공격면 축소·기기 교체·빠른 복구, 3R 은 무엇인가요?

세 항목은 시점이 다릅니다

답부터 적으면 CISA 의 Secure Our World 는 중요 기반 시설을 위한 접근으로 세 가지를 적습니다. 공격면 축소, 지원되지 않는 기기의 교체, 빠른 복구 역량입니다. 앞의 두 항목은 사고가 나기 전에 작동하고 세 번째는 사고가 난 뒤에 작동합니다. 그래서 세 항목은 대체 관계가 아니라 시점 분담입니다.

공격면 축소는 경로를 세는 일입니다

공격면은 외부에서 닿을 수 있는 경로의 총합입니다. 줄이는 방법은 같은 기관의 랜섬웨어 지침에 구체적으로 적혀 있습니다. 원격 데스크톱 같은 서비스를 웹에 노출하지 말 것, SMBv1 비활성화와 SMBv3 업그레이드, 경계 방화벽에서 TCP 445 인·아웃바운드 차단, 메일로 전달되는 오피스 파일의 매크로 비활성화입니다. 이 항목들이 경로를 하나씩 지웁니다.

기기 교체는 패치가 끊긴 자리를 메웁니다

두 번째 항목은 지원되지 않는 기기의 교체입니다. 지원이 끝나면 새로 공개되는 취약점에 대한 수정이 오지 않습니다. Windows 10 의 경우 지원이 2025년 10월 14일에 종료됐고 확인일 2026년 10월 19일 기준으로 370일이 지났습니다. 조건을 충족하면 확장 보안 업데이트로 2027년 10월 12일까지 유예할 수 있고 확인일 기준 358일이 남았습니다.

빠른 복구는 사고 후에만 측정됩니다

세 번째 항목은 성격이 다릅니다. 앞의 두 항목은 평시에 상태를 확인할 수 있지만, 복구 역량은 실제로 복원해 보지 않으면 알 수 없습니다. 랜섬웨어 지침은 중요 데이터의 오프라인 암호화 백업을 유지하고 가용성과 무결성을 정기적으로 시험하라고 적습니다. 정기 시험이 평시에 이 역량을 측정하는 유일한 방법입니다.

세 항목이 서로를 보완하는 방식

공격면을 줄이면 사고 확률이 내려가지만 0이 되지는 않습니다. 기기를 교체하면 패치가 다시 오지만 새 취약점은 계속 나옵니다. 그래서 복구 역량이 마지막 안전망으로 남습니다. 반대로 복구만 준비하고 앞의 두 항목을 비워 두면 복구를 자주 하게 됩니다. 세 항목의 비중을 하나로 몰지 않는 것이 요지입니다.

사례: 세 항목의 현재 상태를 점수가 아니라 건수로 적기

상황은 소규모 조직입니다. 입력값은 확인일 2026년 10월 19일, 외부 노출 경로 3개(원격 접속 1·열린 445 1·메일 첨부 매크로 허용 1), 지원 종료 기기 7대 중 확장 보안 업데이트 대상 5대와 비대상 2대, 백업 경로 3개 중 오프라인 1개이고 복원 시험 기록은 없음입니다. 계산은 항목별 미충족 건수를 세는 것입니다. 공격면 축소는 경로 3개를 지우는 작업 3건입니다. 기기 교체는 비대상 2대 즉시 처리와 대상 5대 유예로 작업 2건과 유예 5대입니다. 빠른 복구는 오프라인 백업 1개에 복원 시험을 더하는 작업 1건과 나머지 2개 경로 정리입니다. 최종 결과는 즉시 작업 6건, 유예 5대, 정리 2건입니다. 결과를 바꾸는 예외는 원격 접속을 업무상 유지해야 하는 경우로, 그때는 경로를 지우는 대신 보완 통제 네 항목을 적용해 작업의 성격이 바뀝니다. 다음 행동은 세 항목을 각각 건수로 적은 표를 만드는 것입니다.

점수로 만들지 않은 이유

세 항목을 점수나 등급으로 환산하면 비교가 쉬워 보이지만 근거가 없습니다. 공개된 가중치나 환산 기준을 찾지 못했기 때문입니다. 그래서 이 글은 각 항목을 건수로만 적었습니다. 건수는 줄어드는 것이 눈에 보이고 다음 분기와 비교할 수 있어, 임의의 점수보다 실제로 쓸 수 있는 값입니다.

세 항목이 작동하는 시점