<Summary>

1. 업종 : 제조
2. 임직원 수 : 2,500명
3. 테스트 배경
 - 최근 월 1~2명의 랜섬웨어 피해사례 발생 중
 - 스팸필터를 구축했음에도 휴먼에러로 인한 피해가 발생할 수 있는 가능성이 있어, 모의훈련을 통해 사내 보안의식 강화
4. 테스트 내용
 - 임직원 메일 주소 전체 대상 모의 훈련을 위한 내부 기안 진행
 - 교통범칙금 템플릿 사용
 - 1차 훈련 및 결과 보고, 내부 공지, 2차 훈련, 최종 결과 보고
5. 테스트 결과

6. 결론
 - 직원들의 메일에 대한 실제 보안의식 확인 -> 향후 보안 전략을 세우는 기준으로 활용 가능
 - 보안의식 개선 효과를 가시적으로 확인
 - 사내 공론화 -> 모의 훈련을 통해 내용을 공론화 하고 사내 보안의식을 고취시키는 계기가 된 것이 가장 큰 성과

<Review>

[개요]

IT 담당자에게 있어서 악성 메일로 인한 보안 사고는 수 많은 고민 거리중 하나입니다.

특히나 최근 랜섬웨어의 등장으로 단순 악성코드의 감염을 넘어서 십수년 누적된 사용자의 모든 데이터를 잃게 만들거나 기업의 중요 데이터가 유출될수 있다는 리스크는 스팸 필터를 구축했다고 맘놓고 있을 처지가 되지 못합니다.

아무리 좋은 솔루션을 구축해 놓아도 결국 사람을 막지 못한다면 이 위험에서 벗어날수 없다는것이 결론이었고, 때문에 작년 말경부터 악성 메일 모의훈련에 대해서 막연하게 생각만 하고 있던 터였습니다.

우연한 계기로 악성 메일 모의 훈련 서비스인 MudFix의 데모를 경험 할수 있었고, 이를 통해 우리 회사 직원들의 보안 의식 수준에 대한 확인과 훈련을 통해 사람들의 보안 의식도 개선될수 있다는 확신을 가지게 되었습니다.

 

[환경]

업종 : 제조업
직원수 : 약 2500여명(사무직과 현장직 1:1 정도의 비율)
대상 : 메일 주소 전체
기타
 - 랜섬웨어가 등장했던 초기에는 월에 5명 정도 랜섬웨어 피해가 있었고, 최근에는 월에 1~2명 정도 랜섬웨어 피해가 발생하고 있음.
 - 스팸필터를 운영중이나 패턴을 피해 스팸 메일이 간헐적으로 수신되고 있음.
 

[훈련 계획]

① 계획 기안 : 모의 훈련에 대한 의사 결정권자의 허가(배경, 목적, 어떻게 진행을 할것인지와 일정을 간단하게 기안을 올려 허가를 받았습니다.)
② 제품 파악 : 내부 테스트(익숙해지는데 하루 이틀정도 소요)
③ 대상 정보 정리 : 전체 메일 주소, 부서, 직책 정보등 정리
④ 사전 작업 : 대상자 입력, SMTP 설정, 양식(템플릿) 테스트및 생성
⑤ 훈련 실시 : 1차 훈련 메일 발송
⑥ 결과 정리 및 보고 : 1차 결과에 대한 보고(전사 직원의 메일 보안 의식 현황)
⑦ 결과 내부 공지 : 계도 및 교육 차원의 내용 공지
⑧ 2차 훈련 실시 : 2차 훈련 메일 발송
⑨ 결과 보고 : 최종 결과 보고(개선 효과, 지속 필요성 어필)
 

[제품 사용 리뷰]

제품은 설치형과 클라우드형 두가지가 있으며 클라우드형으로 진행 하였습니다.
제품의 장점이라고 할 수 있는데 메뉴 전반적으로 직관적이고 단순하게 구성 되어 있어 이틀 정도면 모든 메뉴의 파악이 가능했습니다.
브라우저는 크롬에 최적화 되어있습니다.

 

<인트로 화면>

인트로 페이지입니다. [시작하기]를 클릭하면 로그인 화면으로 이동 됩니다.

 

<로그인 화면>

언어는 한국어와 일본어를 제공합니다.
데모 신청하여 받은 비밀번호을 입력하여 로그인 하였습니다.

 

<초기화면>

모의 훈련을 하기 위해서는 몇가지 준비가 필요합니다.

1) SMTP
 - 훈련에 사용할 메일 서버를 설정합니다.

2) 대상관리
  - 메일을 발송할 대상 정보를 입력하는 메뉴입니다. 

 ① 태그를 생성합니다. 태그는 대상자의 그룹 정도로 이해를 하시면 됩니다. 훈련시에 대상을 선정할때 지정하는 그룹명입니다.
 ② 대상자를 등록 합니다. 1명씩 개별 등록할때는 <대상자 등록>에서 등록하고, 다수를 일괄 등록할때는 엑셀 템플릿을 다운받아 대상자 명단을 입력하여 업로드하면 일괄 등록 됩니다.
 ③ 태그에 맵핑할 대상자를 선택합니다.
 ④ 선택된 대상자를 ①에서 만든 태그명으로 맵핑합니다. *복수의 태그명으로 지정 할수 있습니다.


3) 훈련 템플릿
 ① [수신 테스트]를 통해 템플릿들이 정상적으로 동작(수신)되는지 확인 할수 있습니다.(내정보의 메일로 모든 템플릿 메일 발송됨)
    스팸필터에서 걸린다거나 설정이 잘못되어 수신이 되지 않는 경우를 사전에 확인 할수 있습니다.
    수신된 메일에서 링크를 클릭하여 솔루션에서 이를 인지 하는지 확인 할수 있습니다.

