제조업 침해사고 대응(NIST SP 800-61 Rev.3·SANS PICERL) 실무 완벽 가이드 — 우왕좌왕 첫 24시간에서 학습된 회복까지 5단계 로드맵

1. 왜 IR(Incident Response) 체계가 필요한가 — 첫 24시간이 결정한다

IBM 2024 보고서: 침해사고 평균 비용 한국 38억원, MTTI(평균 침해 인지) 277일·MTTC(봉쇄) 70일. 200일 이상 인지된 침해는 평균 49% 더 비싸진다. 반대로 IR 플랜·자동화·정기 훈련 보유 조직은 평균 비용 40% 절감.

현실의 사고 흐름: 0시(침해 발생) → 277일(탐지) → 우왕좌왕(누가 책임?·뭘 끄지?·고객 통보?·법무 호출?) → 70일(봉쇄) → 6개월(완전 복구) → 1년 후(반성 회고). 잘 준비된 조직: 0시 → 4시간(탐지) → 24시간(봉쇄) → 7일(복구) → 30일(보고서).

법적 통보 의무(2025년 기준):

한국 ISMS-P/개인정보보호법: 개인정보 유출 시 24시간 내 KISA/개인정보보호위 신고, 1,000명 이상 시 5일 내 정보주체 통지
EU NIS2: 중대 사고 24시간 초기 통보 + 72시간 상세 + 1개월 최종
EU GDPR: 데이터 유출 72시간 내 감독당국 통보
EU CRA: 24시간 ENISA 통보 + 14일 후속
EU DORA: 금융기관 4시간 초기 통보
미국 SEC: 상장사 중대 사이버사건 4영업일 내 8-K 신고(2023.12 발효)
미국 CIRCIA(2025 시행 예정): 핵심 인프라 72시간 통보
PCI DSS: 카드사 즉시·결제 프로세서 통보

오해 1 — “IR은 SOC 일이다.” 법무·홍보·CEO·인사·고객지원 모두 IR 팀의 일원. 오해 2 — “사고 발생하면 그때 결정하면 된다.” 첫 1시간 결정 품질이 전체 비용을 좌우, 사전 시나리오·플레이북 필수. 오해 3 — “공격자를 추적해 반격하면 된다.” 한국 정보통신망법 50조 위반·역공격은 형사처벌·국제법 위반.

2. NIST SP 800-61 Rev.3(2025.4 발표) 핵심 변경

NIST SP 800-61(Computer Security Incident Handling Guide) — 2004년 초판, Rev.3(2025.4) 정식 발표.

Rev.2(2012) vs Rev.3(2025):

항목	Rev.2	Rev.3
발표	2012.8	2025.4
핵심 통합	독립 가이드	CSF 2.0 통합 — 모든 활동이 6 Function 매핑
자동화	권장	SOAR 의무 권고
위협 사냥	없음	Threat Hunting 명시
공급망 IR	부분	공급망 침해 시나리오 강화
클라우드 IR	일반	CSP 책임 공유 모델 명시
통보	일반	SEC 8-K·CIRCIA·NIS2·CRA 등 매핑

Rev.3 IR Lifecycle:

Preparation — 정책·팀·도구·훈련
Detection and Analysis — 탐지·분석·우선순위
Containment, Eradication, and Recovery — 봉쇄·제거·복구
Post-Incident Activity — 교훈·보고·개선

= 4 Phase. SANS PICERL은 6 단계로 더 세분화: Preparation → Identification → Containment → Eradication → Recovery → Lessons Learned.

3. CSIRT/CIRT/SOC 구성 — 역할과 책임

팀 분류:

SOC(Security Operations Center): 24/7 모니터링·1차 대응
CSIRT/CIRT(Computer Security/Cyber Incident Response Team): 사고 발생 시 대응 전담
CTI(Cyber Threat Intelligence): 위협 인텔
Threat Hunting: 능동 탐지
DFIR(Digital Forensics & IR): 포렌식

중견 제조사 권장 구성:

SOC Tier 1: 2~4명, 알람 트리아지(외주 MSSP 가능)
SOC Tier 2: 2~3명, 심층 분석
SOC Tier 3 / CSIRT: 2~3명, 사고 책임자·DFIR
CTI: 1~2명 (또는 외부 구독)
CISO: 거버넌스·외부 통보

IR 위원회(사고 발생 시 즉시 소집):

역할	책임
Incident Commander(IC)	전체 지휘, 단일 의사결정자
CISO/보안	기술·전략
Legal	통보 의무·증거 보전·계약 검토
Communications/PR	내부·외부 메시지·언론 대응
HR	직원 인터뷰·징계
Operations/IT	시스템 복구
Business Owner	영향받는 사업부
CEO/Board	중대 사고 시
외부 IR 리테이너	전문 DFIR·법무 협조

RACI 매트릭스: 각 활동에 Responsible·Accountable·Consulted·Informed 명확히.

