랜섬웨어(데이터를 암호화하고 돈을 요구하는 악성 프로그램) 공격을 받았을 때 허둥대지 않으려면 미리 의사결정 체계를 만들어 둬야 합니다. Arctic Wolf의 사고 대응 전문가 Kerri Shafer-Page는 네트워크 격리, 협상 권한, 몸값 지불 여부, 법 집행기관 신고, 공개 커뮤니케이션 등 네 가지 영역에서 사전 결정이 필요하다고 강조합니다. 특히 몸값 지불은 순전히 사업적 판단으로 접근해야 하며, 수사기관은 위협 행위자 파악과 제재 위반 방지에 도움을 줄 수 있으므로 대응 계획에 포함시켜야 합니다. 핵심 메시지는 "이런 결정을 평범한 화요일 오후에 미리 해놓고, 새벽 2시 비상 상황에서는 실행만 하라"는 것입니다.
랜섬웨어 공격 발생 시 기업이 즉각적인 판단을 내려야 하는 네 가지 핵심 영역(격리·협상·지불·커뮤니케이션)을 사전에 정의하지 않으면 위기 상황에서 혼란이 발생한다.
사전 계획 없이는 시스템 격리 판단 지연으로 피해가 확산되고, 협상·지불·신고 과정에서 법적·재무적 실수가 발생할 수 있다.
대부분의 기업이 랜섬웨어 대응 플레이북을 갖추지 않거나 핵심 의사결정권자와 권한 한도를 사전에 지정하지 않은 채 운영한다.
네트워크 격리 권한자, 협상 담당자 및 최대 지불 한도, 법 집행기관 연락 절차, 법률 고문·대변인·헬프데스크 역할을 미리 문서화해야 한다.
몸값 지불은 윤리 문제가 아니라 사업 결정으로 접근하되, 수사기관 신고를 플레이북에 포함시켜 제재 위반 리스크를 사전 관리하라.
본문
이 Help Net Security 영상에서 Arctic Wolf의 사고 대응 부사장 Kerri Shafer-Page는 랜섬웨어 의사결정 트리를 소개합니다. 그녀는 사전에 결정을 내려놓아야 하는 네 가지 영역을 다루며, 격리(containment)에서 시작합니다.
특정 시스템을 오프라인으로 전환했을 때 클라이언트 데이터, 생산 라인, 또는 웹사이트에 어떤 영향이 미치는지 판단할 수 있을 만큼 네트워크에 정통한 담당자가 있어야 합니다. 다음은 협박 요구(extortion demand)입니다. 협상 권한을 가진 사람은 누구이며, 지불 상한선은 얼마인가?
Shafer-Page는 몸값 지불을 사업적 결정으로 다루며, 요구액이 보험 공제액(retention)이나 갱신 보험료 인상분보다 낮을 수 있다고 설명합니다. 그녀는 법 집행기관을 대응 플레이북에 포함시켜야 한다고 주장하는데, 수사기관이 위협 행위자를 파악하고 있을 수 있으며 제재(sanctions) 문제를 피하는 데 도움을 줄 수 있기 때문입니다.
커뮤니케이션도 중요합니다. 공시 기한을 관리하는 사이버 법률 고문부터 대변인, 준비된 헬프데스크까지 포함됩니다. 그녀의 조언: 이러한 결정은 연휴 주말 새벽 2시가 아닌, 평범한 화요일 오후에 미리 내려놓으십시오.
