NIST 1인 사업자 보안 안내서, 자산·AI 도구 관리법 담아

본문

NIST가 2026년 11월 2일 1인 사업체를 위한 사이버보안 안내서 Small Business Cybersecurity: Non-Employer Firms(NIST Cybersecurity White Paper 50, CSWP 50)를 공개했습니다. 소유주 외에 유급 직원이 없는 사업체가 NIST Cybersecurity Framework(CSF) 2.0을 활용해 보안 위험을 관리하도록 돕습니다. 개인사업자, 프리랜서, 1인 유한책임회사, 독립 계약자와 플랫폼 노동자 등이 대상입니다.

CSWP 50은 2016년 NISTIR 7621 개정 1판을 대체합니다. 이전 판이 규모가 다양한 소기업의 정보보안을 폭넓게 다뤘다면, 새 보고서는 소유주 혼자 운영하는 사업의 디지털 시스템을 악의적 공격으로부터 보호하는 데 초점을 좁혔습니다. 비전문가용 설명과 사업 성장에 따른 고려사항을 담았으며, NIST는 소기업용 빠른 시작 안내서보다 세부 내용이 많은 자료라고 소개합니다.

안내서는 CSF 2.0의 여섯 기능에 따라 내용을 구성합니다. Govern은 사업의 보안 위험관리 전략과 정책을 세우고 살피며, Identify는 현재 위험을 파악합니다. Protect는 보호 조치를 마련하고, Detect는 공격 징후를 찾습니다. Respond와 Recover는 사고에 대응하고 영향을 받은 자산과 업무를 복구합니다. 각 권고에는 실행 이유와 시작 방법, 사업이 성장할 때 고려할 다음 단계가 붙습니다. NIST는 이 활동을 기본 위험관리 전략을 세우는 예시로 제시합니다.

보안 조치를 고르기 전에 사업 환경과 중요한 자산을 살피도록 한 점이 안내서의 출발입니다. 고객·공급업체·규제기관·결제 처리업체처럼 사업과 얽힌 외부 주체의 요구, 사업 목표와 쓸 수 있는 도구·예산을 함께 고려합니다. 자산 목록에는 중요한 하드웨어·소프트웨어·데이터·서비스와 공급업체·제3자를 기록합니다. 기기나 계정의 식별 정보, 데이터 민감도와 위치, 침해 때 예상되는 영향, 암호와 다중 인증 상태, 계정 복구 연락처도 살핍니다.

네트워크 그림은 기기와 서비스의 연결 및 데이터 흐름을 보여줍니다. 가상의 사업체 사례에는 컴퓨터·프린터·노트북·전화기와 웹사이트, 온라인 뱅킹, 소셜미디어, 클라우드 서비스가 등장합니다. 네트워크에 연결된 보안 카메라와 시청각 장비처럼 일반적인 업무용 컴퓨터가 아닌 기기도 목록에서 빠뜨리지 않도록 안내합니다. 공유기의 기본 암호, 피싱 링크, 오래된 웹사이트 소프트웨어가 각각 침입 경로가 될 수 있습니다. 불필요하거나 오래된 데이터와 서비스는 안전하게 정리할 대상으로 파악합니다.

개인정보 보호 전반은 보고서의 범위 밖입니다. NIST는 사이버보안과 개인정보 보호가 별개의 분야지만 일부 목표가 겹친다고 설명합니다. 고객 정보가 유출되지 않아도 처음 수집한 목적보다 오래 보관하거나 고객이 예상하지 않은 방식으로 공유하면 개인정보 위험이 생길 수 있습니다. 보고서는 데이터의 수집·이용·공유·저장·폐기 흐름을 살피고 고객이 예상한 사업 목적에 맞게 정보를 다루며, 기기·앱·서비스의 개인정보 설정을 사업 정책에 맞추는 기초 조치를 소개합니다.

기기와 계정에는 제조사 기본 암호 변경, 소프트웨어 갱신, 접근 권한 제한을 권합니다. 자산 목록에 있는 소프트웨어와 운영체제에 보안 패치를 적용하고 자동 업데이트를 켜거나 적어도 매달 업데이트를 확인하도록 안내합니다. 보안 업데이트 지원이 끝난 제품은 교체 대상으로 설명합니다. 계정 권한은 맡은 업무에 필요한 범위와 기간으로 제한하고 정기적으로 검토합니다. 가족과 기기를 공유할 때는 별도 계정을 만들어 민감한 사업 데이터에 접근하지 못하게 하며, 외부업체 계약이 끝나면 관련 접근 권한을 제거하도록 권합니다.

