유출 의심 단계의 초기 대응

아직 유출인지 모르는 상태

한 조직에서 대량 다운로드 경보가 발생했습니다. 정상적인 자료 이관인지 외부 반출인지 바로 구분되지 않는 상태였고, 무엇부터 해야 할지가 첫 판단이었습니다.

이 단계에서는 조사 범위를 무작정 넓히기보다 관찰된 사실과 현재 진행 중인 위험을 먼저 정리합니다. 누가 의심했는지보다 어떤 기록과 상태가 의심의 근거인지가 중요합니다.

먼저 결정할 두 가지

저는 추가 노출이 계속될 가능성과, 조치로 사라질 수 있는 기록을 함께 봅니다.

• 외부 공유가 계속 열려 있다면 접근 제한이 시급할 수 있습니다.
• 반면 장비 초기화처럼 상태를 크게 바꾸는 조치는 필요한 자료를 잃게 할 수 있습니다.

모든 상황에서 같은 순서로 처리하기는 어려우므로, 차단과 기록 확보를 병행할 수 있는지 검토하고 수행한 조치와 시각을 남깁니다.

조사로 넘어가는 기준

경보의 원천, 관련 계정, 데이터 종류, 알려진 업무 사유를 확인합니다. 승인된 이관으로 설명되고 기록도 일치하는지, 설명과 기록에 차이가 있는지 살핍니다. 이 단계의 판단은 유출 확정, 정상 업무 설명, 추가 조사 필요로 나눌 수 있으며, 조직 내부의 상태 분류가 법적 통지·신고 의무의 판단을 대신하지는 않습니다.

초기 보고의 내용

보고에는 확인 사실, 미확인 사항, 수행 조치, 다음 확인 항목을 담습니다. 추정한 유출량과 확정된 범위를 섞지 않습니다. 정상 업무로 판단해 조사를 마친 경우에도 그 설명과 근거를 남기고, 추가 조사로 넘어간다면 확인할 질문과 대상 범위, 책임자를 정해 전달합니다.

정리

정리하면, 초기 대응은 조사 착수 여부를 가르는 단계입니다. 노출 제한과 자료 보존의 우선순위를 함께 정하고, 확인된 사실과 추정을 섞지 않은 채 다음 확인 항목으로 넘깁니다.