사이버 공격으로부터 K-12 학군을 보호하는 방법
유치원부터 고등학교까지를 대상으로 하는 사이버 공격이 증가하고 있으며, 규모나 위치에 관계없이 모든 교육구는 대응 계획을 수립해야 합니다. 이 가이드에서는 가장 흔한 위협과 학생, 교직원, 데이터를 보호하기 위해 지금 바로 실행할 수 있는 전략을 다룹니다.
소개
수년간 사이버 공격은 유치원부터 고등학교까지 학교들의 골칫거리였으며, 연구에 따르면 그 빈도가 증가하고 있습니다.
교육구는 학교 네트워크와 데이터를 보호하기 위해 더 많은 노력을 기울여야 합니다.
유치원부터 고등학교까지를 대상으로 한 사이버 공격이 증가하는 데에는 여러 가지 이유가 있습니다.
- 많은 교육청 IT 부서가 과중한 업무에 시달리고 예산은 부족한 상황입니다.
- BYOD(Bring Your Own Device)가 증가하고 있습니다(캠퍼스 내외 모두).
- 교육구는 학생과 교직원 모두에 대한 방대한 양의 개인 데이터를 보유하고 있습니다.
- 교육구에서는 새로운 소프트웨어를 자주 사용합니다.
간단히 말해, 교육청은 사이버 범죄자들에게 손쉬운 표적으로 여겨집니다.
사이버 범죄자들이 데이터를 침해하면 학생들뿐만 아니라 교육청 네트워크에 개인 정보가 저장된 교사, 직원 및 관리자까지 위험에 처하게 됩니다.
사이버 공격은 또한 비상시 직원에게 연락하는 것을 방해하거나, 직원 또는 기타 서비스 제공업체에 급여를 지급하는 것을 막거나, 학생들의 학습 자료 또는 교육청의 데이터 및 재정 기록을 검색하는 것을 방해할 수 있습니다.
따라서 사이버 공격으로부터 교육구를 보호하는 책임이 IT 부서에만 있는 것은 아닙니다. 교육구의 사이버 보안을 확보하는 데 필요한 시간과 자원을 확보하기 위해 IT 부서 동료들과 긴밀히 협력하는 것은 교육구 지도자들의 책임입니다. 이 가이드에서는 규모나 위치에 관계없이 모든 교육구가 사이버 공격 위험을 완화하는 데 도움이 될 수 있는 전략을 다룹니다.
01 | 일반적인 사이버 공격으로부터 지역을 보호하기 위해 활용할 수 있는 전략
이 섹션에서는 사이버 범죄자들이 교육구를 표적으로 삼는 가장 일반적인 방법과 이러한 위험을 완화하기 위해 할 수 있는 일에 대해 살펴보겠습니다.
인간적 요소
사이버 보안 침해는 대부분 인적 오류로 인해 발생합니다. 부주의한 행동이 원인일 수도 있지만, 사이버 보안 프로세스에 대한 이해 부족이 더 큰 원인일 가능성이 높습니다.
- 라이트스피드 퀵팁: ""사이버 보안에서 가장 취약한 고리는 여전히 우리 인간입니다. 사람들은 일반적으로 자신이 사이버 보안 전문가가 되어야 한다고 생각하는 경향이 있습니다. 하지만 저는 사람들이 사이버 보안 전문가가 될 것이 아니라 사이버 보안에 대한 인식을 갖는 것이 중요하다는 점을 이해하도록 돕는 것이 중요하다고 생각합니다. 이는 누구나 할 수 있는 일입니다.""
존 젠터
보안 담당자, 라이트스피드 시스템즈
여러분의 학군은 무엇을 할 수 있을까요?
정기적인 사이버 보안 교육은 인적 오류를 방지하는 최고의 방법입니다. 학생과 교직원에게 보안 침해의 위험성, 일반적인 위협, 그리고 이를 방지하는 방법에 대해 교육하십시오.
- 교육청 직원들을 대상으로 매년 의무적인 사이버 보안 교육을 실시하십시오. 교육청의 필요에 따라 더 자주 실시할 수도 있습니다.
