자산 목록

지켜야 할 것이 무엇인지 모르는 상태에서는 지킨다는 말이 성립하지 않습니다. 회사가 작을 때는 이 공백이 드러나지 않습니다. 서버 두 대에 도구 몇 개면 머릿속에 전부 들어가니까요. 팀이 늘고 팀마다 필요한 도구를 알아서 결제해 쓰기 시작하면서 회사가 지금 무엇을 쓰는지 한 사람도 통째로 알지 못하는 상태가 됩니다.

공백은 대개 밖에서 물어볼 때 드러납니다. 페이지덱에서 규원이 기업 고객의 보안 질의서를 받아 와 "우리 고객 데이터가 어디어디에 들어 있죠" 하고 물었을 때 답을 아는 사람이 없어 사흘을 물어 다녔습니다. 그러고도 빠진 것이 있었습니다. 마케팅팀이 법인카드로 결제해 쓰던 설문 도구에 고객 이메일 4천 건이 쌓여 있었는데, 그 도구를 아는 사람이 팀 안에 둘뿐이었습니다.

자산 목록은 그 질문에 표 하나로 답하려고 만든 문서입니다. 보안 관리 체계가 이 표를 맨 앞에 두는 이유는 나머지 절차가 전부 이 표를 대상으로 삼기 때문입니다. 누가 무엇에 접근할 수 있는지 주기마다 뽑아 보고 필요 없어진 권한을 거두는 접근 권한 점검은 표에 오른 시스템만 훑고, 사고가 났을 때 누가 무엇을 어떤 순서로 할지 적어 둔 침해 사고 대응 계획도 확인할 곳을 이 표에서 가져옵니다. 표에서 빠진 시스템은 두 절차 모두에서 조용히 빠집니다.

한 줄이 자산 하나이고, 한 줄에 채우는 칸은 대체로 다섯입니다.

1. 이름과 갈래 — 무엇인지 알아볼 이름과, 서버·데이터베이스·외부 서비스·기기 같은 갈래입니다.
2. 책임자 — 여기에 문제가 생겼을 때 연락할 사람 한 명입니다. 팀 이름이 아니라 사람 이름으로 적습니다. 결제팀이라고만 적어 두면 사고가 난 새벽에 아무도 전화를 받지 않습니다.
3. 담긴 데이터 — 어떤 정보가 있고 얼마나 민감한지입니다. 고객 결제 정보가 든 곳과 실제 데이터가 하나도 없는 테스트 환경은 지켜야 하는 정도가 다릅니다. 보통 상·중·하로 표시하고 상인 줄부터 손을 댑니다.
4. 접근 범위 — 누가 들어갈 수 있는지입니다. 개발팀 전원처럼 묶음으로 적고, 관리자 권한을 가진 사람만 따로 이름으로 남깁니다.
5. 위치와 계약 — 우리 서버에 있는지 남의 서비스에 있는지, 남의 것이면 계약이 언제 끝나는지입니다. 월 8만 원짜리 도구라도 고객 데이터가 들어 있으면 그 회사가 문을 닫을 때 우리 데이터도 함께 사라집니다.

칸을 채우는 일보다 어려운 것은 무엇을 한 줄로 올릴지 정하는 일입니다. 서버와 데이터베이스만 적으면 실제로 뚫리는 자리가 대부분 빠집니다. 구성원의 노트북, 코드가 든 저장소, 회사 도메인과 그 도메인을 관리하는 계정, 팀이 각자 붙여 쓰는 외부 도구까지 들어가야 합니다. 마지막 갈래가 가장 자주 빠집니다. 아무도 승인한 적 없이 쓰기 시작한 도구는 어느 명단에도 없어서 사람에게 묻는 대신 결제 내역과 로그인 기록을 훑어야 나옵니다. 페이지덱이 처음 표를 만들었을 때 그렇게 드러난 도구가 열한 개였고 그중 넷에 고객 정보가 있었습니다.

