왜 대표가 보안 숫자를 봐야 할까요?

“회사 PC에 백신도 설치했고, 아직 사고도 없는데 괜찮지 않을까요?”

전담 보안 인력이 없는 중소기업에서는 총무나 IT 담당자가 다른 업무와 함께 보안을 챙기는 경우가 있습니다. 대표 역시 매출과 고객 대응, 직원 관리에 집중하다 보면 보안은 담당자에게 맡겨 두기 쉽습니다.

하지만 거래처 견적서가 담긴 PC를 사용할 수 없거나, 퇴사자의 계정으로 회사 자료에 접근할 수 있다면 어떨까요? 작은 관리 누락이 업무 중단이나 정보 유출로 이어질 수 있습니다.

매출과 비용을 숫자로 확인하듯, 회사 보안도 현재 상태를 보여주는 숫자로 점검해야 합니다.

대표가 먼저 확인할 보안 지표는 업데이트 미적용 PC 수, 조치가 필요한 위험 PC 수, 점검 대상 계정 수, 미처리 보안 경고 수입니다.

회사 보안, 담당자에게 맡긴 뒤 무엇을 확인해야 할까요?

대표가 직접 모든 PC를 검사하거나 보안 설정을 바꿀 필요는 없습니다. 대신 다음 질문에는 답할 수 있어야 합니다.

• 우리 회사 업무용 PC 중 보안 점검에서 빠진 기기는 없는가?

• 지금 조치가 필요한 PC와 계정은 무엇인가?

• 발견된 문제는 누가, 언제까지 처리하는가?

“담당자가 관리하고 있다”는 답변에서 한 걸음 더 나아가, 관리 대상과 남아 있는 문제, 처리 계획을 함께 확인하는 것이 중요합니다.

다음 네 가지 숫자는 그 대화를 시작하는 기준이 될 수 있습니다.

① 업데이트 미적용 PC 수 : 보안 업데이트가 빠진 PC는 몇 대인가요?

업데이트는 알려진 보안 취약점을 보완하는 기본 관리 항목입니다. 업무가 바쁘다는 이유로 업데이트나 재시작을 계속 미루면 필요한 보안 패치가 적용되지 않을 수 있습니다.

여기서 구분해야 할 것은 백신 업데이트와 운영체제·주요 업무 프로그램의 보안 업데이트입니다. 백신이 최신 상태라고 해서 윈도우나 업무 프로그램의 보안 패치까지 모두 적용된 것은 아닙니다.

전체 관리 대상 PC 가운데 회사가 정한 기준에 따라 필요한 보안 업데이트가 적용되지 않은 PC가 몇 대인지 확인하세요. 점검 결과가 수집되지 않은 PC도 따로 확인해야 합니다.

② 조치가 필요한 위험 PC 수: 발견된 문제 중 아직 해결하지 못한 것은 무엇인가요?

악성코드가 탐지됐다는 사실만으로 현재 위험 수준을 판단하기는 어렵습니다. 이미 차단·치료된 탐지와 아직 조치가 필요한 탐지를 구분해야 하기 때문입니다.

대표가 확인할 숫자는 단순한 누적 탐지 건수보다 현재 해결되지 않은 위험이 있는 PC 수입니다.

예를 들어 악성코드 치료가 완료되지 않은 PC, 실시간 보호가 꺼진 PC, 같은 위협이 반복해서 탐지되는 PC 등을 점검 대상으로 정할 수 있습니다. 구체적인 분류 기준은 사용하는 보안 제품과 회사 정책에 맞춰 정합니다.

③ 점검 대상 계정 수: 퇴사자나 사용하지 않는 계정이 남아 있나요?

직원의 퇴사 처리가 끝났어도 회사 메일이나 클라우드, 업무 시스템의 계정이 그대로 남을 수 있습니다. 여러 직원이 함께 사용하는 계정은 관리 책임이 불분명해지기도 합니다.

계정 관리에서는 전체 계정 수보다 사용 필요성과 접근 권한을 다시 확인해야 하는 계정 수를 보는 것이 유용합니다.

우선 다음 계정을 확인해 보세요.

• 퇴사 후에도 접근 권한이 남아 있는 계정

• 장기간 사용하지 않아 유지 필요성을 확인해야 하는 계정

• 현재 업무에 비해 과도한 관리자 권한이 있는 계정

PC 로그인 계정뿐 아니라 메일·클라우드·회계 시스템 등 업무에 사용하는 서비스도 점검 범위에 포함해야 합니다.

④ 미처리 보안 경고 수: 확인했지만 조치하지 않은 경고는 없나요?

보안 경고는 발생하는 것만으로 역할을 다하지 않습니다. 담당자의 확인과 필요한 조치가 이어져야 합니다.

따라서 경고를 몇 건 받았는지뿐 아니라 아직 확인하지 않은 경고와 확인 후에도 조치가 끝나지 않은 경고가 몇 건인지 살펴봐야 합니다.

