CERT 침해사고 대응 조직의 역할과 운영 체계

침해사고 대응을 조직의 기능으로 만드는 CERT

CERT(Computer Emergency Response Team)는 정보통신망 등의 침해사고에 대응하기 위해 기업이나 기관의 업무 관할 지역에서 사고를 접수하고 처리하도록 지원하며, 예방과 피해 복구까지 수행하는 전문 조직이다. 디지털 자산을 보호하는 현장에서 CERT는 사고 대응의 중심 역할을 맡는다.

이 조직은 내부 정보 자산 보호를 위한 대응 주체이면서, 늘어나는 사이버 위협에 맞춰 역할을 넓혀 왔다. 글로벌 표준과 국가별 규제를 준수하는 데에도 필요한 조직으로 자리 잡고 있다.

CERT의 출발점은 1988년 모리스 웜(Morris Worm) 사건 이후 카네기 멜론 대학에 설립된 CERT/CC(CERT Coordination Center)다. 1990년대에는 한국의 KrCERT/CC 등을 포함한 국가 단위 조직이 등장했고, 2000년대에는 기업 내부 CERT의 운영과 표준화가 보편화됐다. 현재는 AI와 클라우드 환경까지 고려하는 대응 역량이 요구된다.

일반 사고와 중대 사고를 가르는 기준

CERT가 다루는 보안사고는 일반보안사고와 중대보안사고로 나눌 수 있다.

일반보안사고에는 바이러스, 웜, 트로이목마, 랜섬웨어 같은 악성 소프트웨어 감염이 포함된다. 최근 증가하는 파일리스 멀웨어 공격도 여기에 해당한다. 승인되지 않은 시스템 접근인 비인가 침해, 취약한 패스워드 정책으로 인한 계정 탈취도 대응 대상이다.

물리적·논리적 IT 자산의 손상도 사고 범주에 들어간다. DDoS 공격으로 서버에 과부하가 발생하는 경우가 예다. 중요 정보의 비인가 사용, 내부자의 고객 데이터 무단 접근, 직원이 보안 정책이나 절차를 우회하는 행위 역시 관리 대상이다.

중대보안사고는 중요 서비스의 중단이나 민감 정보의 외부 유출처럼 조직 영향이 큰 사건을 가리킨다. 클라우드 인프라 대상 랜섬웨어 공격으로 전사 시스템이 마비되는 상황, 개인정보 대량 유출 사고가 이에 속한다. 기밀 소스코드의 외부 유출과 악의적 사용, GDPR·개인정보보호법 등의 위반에 따른 법적 제재도 중대 사고로 다룬다.

탐지에서 복구까지 이어지는 대응 순환

CERT 업무는 위협의 생명주기에 맞춰 수집·탐지, 분석·협의, 전파·발령, 대응·복구를 반복하는 흐름으로 구성된다.

⤢✕

수집·탐지 단계에서는 SIEM, IDS/IPS, EDR 등의 보안 솔루션으로 이벤트를 모으고, 글로벌 위협 정보를 내부 환경과 연결해 분석한다. 임직원과 파트너사에서 접수한 신고도 이 단계의 입력이 된다. AI 기반 이상 행위 탐지와 알림 역시 활용된다. A 금융기관은 24시간 보안관제센터에서 1일 평균 500만 건의 보안 이벤트를 수집하고, 이 가운데 위험도가 높은 200건을 CERT로 자동 에스컬레이션한다.

분석·협의 단계에서는 이벤트의 심각도와 우선순위를 정하는 사고 트리아지, 악성코드·로그·네트워크 트래픽을 다루는 포렌식 분석, 비즈니스 영향도 평가가 이뤄진다. 필요한 전문 인력을 중심으로 대응팀도 구성한다. B 제조기업의 CERT는 랜섬웨어 감염 시 보안, IT 인프라, 법무, 홍보팀으로 이뤄진 위기대응 태스크포스를 30분 내 소집하는 프로토콜을 운영한다.