4. Stage 1 — Preparation (지속 운영)

IR Plan(전략 문서):

정책·목표·범위
정의(사고·이벤트·위반)
팀 구성·연락처(24/7)
사고 분류(Critical/High/Medium/Low)
통보 의무 매트릭스
외부 협력사(IR 리테이너·법무·PR)

Playbook(전술 문서, 시나리오별):

랜섬웨어 대응 플레이북
피싱·BEC(Business Email Compromise) 플레이북
내부자 위협 플레이북
공급망 침해(SolarWinds 형) 플레이북
DDoS 플레이북
데이터 유출 플레이북
OT/ICS 침해 플레이북
클라우드 IAM 침해 플레이북
AI 모델 침해(2024~) 플레이북

각 Playbook 구조: 트리거·초기 대응 30분·1시간·4시간·24시간 체크리스트·결정 트리·통보 양식·복구 절차·교훈 양식.

도구·환경:

EDR/XDR: CrowdStrike·SentinelOne·Microsoft Defender
SIEM: Splunk·Sentinel·QRadar·Elastic
SOAR: Cortex XSOAR·Phantom·Tines·Shuffle(오픈소스)
DFIR 도구:
- 메모리: Volatility·Rekall
- 디스크: Autopsy·FTK·X-Ways
- 네트워크: Wireshark·Zeek·Suricata
- 로그: Sigma·Splunk SPL·KQL
CTI: Mandiant·Recorded Future·CrowdStrike·MISP(오픈소스)·Anomali
Out-of-Band 통신: Signal·Slack 별도 인스턴스 — 침해된 이메일 X
War Room: 물리·가상 회의실, 화이트보드·타임라인

훈련:

Tabletop Exercise(워크숍): 분기 1회
Red Team Exercise: 연 1~2회
Purple Team Exercise: 분기
Crisis Communication Drill: CEO·CISO·PR 합동, 반기

5. Stage 2 — Detection and Analysis (지속 운영)

탐지 소스:

SIEM 알람: 정의된 룰·Sigma·UEBA
EDR 탐지: 행동 분석·MITRE ATT&CK 매핑
위협 인텔 IOC: IP·도메인·해시 차단·알람
취약점 스캐너: 이상 패턴
사용자 제보: 의심 이메일·이상 동작
외부 통보: KISA·CISA·벤더 알림
다크웹 모니터링: 자사 자격증명 거래

알람 트리아지(Tier 1):

True Positive / False Positive 판단
우선순위 부여 (SLA: P1 15분·P2 1시간·P3 4시간)
자동화: SOAR 플레이북 — 자동 보강(WHOIS·VT·이력 조회)

분석(Tier 2/3):

MITRE ATT&CK 매핑 — Tactic·Technique 식별
Pyramid of Pain(David Bianco): IOC 분석 → Hash → IP → Domain → Network Artifacts → Host Artifacts → Tools → TTPs(가장 효과적)
Diamond Model(Adversary·Capability·Infrastructure·Victim): 공격자 프로파일
Cyber Kill Chain: Recon → Weaponize → Deliver → Exploit → Install → C2 → Action

Threat Hunting(능동 탐지):

Hypothesis-driven: “공격자가 LSASS 메모리 덤프를 시도했을 것이다”
ATT&CK 기반 사냥
TaHiTI·MaGMa 방법론
Sigma 룰 라이브러리

우선순위(NIST 권장):

Functional Impact: 운영 영향(None/Low/Medium/High/Critical)
Information Impact: 정보 영향(None/Privacy/Proprietary/Integrity)
Recoverability: 복구 가능성(Regular/Supplemented/Extended/Not Recoverable)

6. Stage 3 — Containment, Eradication, Recovery (사고 발생 시)

Short-term Containment (즉시·1~4시간):

침해 시스템 네트워크 격리(끄지 X — 메모리 증거 보전)
침해 계정 잠금·비밀번호 강제 변경
C2 도메인·IP 차단
영향 범위 식별(랜섬웨어는 백업 무결성 우선 확인)
증거 보전: 메모리 덤프·디스크 이미지(write-blocker)·로그 사본
Out-of-Band 통신 전환

Long-term Containment(1~7일):

임시 통제 강화(추가 EDR·WAF 룰)
핵심 자산 격리 운영
보안 회의 4시간 주기 운영

Eradication(제거, 1~14일):

멀웨어·웹쉘 제거
침해 계정 영구 정리
공격 벡터 폐쇄(취약점 패치·설정 강화)
백업·이미지 검사 — 재감염 차단
시스템 재구축(필요 시 처음부터)

Recovery(복구, 1~30일):

단계별 복귀(테스트 → Staging → Prod)
추가 모니터링(30~90일 강화 EDR·SIEM 룰)
사용자 복귀 통보
정상 운영 선언 기준 정의·체크리스트

Forensics(병행):

휘발성 데이터(메모리·네트워크) 즉시
디스크 이미징(dd·FTK Imager)
Chain of Custody 문서화
외부 DFIR 회사(Mandiant·CrowdStrike·MAS) 협조 — 법적 증거 능력

통보 의무 동시 실행:

