사이버 보안과 공공부문 기술 위험

공공가치에서 이것이 중요한 이유

병원의 시스템이 공격자에게 암호화되면 임상의는 투약 이력을 볼 수 없고, 구급차는 우회하며, 수술은 취소된다. 상수도 사업자의 제어 시스템이 침해되면 위태로운 공공가치는 서버 중단이 아니라 식수의 안전이다. 급여 기관의 데이터베이스가 유출되면 가장 크게 노출되는 사람은 그 결과를 감당할 능력이 가장 적은 사람인 경우가 많다. 지연된 지급, 도난당한 신원, 지원할 의무가 있는 국가에 자신이 누구인지 증명할 수 없는 가족이다. 컴퓨터 보안, 흔히 사이버 보안은 컴퓨터 시스템, 네트워크, 데이터를 무단 접근, 중단, 손상으로부터 보호하는 실천이다. 공공 기관에서 그 실천은 국가와 그것이 서비스하는 시민 사이의 길 위에 곧바로 놓인다.

그래서 이 주제는 사이버 위험을 단지 기술적인 문제가 아니라 공공가치의 문제로 규정한다. 정당성과 지지는 시민이 자신의 데이터를 보유하고 필수 서비스를 운영하는 기관이 둘 다 안전하게 지킬 것이라고 믿는 데 달려 있다(주제 1.2 — 전략적 삼각형: 정당성, 가치, 역량 참조). 잘 알려진 단일 유출은 잘못 처리된 비상사태처럼 그 신뢰에 지속적인 손상을 입힐 수 있는데, 시민은 기관을 평소의 성과만큼이나 공격받을 때의 행동으로 판단하기 때문이다(주제 3.12 — 위기, 비상사태, 회복탄력성 관리 참조. 이 주제는 사이버 사고를 회복탄력성이라는 더 넓은 규율 안의 한 범주로 다룬다). 사이버 보안은 데이터 거버넌스와도 분리할 수 없다. 조직은 자신이 보유하는지 모르는 것을 보호할 수 없으며, 데이터에서 공공가치를 만들어 내는 상호운용성과 개방성은 공격자가 악용할 수 있는 표면도 넓힌다(주제 5.4 — 공공부문 데이터, 상호운용성, 개방 데이터 참조).

자원 문제는 공공 및 사회 부문에서 심각하고 특수하다. 대형 중앙 기관은 점점 더 전담 보안 팀과 전사적 예산을 갖는다. 소도시를 서비스하는 수도 위원회, 지역 병원 신탁, 가정폭력 쉼터를 운영하는 지역 비영리조직은 대개 그렇지 않은데, 은행의 것에 맞먹거나 능가하는 민감성을 가진 데이터를 보유하고 있는데도 그렇다. 공격자는 이를 안다. 자원이 부족한 공공 기관은 이 주제에서 가장자리 사례가 아니라 중심에 가깝다. 오늘 이 위험에 직면한 중간값의 공공 기관은 중앙 부처가 아니라 소규모 지방 당국, 지역 공익사업자, 또는 정보기술 직원이 몇 명뿐이고 보안 전문가는 전혀 없는 자선단체이기 때문이다.

마지막으로, 이것은 가정이 아니라 살아 있고 악화되는 문제다. 랜섬웨어 공격은 민감한 데이터, 필수 서비스, 낮은 중단 허용도, 비교적 약한 방어를 겸비했다는 바로 그 이유로 지방정부, 병원, 학교, 사회 부문 조직을 점점 더 표적으로 삼으며, 이 조합은 그들이 대금을 지불할 가능성은 높이고 애초에 공격을 막았을 가능성은 낮춘다. 사이버 보안을 거버넌스 수준의 공공가치 약속이 아니라 전문가의 부가물로 다루는 것은 이 부류의 조직에는 초대나 다름없다.

핵심 개념

핵심 기반 시설은 에너지, 물, 교통, 보건, 금융, 통신처럼 그 무력화나 파괴가 안전, 경제, 공공의 신뢰에 치명적 영향을 미칠 만큼 필수적인 시스템과 자산의 집합이다. 핵심 기반 시설 보호는 이러한 시스템을 물리적 위협과 디지털 위협 모두로부터 지키는 규율이며, 기록을 유지하고 거래를 처리하는 정보기술과 구별되는 물리적 기반 시설을 돌아가게 하는 운영기술에 대한 공격이 추상적 데이터에 대한 공격이 아니라 공공 부문의 가장 중대한 사이버 사고 다수를 이루기 때문에 여기서 중요하다.