계정 보호에서는 다중 인증을 제공하는 계정에 이를 켜고, 이메일·은행·민감한 파일 저장소·비밀번호 관리자처럼 중요한 계정에는 피싱 저항형 인증을 우선하라고 권합니다. 강하고 고유한 암호구와 암호 관리자, 패스키도 제안하며 NIST 지침에 따른 최소 15자 암호구를 소개합니다. 가능한 경우 관리자 권한 계정 대신 일반 사용자 계정으로 일상 업무를 하도록 안내합니다. 백업은 정기적으로 만들고 보호 조치를 마련하며 복원 시험을 합니다. 백업 중 하나를 기기와 연결되지 않은 매체에 두는 방법으로 외장 드라이브나 클라우드를 예로 듭니다.

안내서는 코딩, 업무 흐름 자동화, 콘텐츠 생성, 고객 지원 등에 쓰는 SI 도구도 사업 자산 목록에 포함하도록 권합니다. 별도 제품뿐 아니라 다른 소프트웨어에 들어 있는 SI 기능과 연동도 목록화해 검토하고 설정하거나 비활성화할지 살핍니다. 민감정보를 입력하기 전에는 데이터 보존·학습 사용·접근 권한·기밀 유지 조건 등 개인정보와 보안 설정을 검토합니다. SI가 생성한 결과는 고객이나 사업 파트너에게 공유하거나 중요한 결정을 내리기 전에 검토하는 절차를 마련하도록 안내합니다. 공급업체의 SI 시스템이 사업 데이터와 시스템에 접근하는 범위도 파악해야 합니다.

보고서는 이 기술을 Super Intelligence(SI)라고 부릅니다. 각주는 2026년 9월 29일 행정명령이 연방 행정부 기관에 artificial intelligence 대신 super intelligence라는 용어를 쓰도록 지시했다고 설명합니다. SI 관련 법률·규제 요건을 확인해 기록하는 내용도 포함합니다.

사고 대응은 사건이 일어나기 전에 계획하고 연습하도록 안내합니다. 주요 연락처와 계약·규제상 대응 요건을 기록하고, 연락처 목록은 인쇄하거나 오프라인으로도 보관합니다. 대응 계획을 주기적으로 갱신하고 연습하며, 다른 사람에게 위험관리 역할을 맡긴다면 사고 대응 때의 역할과 책임도 문서화합니다. 사고가 나면 발견 시각과 상황, 보안 기록, 취한 조치를 남기고 연락할 전문가와 업무 중단 때의 대체 절차를 확인합니다. 영향을 받은 기기를 네트워크에서 분리하고, 복구 때는 백업의 무결성과 계정 설정을 살핀 뒤 다시 사용하도록 안내합니다.

데이터와 저장장비를 더는 쓰지 않을 때는 안전하게 삭제하거나 폐기하는 방법도 다룹니다. 운영체제의 저장장치 삭제 기능과 분실 기기의 원격 삭제, 클라우드 데이터 삭제, 사용하지 않는 온라인 계정 폐쇄를 예로 듭니다. 사고나 근접사고, 보안 시험과 훈련에서 얻은 내용을 이후 계획에 반영하고, 사업의 기술·위협·서비스 제공자·법률 및 규제 조건이 바뀌면 위험관리 전략을 다시 살피도록 안내합니다.

외부 보안업체에 일을 맡길 때 NIST는 먼저 필요한 보안 결과를 정하고 다른 사업체의 추천과 여러 업체의 견적을 살피며, 계약서에 서비스 범위와 역할·책임·기대를 기록하도록 권합니다. 자산이 늘면 자동화 도구나 관리형 보안 서비스 업체가 목록 작성과 분류를 도울 수 있습니다. NIST는 미국 내 지역별 비영리 소기업 보안 지원 프로그램을 찾는 도구도 소개합니다. 외부 서비스를 이용해도 시스템과 데이터를 보호할 책임은 사업체에 남습니다.

별도 엑셀 부록에는 작업표와 세 가지 가상 사례가 포함됩니다. 사례는 지식재산권 변호사, 집에서 제품을 만들어 온라인 판매를 시작한 사업자, 여러 규모의 고객을 돕는 마케팅·영업 컨설턴트를 가정합니다. NIST는 사례가 각 업종의 위험을 모두 다루거나 CSF 2.0의 모든 항목을 포괄하는 자료가 아니라 상황별 대응의 예시라고 설명합니다. 실제 적용은 업종·규모·자원·계약 및 규제 요건에 따라 달라집니다.

자료: NIST / 정리·해설: Trawling