한국 24h·EU 24/72h·SEC 4영업일 — 변호사 검토·승인 후 발송
양식 표준화·사전 작성 — 사고 발생 시 빈칸 채우기

7. Stage 4 — Post-Incident Activity (Lessons Learned)

사고 종료 후 1~4주 내:

Post-Mortem 회의 (비난 없는·Blameless):

참석: IC·CISO·Legal·PR·Ops·Business
타임라인 재구성 — 분 단위
“어떻게 침입?·왜 늦게 탐지?·봉쇄가 신속했나?·복구 효율?”
Root Cause Analysis(5 Why·Fishbone)

리포트 산출:

Executive Summary(C-level)
Technical Detail(보안팀)
Timeline·IOC·TTPs(공유 가능 형태로)
영향·비용·복구 시간
개선 권고(우선순위)

개선 사항 백로그:

통제 추가(예: MFA·EDR 확대)
정책 업데이트
플레이북 개선
훈련 계획
도구 도입
SLA·KPI 조정

메트릭 추적:

MTTD(Mean Time to Detect)
MTTI(Mean Time to Investigate)
MTTC(Mean Time to Contain)
MTTR(Mean Time to Recover)
사고 빈도·범주별
False Positive 비율

위협 인텔 공유:

익명화 IOC·TTPs를 ISAC·KISA·CISA·MISP 커뮤니티 공유
산업 ISAC: K-FSI ISAC·K-ICT ISAC·자동차 Auto-ISAC

8. Stage 5 — 고도화·통합 (지속)

SOAR 자동화:

L1 알람 자동 트리아지(False Positive 70% 자동 폐기)
자동 IOC 차단(방화벽·EDR·DNS)
사고 자동 티켓·통보
분기별 자동화 KPI

Threat Hunting 정착:

주간 헌팅(가설 1~3개)
ATT&CK 적용범위(Coverage) 추적
헌팅 결과 → 신규 탐지 룰

Purple Team 정착:

Red(공격) + Blue(방어) 합동, 분기 1회
실시간 탐지·대응 격차 측정
Atomic Red Team·CALDERA·Caldera 활용

외부 IR 리테이너:

연 계약 — Mandiant·CrowdStrike·Verizon VTRAC·Korea(LG CNS·SK쉴더스·이글루)
비용: 5천~3억/연(기본 시간 + 실사용 추가)
평균 응답 SLA: 4시간

사이버보험:

보장: IR·법무·통보·복구·배상·랜섬·생계 보존
평균 매년 보험료: 매출 0.1~0.3%
보험사 사전 승인 IR 리테이너 활용 시 효과적

컴플라이언스 통합:

ISMS-P 사후심사 IR 운영 증빙
NIST CSF 2.0 RS·RC Function 매핑
EU NIS2·CRA·DORA 통보 의무

9. 비용·ROI

항목	비용 (연간)
SOC 인력(5~10명)	10~30억
EDR·SIEM·SOAR·CTI	5~50억
MSSP 외주(중소 권장)	3~30억
IR 리테이너	5천~3억
훈련(Tabletop·Red Team·Purple)	3천~5억
사이버보험	1~10억
합계 (중견 제조사)	20~130억

ROI:

IR Plan + 자동화 보유 시 침해 비용 40% 절감(IBM 2024)
MTTI 200일+ → 30일 이하: 비용 49% 감소
통보 의무 위반 과징금 회피(GDPR 매출 4%, K-개인정보 매출 3%)
사이버보험 — IR 체계 보유 시 25~40% 할인
평판 손실·고객 이탈 방지

10. 자가 점검

Preparation:

IR Plan 문서·CEO 승인
Playbook 8~10종(랜섬·피싱·BEC·내부자·공급망 등)
IR 위원회 RACI·24/7 연락처
Out-of-Band 통신 채널
War Room(물리·가상)
EDR·SIEM·SOAR·CTI 도구
DFIR 도구 자체 또는 외부

Detection·Analysis:

알람 SLA 정의·추적
MITRE ATT&CK 적용범위 매핑
Threat Hunting 주간 운영
CTI 구독·IOC 자동 차단

Containment·Eradication·Recovery:

봉쇄 절차 시나리오별 명확
증거 보전(Chain of Custody)
통보 양식 사전 준비(한국·EU·미국)
복구 단계별 체크리스트

Post-Incident:

Post-Mortem Blameless 운영
MTTD·MTTC·MTTR KPI
개선 백로그·이행 추적
위협 인텔 공유

훈련·고도화:

11. 마무리 — 첫 1시간이 전체를 결정한다

침해사고 대응은 ① Preparation(평시 준비), ② Detection & Analysis(탐지·분석), ③ Containment·Eradication·Recovery(봉쇄·제거·복구), ④ Post-Incident(교훈), ⑤ 고도화·자동화 — NIST 4 Phase + SANS PICERL로 운영체에 결합한다. 도구만으로 안 된다, 사람·프로세스·훈련이 본질이다. 사고는 반드시 온다, 준비된 조직은 1주일에 복귀하고 안 된 조직은 1년이 걸린다.