- 직무 교육일에 사이버 보안 교육을 포함시키십시오.
- 학생과 교직원에게 일반적인 사이버 위협과 예방 방법에 대한 주간 또는 월간 사이버 보안 뉴스레터를 보내세요.
다음으로, 다음과 같은 방법으로 비밀번호 보호를 교육구 문화의 일부로 만드십시오.
- 소속 교육구와 관련된 모든 개인 정보는 안전하게 보관하고 비밀번호로 보호해야 합니다.
- 직원들에게 비밀번호 보호의 중요성을 다시 한번 강조하십시오 (컴퓨터 모니터에 포스트잇을 붙이지 마십시오).
- 비밀번호 길이가 중요하다는 것을 사람들에게 알리세요.
- 비밀번호 대신 암호문을 사용하는 것을 권장하세요.
- 모든 로그인에 다단계 인증을 사용하십시오.
또한, 모든 중요한 데이터에 대한 접근을 제한하고 교육에 불필요한 웹사이트는 차단 목록에 추가하는 것이 항상 더 좋습니다. 이 문제는 해당 지역의 웹 필터가 해결하는 데 도움이 될 수 있습니다.
다음과 같은 소프트웨어도 고려해 볼 수 있습니다. 데이터 유출을 방지하기 위해 비밀번호를 재설정하고 접근을 제한합니다. 또는 학생 참여도와 개인정보 보호를 모니터링하여 학생 데이터 개인정보 보호 취약점을 완화하는 데 도움을 줍니다.
02 | 피싱
과거에는 피싱 사기를 쉽게 알아챌 수 있었지만, 이제는 더욱 영리해진 인터넷 사용자들을 노리기 위해 사기 수법이 계속해서 진화하고 있습니다.
여러분의 학군은 무엇을 할 수 있을까요?
피싱 사기를 피하는 가장 효과적인 방법 중 하나는 직원과 교사에게 사기성 통신의 징후를 인식할 수 있도록 적절한 교육을 제공하는 것입니다.
그들에게 다음과 같은 점들을 주의해야 한다고 알려주세요:
- 라이트스피드 퀵팁: 피싱 테스트를 보내 사람들이 사기를 식별하는 방법을 배우도록 도와주세요.
""피싱 테스트는 개선을 위한 학습 기회로 여겨야 합니다. 단순히 수치심을 주는 수단으로 사용해서는 안 됩니다. 누군가 자신이 속았던 피싱 메일을 보내주면서 어떻게 속았는지 자세히 설명해 줄 때 저는 정말 기쁩니다. 그런 사람들은 피싱을 통해 배우고 진짜 피싱을 더 잘 알아챌 수 있게 되었다는 것을 알 수 있기 때문입니다.""
존 젠터
보안 담당자, 라이트스피드 시스템즈
- 이메일 주소에 도메인 이름이 잘못되었습니다.
- 긴급하거나 위협적인 언어
- 의심스러운 첨부 파일 또는 잘못된 링크
- 맞춤법 오류 또는 문법적 오류
- URL이 일치하지 않습니다
매주 사이버 보안 뉴스레터를 보내거나, 직무 교육을 실시하거나, 또는 이 둘을 병행하는 등 다양한 방법을 통해 교육청 구성원들에게 사이버 보안에 대한 경각심을 일깨워 주십시오.
그들에게 다음과 같은 점들을 주의해야 한다고 알려주세요:
- 의심스러운 링크는 클릭하지 마세요.
- 링크를 클릭하기 전에 마우스 커서를 링크 위에 올려놓아 해당 링크가 신뢰할 수 있는 사이트로 연결되는지 확인하세요.
- "긴급" 요청에 대해서는 반드시 적절한 절차를 거쳐 먼저 요청을 검증한 후에 대응해야 합니다.
마지막으로, 효과적인 스팸 필터는 피싱 이메일을 차단하는 데 도움이 되며 사이버 보안 교육 및 인식 캠페인을 보완하는 중요한 수단입니다.
