침해사고 발생 시 첫 번째로 취해야 할 조치는 무엇이라고 생각하나요?

침해사고가 발생했을 때 가장 먼저 취해야 할 조치는 피해 확산 방지를 위한 격리라고 생각합니다. 감염된 시스템이나 계정을 네트워크에서 분리하면 공격자가 추가로 움직일 수 있는 경로를 차단합니다. 격리가 늦어질수록 피해 범위가 넓어질 수 있습니다.

격리와 함께 중요한 것은 증거 보전입니다. 로그를 삭제하거나 시스템을 재시작하면 나중에 무슨 일이 있었는지를 추적하기 어렵습니다. 메모리 덤프와 로그 파일을 가능한 한 원본 상태로 보존하는 것이 사후 분석의 기반이 됩니다. 격리와 증거 보전은 동시에 진행하는 것이 이상적입니다.

세 번째는 보고 체계 가동입니다. 혼자 판단하고 해결하려 하면 중요한 정보가 공유되지 않습니다. 정해진 보고 라인을 따라 상황을 전달하고, 필요하다면 외부 전문가 지원을 요청하는 결정을 빠르게 내리는 것이 중요합니다. 초동 대응이 얼마나 빠르고 체계적이었느냐가 전체 피해를 결정합니다.