미국 국립표준기술연구소(NIST)가 혼자 일하는 사업자를 위한 사이버보안 안내서를 새로 발표했다. 정식 명칭은 'Small Business Cybersecurity: Non-Employer Firms'(NIST 사이버보안 백서 50)로, 사업체에서 급여를 받는 유일한 직원, 즉 '솔로프러너(solopreneur)'를 정면으로 겨냥한다. NIST에 따르면 미국에는 이런 1인 기업이 2,800만 개가 넘게 존재하며, 모든 산업에 걸쳐 경제의 상당 부분을 떠받치고 있다. 전문 보안 인력을 둘 여력이 없는 이들에게 무엇을, 어떤 순서로 해야 하는지 알려 주는 것이 이 문서의 목적이다.
이 백서는 기존의 'Small Business Information Security: The Fundamentals'(NISTIR 7621)를 개정한 결과물이다. 과거 문서가 규모가 제각각인 중소기업 전반을 대상으로 '정보보안'이라는 넓은 주제를 다뤘다면, 이번 개정판은 범위를 좁혀 악의적 공격으로부터 디지털 시스템을 보호하는 데 집중한다. 지침의 뼈대는 널리 알려진 NIST 사이버보안 프레임워크(CSF 2.0)에서 가져왔지만, 서술 방식은 완전한 초보자를 전제로 한다. 저자 중 한 명인 대니얼 엘리엇은 이 문서가 "독자가 사이버보안이나 NIST CSF에 대해 아무런 사전 지식이 없다고 가정한다"고 설명했다. 전문 용어가 나올 때마다 맥락과 정의를 함께 제공하려 한 것도 바쁜 1인 사업자를 배려한 구성이다.
프레임워크를 '할 일 목록'으로 번역하다
이 안내서의 실무적 가치는 추상적인 프레임워크를 구체적인 행동 단위로 풀어냈다는 데 있다. 문서는 크게 세 부분으로 나뉜다. 도입부와 CSF를 소개하는 장은 사이버보안이 무엇이고 사업 계획과 어떻게 맞물리는지를 설명하는 입문서 역할을 한다. 여기서 NIST는 위험을 크게 줄이는 기본 실천 과제로 정기적인 데이터 백업과 소프트웨어 최신 상태 유지를 꼽는다. 기술 지식이 거의 없거나 투자 여력이 적어도 스스로 할 수 있는, 가장 먼저 밟을 만한 첫걸음이라는 설명이다.
중심이 되는 두 번째 부분은 1인 사업 환경에서 실제로 실행할 수 있는 CSF 기반의 개별 조치들을 담았다. 각 조치마다 왜 그것을 해야 하는지(근거), 어떻게 시작하면 되는지(착수 방법), 사업이 성장한 뒤에는 무엇을 더 할 수 있는지(확장 방향)를 함께 제시한다. 또한 해당 조치가 CSF의 어느 항목에 대응하는지 간단한 인용을 달고, 추가 학습 자료를 안내한다. 이는 단순한 체크리스트를 넘어, 지금 당장의 조치와 성장 이후의 성숙 단계를 이어 주는 구조라는 점에서 의미가 있다.
공유기 비밀번호라는 구체적 사례
문서가 제시하는 대표적 예가 제조사 기본 비밀번호 변경이다. 와이파이 공유기를 비롯한 네트워크 장비는 출고 시 설정된 기본 비밀번호를 그대로 쓰는 경우가 많은데, 범죄자는 이런 기본값을 손쉽게 찾아 장치에 침입할 수 있다. 착수 방법은 모든 장치의 보안 설정을 점검해 고유하고 강력한 비밀번호로 바꾸는 것이고, 사업이 커지면 장비 도입과 관리 절차를 마련해 비밀번호를 체계적으로 관리하도록 권고한다. 한국의 1인 사업자나 프리랜서에게도 그대로 적용되는 조언으로, 특별한 비용 없이 즉시 실행할 수 있는 조치다.
마지막 부분은 앞선 조치들을 실제로 이행하도록 돕는 도구 모음이다. 위험에 노출된 자산을 목록화하는 워크시트, 지금까지 취한 조치를 추적하는 양식 등이 포함된다. 특히 변호사, 수공예가, 경영 컨설턴트라는 세 가지 가상의 1인 사업자 '사용 사례'를 제시해, 독자가 자신의 상황에 맞춰 보안 전략을 그려 보도록 돕는다. 서로 다른 업종을 예로 든 것은 특정 분야에 국한되지 않는 이 문서의 범용성을 보여 준다.
다만 NIST 스스로도 이 문서가 완결적이지 않다는 점을 분명히 한다. 엘리엇은 독자마다 보안 지식과 숙련도가 달라 모든 1인 사업자의 필요를 전부 충족할 수는 없다고 밝혔다. 이 안내서는 어디까지나 탄탄한 기초를 세우는 '출발점'이며, 규제 준수나 업종별 특수 요건, 고도화된 위협 대응은 별도의 자원을 통해 보완해야 한다. 그럼에도 보안 전담 인력 없이 모든 책임을 홀로 짊어진 사업자에게, 무엇부터 손대야 할지 막막함을 덜어 주는 안내판이라는 점에서 참고할 가치가 충분하다. 미국 기준 문서이지만 제시하는 원칙 대부분은 국경과 무관하게 통용된다.