위협 행위자는 시스템을 침해하려 할 수 있는 모든 개인, 집단, 국가이며, 공공 부문에서는 금전을 동기로 하는 범죄 집단에서 첩보나 교란을 추구하는 국가 후원 행위자까지 이르고, 같은 기관이 매우 다른 목적을 가진 둘 모두를 동시에 마주할 수 있다. 랜섬웨어는 조직의 데이터나 시스템을 암호화하고 그것을 풀어 주는 대가로 지불을 요구하는 악성 소프트웨어이며, 필수 서비스가 장기간의 중단을 용납할 수 없어 지불해야 한다는 압박이 커지기 때문에 공공 기관에 대한 지배적 위협이 되었다. 피싱은 공격자가 대개 기만적인 이메일을 통해 직원을 속여 자격 증명을 드러내게 하거나 악성 소프트웨어를 설치하게 하는 사회공학의 한 형태이며, 기술이 아니라 사람을 겨냥하기 때문에 공격자가 처음 발판을 얻는 가장 흔한 방법으로 남아 있다.

데이터 유출은 외부 공격, 내부자, 또는 인터넷에 열려 있는 채 방치된 잘못 설정된 데이터베이스 같은 단순한 인적 오류를 통한 정보의 무단 접근, 공개, 또는 손실이다. 공급망 공격은 표적 조직이 신뢰하는 덜 안전한 공급자, 소프트웨어 공급업체, 또는 관리형 서비스 제공자를 겨냥하여 조직을 간접적으로 침해한다. 이는 매우 많은 공공 기관이 같은 소수의 소프트웨어 공급업체를 공유하여 한 공급업체의 침해가 수백 개 기관으로 동시에 번질 수 있기 때문에 공공 부문에 특히 위험하다.

사이버 위생은 소프트웨어를 신속히 패치하고, 강력한 인증을 강제하고, 누가 무엇에 접근할 수 있는지 제한하고, 데이터를 백업하고 그 백업의 복원을 시험하는 일상적 실천의 집합으로, 특별한 도구 없이도 성공한 공격의 대다수를 막는다. 대부분의 유출은 새로운 기법이 아니라 알려진 미패치 취약점이나 약한 자격 증명을 악용하므로, 조직의 실제 사이버 위생과 명시된 정책 사이의 간극이 위험 등록부에 거명한 위협의 정교함보다 대개 그 위험의 더 나은 예측 변수다.

제로 트러스트 아키텍처는 조직 자신의 네트워크 안에서도 어떤 사용자나 장치도 기본적으로 신뢰해서는 안 되며, 접근에 대한 모든 요청은 출처와 상관없이 검증되어야 한다는 보안 설계 원칙이다. 이는 직원, 계약자, 시민이 여러 장치와 장소에서 서비스에 접근하는 현대 정부 업무가 실제로 이루어지는 방식에, 이미 경계 안에 있는 것은 무엇이든 신뢰하던 더 오래된 모형보다 더 잘 맞기 때문에 공공 부문 지침에서 영향력을 얻었다.

컴퓨터 보안 사고 관리, 흔히 사고 대응은 보안 사고를 탐지하고, 봉쇄하고, 제거하고, 복구한 뒤 무엇이 그것을 일어나게 했는지 검토하는 조직화된 과정이다. 공개 의무는 개인정보나 핵심 서비스가 침해되었을 때 영향받은 개인, 규제기관, 또는 대중에게 정해진 시한 안에 정해진 기준에 따라 알려야 하는 법적 또는 규제적 의무이며, 시민과 감독 기구에게는 자신의 데이터나 필수 서비스가 위험에 처했을 때 알 권리가 있고, 적시의 공개가 사람들이 스스로를 보호하게 해 준다는 논리에 기반한다.

