워드프레스 보안, 플러그인을 더 설치하기 전에

먼저 손볼 것은 계정과 업데이트입니다

보안 플러그인을 추가하기 전에 효과가 큰 세 가지가 있습니다. 첫째는 계정입니다. 쓰지 않는 관리자 계정을 지우고, 남은 계정에 다단계 인증을 적용하고, 역할을 필요한 범위로 낮춥니다. 둘째는 업데이트입니다. 알려진 취약점은 대부분 업데이트로 막히므로, 적용 지연 일수를 줄이는 것이 어떤 추가 도구보다 효과가 큽니다. 셋째는 파일 권한입니다. 쓰기 권한이 필요 이상으로 열려 있으면 침입 뒤 피해가 커집니다. 이 세 가지를 끝내지 않은 상태에서 도구를 추가하면, 설정 화면만 늘고 실제 위험은 그대로 남습니다.

업데이트를 미루지 않는 구조를 만듭니다

업데이트가 미뤄지는 이유는 깨질까 두렵기 때문입니다. 그래서 두려움을 줄이는 구조를 만듭니다. 1단계로 시험 환경을 하나 만듭니다. 운영 데이터의 사본으로 돌리면 깨지는지 미리 알 수 있습니다. 2단계로 적용 순서를 정합니다. 핵심 부분을 먼저, 확장 기능을 다음에, 테마를 마지막에 적용하면 원인 분리가 쉽습니다. 3단계로 되돌리기 방법을 적습니다. 파일과 데이터베이스를 함께 되돌려야 하므로 두 작업을 한 절차로 묶습니다. 4단계로 적용 주기를 정합니다. 주 1회처럼 고정하면 쌓이지 않고, 쌓이지 않으면 한 번에 바뀌는 양이 적어 실패 확률도 내려갑니다.

점검 비용과 사고 복구 비용을 비교합니다

학습용 가정으로 계산합니다. 가정값은 월 점검과 업데이트에 30분이 들고, 침해 사고 1회의 복구에 16시간이 든다고 두겠습니다. 내부 시간 비용은 시간당 30,000원으로 가정합니다. 연간 점검 시간은 0.5시간 곱하기 12개월로 6시간이고 180,000원입니다. 사고 1회 복구는 480,000원입니다. 중간 계산값인 차이는 300,000원입니다. 즉 사고가 2년에 한 번만 발생해도 점검 쪽이 유리합니다. 최종 판단에는 사고 시 매출 손실과 신뢰 비용이 더해지는데, 이 값은 사이트마다 달라 각자 추정해야 합니다. 추정하지 않더라도 복구 시간만으로 이미 점검이 유리합니다.

확장 기능이 많으면 순서가 달라집니다

결론을 뒤집는 조건은 확장 기능의 수입니다. 설치된 확장이 수십 개면 업데이트가 깨질 확률이 높아져 적용이 계속 미뤄집니다. 이 경우 먼저 할 일은 쓰지 않는 확장을 제거하는 것입니다. 개수를 줄이면 업데이트 실패 확률과 취약점 노출 면이 함께 줄어듭니다. 두 번째 조건은 수정된 테마나 확장입니다. 직접 고친 코드가 있으면 업데이트가 그 수정을 덮어써 기능이 사라집니다. 그래서 수정 내용을 별도 파일로 분리해 두어야 업데이트를 미루지 않게 됩니다. 점검표에는 설치 개수와 직접 수정 여부를 함께 적습니다.

웹호스팅 실행 전 점검표

• 미사용 관리자 계정을 지우고 역할을 낮췄다
• 시험 환경을 만들고 적용 순서를 정했다
• 파일과 데이터베이스를 함께 되돌리는 절차를 적었다
• 쓰지 않는 확장을 제거하고 직접 수정 여부를 확인했다