브라우저 확장 프로그램은 편리하지만 방문한 웹사이트의 내용, 입력 데이터, 파일이나 카메라·마이크에 접근할 수 있습니다. 업무 목적과 배포자를 확인한 뒤 필요한 권한만 가진 확장 프로그램을 승인하고, 개인 계정의 임의 설치는 제한하세요. 설치 후에는 버전·권한 변경과 미사용 여부를 정기적으로 검토하고, 의심스러운 동작이 발견되면 확장 프로그램을 비활성화한 뒤 계정 세션과 접속 기록을 보존해 영향 범위를 확인해야 합니다.
설치 요청에는 업무 목적과 배포자를 함께 적습니다
확장 프로그램은 브라우저 안에서 동작하므로 단순한 화면 꾸미기 도구로만 보면 안 됩니다. 요청자는 어떤 업무에 필요한지, 누가 배포하는지, 공식 배포 페이지가 어디인지, 대체 기능이 없는지를 적고 담당자는 이름이 비슷한 복제 앱이나 검색 광고 링크가 아닌 공식 배포처를 확인하세요.
CISA의 사이버 성과목표 점검표는 새 하드웨어·펌웨어·소프트웨어 또는 버전을 설치하기 전에 승인하도록 하고, 가능한 경우 승인된 항목과 버전의 허용목록을 유지하라고 권고합니다. 확장 프로그램에도 같은 원칙을 적용해 요청자·승인자·사용 대상·설치일과 검토 예정일을 기록하면 누가 왜 설치했는지 추적할 수 있습니다.
- 업무 목적·요청자·사용 대상 기록
- 공식 배포처와 개발자 정보 확인
- 승인 버전과 다음 검토일 지정
권한 설명은 기능과 실제 범위를 대조합니다
화면 캡처 도구가 모든 웹사이트의 데이터를 읽거나 바꿀 권한을 요구하거나, 문서 도구가 카메라·마이크·다운로드 파일 접근까지 요구한다면 업무 기능에 꼭 필요한지 다시 확인하세요. 권한 문구가 짧더라도 고객정보, 메일, 결제·관리자 화면처럼 확장 프로그램이 볼 수 있는 업무 데이터의 범위를 함께 판단해야 합니다.
요청한 권한이 지나치거나 개인정보 처리방침·지원 연락처·업데이트 이력을 확인하기 어렵다면 설치를 보류하세요. 브라우저가 사이트별 접근 허용이나 사용 시에만 실행하는 설정을 제공한다면 필요한 업무 도메인으로 범위를 좁히고, 시크릿 모드나 로컬 파일 접근은 명확한 사유가 있을 때만 허용합니다.
- 요청 권한과 핵심 기능을 항목별로 대조
- 사이트 접근을 필요한 업무 도메인으로 제한
- 카메라·마이크·파일·시크릿 모드 권한 별도 검토
승인 목록과 업데이트 상태를 정기적으로 대조합니다
승인 뒤에도 확장 프로그램의 소유자, 기능과 권한은 업데이트 과정에서 바뀔 수 있습니다. 분기마다 설치 목록을 내보내 승인 목록과 비교하고, 현재 버전·배포자·마지막 사용일·권한 변경을 확인해 사용하지 않거나 지원이 중단된 항목은 제거하세요.
NIST의 소규모 사업자 지침은 자산 목록의 소프트웨어와 운영체제에 업데이트·패치를 설치하고, 자동 업데이트를 사용하면서도 정기적으로 제공 여부를 확인하도록 안내합니다. 업데이트는 공식 브라우저 배포 경로에서 적용하고, 중요한 업무 기능은 적용 뒤 로그인·파일 처리·출력 같은 핵심 동작을 짧게 시험하세요.
- 분기별 설치 목록과 승인 목록 비교
- 배포자·버전·권한·마지막 사용일 검토
- 업데이트 뒤 핵심 업무 기능 확인
퇴사와 직무 변경 때 개인 설치 흔적까지 정리합니다
직원이 다른 부서로 이동하거나 퇴사하면 업무 계정 권한만 회수하지 말고 브라우저 프로필, 동기화 계정과 확장 프로그램도 확인하세요. 개인 브라우저 계정에 업무용 확장 프로그램이나 데이터가 동기화되면 회사가 승인 상태를 확인하거나 원격으로 제거하기 어렵습니다.
