방화벽에 여러 포트를 향한 접속 시도가 쌓여도 그 기록만으로 침입이 성공했다고 판단할 수는 없다. 포트 스캔은 대상의 통신 포트에 탐색 패킷을 보내 응답을 비교하고, 접근 가능한 서비스를 추정하는 행위다. 자산 점검에도 쓰이지만 공격자가 다음 공격 대상을 찾는 데도 활용한다.관제에서 중요한 것은 접속 시도의 양보다 목적지의 분포, 응답, 관측 위치다. 같은 서버의 여러 포트를 확인했는지, 여러 서버의 같은 포트를 확인했는지, 실제 연결과 후속 행위가 있었는지를 구분해야 한다.1. 포트가 열려 있다는 판단의 범위포트 번호는 호스트 안에서 통신을 전달할 서비스의 접점을 구분한다. TCP와 UDP는 별개의 포트 공간을 사용하므로 같은 번호라도 상태가 같다고 볼 수 없다. 또한 포트 번호만으로 실제 서비스의 종..

퇴사자 계정을 차단했다는 보고를 받았는데, 실제로는 기존 로그인 세션이 계속 살아 있다면 통제가 제대로 작동했다고 볼 수 있을까. 로그인 기록을 보관하고 있어도 아무도 이상 징후를 확인하지 않는다면 계정 오용을 제때 발견하기 어렵다. 보안 통제는 장비나 규정의 보유 여부보다, 줄이려는 위험과 실제 작동 결과를 연결해 살펴봐야 한다.이 글에서는 예방·탐지·교정 통제를 목적에 따라 구분하고, 하나의 위험에 세 역할을 어떻게 조합할지 설명한다. 아래 기업 사례와 점검표는 개념을 실무에 적용하기 위해 구성한 가상 예시와 제안이다.1. 보안 통제는 위험을 줄이기 위한 구체적인 수단이다보안 통제는 정보와 시스템을 보호하기 위해 적용하는 정책, 절차, 사람의 활동, 기술적 장치 등을 말한다. 접근권한 승인 절차, 다..

VPN 연결과 업무 시스템 접근은 별개다집에서 회사 VPN에 접속한 뒤 사내 시스템을 이용하는 상황을 생각해보자. 화면에 ‘연결됨’이 표시됐다고 해서 모든 업무 시스템의 사용 권한을 얻은 것은 아니다. VPN 연결은 통신 경로를 마련하는 단계이고, 어떤 서버와 기능을 사용할 수 있는지는 별도의 접근 정책과 애플리케이션 권한이 결정한다. VPN(Virtual Private Network)은 기존 네트워크 위에 논리적인 사설 통신 환경을 만드는 기술이다. 이 글에서는 인터넷을 통해 회사에 접속하는 암호화된 원격접속 VPN을 중심으로 설명한다. 핵심은 ‘암호화했는가’에 더해 ‘누가, 어떤 단말로, 어디까지 접속하는가’를 함께 설계하는 데 있다.원격접속 VPN이 통신을 전달하는 과정일반적인 클라이언트 기반 구성..

공유 폴더가 잘 열린다는 이유만으로 NAS 도입이 끝났다고 판단하기 쉽다. 하지만 인사 자료가 다른 부서에 보이거나, 삭제한 파일을 복구하지 못하거나, 여러 직원이 동시에 접속할 때 작업이 멈춘다면 파일 서버로서의 설계는 아직 끝나지 않은 상태다. NAS를 검토할 때는 디스크 용량보다 먼저 세 가지를 정해야 한다. 누가 어떤 파일에 접근할지, 어느 정도의 동시 작업을 처리할지, 장애가 나면 어느 시점의 데이터를 얼마 만에 되살릴지다.1. NAS는 파일 서비스를 제공하는 서버NAS(Network Attached Storage)는 네트워크에 연결해 여러 사용자가 파일에 접근하도록 하는 저장 시스템이다. 내부에는 디스크뿐 아니라 CPU, 메모리, 운영체제와 파일 공유 서비스가 있다. 작은 사무실용 장비부터 ..

스토리지를 RAID로 구성했는데 실수로 지운 파일을 되살리지 못하거나, 대기 서버까지 마련했는데 서비스가 복구되지 않는 일이 생긴다. 저장장치 장애를 견디는 구성, 서비스를 이어가는 구성, 과거 데이터를 되돌리는 수단은 각각 맡은 역할이 다르기 때문이다.백업은 특정 시점의 데이터를 보존해 복원하는 방법이고, 이중화는 구성요소 장애가 발생했을 때 다른 구성요소로 서비스를 유지하거나 전환하는 설계다. 둘은 대체 관계가 아니다. 어떤 사고를 막고 싶은지, 데이터 손실과 중단을 얼마나 허용하는지에 따라 함께 조합해야 한다.백업과 이중화는 복구하는 대상이 다르다백업은 파일, 데이터베이스, 애플리케이션 설정 등 복구에 필요한 정보를 별도의 복구 지점으로 보관한다. 복구 시에는 보존된 사본 가운데 필요한 시점을 선택..

