글로벌 컨택센터 솔루션 기업 제네시스 해킹…내부 고객관리시스템 정보 유출 확인

핵심 요약

글로벌 컨택센터 솔루션 기업 제네시스의 내부 고객관계관리시스템(CRM) 및 교육관리시스템(LMS)이 사이버 공격으로 침해되어 고객 정보가 유출되었습니다. 공격자는 비인가 접근을 통해 내부 시스템에 침투하여 저장된 정보를 열람하고 외부로 반출했으며, 이는 MITRE ATT&CK의 T1213.004 (Customer Relationship Management Software)와 같이 CRM 시스템을 악용하여 가치 있는 정보를 탈취하는 전술에 해당합니다. IT 감사인은 유사한 고객 및 교육 관리 시스템에 대한 접근 통제, 데이터 보호, 이상 행위 모니터링 체계의 적절성을 점검하여 잠재적 정보 유출 리스크를 사전에 식별하고 완화해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치고객관계관리시스템(CRM) 및 교육관리시스템(LMS) 등 민감 정보를 처리하는 핵심 업무 시스템에 대해 다중 인증(MFA)을 포함한 강력한 접근 통제 메커니즘을 적용하고, 최소 권한 원칙에 기반한 사용자 권한을 재검토 및 강화할 것을 권고함.
• ✔기술적 조치CRM 및 LMS 시스템에 저장된 개인정보 및 민감 정보에 대해 암호화, 비식별화 등 데이터 보호 기술을 적용하고, 데이터베이스 접근 제어 및 보안 설정을 주기적으로 점검 및 강화할 것을 권고함.
• ✔기술적 조치CRM 및 LMS 시스템에 대한 이상 행위 탐지 및 모니터링 체계를 고도화하고, SIEM(보안 정보 및 이벤트 관리) 솔루션과의 연동을 통해 비인가 접근 시도 및 데이터 반출 행위를 실시간으로 탐지할 수 있도록 탐지 규칙을 최적화할 것을 권고함.
• ✔관리적 조치침해 사고 발생 시 신속한 탐지, 분석, 대응 및 복구 절차를 포함하는 침해 사고 대응 계획(CSIRT)을 수립하고, 정기적인 모의 훈련을 통해 대응 역량을 강화할 것을 권고함.
• ✔관리적 조치제네시스와 같은 외부 솔루션 공급업체에 대한 공급망 보안 관리 정책을 수립하고, 계약서에 보안 요구사항을 명확히 반영하며, 주기적인 보안 평가를 통해 공급업체의 보안 수준을 검증 및 관리할 것을 권고함.
• ✔관리적 조치정보보호 관리체계(ISMS-P 등)의 효과성을 지속적으로 검토하고, 본 사고와 같은 외부 침해 사례를 분석하여 내부 통제 및 보안 정책에 반영하는 등 관리체계 개선 활동을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기