보안 업데이트

홈페이지 보안 업데이트는 얼마나 자주 해야 하나요?

보안 업데이트는 정해 둔 주기(예: 한 달에 한 번)로 꾸준히 하고, 심각한 약점이 공지되면 주기를 기다리지 않고 바로 적용하는 게 기본이에요. 정기 점검과 긴급 대응을 따로 생각하는 거예요.

긴급한 약점은 만든 회사의 공지나 KISA 인터넷 보호나라의 보안 공지로 알려져요. 관리 업체가 있다면 이런 공지를 누가 보고 판단하는지 정해 두세요.

업데이트 주기는 홈페이지가 무엇으로 만들어졌는지에 따라서도 달라져요. 플러그인을 많이 붙인 홈페이지는 업데이트할 부품이 많아서 더 자주 살펴봐야 해요.

자동 업데이트를 켜 두는 방법도 있어요. 작은 보안 수정은 자동으로 받게 하고, 큰 버전 변경은 확인한 뒤 적용하는 식으로 나누면 빈틈과 화면 깨짐 위험을 함께 줄일 수 있어요.

홈페이지에서 업데이트해야 하는 것은 무엇인가요?

업데이트할 대상은 서버부터 화면에 붙인 위젯까지 여러 층으로 나뉘어요. 그중 어느 층을 누가 맡는지 정해 두지 않으면 서로 ‘저쪽이 하겠지’ 하다가 빈틈이 생겨요.

직접 만든 홈페이지는 플러그인이 없어서 안전하다고 생각하기 쉬워요. 하지만 안에 쓰인 공개 부품(라이브러리)도 약점이 발견되면 업데이트가 나와요. 개발한 업체가 이런 부품의 보안 알림을 받아 보고 있는지 물어보세요.

어떤 부품이 쓰였는지 알아야 업데이트도 할 수 있어요. 관리 업체에서 ‘우리 홈페이지에 쓰인 프로그램과 부품 목록’을 받아 두면, 보안 공지가 나왔을 때 우리 홈페이지가 해당되는지 바로 판단할 수 있어요.

보안 업데이트는 어떤 순서로 해야 안전한가요?

안전한 업데이트의 핵심은 ‘되돌릴 준비를 먼저 하고, 적용한 뒤 직접 확인하는’ 거예요. 업데이트 자체보다 업데이트 뒤 아무도 확인하지 않아 깨진 화면이 며칠씩 방치되는 게 더 흔한 문제예요.

오래 미뤄 둔 업데이트를 한꺼번에 몰아서 하면, 문제가 생겼을 때 어느 것이 원인인지 찾기 어려워요. 밀린 업데이트가 많다면 몇 개씩 나눠 적용하고 그때마다 화면을 확인하세요.

1. 01전체 백업을 먼저 남겨요.
2. 02업데이트 안내를 읽고 보안 수정인지, 큰 버전 변경인지 확인해요.
3. 03가능하면 운영 중인 홈페이지와 똑같은 테스트 공간에서 먼저 적용해 봐요.
4. 04손님이 적은 시간에 실제 홈페이지에 적용해요.
5. 05첫 페이지 · 문의 폼 · 예약 · 결제를 폰과 컴퓨터로 직접 눌러 봐요.
6. 06무엇을 언제 업데이트했는지 기록해요.
7. 07문제가 생기면 백업으로 되돌리고 원인을 확인한 뒤 다시 적용해요.

보안 업데이트를 미루면 실제로 어떤 일이 생기나요?

업데이트를 미룬 홈페이지는 알려진 약점을 찾아다니는 자동 프로그램의 표적이 돼요. 공격하는 쪽은 특정 가게를 노리는 게 아니라, 약점이 남은 곳을 기계로 훑다가 걸리는 곳에 들어와요.

뚫리면 손님 눈에 안 띄는 곳에 광고 · 도박 페이지가 몰래 생기거나, 손님을 다른 사이트로 넘기는 코드가 심어질 수 있어요. 이런 상태가 검색엔진에 발견되면 검색 결과나 브라우저에 위험 경고가 붙을 수 있어요.

문의 폼이나 회원 정보로 손님 개인정보가 새어 나가면 문제는 더 커져요. 손님에게 알리고 관련 기관에 신고해야 하는 의무가 생길 수 있어서, 업데이트를 미뤄 아낀 시간보다 훨씬 큰 비용이 들어요.

해킹 흔적은 사장님이 먼저 알아채기 어려워요. 검색 결과에 우리 홈페이지 이름으로 모르는 글이 보이거나, 손님이 ‘들어가니 다른 데로 넘어가요’라고 말하면 바로 관리 업체에 알리세요. 구글 서치 콘솔을 연결해 두면 구글이 보안 문제를 발견했을 때 알림을 받을 수 있어요.

업데이트 말고 함께 챙겨야 할 보안 습관은 무엇인가요?

업데이트를 잘해도 관리자 비밀번호가 약하면 문이 열린 것과 같아요. 업데이트와 함께 계정 관리를 묶어서 챙기는 게 좋아요.

관리자 계정 하나를 직원 여럿이 함께 쓰는 것도 흔한 위험이에요. 누가 무엇을 바꿨는지 알 수 없고, 직원이 그만둬도 비밀번호를 바꾸기 어려워요. 가능하면 사람마다 계정을 따로 만들고 꼭 필요한 권한만 주세요.

구글도 사이트 운영자에게 최신 업데이트 적용과 함께 좋은 비밀번호를 쓰라고 안내해요. 아래 습관은 비용이 거의 들지 않으면서 효과가 커요.

• 관리자 비밀번호를 길게 만들고 다른 사이트와 같이 쓰지 않기
• 도메인 · 호스팅 · 관리자 계정에 2단계 인증 켜기
• 그만둔 직원 · 지난 업체의 계정은 바로 지우기
• 쓰지 않는 플러그인과 테마는 꺼 두지 말고 지우기
• 가게 공용 컴퓨터에 관리자 로그인을 남겨 두지 않기

보안 관리를 업체에 맡길 때 무엇을 물어봐야 하나요?

‘보안 관리해 드려요’라는 말만으로는 무엇을 하는지 알 수 없어요. 주기, 긴급 대응, 기록 공유, 사고 때 연락 방법을 구체적으로 물어보고 계약서나 견적서에 남겨 두세요.

이미 해킹이 의심된다면 업체에 먼저 알리고, KISA 인터넷 보호나라의 해킹 · 스팸 · 개인정보침해 상담 전화 118로도 도움을 받을 수 있어요. 이시모 유지관리 구독에서는 매달 보안 업데이트를 적용하고 백업을 남겨요.

• 정기 업데이트는 얼마나 자주 하나요?
• 긴급 보안 공지가 나오면 며칠 안에 적용하나요?
• 업데이트 내역을 기록으로 받아 볼 수 있나요?
• 업데이트 뒤 화면이 깨지면 복구 비용이 따로 드나요?
• 해킹이 의심될 때 누구에게, 어떻게 연락하나요?