 ② 기본으로는 [시스템] 템플릿만 제공합니다. 이것을 복사하여 [사용자]템플릿을 생성 및 편집(수정)하여 사용합니다.
     [수정]에서는 메일의 거의 모든 내용을 수정할수 있습니다.
     수정후에 메일이 정상적으로 수신되는지. 수신된 메일의 링크를 클릭했을때 시스템에서 이것을 제대로 인지하는지 확인이 필요합니다.
    * 실제과 가까운 스팸메일을 완성하기 위해서는 많은 테스트 시간을 필요로 합니다.



* 템플릿 수정 화면 : 거의 모든 항목을 수정 할수 있으며 항목들을 변경하면서 테스트를 하면 어떤 항목들이 어떻게 적용되는지 알수 있습니다.

 

 < 훈련 실시>

 사전 준비가 완료 되면 드디어 훈련을 실시 할 수 있습니다.

 ① 환경 검사 : 한개라도 이상이 있으면 NG로 표시되고 다음으로 진행되지 않습니다.



② 훈련명과 기간을 입력합니다. 
    부서에 따라 태그에 따라 다른 내용의 훈련을 계획 할 경우 훈련명에 이를 인지 할 수 있는 구분자를 명시하는것이 좋습니다.
    기간은 휴일을 포함해도 일주일이면 충분합니다.



③ 대상자를 지정합니다.
   복수의 태그를 선택 할 수 있으며, 개별 메일 주소를 지정 할 수도 있습니다.



④ 훈련 양식(템플릿)을 선택하고 [실행]하면 메일이 발송 됩니다.

 

<훈련 결과>

① 메일을 수신하면 아래와 같이 그림파일이 표시되지 않은 채 보여 집니다.



② 그림파일을 표시하도록 하면 내용이 표시 되며 첨부파일을 다운 받을 수 있는 링크도 표시 됩니다.



③ 링크를 다운로드 하여 실행하면 사용할 수 없다는 에러가 발생합니다.

  - 첨부된 파일을 바이러스나 악성코드로 인지하는 백신이 설치되어 있는 경우 압축을 풀자마자 파일이 삭제 되는데
    제조사에 문의 하셔서 조치를 받을 수 있습니다.

 

④ 결과 화면

  - 결과 화면에서는 훈련한 내용의 Summay 결과를 한눈에 확인 할수 있습니다.
  - 훈련 결과의 상세 내용을 엑셀 형식으로 다운받을수 있습니다.
  - 발송된 메일을 열람(그림 활성화), 첨부파일 다운로드, 첨부파일 실행한 정보를 확인 할수 있으며 태그를 선택하면 우측화면에서 감염대상에 대한 정보도 확인 가능합니다.

 

[제품 사용 소감]

<편의성>

 - 상당히 직관적입니다. 담당자가 하루 이틀 정도만 만지다 보면 전부 마스터 할 수 있을 정도입니다.
   실제로 저는 메뉴얼이 없이도 만 이틀 정도만에 모든 메뉴를 파악하고 훈련할 수 있을 정도가 되었습니다.

<실효성>

 - 제일 많이 고민한 부분이 사용자에게 실제 스팸메일과 같은 접근이 가능할까 하는 부분이었습니다. 자칫 사용자를 속이는(?)것이 주 목적이 될 수도 있는데 기본으로 제공하는 템플릿들이 실제 스팸메일로 사용된 양식이므로 이를 활용하면 그렇게 깊게 고민하지 않아도 됩니다.
   또한 사내에 수신된 스팸 메일을 양식에 적용 할 수도 있으므로 실제와 같은 훈련이 가능합니다.

<기술 지원>

- 리뷰 목적으로 사용하는데도 불구하고 기술 지원은 아주 신속하게 이루어 졌습니다.
  궁금한것에 대한 회신은 물론이고 불편한 부분에 대해서도 즉각적으로 시스템에 적용이 되어 아주 만족 하였습니다.

<효과>

 ① 첫번째 효과는 직원들의 메일에 대한 실질적인 보안의식을 확인 할 수 있다는 점입니다.

     "우리회사 직원중 몇명의 사람들이 스팸메일에 취약하다" 는 것은 물론이고 세세하게는 "어떤 종류의 메일을 더 많이 열어 본다" "어떤 부서는 어떤 메일에 더 취약하다"라는 식의 파악도 가능하게 됩니다.

   이것은 향후 시스템 도입이나 보안 전략을 세우는데 있어서 큰 기준이 될 수 있을것입니다.


② 두번째로 실질적인 메일에 대한 보안 의식의 개선효과를 가시적으로 확인 할 수 있다는것입니다.

   실제 이번 리뷰를 진행 하면서 단시간 안에 아래와 같은 효과를 볼 수 있었으며, 반복적으로 실시한다면 직원들의 보안 의식을 크게 향상 시킬 수 있을것이라 생각됩니다.


③ 마지막으로 이번 모의 훈련을 진행하면서 사내에서는 스팸 메일 모의 훈련이라는 것이 ‘작은 이슈”가 되었습니다.

   높은 임원분이 감염대상이 되었다거나, 교통범칙금 이라던지 퇴직금 정산 같은 메일 내용들이 게시판에 오고 가면서 자연스럽게 보안에 대한 이야기가 이슈화 된 것입니다. 안전이나 보안 같은 내용들은 회사에서 강조를 하면서도 이슈화 하기 쉽지 않은 부분인데 모의 훈련을 통해 이 정도의 공론화하고 자발적으로 한번 더 생각하게 만들게 하는 계기가 되었다는 것은 아주 큰 성과라고 생각합니다.

- 리뷰는 머드픽스의 지원으로 진행되었습니다 -

Mudfix(머드픽스) 제품 보기