03 | 댓글을 통한 스팸 삽입
오늘날 대부분의 교육구는 블로그, 웹사이트 및 소셜 미디어 페이지를 운영하고 있습니다. 하지만 누구나 게시물이나 페이지에 댓글을 달 수 있다면, 댓글란에 스팸을 올리거나 유해한 링크를 삽입할 수도 있습니다.
귀하의 교육구가 할 수 있는 일:
이러한 취약점을 방지하기 위해 교육청은 의도적이고 심층적인 이해와 신중함을 바탕으로 온라인 페이지를 관리해야 합니다. 이를 위한 한 가지 방법은 블로그와 웹사이트 댓글에 스팸 필터를 사용하는 것입니다. 이렇게 하면 댓글란에 악성 링크가 삽입되는 것을 차단할 수 있습니다.
교육청의 웹 필터는 소셜 미디어에서 학생과 교육청을 안전하게 보호하는 데 중요한 역할을 할 수 있습니다. Lightspeed Filter™와 같은 소프트웨어는 관리자에게 다음과 같은 기능을 제공합니다. 소셜 미디어 접근 제어 또한 그룹, 연령, 학년 또는 사용자별로 정책을 설정하여 적절한 사용자에게 적절한 접근 권한을 부여할 수 있습니다.
Lightspeed Filter™는 관리자에게 소셜 미디어 접근 제어 및 정책 설정 기능을 제공합니다.
04 | 악성 소프트웨어
악성 소프트웨어는 신속하게 발견하기 어렵기 때문에 가장 흔하고 위험한 사이버 공격 유형 중 하나입니다.
귀하의 교육구가 할 수 있는 일:
개인 기기, 악성 링크 또는 웹사이트, 그리고 오래된 소프트웨어는 모두 악성코드의 침입 경로가 될 수 있습니다. 네트워크 및 애플리케이션 수준에서 강력한 방화벽을 구축하여 악성코드가 교육청 네트워크에 침투하는 것을 막으십시오. 또한 웹 필터도 효과적인 도구가 될 수 있습니다. 예를 들어, Lightspeed Filter™는 악성코드를 분류하고 차단하는 데 도움이 되는 보안 기능을 제공합니다.
다음으로, 악성코드 공격 발생 시 취할 조치를 담은 대응 매뉴얼을 작성하세요. 보험사 연락처와 지역 FBI 연락처까지 반드시 포함해야 합니다. 또한, 대응 매뉴얼에는 소통 계획도 명시해야 합니다. 예를 들어, 누구에게 어떤 정보를 알려야 하는지 등을 구체적으로 정하세요. 매뉴얼을 실제로 적용해 보는 것이 중요하므로, 모의 훈련을 실시해 보세요.
악성코드 공격에 성공한 경우 즉시 전문가의 도움을 받으십시오. 악성코드는 매우 심각한 문제를 야기할 수 있으며, 이를 퇴치하려면 사이버 보안 및 보안 시스템에 대한 깊이 있는 이해가 필요합니다. 전문가가 아닌 이상, 혼자서 해결하려고 해서는 안 됩니다.
Lightspeed Filter™는 맬웨어를 분류하고 차단하는 데 도움이 되는 보안 기능을 제공합니다.
05 | 폼재킹
폼재킹은 주로 신용카드 정보 및 기타 금융 데이터를 빼내는 데 사용되며, 특히 학부모에게 온라인 결제를 요구하는 사립 및 종교계 학교에 큰 위협이 될 수 있습니다.
귀하의 교육구가 할 수 있는 일:
대부분의 폼재킹 공격은 제3자 소프트웨어를 통해 발생하며, 해당 소프트웨어가 사용자의 네트워크에 설치되기 훨씬 전에 악성 코드가 삽입됩니다. 교육청은 새로운 업데이트를 지속적으로 테스트하고 취약점 검사를 실행함으로써 이러한 공격에 대응할 수 있습니다.
토큰화 기능을 사용하는 마스킹된 신용카드를 사용하거나 Apple Pay®, Google Pay™ 또는 기타 온라인 결제 시스템을 통해 결제하면 학부모와 교직원이 학교 웹사이트에 금융 정보를 입력할 때 추가적인 보안을 확보할 수 있습니다.
