사고 대응 첫 3단계, 왜 순서가 정해져 있나요?

세 단계가 순서대로 일어나야 합니다

답부터 적으면 CISA 의 랜섬웨어 지침은 첫 세 단계가 순서대로 수행되어야 한다고 적습니다. 탐지와 분석이 첫째이고 여기서 시스템을 즉시 격리합니다. 둘째가 신고와 통보로 이해관계자와 수사기관을 참여시킵니다. 셋째가 격리와 제거로 변종을 조사하고 악성코드를 제거하며 시스템을 재구축합니다. 복구와 사후 검토가 그다음입니다.

격리가 가장 먼저 오는 이유

첫 단계에 격리가 들어 있는 것이 핵심입니다. 같은 지침은 많은 랜섬웨어 변종이 접근 가능한 백업을 찾아 삭제하거나 암호화하려 한다고 적습니다. 즉 시간이 지날수록 복구 수단 자체가 줄어듭니다. 원인을 파악한 뒤 격리하자는 순서는 파악하는 동안 피해가 계속 커지는 순서입니다.

신고가 제거보다 앞에 오는 이유

흔히 기술적 제거를 먼저 하고 보고를 나중에 하려 합니다. 지침의 순서는 반대입니다. 제거 과정에서 시스템을 재구축하면 조사에 필요한 자료가 사라질 수 있고, 신고에 적어야 하는 발생 일시와 원인, 피해내용을 확인할 근거도 함께 사라집니다. 그리고 신고에는 기한이 걸려 있습니다.

기한이 순서를 강제합니다

국내 기준으로 보면 순서가 더 분명해집니다. 정보통신서비스 제공자의 침해사고 최초신고는 알게 된 때부터 24시간이고, 개인정보 유출 통지·신고는 알게 된 때부터 72시간입니다. 두 기한 모두 사고를 알게 된 시점부터 흐르므로, 제거 작업에 시간을 쓰는 동안에도 시계는 돌아갑니다. 신고를 뒤로 미루면 기술 작업이 성공해도 기한을 지나칠 수 있습니다.

사례: 순서를 바꿨을 때 잃은 것

상황은 파일 서버 1대가 암호화된 사고입니다. 입력값은 확인일 2026년 10월 16일 기준 공개 안내, 인지 목요일 20시, 정보통신서비스 제공자, 개인정보 포함, 백업 장치가 서버에 연결된 상태입니다. 계산은 두 순서로 각각 해 봅니다. 지침 순서를 따르면 목요일 20시에 격리해 백업 장치 연결을 끊고, 금요일 20시까지 침해사고 최초신고, 일요일 20시까지 유출 통지·신고를 배치한 뒤 제거와 재구축에 들어갑니다. 반대로 제거를 먼저 하면 금요일 낮까지 복구 시도에 시간을 쓰고 그 사이 연결된 백업이 암호화될 수 있으며, 24시간 기한인 금요일 20시가 임박한 상태에서 신고 자료를 모으게 됩니다. 최종 결과는 전자가 기한 2개 확보와 백업 보존, 후자가 기한 위험과 백업 손실 가능성입니다. 결과를 바꾸는 예외는 격리가 물리적으로 불가능한 환경으로, 그때는 담당자와 전원 차단 필요성을 함께 판단합니다. 다음 행동은 사고 대응 문서의 1번 항목을 격리로 바꿔 적는 것입니다.

분석과 격리를 같은 단계에 둔다는 뜻

첫 단계가 탐지와 분석인데 그 안에 격리가 들어 있습니다. 분석이 끝난 뒤 격리하라는 것이 아니라, 분석을 시작하면서 격리도 함께 한다는 구성입니다. 그래서 실무에서는 이상을 발견한 사람이 분석 역량이 없어도 격리는 할 수 있게 절차를 만들어 두는 편이 낫습니다. 분석을 기다리면 첫 단계가 늦어집니다.

순서를 지키기 위해 미리 정해 둘 것

사고 당일에 순서를 외우기는 어렵습니다. 격리 방법, 신고 담당자와 창구, 기한 계산 기준을 평시에 한 장으로 적어 두면 순서가 자동으로 지켜집니다. 같은 지침이 비활성·미승인 계정을 분기별로 검토하라고 적는 것처럼, 이 문서도 분기 점검에서 함께 갱신하면 내용이 낡지 않습니다.

단계별로 무엇을 지키고 무엇을 잃는가