모범 사례

1. 사이버 보안을 위임된 기술 기능이 아니라 의사결정 기구의 책임으로 다뤄라. 이사회, 의회, 경영진은 사이버 위험에 대한 정기적이고 쉬운 말의 보고를 받고 그 예산을 직접 승인해야 하며, 가장 삭감하기 쉬운 항목이 되는 더 넓은 정보기술 항목 안에서 협상되도록 남겨 두어서는 안 된다.
2. 어떻게 보호할지 결정하기 전에 무엇을 보유하고 무엇이 그것에 의존하는지 목록으로 만들어라. 조직은 지도로 그려 본 적 없는 데이터나 시스템을 보호할 수 없다. 다른 곳에서 다룬 상호운용성 및 데이터 거버넌스 작업과 교차 참조되는 최신 자산 및 데이터 목록(주제 5.4 — 공공부문 데이터, 상호운용성, 개방 데이터 참조)은 이 목록의 다른 모든 실천의 전제 조건이다.
3. 고급의 어떤 것에 돈을 쓰기 전에 기본을 모든 곳에 적용하라. 패치 관리, 다중 인증, 시험된 백업, 최소 권한 접근 통제는 실제 공격의 압도적 다수를 막는다. 이것들이 갖춰지지 않은 공공 기관은 위협 정보 구독이나 맞춤 모니터링 도구를 우선해서는 안 된다.
4. 맞춤 틀을 발명하기보다 인정받는 틀을 채택하라. 미국 국립표준기술연구소의 사이버 보안 프레임워크 같은 틀은 식별, 보호, 탐지, 대응, 복구라는 공유 어휘와 구조를 주며, 작은 조직은 단순화된 형태로, 큰 조직은 전체로 채택할 수 있어 기본 분류 체계를 다시 발명할 필요가 없다.
5. 작은 조직들이 각자 사지 말고 자원을 모아라. 공유 보안 운영 서비스, 지역 사이버 사고 대응 풀, 부문 전체의 조달 틀은 소규모 지방 당국이나 비영리조직 집단에 어느 하나도 단독으로는 감당할 수 없는 보호를 줄 수 있으며, 이는 이 주제가 중심에 둔 자원 부족 문제에 대한 가장 직접적인 답이다.
6. 사고 대응 계획을 사고 전에 쓰고, 훈련하라. 실제 공격 중에 처음 작성한 계획은 공황 속에서, 그것이 실제로 작동하는지 시험해 본 적 없는 사람들이 나쁘게 작성한 계획이다. 적어도 연 1회 연습한 계획은 혼란스러운 첫 한 시간을 알려진 단계의 연습된 순서로 바꾼다(이것이 바탕으로 삼는 더 넓은 규율은 주제 3.12 — 위기, 비상사태, 회복탄력성 관리 참조).
7. 공개와 지불 정책을 사고 중이 아니라 미리 정하라. 조직이 몸값 지불을 고려할지, 누가 그 결정을 내릴 권한이 있는지, 영향받은 사람들에게 어떻게 언제 알릴지는 실시간 갈취 요구의 압박 속에서 즉흥적으로 내린 결정이 아니라 이사회가 승인한 정책이어야 한다.
8. 하나의 침해가 모든 침해가 되지 않도록 네트워크를 분할하라. 물리적 기반 시설을 제어하는 운영기술을 일반 사무용 정보기술과 분리하고, 민감도가 높은 시스템을 낮은 시스템과 분리하면, 한 약한 지점으로 들어온 침입자가 이동할 수 있는 범위가 제한된다.
9. 제3자 및 공급망 위험을 내부 위험만큼 엄격하게 관리하라. 주요 공공 부문 사고의 점점 더 많은 몫이 직접 공격이 아니라 신뢰하는 공급자에서 비롯되므로, 소프트웨어 공급업체와 관리형 서비스 제공자와의 계약에 보안 보증, 감사권 조항, 사고 통지 의무를 요구하라.
10. 도구만이 아니라 사람에 투자하라. 모의 피싱 훈련을 포함한 정기적이고 현실적인 교육은 성공하는 사회공학 공격을 측정 가능하게 줄이며, 작은 조직에서 숙련된 보안 직원을 한두 명이라도 유지하는 것은 대개 추가 소프트웨어 라이선스에 같은 액수를 쓰는 것보다 더 가치 있다.
11. 사고를 정직하게 보고하고 아차 사고를 무료 교훈으로 활용하라. 의심되는 유출을 보고한 직원을 처벌하는 문화는 다음 유출이 늦게, 또는 전혀 보고되지 않을 것을 보장한다. 가장 빨리 개선되는 조직은 모든 아차 사고를 비난을 배정할 이유가 아니라 배울 증거로 다루는 조직이다.
12. 사이버 회복탄력성을 내부 정책만이 아니라 조달 및 보조금 조건에 내장하라. 재원 제공자와 위탁 기관은 자신이 재원을 대거나 계약하는 조직에 기준 수준의 보안 실천을 요구할 수 있으며, 그러지 않으면 투자할 외부 압력이 전혀 없을 더 작은 전달 파트너에게까지 좋은 실천의 범위를 넓힌다(주제 3.7 — 공공조달과 위탁 참조).

