Shafer-Page의 랜섬웨어 의사결정 트리: 사전에 한계를 설정하라

랜섬웨어 의사결정 트리가 경보음이 울리기 전에 중요한 이유

랜섬웨어가 발생하면 첫 몇 시간은 혼란에 빠진다. 시스템이 잠기고, 직원들은 파일에 접근할 수 없으며, 경영진은 무엇이 실제로 망가졌는지 파악하느라 분주하다. 보안 전문가 Shafer-Page에 따르면, 가장 효과적으로 대응하는 조직은 가장 큰 보안 예산을 가진 곳이 아니다. 바로 어떻게 대응할지를 사전에 정확히 결정해 둔 조직이다.

이것이 랜섬웨어 의사결정 트리를 구축하는 핵심 아이디어다. 특정 조건이 충족되면 대응팀이 어떤 조치를 취해야 하는지를 알려주는 구조화된, 사전 합의된 프레임워크인 것이다. 위기 상황에서 전략을 논쟁하는 대신, 팀은 미리 그려둔 분기점을 그대로 따라가기만 하면 된다. 단순하게 들리지만, 대부분의 조직은 여전히 이런 것을 갖추지 못하고 있으며, 그래서 대응 노력이 피해를 억제하기보다 오히려 확대시키는 경우가 너무나 흔하다.

데이터와 운영에 대한 명확한 임계값 설정

효과적인 의사결정 트리의 첫 번째 기둥은 사고가 발생하기 전에 임계값을 정의하는 것이다. 이는 데이터 무결성에 대한 심각한 타격이 무엇인지, 제조 공정과 같은 운영 연속성에 대한 중단이 무엇인지, 그리고 대외 웹사이트와 같은 핵심 디지털 서비스에 대한 손상이 무엇인지를 구체적으로 평가하는 것을 의미한다.

사전에 이러한 명확성이 확립되지 않으면, 사고 대응팀은 상황이 실제로 얼마나 심각한지에 대해 실시간으로 추측만 하게 된다. 제조 라인이 오프라인 상태가 되는 것은 즉각적인 경영진 브리핑과 백업 시스템으로의 전환을 정당화할 수 있다. 웹사이트 성능 저하는 그렇지 않을 수 있다. 그러나 그 경계선이 어디에 있는지 아무도 합의하지 않았다면, 팀은 과잉 대응하여 불필요하게 시스템을 오프라인으로 전환하거나, 과소 대응하여 조직이 심각성을 논쟁하는 동안 공격자의 발판이 더 퍼져나가도록 내버려둔다. Shafer-Page의 요점은 명확하다. 이 단계에서의 모호함은 대응을 늦출 뿐만 아니라, 결과를 적극적으로 악화시킨다.

이 지점에서 조직은 매일 의존하는 디지털 서비스에 대해서도 생각해야 한다. 웹사이트 중단은 서류상으로는 사소해 보일 수 있지만, 비즈니스에 따라 평판과 수익에 막대한 영향을 미칠 수 있다. 사고 자체가 발생하는 동안이 아니라 사전에 이러한 의존성을 파악하는 것이 통제된 대응과 즉흥적인 대응을 구분짓는 요소다.

협상 권한과 재정적 한계

의사결정 트리의 두 번째 초점 영역은 협상 매개변수이며, 이는 두 가지 중 논란의 여지가 더 많은 부분이다. 갈취 요구에는 명확한 권한 체계가 필요하다. 누가 공격자와 교섭할 수 있는가? 누가 지불을 승인할 수 있으며, 그 한도는 얼마인가? 이는 몸값 요구서가 눈앞에 놓인 상황에서 조직이 처음으로 답하고 싶어 하는 질문들이 아니다.

사전에 정의된 재정적 한계를 설정하면 두 가지를 달성할 수 있다. 경영진이 궁지에 몰렸다고 느껴서 회사가 지불해야 할 것보다 훨씬 더 많은 금액을 지불하기로 동의하는 공황 상태의 결정을 방지한다. 그리고 내부 직원이든 외부 컨설턴트든 협상가에게 협상 중간에 끊임없이 승인을 구하는 대신 업무를 수행할 수 있는 확고한 권한을 부여하며, 공격자는 이를 조직의 무질서함의 신호로 악용할 수 있다.

모든 조직이 협상을 선택하는 것은 아니라는 점을 언급할 가치가 있다. 일부 기관은 무엇이 요구되거나 위협되든 간에 지불하지 않겠다는 결정을 공개적으로, 사전에 내린 바 있다. 베를린 주 정부는 공격자들이 데이터 경매를 시작하기도 전에 Rhysida 랜섬웨어 그룹과의 협상을 거부했다. 이는 압박 속에서가 아니라 사전에 결정했기 때문에만 가능한 입장이다. 반대 스펙트럼에서는, 최근 연구에 따르면 많은 사람들이 가정하는 것보다 지불이 여전히 더 자주 이루어지고 있다. 한 연구는 호주와 뉴질랜드 전역의 기업 중 34%가 여전히 랜섬웨어 요구를 지불한다는 것을 발견했다. 지불이 데이터 복구를 안정적으로 보장하거나 향후 표적이 되는 것을 방지하지 못한다는 증거가 늘어나고 있음에도 불구하고 말이다.

이것이 당신에게 의미하는 것

랜섬웨어 대비는 전담 보안팀을 갖춘 대기업만의 문제가 아니다. 중소기업, 비영리단체, 학교, 지방 정부는 계획이 부족한 경향이 있기 때문에 바로 그 이유로 빈번한 표적이 된다. 조직이 민감한 데이터를 다룬다면, 랜섬웨어 의사결정 트리의 기본적인 버전이라도, 누가 어떤 임계값에서 무엇을 결정하는지를 명시한 짧은 문서 하나만으로도 대응 시간을 극적으로 단축하고 값비싼 실수의 가능성을 줄일 수 있다.

개인에게 시사하는 바는 더 간접적이지만 여전히 관련이 있다. 랜섬웨어에 잘 대응하는 조직은 당신의 개인 데이터가 노출되거나 유출되는 양을 제한하는 경향이 있다. 이런 종류의 계획이 존재한다는 것을 이해하고, 당신이 의존하는 기업과 기관이 이를 갖추고 있는지 묻는 것은 소비자나 고객으로서 제기할 수 있는 합리적인 질문이다.

실행 가능한 시사점

• 데이터 무결성, 운영, 대외 서비스에 대한 중대한 영향이 무엇인지 사전에 정의하라. 활성 사고가 발생할 때까지 결정을 미루지 말라.
• 누가 공격자와 협상할 수 있는지에 대한 명확한 권한을 확립하고, 몸값 요구가 도착하기 전에 확고한 재정적 한계를 설정하라.
• 지불을 거부한 조직과 지불한 조직 모두의 실제 사례를 검토하여 각 경로에 수반되는 상충 관계를 이해하라.
• 랜섬웨어 대비를 일회성 문서가 아닌 지속적인 활동으로 취급하고, 조직의 시스템과 의존성이 변화함에 따라 임계값을 재검토하라.