같은 생성형 AI를 사용해도 회의록 초안을 만드는 업무와 고객에게 계약 조건을 안내하는 업무는 책임의 무게가 다르다. 도구 사용을 허용했다는 이유만으로 모든 업무에 같은 방식으로 적용하면, 오류가 발생했을 때 누가 검토하고 사용을 중단할지 불분명해진다. 기업 AI 거버넌스는 AI를 어떤 목적으로 사용하고, 누가 위험을 판단하며, 어떤 조건에서 승인·변경·중단할지를 정하는 의사결정과 관리 체계다. 사용 지침뿐 아니라 책임자, 평가 근거, 운영 기록이 연결되어야 실제로 작동한다. 관리 범위에는 자체 개발 모델, 외부 AI 서비스, 기존 업무 소프트웨어에 포함된 AI 기능도 들어간다.AI 거버넌스는 보안 통제보다 넓은 범위를 다룬다정보보호가 데이터 유출과 접근권한을 점검한다면, AI 거버넌스는 결과가 업무에..

같은 회의록을 AI에 전달해도 한 번은 결정 사항이 잘 정리되고, 다른 한 번은 논의 중인 내용을 확정된 일정처럼 표현할 수 있다. 이런 차이를 줄이려면 요청에 업무 목적, 사용할 자료, 판단 기준, 출력 형식을 담아야 한다. 다만 프롬프트가 명확해져도 원문 오류나 모델의 능력 부족까지 해결되지는 않는다. 결과 품질은 지시문과 함께 입력 자료, 모델, 생성 설정, 검증 방식의 영향을 받는다. 프롬프트는 질문을 넘어 작업 조건을 전달프롬프트는 생성형 AI가 작업을 수행하도록 전달하는 지시와 입력 정보다. 채팅창에 적는 질문뿐 아니라 애플리케이션이 설정한 지침, 대화 이력, 참고 문서가 함께 작용할 수 있다. 따라서 화면에 같은 질문을 입력했더라도 사용한 서비스와 대화 맥락이 다르면 결과가 달라질 수 있다..

클라우드 서버에 보안 그룹을 연결했다고 해서 사내 방화벽에서 쓰던 정책을 그대로 옮길 수 있는 것은 아니다. 보안 그룹도 네트워크 통신을 제한하는 방화벽 기능이지만, 정책을 적용하는 위치와 허용 규칙을 해석하는 방식이 다르다. 이 차이를 놓치면 제한용 그룹을 추가했는데도 접근이 열려 있거나, 규칙을 삭제했는데 기존 접속이 유지되는 상황을 만나게 된다. 아래에서는 AWS 보안 그룹을 중심으로 기업의 경계·구간 방화벽과 비교한다. Azure NSG는 별도로 구분한다. 제품 기능은 2026년 10월 13일 확인한 공식 문서를 기준으로 한다. 1. 가장 큰 차이는 정책을 적용하는 위치다 기업의 경계 방화벽은 인터넷과 내부망 사이처럼 통신이 지나는 지점에 배치한다. 내부 구간 사이에도 방화벽을 둘 수 있..

정상 계정으로 로그인한 사용자가 업무 자료를 대량으로 내려받았다면, 로그인 성공 기록만으로는 그 행동이 적절했는지 판단하기 어렵습니다. 승인된 자료 이관일 수도 있고, 탈취된 계정을 통한 정보 유출 시도일 수도 있습니다. UAM(User Activity Monitoring, 사용자 활동 모니터링)은 사용자가 시스템에서 수행한 행동을 기록하고 확인하는 활동입니다. 여기에 정책 규칙이나 평소 행동과의 비교를 결합하면 조사할 만한 이상 징후를 찾을 수 있습니다. 핵심은 로그인 이후의 행동을 업무 맥락과 함께 살펴보는 데 있습니다. 1. UAM의 활동 기록과 이상행위 분석의 관계 UAM에서 말하는 활동은 로그인, 파일 접근, 애플리케이션 사용 등 사용자가 남긴 행동입니다. Teramind 공식 문서도 ..

VPN 로그인 실패, 원격접속 성공, 내부 파일 접근이 각각 기록됐다고 가정해 보자. 로그인 실패만 보면 비밀번호 입력 실수일 수 있고, 파일 접근만 보면 정상 업무일 수 있다. 그러나 같은 계정이 짧은 시간 안에 이 행동을 순서대로 수행했다면 함께 조사할 이유가 생긴다. 보안 이벤트 상관분석은 이렇게 흩어진 기록을 식별자, 시간 범위, 발생 순서 등의 조건으로 연결해 의미 있는 활동을 찾는 과정이다. 핵심은 로그를 많이 모으는 데 있지 않다. 어떤 기록을 같은 활동으로 볼 것인지, 그 연결이 얼마나 믿을 만한지 설명할 수 있어야 한다. 1. 단일 이벤트에서 활동의 흐름으로 NIST SP 800-92는 이벤트 상관분석을 두 개 이상 로그 기록 사이의 관계를 찾는 것으로 설명한다. 하나의 시스템 ..