06 | 데이터 유출
학교는 학생과 교직원에 관한 방대한 양의 데이터를 보유하고 있습니다. 이러한 풍부한 정보 때문에 학교는 데이터 유출의 주요 표적이 됩니다.
귀하의 교육구가 할 수 있는 일:
유치원부터 12학년까지를 대상으로 하는 교육 정보 교류 기관인 K12 SIX의 보고서에 따르면, 학교에서 데이터 유출이 발생하는 가장 흔한 경로는 외부 협력업체와 관리 서비스 업체입니다. 외부 협력업체와의 계약이 부실할 경우, 기밀 정보가 권한 없는 사용자에게 노출되거나 물리적인 데이터 유출로 이어질 수 있습니다. 이러한 위험을 줄이기 위해 교육청은 협력업체 및 공급업체가 최신의 포괄적인 보안 기능을 사용하도록 보장해야 합니다.
07 | 서비스 거부 공격
분산 서비스 거부(DDoS) 공격은 여러 소스에서 발생하는 악성 인터넷 트래픽을 대량으로 전송하여 웹사이트와 같은 목표물을 마비시키는 공격입니다. 이로 인해 실제 사용자의 서비스 이용이 차단되어 시스템을 사용할 수 없게 됩니다. DDoS 공격은 학기 초에 증가할 수 있지만, K-12 교육구에 대한 주요 위협은 아니며 전체 공격 건수 중 1%에 불과합니다.
귀하의 교육구가 할 수 있는 일:
강력한 방화벽은 들어오는 공격을 식별하고 관리자에게 알리며 피해를 차단하는 데 도움이 될 수 있습니다. DDoS 공격이 실제로 발생했을 경우 피해를 최소화하려면 리디렉션된 웹 트래픽을 처리할 수 있는 백업 사이트 및 시스템을 구축해야 합니다. 네트워크 이중화라고 하는 이 전략은 기본 시스템이 다운되더라도 교육청이 계속 운영될 수 있도록 보장합니다.
Cloudflare 또한 교육청 웹사이트의 특성에 따라 좋은 해결책이 될 수 있습니다. 교육청 웹사이트가 클라우드 서비스 제공업체에 호스팅되어 있다면, 해당 업체에서 이미 어느 정도의 보안 기능을 제공하고 있을 가능성이 높습니다.
2024-2025학년도 K-12 교육구를 대상으로 한 DDoS 공격.
(출처: Comparitech 및 CIS 데이터 기반)
08 | 추가적인 사이버 공격 예방 조치
귀 교육구가 사이버 공격의 위험을 완화하는 데 도움이 되도록 다음 목록을 살펴보고, 귀 교육구에서 다음 전략 중 몇 가지를 효과적으로 실행하고 있는지 자문해 보십시오.
- 라이트스피드 퀵팁: 사이버 보안 감사를 수행할 때 다음 질문을 스스로에게 해보세요.
- 우리 시스템은 어떤 모습일까요?
- 우리의 인프라는 무엇인가요?
- 우리는 교육 기술 분야에서 어떤 회사들과 협력하고 있나요?
- 그들은 서로 얼마나 잘 협력하고 있습니까?
- 모든 시스템을 최신 상태로 유지하세요. 사이버 공격을 예방하기 위해 할 수 있는 가장 중요한 일은 바로 패치입니다. 패치는 필수적입니다.
- 사이버 보안 보험사에 어떤 지원 서비스를 제공하는지 문의해 보세요. 귀하의 보험 자문가는 교육청이 적절한 수준의 사이버 책임 보험을 구매하는 데 도움을 줄 뿐만 아니라 보험 인수 담당자의 요구 사항을 충족하는 데 필요한 위험 관리 방안에 대한 조언도 제공할 수 있는 중요한 자원입니다.
- 관할 구역의 네트워크 및 보안 기능에 대한 연례 감사를 실시하십시오. 필요한 패치 또는 업데이트는 물론 타사 애플리케이션 및 공급업체의 보안 성능상의 허점까지 모두 포함해야 합니다. 성공적인 감사를 위해 Lightspeed Insight™와 같은 분석 소프트웨어를 활용하여 감사에 필요한 데이터를 손쉽게 수집하는 것을 고려해 보세요.
