보안 공지 확인, KISA 보호나라 공지를 업무 습관으로 만드는 6단계

보안 공지 확인은 KISA 보호나라 보안공지에서 우리 사이트가 쓰는 프로그램을 주 1회 찾아보는 습관으로 시작하면 됩니다. 이 글에서는 보안공지에 어떤 내용이 올라오는지, 사용 중인 프로그램 목록을 만들어 공지를 확인하고 업데이트로 이어 가는 6단계를 정리했습니다.

KISA 보호나라 보안공지란 무엇인가

한국인터넷진흥원(KISA)이 운영하는 보호나라&KrCERT/CC 누리집에는 보안공지 게시판이 있습니다. 여기에는 국내외 소프트웨어 제품의 취약점과 보안 업데이트 권고가 꾸준히 올라옵니다. 게시글 제목은 대개 "○○ 제품 보안 업데이트 권고"처럼 제품 이름과 권고 내용으로 되어 있어, 우리가 쓰는 제품 이름만 알면 찾기 쉽습니다.

공지에는 영향을 받는 제품과 버전, 해결된 버전, 참고할 제조사 안내가 함께 실리는 경우가 많습니다. 운영자가 취약점의 기술적인 내용을 모두 이해할 필요는 없습니다. 우리 사이트에 해당하는지, 해당한다면 언제 누가 업데이트할지만 정하면 됩니다.

보안 공지를 확인해야 하는 이유

홈페이지는 운영체제, 웹 서버, PHP 같은 실행 환경, 데이터베이스, 홈페이지 프로그램과 플러그인이 겹겹이 쌓여 동작합니다. 이 가운데 하나에서 취약점이 알려지면 공격자는 같은 제품을 쓰는 사이트를 찾아 자동으로 공격을 시도합니다. 업데이트가 나왔는데도 모르고 지나가는 시간이 길수록 위험도 커집니다.

보안공지를 확인하는 습관은 이 시간을 줄여 줍니다. 업데이트를 실제로 적용하는 순서와 주의점은 홈페이지 프로그램 업데이트 관리 6단계에서 다뤘으니, 이 글은 업데이트가 필요하다는 사실을 제때 알아차리는 데 집중합니다.

보안 공지 확인을 습관으로 만드는 6단계

보안공지 게시판에는 매일 여러 건의 글이 올라오므로 모두 읽으려고 하면 금방 지칩니다. 우리 사이트와 관련된 공지만 골라 보는 구조를 먼저 만드는 것이 핵심입니다.

1. 사용 중인 프로그램 목록 만들기: 운영체제, 웹 서버, PHP 버전, 데이터베이스, 홈페이지 프로그램, 설치한 플러그인과 그 버전을 한 문서에 적습니다. 모르면 호스팅이나 유지보수 업체에 요청합니다.
2. 확인 요일과 담당자 정하기: 매주 월요일 오전처럼 요일을 정하고 담당자와 대신 볼 사람을 정합니다.
3. 공지에서 목록 제품 찾기: 보안공지 게시판에서 지난 확인 이후 올라온 글 가운데 목록에 있는 제품 이름이 들어간 글을 찾습니다.
4. 해당 여부 판단하기: 공지에 적힌 영향받는 버전과 우리 사이트의 버전을 비교합니다.
5. 업데이트 일정 잡기: 해당한다면 백업 후 업데이트할 날짜와 담당자를 정합니다. 임시 조치 권고처럼 급한 공지는 먼저 처리합니다.
6. 기록 남기기: 확인한 날짜, 해당 공지, 조치 결과를 표에 적고 프로그램 목록의 버전도 고칩니다.

그림의 첫 단계가 가장 중요합니다. 우리가 무엇을 쓰는지 모르면 공지를 읽어도 해당 여부를 판단할 수 없습니다. 프로그램 목록은 업데이트할 때마다 버전을 고쳐 최신 상태로 유지하세요.

공지 종류별로 할 일

보안공지 제목을 보면 어느 정도 급한지 짐작할 수 있습니다. 아래 표는 자주 보이는 공지 형태와 그 뜻, 운영자가 할 일을 비교한 것입니다.

