소기업을 위한 안전한 원격 근무: VPN, 비밀번호, 2단계 인증

2020년 3월 중순 COVID-19가 확산되면서 소기업을 포함한 많은 기관과 기업이 직원을 재택근무하게 했습니다. 원격 근무로 급하게 전환하면 개인 컴퓨터, 가정 Wi-Fi, 약한 비밀번호 같은 정보 보안의 빈틈이 드러나기 쉽습니다. 다음은 바로 실천할 수 있는 기본 조치입니다.

원격 근무에 위험이 따르기 쉬운 이유

미국 사이버보안 기관 CISA는 2020년 3월 13일 기업 VPN 보안에 관한 경보 AA20-073A에서, 많은 직원이 동시에 원격 근무할 때의 몇 가지 위험을 언급했습니다.

• 악의적인 자들이 원격 근무자를 노린 피싱(phishing)을 강화해 로그인 정보를 빼낼 수 있습니다.
• VPN과 단말기는 패치가 적용되지 않으면 악용되기 쉽습니다.
• 원격 접속에 다중 인증을 쓰지 않는 조직은 공격에 더 취약합니다.
• VPN 연결 수에는 한계가 있어, 과부하가 걸리면 직원이 일하지 못할 수 있습니다.

1. VPN: 올바르게 사용하기

VPN은 직원의 컴퓨터와 회사 네트워크 사이에 암호화된 터널을 만듭니다. 몇 가지 유의점은 다음과 같습니다.

• 회사가 제공한 VPN이나 신뢰할 수 있는 소프트웨어만 쓰고, 출처가 불분명한 무료 VPN 앱은 피하세요.
• VPN 서버, 네트워크 장비, 클라이언트 소프트웨어를 자주 업데이트하세요.
• 팀 전체가 동시에 접속하기 전에 최대 동시 접속 수와 부하 처리 능력을 확인하세요.
• 업무에 필요한 범위에만 접근 권한을 주고, 내부 네트워크 전체를 열어 두지 마세요.

기업이 너무 작아 VPN을 운영하기 어렵다면, 사무실 컴퓨터로 직접 원격 접속 포트를 여는 대신 강력한 인증이 갖춰진 클라우드 기반 업무 서비스를 고려하세요.

2. 강력한 비밀번호와 비밀번호 관리

• 서비스마다 길고 추측하기 어려운 별도의 비밀번호를 쓰세요. 짧은 무작위 문자열보다 긴 문구가 대체로 기억하기 쉽습니다.
• 종이나 텍스트 파일에 적지 말고 비밀번호 관리자를 사용해 비밀번호를 저장하고 생성하세요.
• 단체 메시지로 비밀번호를 공유하지 말고 비밀번호 관리자의 공유 기능을 사용하세요.
• 유출이 의심되면 즉시 비밀번호를 바꾸세요.

3. 2단계 인증

2단계 인증은 비밀번호 외에 휴대폰 앱의 코드나 보안 키 같은 요소를 하나 더합니다. 비밀번호가 유출되어도 악의적인 자가 계정에 들어가기 어렵습니다. 다음에 켜 두세요.

• 회사 이메일과 관리자 계정(Google, Microsoft, 호스팅, 도메인).
• 회계 소프트웨어, 고객 관리, 클라우드 데이터 저장소.
• 기업의 소셜 미디어 및 광고 계정.

가능하다면 SMS로 받는 코드보다 인증 앱의 코드를 우선하세요.

4. 가정의 기기와 네트워크

• 운영체제, 브라우저, 백신 소프트웨어를 업데이트하세요.
• 디스크 암호화와 자동 화면 잠금을 켜세요.
• Wi-Fi 모뎀의 기본 비밀번호를 바꾸고 WPA2 이상의 암호화를 사용하세요.
• 가능하면 업무 데이터와 개인 데이터를 분리하고, 집안의 다른 사람이 업무용 컴퓨터를 함께 쓰지 않게 하세요.
• 중요한 데이터는 정기적으로 안전한 곳에 백업하세요.

5. 사기를 경계하세요

감염병이 유행하는 동안 COVID-19 정보를 악용한 사기가 있었습니다. 직원에게 다음을 알려 주세요.

• 보건 당국이나 경영진에서 온 것처럼 보이는 이메일이라도 낯선 링크나 첨부 파일을 클릭하지 마세요.
• 송금이나 비밀번호 제공 요청을 받으면 다른 채널(전화)로 확인하세요.
• 의심스러우면 즉시 IT 담당자에게 알리세요.

공식적인 감염병 정보는 보건부나 WHO 같은 기관에서 얻으세요.

6. 간단한 내부 규정

짧은 규정 한 장을 쓰세요: 어떤 기기를 써도 되는지, 데이터를 어디에 저장하는지, 누가 권한을 주는지, 사고를 누구에게 알리는지. 더 자세한 안내가 필요하다면 NIST SP 800-46 Rev. 2 문서가 원격 근무 보안에 관한 참고 자료입니다.

2026년 업데이트: 원격 근무와 하이브리드 근무가 보편화되었습니다. 다중 인증과 패스키(passkey)를 지원하는 서비스가 많아졌습니다. 사용 중인 서비스 제공업체의 현행 안내를 확인하세요.

자주 묻는 질문

소기업도 반드시 VPN을 써야 하나요?

반드시 그렇지는 않습니다. 중요한 것은 원격 접속이 강력한 인증으로 보호되고 충분히 업데이트되는 것입니다. VPN은 선택지 중 하나입니다.

2단계 인증이 직원에게 불편을 주나요?

로그인할 때마다 몇 초만 더 걸리지만, 비밀번호가 유출되었을 때의 위험을 크게 줄여 줍니다.

설정에 도움이 필요하면 어떻게 하나요?

구체적인 요구 사항은 HVSC 기술 팀에 문의하여 상담하실 수 있습니다.

참고 자료

• CISA — Alert AA20-073A: Enterprise VPN Security: https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-073a
• NIST — SP 800-46 Rev. 2: https://csrc.nist.gov/pubs/sp/800/46/r2/final
• Google — 2단계 인증 켜기: https://support.google.com/accounts/answer/185839
• WHO: https://www.who.int