- 사이버 보안 정기 교육을 교육청의 최우선 과제로 삼아 인적 오류 발생 가능성을 줄이십시오. 여기에는 교육구 차원의 사이버 보안 교육 의무화, 직무 교육 일정에 사이버 보안 교육 추가, 사이버 보안 뉴스레터 발송 등이 포함됩니다.
- 교육구를 위한 안전한 클라우드 환경을 구축하세요. AWS(Amazon Web Services)와 같은 퍼블릭 클라우드 제공업체는 데이터의 기밀성과 무결성을 보장하면서 데이터를 쉽게 저장하고 액세스할 수 있도록 지원합니다.
- 학교 네트워크의 모든 계정에 다단계 인증이 활성화되어 있는지 확인하십시오. 마이크로소프트에 따르면 MFA(다단계 인증)를 활성화한 사용자는 해킹당할 가능성이 99% 더 낮습니다.
- 공격이 발생하기 전에 지역 당국에 도움을 요청하십시오. 귀하의 교육구는 이 문제를 단독으로 해결할 필요가 없습니다. 지역 당국은 귀하의 교육구가 취해야 할 서비스와 다음 단계에 대한 조언을 제공하고, 그 단계에서 지원을 제공할 수 있습니다. 시 또는 카운티에서 활용할 수 있는 자원을 파악하면 사이버 공격 발생 시 교육구가 신속하게 적절한 담당자에게 도움을 요청할 수 있습니다.
- 모든 교직원과 학생을 위한 교육 과정에 디지털 시민의식을 포함시키십시오. 디지털 시민의식을 실천하는 것은 온라인 괴롭힘과 희롱을 예방하는 데 도움이 될 뿐만 아니라 사람들이 자신의 디지털 발자취, 지적 재산권, 안전한 온라인 소통 및 온라인 개인 정보 보호를 이해하는 데에도 도움이 됩니다.
- 사이버 공격 또는 사이버 공격 의심 사례가 발생할 경우 어떻게 대처할지에 대한 계획을 세우십시오. 마련된 예방 조치를 숙지하십시오. 여기에는 데이터 유출 발생 시 직원과 가족에게 알리는 방법과 데이터 복구를 위해 취하는 조치에 대한 계획이 포함됩니다.
제3자 검토를 통해, 라이트스피드 인사이트™ 개인정보 침해를 예방하기 위해 정책 준수 여부를 모니터링합니다.
09 | 정부 및 기관 권고 사항
펀드와 정부 기관들은 유사한 전략을 권장합니다. 예를 들어, 미국 교육부 산하 개인정보보호 기술 지원 센터(PTAC)는 다음과 같은 방법을 제시합니다. 각 교육구에 사이버 보안 구축을 위해 다음과 같은 조치를 취할 것을 권고합니다.
- 보안 감사를 실시하여 취약점을 파악하고 취약한 시스템을 업데이트/패치합니다.
- 의심스러운 활동을 감지하기 위해 감사 로그를 생성하고 정기적으로 검토하십시오.
- 직원과 학생들에게 데이터 보안 모범 사례 및 사기꾼의 사회공학적 수법을 식별하는 방법에 대한 교육을 제공합니다.
- 민감한 데이터에 대한 접근을 제한하십시오.
한편, FBI는 다음과 같이 권고합니다. 사이버 공격 위험을 줄이기 위해 두 가지 주요 영역에 집중합니다.
- 예방 노력(예: 인식 교육 및 강력한 기술적 예방 통제).
- 사이버 공격 발생 시를 대비한 견고한 운영 연속성 계획을 수립합니다.