공지 형태	뜻	운영자가 할 일
제품 보안 업데이트 권고	제조사가 취약점을 고친 버전을 냈음	해당 버전인지 확인하고 업데이트 일정 잡기
신규 취약점 임시 조치 권고	고친 버전 전에 설정 변경 등으로 막으라는 안내	안내된 임시 조치를 먼저 하고 정식 업데이트를 기다리기
우리 목록에 없는 제품	우리 사이트와 관련 없음	건너뛰되 업무 PC 제품인지 한 번 더 보기

표의 마지막 줄처럼 홈페이지에 쓰지 않는 제품이라도 사무실 PC나 공유기, 업무용 프로그램에 해당할 수 있습니다. 프로그램 목록에 업무 PC에서 쓰는 주요 제품도 함께 적어 두면 한 번에 확인할 수 있습니다.

제조사 공식 안내도 함께 보기

보안공지와 함께 우리가 쓰는 제품의 공식 안내도 확인하면 좋습니다. 예를 들어 PHP는 공식 지원 버전 안내에서 버전마다 보안 업데이트가 언제까지 나오는지 알려 줍니다. 지원이 끝난 버전은 새 취약점이 나와도 고친 버전이 나오지 않으므로 공지 확인만으로는 지킬 수 없습니다.

보안 공지 확인 점검 체크리스트

습관이 자리 잡았는지 분기에 한 번 아래 항목으로 돌아보세요.

• 사용 중인 프로그램 목록과 버전이 최신 상태다.
• 보안공지 확인 요일과 담당자, 대신 볼 사람이 정해져 있다.
• 지난 분기 확인 기록이 빠진 주 없이 남아 있다.
• 해당 공지가 있었다면 업데이트까지 끝났는지 확인했다.
• 지원이 끝난 버전을 쓰는 프로그램이 있는지 확인했다.

체크리스트를 채우다 보면 공지에 자주 나오는 CVE 번호와 위험도 표시가 궁금해집니다. 읽는 법은 CVE 취약점 정보 글에서 이어서 다룹니다. 판단이 어려운 보안 문제는 KISA 118 상담 전화로 문의할 수도 있습니다.

디코랩이 돕는 방식

디코랩은 운영 중인 사이트의 유지보수를 맡고 있습니다. 보안 공지에 해당하는 업데이트를 누가 언제 할지 정해 두고 싶다면 유지보수 상품 안내에서 월 단위 관리 방식을 확인할 수 있고, 단건 요청은 유지보수 접수 게시판에 비밀글로 남길 수 있습니다.

자주 묻는 질문

보안공지를 매일 확인해야 하나요?

작은 사이트라면 주 1회로도 충분한 경우가 많습니다. 다만 우리 제품에 대한 임시 조치 권고처럼 급한 공지를 발견하면 그 주 안에 처리하세요.

공지 내용이 너무 어려우면 어떻게 하나요?

제품 이름과 영향받는 버전만 확인하면 됩니다. 해당하는지 판단이 어렵다면 공지 주소를 유지보수 업체나 개발자에게 전달해 확인을 요청하세요.

호스팅을 쓰면 서버 쪽 공지는 안 봐도 되나요?

호스팅 종류에 따라 운영체제와 웹 서버를 업체가 관리하기도 합니다. 계약서나 안내에서 누가 무엇을 업데이트하는지 확인하고, 홈페이지 프로그램과 플러그인은 대개 사이트 운영자 몫이라는 점을 기억하세요.

플러그인 공지는 보안공지에 다 올라오나요?

모든 제품이 올라오는 것은 아닙니다. 설치한 홈페이지 프로그램과 플러그인은 제작사의 공식 안내나 관리자 화면의 업데이트 알림도 함께 확인하세요.

우리 사이트의 프로그램 목록을 정리하고 보안 업데이트 관리를 맡기고 싶다면 사이트 주소와 현재 관리 방식을 적어 디코랩 프로젝트 문의로 보내 주세요.