해커는 직원들이 가짜 이메일이 합법적인 비즈니스 커뮤니케이션이나 공급업체의 이메일이라고 믿게 만듭니다. 직원이 이 공격의 희생양이 될 가능성은 항상 적기 때문에 해커는 공격이 일어나기를 기다리는 대상에게 끊임없이 피싱 이메일을 보냅니다. 일반적으로 한 번의 클릭으로 액세스할 수 있습니다.

이미지 | Pixabay

• 제로데이 익스플로잇 : 제로데이 익스플로잇은 제작자가 발견하지 못한 소프트웨어 결함입니다. "Zero-day"는 버그 수정을 시작하는 날이 아직 오지 않았음을 의미합니다.
  악용이 해커에게만 알려진 한 계속해서 이를 사용하여 탐지되지 않은 상태로 컴퓨터 네트워크에 침입할 수 있습니다.
• 드라이브 바이 다운로드 : 웹사이트는 주로 웹 브라우저에 광고를 게재하기 위해 백그라운드에서 실행되는 많은 스크립트를 로드합니다. 악성 스크립트가 광고 배치 네트워크에 주입되면 악용을 사용하여 직원도 모르게 컴퓨터에 악성 프로그램을 설치할 수 있습니다.
• 사회 공학 공격 : 사회 공학은 사기꾼에 대한 멋진 용어입니다. 이러한 공격에는 전화 통화 중에 회사 직원, 경찰 수사관 또는 고객을 사칭하는 것이 포함될 수 있습니다.
  직원 배지를 훔쳐 직장에 액세스하는 데 사용할 수도 있습니다.

데이터 침해의 결과

데이터 유출로 인해 비즈니스는 재정적, 유형적, 무형의 많은 비용에 노출됩니다.

조사에서 보안이 느슨하여 위반이 발생한 것으로 밝혀지면 즉각적인 재정적 비용은 소송, 벌금 및 계약상의 처벌의 형태를 취할 수 있습니다 .

고객은 집단 소송을 제기할 가능성이 높으며 널리 알려진 침해 사고 이후 회사 브랜드는 수년 동안 어려움을 겪을 것입니다.

고객을 위해 신용 카드 거래를 처리하는 기업은 고객 결제 데이터가 도난당할 때 신용 카드 공급업체와 함께 규제 벌금과 계약상 위약금 을 모두 받게 됩니다.

후속 금융 사기로 손실을 입은 은행은 위반 회사에 책임을 물을 수 있습니다.

금융 및 의료 산업에 관련된 회사는 고객 및 환자 기록과 금융 정보의 개인 정보 보호를 위한 엄격한 규제 요구 사항 도 적용됩니다.

보안을 유지하지 못하면 데이터 유출 후 발생할 수 있는 다른 비용과 결합될 때 소기업을 불구로 만들거나 파산시킬 수 있는 벌금이 부과됩니다.

데이터 유출은 소규모 기업을 폐업시킬 만큼 기업의 브랜드와 재정을 손상시킬 수 있지만, 지방 정부와 주 정부에 발생하면 그 결과는 끔찍할 수 있습니다.

IT 시스템의 중단으로 인해 애틀랜타 시가 랜섬웨어 공격을 받았을 때와 마찬가지로 정부 기관이 커뮤니티에 필수 서비스를 제공하지 못할 수 있습니다.

데이터 침해를 방지하는 방법

전담 보안 전문가를 IT 직원에 추가할 여력이 없는 소규모 기업에서는 사이버 보안을 구현하기 어렵습니다.

내부 사기 또는 외부 해커로 인한 데이터 침해로부터 비즈니스를 더 안전하게 보호 할 수 있는 몇 가지 경험 법칙이 있습니다.