경고가 많을 때는 심각도와 발생 시점도 함께 확인하세요. 오래 남아 있는 중요한 경고가 있다면 담당자 부재, 알림 전달 누락, 처리 기준 부족 등의 원인을 점검할 필요가 있습니다.

숫자는 보고용이 아니라 의사결정을 위한 정보

보안 지표를 확인하는 목적은 단순히 보고서를 만들기 위해서가 아닙니다.

업데이트되지 않은 PC가 늘었다면 점검이 필요하고, 위험 PC가 발견됐다면 우선 대응해야 합니다. 사용하지 않는 계정이 남아 있다면 계정 관리 절차를 정비해야 하고, 보안 경고가 쌓이고 있다면 대응 방식도 점검해야 합니다.

결국 숫자는 "지금 우리 회사에서 무엇부터 관리해야 하는가"를 결정하기 위한 기준입니다.

회사의 보안 현황을 한곳에서 파악하기

문제는 이 네 가지를 각각 확인하려면 생각보다 많은 시간과 관리가 필요하다는 점입니다.

PC마다 업데이트 여부를 확인하고, 위험 상태를 점검하고, 계정과 경고 현황까지 따로 관리한다면 담당자의 업무 부담은 커질 수밖에 없습니다. 전담 보안 인력이 없는 중소기업이라면 더욱 어렵습니다.

그래서 필요한 것은 담당자가 일일이 확인하는 방식이 아니라 회사의 보안 현황을 한곳에서 파악할 수 있는 관리 환경입니다. 

여러 PC의 상태와 업데이트 현황, 위험 정보 등을 통합해 확인할 수 있다면 담당자는 모든 PC를 하나씩 점검하는 대신 우선 대응이 필요한 문제에 집중할 수 있습니다.

확인해야 하는 것은 기술이 아니라 '현황'

경영진에게 필요한 것은 복잡한 보안 기술 지식이 아니라 회사의 현재 보안 상태를 한눈에 파악할 수 있는 정보입니다.

업데이트는 제대로 적용되고 있는지, 위험한 PC는 몇 대인지, 불필요한 계정이나 미확인 보안 경고는 없는지 등 핵심 현황이 명확하게 보여야 합니다.

그래야 보안을 담당자의 경험이나 감각에 맡기지 않고, 현재 상태를 바탕으로 필요한 조치와 투자 우선순위를 결정할 수 있습니다.

보안 숫자가 보이면 리스크도 보인다

보안 사고는 갑자기 발생한 것처럼 보여도 그 전에 작은 관리 공백이 쌓여 있는 경우가 많습니다.

업데이트가 미뤄진 PC, 해결되지 않은 위협, 남아 있는 퇴사자 계정, 처리되지 않은 경고는 회사가 먼저 살펴봐야 할 관리 항목입니다.

이 네 가지 숫자만으로 회사의 모든 보안 위험을 판단할 수는 없습니다. 데이터 백업과 복구 준비, 직원 보안 교육 등도 함께 관리해야 합니다.

다만 무엇부터 확인해야 할지 막막하다면, 네 가지 숫자로 시작해 보세요.

업데이트 미적용 PC 수, 조치가 필요한 위험 PC 수, 점검 대상 계정 수, 미처리 보안 경고 수

“우리 회사에서 아직 해결하지 못한 보안 문제는 무엇이고, 누가 언제까지 처리하나요?”

이 질문에 답할 수 있다면 보안을 막연한 안심이 아니라 확인 가능한 경영 정보로 관리할 수 있습니다

자주 묻는 질문(FAQ)

Q. 직원이 몇 명 없는 소규모 회사도 보안 점검이 필요한가요?

네. 직원 수가 적더라도 업무용 PC와 고객·거래처 자료, 업무 계정이 있다면 관리가 필요합니다. 복잡한 보고서부터 만들기보다 관리 대상 목록과 미해결 문제, 담당자를 정하는 것부터 시작하세요.

Q. 회사 PC에 백신을 설치했다면 업데이트 점검은 필요 없나요?

백신 설치 여부와 업데이트 상태, 실시간 보호 작동 여부를 확인해야 합니다. 이와 별도로 운영체제와 주요 업무 프로그램에 필요한 보안 업데이트가 적용됐는지도 점검해야 합니다.

Q. 보안 담당자가 없어도 네 가지 지표를 관리할 수 있나요?

총무나 IT 업무 담당자를 지정하고, PC 보안 관리 기능과 업무 서비스의 관리자 화면을 활용해 현황을 확인할 수 있습니다. 내부에서 판단하거나 처리하기 어려운 위협은 외부 전문 지원을 활용하는 방안도 검토하세요.

Q. 보안 숫자가 모두 0이면 안전한 회사인가요?

미해결 문제가 없다는 것은 긍정적이지만, 먼저 모든 관리 대상이 점검됐는지 확인해야 합니다. 점검에서 빠진 PC나 계정이 있다면 문제가 있어도 숫자에 나타나지 않을 수 있습니다. 숫자와 함께 점검 범위와 최근 확인 시점을 살펴보세요.