표를 소유하는 사람은 한 명이고 칸을 채우는 사람은 여럿입니다. 보안을 맡은 사람이 표의 형식과 갱신 주기를 정하고 빠진 줄을 쫓지만, 각 줄의 내용은 그 자산을 실제로 쓰는 팀이 씁니다. 혼자 전부 조사해 채우려 들면 조사가 끝나는 시점에 이미 절반이 지난 정보가 됩니다.

채울 때 사람 기억에 기대지 않습니다. 출발점은 셋입니다. 법인카드에 남은 결제 내역, 회사 계정으로 로그인한 외부 서비스 목록, 클라우드 사업자의 자원 목록입니다. 셋을 합치면 기억에 없던 것이 대부분 나오고, 남는 자리만 사람에게 물어 채웁니다.

읽는 쪽은 셋입니다.

1. 권한을 점검하는 사람 — 이번 분기에 어떤 시스템의 권한을 뽑아 볼지 이 표에서 고릅니다.
2. 사고를 수습하는 사람 — 어디가 뚫렸고 그 안에 고객 데이터가 있었는지를 확인합니다. 사고가 난 뒤에 표를 만들기 시작하면 법이 정한 통지 기한이 그 시간을 기다려 주지 않습니다.
3. 심사를 받는 사람 — 보안 체계를 갖췄음을 외부 기관에서 확인받는 보안 인증 심사가 가장 먼저 요구하는 문서가 이 표입니다.

갱신은 두 시점에 겁니다. 분기마다 전체를 훑는 정기 갱신과, 새 도구를 들이거나 시스템을 내릴 때 그 자리에서 하는 즉시 갱신입니다. 뒤쪽이 실제로는 더 크게 작동합니다. 정기 갱신만 두면 석 달 내내 표와 현실이 벌어지다가 갱신 주에 몰아서 맞추게 되고, 그 주의 조사는 대개 부실합니다.

"그 서비스 자산 목록에 올라와 있나요? 없으면 먼저 등록하고 붙입시다."

새 외부 도구를 쓰기 전에 표에 한 줄을 만들라는 요구입니다.

"이번 분기 권한 점검 대상은 자산 목록에서 민감도 상인 것만 열넷입니다."

전체를 다 보지 않고 표의 민감도 칸으로 범위를 줄였다는 뜻입니다.

"고객이 보낸 보안 질의서요, 자산 목록만 최신이면 절반은 그대로 옮겨 적으면 됩니다."

표를 관리해 둔 덕에 영업에 드는 시간이 줄었다는 말입니다.

페이지덱에서 이 표를 여는 자리는 셋입니다. 새 도구를 결제하기 전, 분기 권한 점검을 시작할 때, 기업 고객이 보안 질의서를 보내올 때입니다. 태오가 새 저장소를 만들면 그날 한 줄이 늘고, 규원이 질의서를 받으면 이 표를 먼저 엽니다. 표를 세울 때 가장 오래 걸린 일은 칸을 채우는 것이 아니라 누가 이 표를 소유하고 언제 갱신하는지를 정하는 일이었습니다.

한 번 만들어 두면 끝나는 문서로 여기는 경우가 가장 흔합니다. 목록이라는 말이 그런 인상을 줍니다. 실제로는 도구를 붙이고 떼는 일이 매달 일어나는 회사에서 표는 만든 날부터 낡습니다. 반년 방치된 표는 없는 것보다 나쁩니다. 없으면 모른다는 것을 알고 조사하지만, 낡은 표가 있으면 그것을 믿고 조사하지 않습니다.

서버와 장비의 대장으로 좁게 읽는 것도 잦습니다. 자산이라는 말이 눈에 보이고 값이 매겨진 물건을 떠올리게 하기 때문입니다. 지금 회사가 잃으면 곤란한 것은 대부분 남의 서버에 얹혀 있습니다. 고객 정보는 결제 대행사와 문의 응대 도구에, 코드는 저장소 서비스에 들어 있습니다. 물건만 세면 정작 지켜야 할 것이 한 줄도 오르지 않은 표가 완성됩니다. 표를 훑을 때는 이 자산이 사라지면 무엇이 멈추는지를 기준으로 보는 편이 낫습니다.