이미지 | Pixabay

1. 외부 보안 컨설턴트 고용 : 회사에 보안 계획이 없는 경우 첫 번째 단계는 보안 계획을 수립하는 데 도움을 줄 컨설턴트를 초빙하는 것입니다. 이 옵션은 정규 직원을 고용하는 것보다 비용이 적게 들고 철저한 보안 평가와 권장 사항을 받게 됩니다.
2. 모든 데이터 보호 : 데이터 침해는 단순한 네트워크 해킹이 아닙니다. 데이터의 물리적 보안도 평가해야 합니다. 범죄자가 비즈니스에 침투할 수 있습니까? 직원이 종이 또는 전자의 민감한 기록에 액세스하여 훔칠 수 있습니까? 어떤 형태로든 데이터가 안전하지 않은 경우 해당 데이터에 대한 액세스를 제한하는 방법을 찾으십시오.
3. 필요한 데이터만 저장 : 데이터 유출 피해를 최소화하는 한 가지 방법은 발생 시 고객 및 직원 데이터를 보유하지 않는 것입니다. 좋은 정책은 필요한 데이터만 저장하고 목적을 달성하면 폐기하는 것입니다. 예를 들어 고객이 구매한 후 거래 세부 정보를 저장하지 않습니다.
4. 직원들에게 일반적인 해커 전술 교육 : 네트워크 보안의 가장 약한 부분은 직원입니다.
   대부분의 데이터 침해는 직원이 맬웨어를 설치하는 링크를 클릭하거나 계정 자격 증명을 제공하여 이메일 피싱 시도에 빠지는 것으로 시작됩니다. 보안 지식이 있는 인력이 있으면 해커가 성공하기가 더 어려워집니다.
5. 소프트웨어 업데이트 유지 : 해커가 사설 네트워크를 침해하는 두 번째로 일반적인 방법은 소프트웨어 취약점을 악용하여 액세스하는 것입니다. 소프트웨어 공급업체는 보안 패치를 자주 릴리스하며 대부분의 경우 인터넷을 통해 자동으로 업데이트되도록 소프트웨어를 구성할 수 있습니다.
6. 휴대용 저장 장치의 사용 제한 : USB 스틱은 해커가 개인 네트워크의 컴퓨터를 감염시킬 수 있는 편리한 도구입니다. 때때로 그들은 직원이나 계약자를 사칭하여 직장에 액세스하고 USB 스틱을 연결하여 컴퓨터에 맬웨어를 감염시킵니다.
   그들은 내용물을 확인하기 위해 누군가가 그것을 컴퓨터에 꽂을 것이라는 것을 알고 바닥에 떨어뜨릴 수도 있습니다.
7. 보안 서비스로 웹사이트와 네트워크 보호 : 보안 서비스는 기업이 웹사이트와 네트워크를 침해로부터 보호할 수 있도록 도와줍니다. 그들은 의심스러운 활동에 대해 네트워크를 지속적으로 모니터링하고 즉시 위험 신호를 제기합니다. 대부분의 침해는 실행하는 데 몇 주 또는 몇 달이 걸리므로 빠른 침입자 탐지는 추적에서 네트워크 침해를 막는 열쇠입니다.
8. 모든 데이터 전송 암호화: 오늘날에는 해독할 특별한 키 없이는 누구도 데이터에 액세스할 수 없도록 하는 강력한 암호화가 존재합니다. 강력한 암호화 정책을 구현하면 해커가 데이터 유출 중에 훔친 데이터를 사용할 수 없습니다.
9. 관리 권한 제어 : 해커는 데이터를 훔치기 위해 네트워크에 액세스한 후 전체 관리자 권한을 얻어야 합니다. 네트워크 관리자 계정의 보안을 심각하게 고려하여 잠재적인 데이터 침해를 방지할 수 있습니다. 관리자 계정의 수를 제한하고 필요한 권한만 부여하고 강력한 암호를 사용하여 보호하십시오.

마지막 생각들

데이터 침해의 빈도와 희생양이 되는 높은 비용으로 인해 모든 회사 는 강력한 보안 계획을 수립하고 이를 준수해야 합니다 .

데이터 유출을 피할 수 있는 방법은 없지만 적절한 대비를 통해 데이터 유출로 인한 피해를 최소화할 수 있습니다.

사이버 보안 회사와 상의하고 일련의 실용적인 보안 정책 을 따르면 중소기업은 데이터를 안전하게 보호할 수 있습니다. 이러한 보안 정책에는 소프트웨어를 최신 상태로 유지하고 네트워크가 무단 액세스를 방지하도록 적절하게 구성되어 있는지 확인하는 것이 포함됩니다.

보안은 가장 약한 링크만큼만 강력 하다는 것을 잊지 말고 전략의 일부로 사이버 보안에 대한 직원 교육을 포함해야 합니다.

직원이 의심스러운 이메일을 피하는 방법을 알고 있고 외부에 있을 때 비즈니스 랩톱을 안전하게 유지하는 모범 사례를 알고 있으면 피해자가 될 가능성이 줄어듭니다.

견고한 보안 계획 과 실행 의지가 크든 작든 비즈니스를 보호하는 열쇠입니다.