웹사이트 보안 기초는 많은 기업이 문제가 발생한 후에야 되돌아보는 경우가 많습니다. 더 효율적인 방법은 일상 점검 단계에서 점검 대상, 담당자, 기록 위치를 미리 정해두는 것입니다. 이렇게 하면 유지보수 시 담당자가 바뀌더라도 동일한 경로를 따라 점검할 수 있어 매번 '관리자 비밀번호가 어디 있지', '지난번에 무엇을 변경했지'를 다시 확인할 필요가 없습니다.
보안 기초와 일상 콘텐츠 업데이트를 먼저 구분하기
일상 점검 시 두 가지를 혼동하기 쉽습니다. 하나는 콘텐츠 오류나 링크 작동 여부이고, 다른 하나는 계정, 진입점, 업데이트, 백업에 잠재적 위험이 있는지 여부입니다. 전자는 운영 점검에 해당하고, 후자가 바로 보안 기초입니다. 계획 시 이 두 가지를 먼저 분리해야 유지보수 시 콘텐츠 변경으로 인해 보안 항목을 놓치는 일이 없습니다.
다음과 같은 대상으로 구분할 수 있습니다:
- 계정 및 권한: 관리자 페이지에 몇 개의 계정이 있는지, 각각 어떤 역할인지, 누가 아직 사용 중인지, 누가 퇴사했는지.
- 관리자 페이지 및 서버 진입점: 도메인, 관리자 경로, 서버 로그인 방식을 누가 관리하는지.
- 프로그램 및 플러그인 업데이트: 어떤 구성 요소를 업데이트해야 하는지, 업데이트 전 누가 확인하는지.
- 백업 및 복구: 백업이 어디에 저장되는지, 복구 가능 여부를 얼마나 자주 확인하는지.
- 이상 모니터링: 페이지가 변경되거나 비정상 접근이 있을 때 누가 먼저 알림을 받는지.
이 항목들을 매일 모두 수행할 필요는 없지만 점검 주기와 담당자를 명확히 해야 합니다. 계획의 가치는 바로 여기에 있습니다. '생각날 때만 보는 것'을 '시간이 되면 무엇을 봐야 하는지 아는 것'으로 바꾸는 것입니다.
계정 및 권한 계획: 적고 명확한 것이 많고 혼란스러운 것보다 유지보수에 좋음
계정은 보안 기초에서 가장 역사적 문제를 남기기 쉬운 부분입니다. 기업 웹사이트에서 흔한 상황은 사이트 구축 시 여러 관리자 계정을 만들었는데, 이후 인사 변동으로 계정은 남아 있지만 누구의 것인지 아무도 모르는 경우입니다. 유지보수 시 이런 계정은 삭제하기도 어렵고 사용하기도 어렵습니다.
계획 시 세 가지 행동으로 나눌 수 있습니다:
- 각 관리자 계정에 사용자와 용도를 표시합니다. 예: '운영-콘텐츠 게시', '기술-플러그인 업데이트'.
- 권한을 역할별로 분리하여 콘텐츠 편집자가 서버나 플러그인 관리 권한을 갖지 않도록 합니다.
- 퇴사나 직무 변경 시 먼저 계정을 비활성화한 후 콘텐츠 소유권 이전 여부를 결정합니다.
판단 기준은 간단합니다. 어떤 계정의 사용자를 설명할 수 없다면 계속 보관하지 말고 처리 대기 목록에 넣어야 합니다. 일상 점검 시 몇 분씩 계정 목록을 확인하는 것이 나중에 추적하는 것보다 훨씬 수월합니다.
관리자 진입점 및 로그인 방식: 점검에 고정 경로 만들기
관리자 진입점이 자주 바뀌고 기록하는 사람이 없다면 유지보수가 매우 수동적이 됩니다. 계획 시 진입점 정보를 내부 문서나 인수인계 목록 등 기업 내부에서 확인 가능한 위치에 집중적으로 보관하고, 관리자 주소, 로그인 방식, 비밀번호 재설정 절차 담당자를 명확히 기록합니다.
일상 점검 시 몇 가지를 고정적으로 확인할 수 있습니다. 관리자 페이지 정상 로그인 여부, 로그인 후 이상 계정 유무, 최근 알 수 없는 로그인 기록 여부(관리자 페이지에서 제공하는 경우), 관리자 주소가 임의로 변경되었는지 여부. 여기서 구체적인 보안 규칙을 만들어낼 필요는 없으며, 핵심은 점검 행동에 고정된 진입점을 만들어 매번 기억에 의존하지 않는 것입니다.
또한 관리자 진입점과 프론트 페이지는 분리 관리해야 합니다. 프론트 콘텐츠 업데이트는 운영 담당자가, 관리자 진입점과 서버 수준 조정은 기술 또는 서비스 제공자가 담당하여 책임이 명확하면 문제 발생 시 누구에게 연락해야 하는지 알 수 있습니다.
업데이트, 백업, 모니터링: 점검 주기를 일상 일정에 포함하기
프로그램, 플러그인, 테마 업데이트 및 백업 사용 가능 여부는 정해진 주기로 점검해야 하는 항목입니다. 계획 시 '정기 업데이트'라고만 쓰지 말고 누가 언제 점검하고, 문제 발견 시 누구에게 알리는지 명확히 작성해야 합니다.
다음과 같이安排할 수 있습니다:
- 업데이트 전: 현재 버전과 백업 상태를 확인하고 이번에 업데이트할 구성 요소를 기록합니다.
- 업데이트 후: 홈페이지, 카테고리 페이지, 양식 페이지를 열어 정상 표시 및 제출 기능 이상 여부를 확인합니다.
- 백업 점검: 백업 파일 존재 여부뿐만 아니라 특정 시점에 대응하는지, 복구 절차 담당자가 누구인지 확인합니다.
- 이상 모니터링: 페이지 변조, 낯선 링크 또는 비정상 접근 시 먼저 현장을 보존한 후 진입점, 계정, 업데이트 순서로 점검합니다.
이러한 행동을 복잡한 제도로 작성할 필요는 없지만 구체적인 담당자와 시간에落实到해야 합니다. 유지보수의 편의성은 종종 이러한 기록의 연속성에 달려 있습니다.
체크리스트로 계획 고정하기
매번 무엇을 점검할지 다시 생각하고 싶지 않다면 간단한 보안 기초 체크리스트를 유지 관리하며, 대상별로 항목을 나열하고 점검 후 날짜와 결과를 기록합니다. 표에 너무 많이 쓸 필요는 없으며 '지난번에 누가 봤는지, 무엇을 봤는지, 처리 대기 항목이 있는지'를 답할 수 있으면 충분합니다.
한 기업 웹사이트를 운영 담당자가 관리자 페이지를 겸임한다고 가정하면 체크리스트는 다음과 같이 나눌 수 있습니다. 계정 권한은 매월 한 번 확인, 관리자 진입점과 로그인 방식은 분기별 한 번 확인, 업데이트와 백업은 실제 업데이트 주기에 따라 점검, 이상 모니터링은 일상 사이트 순회 시 함께 확인. 이러한安排은 복잡함을 추구하지 않으며, 핵심은 책임과 주기를 고정하여 나중에 담당자가 바뀌어도 바로 인수할 수 있도록 하는 것입니다.
아직 이 체크리스트가 없다면 계정 목록과 관리자 진입점 정보부터 정리할 수 있습니다. 이 두 가지를 명확히 하면 일상 웹사이트 보안 기초 점검의 출발점이 되고, 이후 업데이트, 백업, 모니터링 기록을 점차 보완할 수 있습니다.