가능하다면 관리형 브라우저 정책으로 개인 계정 로그인과 임의 설치를 제한하고 승인 목록을 일괄 적용하세요. 예외 설치에는 종료일을 두며, 공용 PC와 관리자 단말은 일반 직원 단말보다 더 좁은 목록을 사용하고 브라우저 정책이 실제로 적용됐는지 정기 점검합니다.
- 퇴사·직무 변경 시 브라우저 프로필과 동기화 확인
- 관리 정책으로 임의 설치와 개인 계정 사용 제한
- 예외 승인에 사유·책임자·종료일 기록
의심 징후가 보이면 제거 전에 기록을 남깁니다
예상하지 못한 광고·리디렉션, 검색 설정 변경, 낯선 로그인, 과도한 네트워크 통신이나 새 권한 요청이 나타나면 해당 확장 프로그램을 즉시 비활성화하고 필요한 경우 단말을 업무망에서 분리하세요. 다만 조사 전에 브라우저를 초기화하거나 기록을 모두 지우면 설치 시각과 접속 흔적을 잃을 수 있습니다.
확장 프로그램 이름·식별자·버전·권한·설치 경로와 발견 시각을 기록하고, 해당 기간의 계정 로그인·관리자 변경·파일 접근 기록을 확인하세요. 비밀번호나 세션 정보가 노출됐을 가능성이 있으면 신뢰할 수 있는 단말에서 세션을 종료하고 인증정보를 변경한 뒤, 같은 확장 프로그램이 다른 단말에도 설치됐는지 조직 전체 목록에서 찾아 조치합니다.
- 이름·식별자·버전·권한·발견 시각 보존
- 비활성화 후 계정·파일·관리자 변경 기록 확인
- 다른 단말의 동일 확장 프로그램 설치 여부 조사
이 주제로 함께 많이 찾는 안내
상담 전에 많이 묻는 내용
Q. 공식 브라우저 스토어에 있으면 바로 설치해도 되나요?
공식 스토어 등록만으로 조직의 업무 적합성과 권한 안전성이 보장되지는 않습니다. 배포자, 요청 권한, 개인정보 처리방침, 업데이트 이력과 업무 필요성을 확인한 뒤 승인하세요.
Q. 권한이 많은 확장 프로그램은 모두 위험한가요?
기능상 넓은 권한이 필요한 도구도 있지만 실제 업무 목적과 맞는지 검증해야 합니다. 사이트별 접근 제한처럼 범위를 줄일 수 있는 설정을 우선 사용하고, 줄일 수 없다면 대체 수단을 검토하세요.
Q. 확장 프로그램을 삭제하면 사고 대응이 끝나나요?
삭제 전에 식별자·버전·권한과 관련 시각을 기록하고 계정 로그인, 파일 접근과 다른 단말 설치 여부를 확인해야 합니다. 세션이나 인증정보 노출 가능성이 있으면 별도 회수·변경 조치도 필요합니다.
참고 출처 및 업데이트
CISA Cross-Sector Cybersecurity Performance Goals Checklist, 작성기관 미국 사이버보안·인프라보안국(CISA), 작성자 CISA 편집팀, 작성일 2022-12-05, 수집일 2026-08-29CISA Capacity Enhancement Guide: Securing Web Browsers and Defending Against Malvertising, 작성기관 미국 사이버보안·인프라보안국(CISA), 작성자 CISA Commercial Routing Assistance, 작성일 2023-09, 수집일 2026-08-29NIST CSWP 50 Initial Public Draft, Small Business Cybersecurity: Non-Employer Firms, 작성기관 미국 국립표준기술연구소(NIST), 작성자 NIST Applied Cybersecurity Division, 작성일 2026-04-14, 수집일 2026-08-29최초 작성 2026-08-29 · 최종 수정 2026-08-29
