보안 점검은 어떤 정보를 보관하며 장애가 나면 어떤 업무가 멈추는지 파악하는 데서 시작합니다. 이 글은 HTTPS, 계정 권한, 업데이트, 백업 복구와 로그 확인을 담당자와 함께 정리하기 위한 체크리스트입니다. 일정한 공격 차단율을 보장하는 목록은 아닙니다.
목차
- SSL·HSTS: 암호화의 출발점
- 웹 방화벽(WAF) 기본 설정
- CSP·X-Frame-Options 헤더
- 자동 백업·재해 복구(RTO/RPO)
- CMS·플러그인 보안 업데이트
- 접근 제어·다중 인증(MFA)
- 서버·애플리케이션 로그 모니터링
- DDoS·Rate Limit 대응
- 개인정보 보호·GDPR 체크
- API·토큰 보안 & CORS
- Zero-Trust 네트워크 개념
- 보안 감리·침투 테스트 주기
- 실전 활용 가이드
- FAQ
- 맺음말
1. SSL·HSTS: 암호화의 출발점
HTTPS는 구글 검색 순위·브라우저 신뢰·고객 데이터 보호를 모두 책임지는 기본 보안 요소입니다. Let’s Encrypt 무료 인증서로 시작하고, Strict-Transport-Security: max-age=63072000; includeSubDomains; preload 헤더를 설정하면 브라우저가 http 방문을 강제로 https로 전환합니다. SSL 인증서 만료 알림은 Cloudflare 또는 Certbot 자동 갱신 스크립트로 해결합니다.
2. 웹 방화벽(WAF) 기본 설정
WAF를 사용할 때는 지원 규칙과 차단·기록 정책을 확인하고 정상 고객의 문의까지 막지 않는지 시험합니다. WAF는 취약한 코드를 수정하거나 접근 권한을 관리하는 작업을 대신하지 않습니다.
3. CSP·X-Frame-Options 헤더
Content-Security-Policy는 스크립트 인젝션·데이터 탈취를 막는 ‘화이트리스트’ 방어벽입니다. 예시: default-src 'self'; img-src 'self' https://cdn.example.com; script-src 'self' 'unsafe-inline'. 클릭재킹 차단을 위해 X-Frame-Options: SAMEORIGIN도 함께 적용합니다.
4. 자동 백업·재해 복구(RTO/RPO)
허용할 데이터 손실 범위와 복구 시간을 업무에 맞게 정한 뒤 백업 주기·보관 위치를 결정합니다. 백업 파일 생성 여부뿐 아니라 실제 복원과 소요 시간을 확인하세요.
5. CMS·플러그인 보안 업데이트
CMS·테마·플러그인의 지원 상태와 업데이트를 점검합니다. 운영 복사본에서 호환성을 확인하고 백업·복구 방법을 준비한 뒤 적용하세요.
6. 접근 제어·다중 인증(MFA)
관리자 페이지는 /admin이 아닌 난수 경로로 변경하고, 구글 Authenticator·Okta·Microsoft Entra MFA로 2단계 인증을 강제합니다. 권한은 최소 권한 원칙(Least Privilege)으로 편집자·검토자·관리자 3단계로 구분합니다.
7. 서버·애플리케이션 로그 모니터링
Nginx·Apache·Node.js 로그를 Loki·ELK·CloudWatch로 중앙 수집해 404·403·500 오류 패턴을 실시간 알림합니다. 로그 보존 기간은 개인정보보호법에 따라 6개월 이상, 1년 미만이 권장됩니다.
8. DDoS·Rate Limit 대응
트래픽 급증 시 CDN 레이어 Rate Limit(예: 10 000 req/m)을 걸어 원천 차단하고, Origin 서버에는 Fail2Ban·CSF로 IP 블록 규칙을 설정합니다. Cloudflare는 15 s·IUAM (I’m Under Attack) 모드를 통해 자바스크립트 챌린지를 제공해 L7 공격을 완화합니다.
9. 개인정보 보호·GDPR 체크
개인정보를 다루는 경우 수집 목적, 처리 근거, 보관·파기, 수탁사와 외부 전송을 실제 운영에 맞게 검토합니다. 특정 배너 규격이나 IP 설정 한 가지로 여러 국가의 법규를 모두 충족한다고 판단하지 않습니다.
10. API·토큰 보안 & CORS
REST·GraphQL API 토큰은 90 일마다 회전(Rotation)하고, ‘scope = 최소 권한’ 원칙을 적용합니다. CORS 정책은 Access-Control-Allow-Origin: https://example.com처럼 구체 도메인만 허용합니다.
11. Zero-Trust 네트워크 개념
‘네트워크 내는 안전하다’라는 가정을 버리고 모든 요청에 인증·암호화를 요구하는 모델입니다. Cloudflare Access·Twingate 같은 SDP (Secure Device Perimeter) 솔루션을 이용해 내부 SaaS·GitHub·CI 접근을 Zero-Trust 방식으로 전환하세요.
12. 보안 감리·침투 테스트 주기
연 1회 이상 외부 심사·모의 해킹(PenTest)이 권장됩니다. OWASP Zap·Burp Suite Community 등 무료 도구로 월간 자가 점검 → 연간 전문 기관 감리를 조합하면 비용 대비 효과가 높습니다.
실전 활용 가이드
- SSL·HSTS → 1일 내 적용
- WAF·CSP·헤더 → 1주 내 설정
- 백업 & RTO/RPO → 2주 내 시뮬레이션
- 로그·DDoS 모니터링 → 1개월 내 자동화
- 분기별 감리·침투 테스트 스케줄링
상담·견적 문의는 언제든 /index.html#inquiry, 실제 구축 사례는 /index.html#projects에서 확인하실 수 있습니다.
FAQ
- Q 무료 SSL만으로 충분할까요?
Let’s Encrypt + HSTS 설정이면 데이터 암호화에는 충분하지만, EV·OV 인증서가 브랜드 신뢰에 도움이 될 수 있습니다. - Q WAF 비용이 부담됩니다.
Cloudflare Free 플랜도 OWASP 룰셋을 제공하며, 고급 룰은 월 20 $부터 시작합니다. - Q CMS 업데이트가 깨질까 걱정돼요.
Staging 서버에서 자동 테스트 → Production 배포로 안전하게 진행하세요. - Q EU에서 접속할 수 있으면 항상 GDPR 대상인가요? A 접속 가능 여부만으로 판단하지 않습니다. EU 내 사업장, EU 개인에 대한 상품·서비스 제공이나 행동 모니터링 등 적용 조건을 검토해야 합니다. EU 공식 적용 안내를 참고하세요.
- Q 침투 테스트는 어떻게 시작할까요?
OWASP Zap Easy Mode로 CSRF·XSS 기본 취약점을 먼저 스캔해 보세요.
맺음말
점검 결과는 담당자·수정 기한·복구 확인 기록으로 남깁니다. 해결하지 못한 취약점과 운영상 예외도 함께 관리하세요. 현재 운영 지원 범위는 유지보수 안내에서 확인할 수 있습니다.
답글 남기기