TASB 리스크 관리 펀드, 텍사스 주 교육구 및 기타 교육 기관에 위험 관리 솔루션을 제공하는 기관은 정보 보안 책임자(ISO)를 지정할 것을 권장합니다. 가능하면 정보 보안 업무를 주된 역할로 하는 ISO를 지정해야 합니다. 이 책임자는 교육구 이사회, 교육감 또는 기타 관련 임원진을 대신하여 데이터 개인정보 보호 및 사이버 보안 요건을 관리할 수 있는 명시적인 권한을 갖습니다. ISO는 적절한 정보 보안 정책, 절차 및 기술적 통제를 포함하는 사이버 보안 계획을 개발하고 유지해야 합니다. 또한, 이사회 구성원, 정보 소유자, 정보 관리자 및 최종 사용자에게 사이버 위험 대응에 대한 개별적인 책임과 관련하여 지침과 지원을 제공해야 합니다.
다음은 사이버 공격으로부터 교육구를 보호하는 몇 가지 방법입니다. 다음 섹션에서는 교육구가 자체 보호에 활용할 수 있는 다른 리소스 목록을 제공합니다.
10 | 온라인 사이버 공격 관련 자료
사이버 보안 계획을 수립하려는 교육청에 추가적인 지침을 제공하는 온라인 자료가 많이 있습니다.
11 | Lightspeed는 K-12 사이버 보안에 어떻게 도움을 줄 수 있을까요?
Lightspeed의 보안 솔루션은 교육청이 위험 관리 체계를 강화하고 학생, 교직원, 기기 및 데이터를 내부에서부터 보호할 수 있도록 지원합니다. 수십 년간 축적된 콘텐츠 필터링 전문 지식과 첨단 AI, 그리고 포괄적인 교육 기술 관리 기능을 결합하여 Lightspeed는 단일 통합 플랫폼을 통해 강력한 보호 기능을 제공합니다. 학교의 정보 보안 및 데이터 개인정보 보호 전략의 핵심 기반이 되는 Lightspeed는 IT 책임자가 디지털 환경을 사전에 보호하고 변화하는 규정을 준수할 수 있도록 지원합니다.
라이트스피드 인사이트™
Lightspeed Insight™는 IT 및 교육 기술 책임자에게 교육 기술 사용 현황을 한눈에 파악할 수 있는 통합 뷰를 제공하여 승인, 비용 관리 및 영향 분석을 신속하게 수행하고 필요한 조치를 취할 수 있도록 지원합니다. 앱 승인 워크플로, 실시간 개인정보 보호정책 스캔, 1EdTech 및 학생 데이터 개인정보 보호 컨소시엄(SDC) 인증 앱 디렉토리와의 통합을 통해 시간을 절약하고 규정 준수를 개선하세요.
와 함께 라이트스피드 인사이트™, 학교는 다음과 같은 일을 할 수 있습니다:
- 앱 사용 및 참여도에 대한 실행 가능하고 실시간이며 표준화된 지표를 통해 의사 결정을 개선하세요.
- 교육 기술 검토 및 승인 프로세스를 간소화하세요.
- 수동 방식의 교육 기술 데이터 개인정보 관리 프로세스를 간소화하세요.
- 모든 학생에게 공평한 인터넷 연결을 보장하십시오.
Lightspeed 필터™
Lightspeed Filter™는 모든 운영 체제와 학습 환경에서 가장 포괄적인 콘텐츠 필터링 솔루션을 제공하여 학교에 유연성과 제어 기능을 제공하고, 생산성을 저해하거나 최종 사용자 개인 정보를 침해하지 않으면서 학습과 탐구를 장려할 수 있도록 지원합니다. 20년간의 웹 인덱싱 및 머신 러닝을 통해 구축된 방대한 데이터베이스를 활용하여 수백만 개의 부적절한 사이트, 이미지 및 비디오에 대한 접근을 더욱 빠르고 정확하게 차단하세요.
와 함께 Lightspeed 필터™, 교사는 다음과 같은 일을 할 수 있습니다.
- 클라우드 기반 디바이스 레벨 특허 기술을 통해 비용 증가나 성능 저하 없이 규모를 확장하십시오.
- 널리 사용되는 기기와 브라우저에 대해 프록시, PAC 또는 신뢰 인증서를 구성할 필요 없이 모든 운영 체제에 대해 일관된 적용 범위와 보고 기능을 제공합니다.
- CIPA 규정 준수를 넘어 BYOD 및 IoT를 포함한 맞춤형 정책을 캠퍼스 안팎에서 관리하세요.