팀과 논의할 질문

우리가 실제로 어떤 데이터와 시스템을 보유하고 있으며, 그 중 침해되면 누군가에게 해가 될 것은 무엇인지 알고 있는가? 많은 조직이 자신의 데이터 보유의 실제 범위를 유출 조사 중에야 발견하는데, 이는 그것을 알게 되기에 가능한 최악의 시점이다. 주요 서비스를 하나씩 짚어 가며, 각각이 어떤 개인정보나 운영상 민감한 데이터를 다루는지, 그 데이터가 도난당하거나, 변조되거나, 이용할 수 없게 되면 실제 사람에게 무슨 일이 생길지 물어라. 정직한 답이 '우리는 확실히 모른다'라면 그 불확실성 자체가 발견이며, 그것을 해소하는 것이 안건의 첫 항목이다. 이 질문은 인수, 합병, 또는 누적된 레거시 시스템으로 성장하여 무엇이 존재하는지에 대한 제도적 기억이 옅어진 조직에 가장 중요하다.

내일 랜섬웨어 공격을 받는다면, 몸값을 내지 않고 백업에서 복원할 수 있는가? 백업의 가치는 그것이 존재한다는 데 있지 않고, 실제로 충분히 빠르게, 의미 있을 만큼 최근의 판본에서 복원되는지 시험되었다는 데 있다. 백업이 마지막으로 완료 기록만이 아니라 실제 복원 연습으로 시험된 것이 언제인지, 전체 복원이 조직이 중단을 견딜 수 있는 시간에 비해 얼마나 걸릴지 물어라. 그 수치가 맞지 않으면 사고 중이 아니라 지금 내려야 할 자원 배정 결정이 있는 것이다. 이는 또한 백업 자체가 주 시스템에 도달한 공격자도 도달할 수 있는 네트워크로부터 격리되어 있는지 논의할 때이기도 하다.

몸값을 지불할지 결정할 권한이 누구에게 있으며, 질문받기 전에 그것을 논의한 적이 있는가? 이는 경영진이 직면할 수 있는 가장 이해관계가 큰 결정 가운데 하나로, 공격자가 실제로 무엇을 갖고 있는지에 대한 불완전한 정보 속에서 몇 시간 안에 요구되는 경우가 많다. 최종 판단이 여전히 사고의 구체 사항에 달려 있더라도 과정, 승인하는 개인, 원칙을 미리 정하면 갈취의 압박 속에서의 즉흥적 결정을 막을 수 있다. 관할권의 법과 재원 제공자의 조건이 몸값 지불에 대해 무엇을 말하는지, 누구에게 알려야 하는지 논의하라.

우리의 가장 작은 파트너와 공급자가 우리 자신보다 우리에게 더 큰 위험인가? 잘 보호된 중앙 조직도 자신의 시스템이나 데이터에 합법적 접근 권한이 있는 보안이 허술한 공급자, 계약자, 전달 파트너를 통해 침해될 수 있다. 시스템에 접근하거나 데이터를 보유할 수 있는 제3자를 지도로 그리고, 그들의 보안 실천에 대해 실제로 가진 보증이 얼마인지와 가졌다고 가정하는 보증이 얼마인지를 정직하게 따져 보라. 앞으로 그들에게 요구할 최소 기준을 정하고, 서면 보증을 단순히 요청하는 것이 아니라 어떻게 검증할지 정하라.

우리는 침해당했음을 알 것이며, 얼마나 빨리 알겠는가? 가장 피해가 큰 사고 가운데 일부는 빠르게 일어나는 사고가 아니라, 공격자가 조용히 탐색하고, 권한을 상승시키고, 데이터를 빼내는 몇 달 동안 발견되지 않는 사고다. 오늘 이상 활동을 실제로 어떻게 탐지할지, 누가 그것을 지켜보는지, 그 모니터링이 대응이 가장 느린 밤이나 연휴 주말에 의도적으로 개시되는 많은 공격 때문에 근무 시간 외에도 가동되는지 논의하라. 탐지가 전적으로 시민이나 파트너 조직이 무언가 잘못되었다고 알려 주는 데 의존한다면 그것은 치명적 간극이다.