전파·발령 단계는 경영진, 관련 부서, 전 직원을 대상으로 한 차등 알림과 외부 기관 신고, 고객·파트너 통지, 조직 전체 경보 수준 조정으로 이어진다. C 의료기관은 환자 데이터 접근 이상징후를 발견하면 72시간 내 개인정보보호위원회에 신고하고 영향을 받은 환자에게 개별 통지하는 프로세스를 CERT 주도로 운영한다.

대응·복구 단계에서는 감염 시스템을 네트워크에서 격리하고 악성 트래픽을 차단한다. 악성코드를 제거한 뒤 백업으로 시스템을 복구하며, 공격 경로가 된 취약점을 찾아 패치한다. 이후 원인을 분석하고 재발 방지 대책을 수립한다. D 이커머스 기업은 웹 애플리케이션 공격으로 서비스가 중단된 뒤 CERT 주도로 2시간 내 복구를 완료하고, 1주일 내 전체 웹 인프라 보안 강화 조치를 시행했다.

대응 조직이 갖춰야 할 역할과 기반

CERT 책임자는 침해대응, 취약점 관리, 보안관제, 포렌식, 위협 인텔리전스 기능을 연결해야 한다.

⤢✕

침해대응팀은 사고 발생 시 초동 대응과 조치를 담당한다. 취약점 관리팀은 잠재적 취약점을 식별하고 패치를 관리하며, 보안관제팀은 24시간 보안 이벤트를 모니터링한다. 포렌식팀은 사고 뒤 디지털 증거를 수집·분석하고, 위협 인텔리전스팀은 외부 위협 정보를 수집·분석한다.

운영에는 로그 수집과 상관관계 분석을 위한 SIEM(Security Information and Event Management), 엔드포인트 위협을 탐지하고 대응하는 EDR(Endpoint Detection and Response), 위협 정보를 수집·분석하는 TIP(Threat Intelligence Platform)이 필요하다. 디지털 포렌식 도구, 반복 대응 작업을 위한 자동화 도구, 빅데이터 기반 이상 행위 탐지를 위한 보안 분석 플랫폼도 활용한다.

기술 기반만으로는 CERT가 작동하지 않는다. 경영진이 충분한 예산과 권한을 제공해야 하며, 문서화된 사고 대응 절차와 정기 훈련이 뒷받침돼야 한다. 사이버 보안 전문인력을 확보하고 지속적으로 역량을 개발하는 일, 내부 부서 및 외부 기관과 소통하는 협업 체계, 사고 후 피드백을 통한 프로세스 개선도 운영의 핵심이다. AI와 자동화 같은 신기술은 대응 역량을 강화하는 수단이 된다.

국경을 넘는 CERT 협업

사이버 위협은 한 조직이나 국가 안에 머물지 않으므로 CERT 간 협력이 필요하다. FIRST(Forum of Incident Response and Security Teams)는 전 세계 600여 개 CERT가 참여하는 국제 협력체다.

국가 차원에서는 한국의 KrCERT/CC와 미국의 US-CERT 같은 대응 조직이 활동한다. 금융, 의료, 에너지 분야에서는 산업별 ISAC(Information Sharing and Analysis Center)를 통해 정보를 공유하며, 다국적 기업은 지역별 CERT 네트워크로 협업 체계를 운영한다.

확장되는 대응 범위

CERT는 머신러닝을 활용한 AI 기반 이상 행위 탐지와 Security Orchestration, Automation and Response를 뜻하는 SOAR를 수용하고 있다. 경계 방어 중심 방식에서 지속적 검증을 지향하는 제로 트러스트 모델로 옮겨 가는 흐름도 대응 체계에 영향을 준다.

클라우드 환경에 특화된 보안 역량, 운영기술과 사물인터넷을 포함하는 OT/IoT 보안, 협력업체와 오픈소스까지 아우르는 공급망 보안도 CERT가 다뤄야 할 범위를 넓히고 있다. 조직의 비즈니스 환경과 위험 특성에 맞춘 운영 체계 위에서 이러한 변화를 흡수해야 한다.