우리의 이사회나 의사결정 기구는 이 위험을 거버넌스할 만큼 충분히 이해하는가, 아니면 그 판단을 정보기술 팀에 조용히 외주했는가? 사이버 위험 결정은 비용, 서비스 연속성, 시민 보호 사이의 실제 상충 관계를 수반하며, 이는 고개만 끄덕이고 넘길 위임된 기술적 사안이 아니라 마땅히 의사결정 기구의 일이다. 사이버 위험이 현재 이사회나 의회에 어떻게 보고되는지, 비전문가가 실제로 행동할 수 있는 언어로 되어 있는지, 그 예산이 다른 주요 위험과 같은 엄밀함으로 결정되는지 논의하라. 의사결정 기구가 조직의 최상위 세 사이버 위험을 자신의 말로 설명하지 못한다면 그것이 먼저 메워야 할 간극이다.

실제 사례: 공공가치 사례

가상의 중간 규모 지역 교통 당국은, 실제 조직에 대한 보고가 아니라 하나의 유형을 보여 주는 예시인데, 현대화되지 않고 10년 동안 단편적으로 패치된 노후한 운행 계획 및 결제 시스템을 운영했다. 정보기술 팀은 세 명이었고 헬프데스크 요청에서 네트워크 보안까지 모든 것을 책임졌으며, 사이버 보안은 예산에 자기 항목이 있었던 적이 없었다. 그것은 몇 해째 실질적으로 늘지 않은 일반 '시스템 유지보수' 배정 안에 있었다.

공격자는 재무 담당자에게 보낸 피싱 이메일을 통해 접근을 얻었는데, 당국이 실제로 쓰는 공급자의 송장을 사칭한 것이었다. 일단 들어온 뒤 공격자는 6주 동안 네트워크를 조용히 이동하다가, 운행 계획 시스템, 요금 결제 플랫폼, 주 네트워크에서 격리된 적이 없던 당국의 백업을 암호화하는 랜섬웨어를 가동했다. 버스는 첫날 운전사들이 노선을 기억하는 데 의존해 계속 달렸지만, 요금을 전자적으로 징수할 수 없었고, 실시간 정보 화면은 꺼졌으며, 당국의 재무 시스템은 급여 지급에 쓸 수 없게 되었다.

경영진은 합의된 정책 없이 몸값 결정에 직면했다. 누가 지불을 승인할 권한이 있는지, 법적 입장이 무엇인지, 이용객에게 무엇을 말할지 미리 정한 사람이 없었다. 백업이 다른 모든 것과 함께 암호화되었기 때문에 백업에서의 복원은 선택지가 아니었다. 9일의 교란, 부분적 서비스 복구, 당국의 이사회가 나중에 당시 이용 가능한 최선이 아닌 최소 악이라고 표현한 지불 끝에, 당국은 독립적 검토를 의뢰했다.

검토의 발견은 화려하지 않았고 이 주제가 기술하는 유형과 완전히 일치했다. 재무 시스템에 다중 인증이 없었고, 사무 시스템과 결제 기반 시설 사이에 네트워크 분할이 없었고, 2년 넘게 시험된 백업 복원이 없었고, 사고 전에는 사이버 위험에 대한 이사회 수준의 가시성이 전혀 없었다. 당국의 대응도 마찬가지로 화려하지 않았다. 기본을 고치는 단계별 계획, 어느 곳도 단독으로는 감당할 수 없는 전문 인력의 지원 비용을 나누기 위한 이웃한 두 교통 당국과의 공유 보안 모니터링 약정, 사이버 위험에 대한 이사회의 상설 안건 항목이었다. 어느 것도 주요 정보기술 프로그램의 기준으로는 비싸지 않았으며, 모두 몇 해 동안 건너뛰어졌는데 그것을 고집하는 것이 누구의 명확히 배정된 일이었던 적이 없었기 때문이다.

네 가지 부문 관점

지방정부

지방 당국은 불편한 교차로에 있다. 사회 돌봄 기록, 주거 및 급여 정보, 선거인 명부 같은 매우 민감한 데이터를 보유하고 시민이 쉽게 없이 지낼 수 없는 서비스를 운영하지만, 대개 정부의 어느 수준보다 가장 작은 보안 예산과 가장 적은 전문 직원을 갖는다. 대형 중앙 부처는 내부 보안 운영 센터를 구축할 수 있지만 작은 구 의회는 대개 그럴 수 없으며, 이는 공유 서비스, 지역 풀링, 국가 지원 프로그램을 선택적 부가물이 아니라 적절한 보호에 이르는 실질적 경로로 만든다. 지방 선출직 공직자는 또한 정부의 어느 계층보다 기술적 위험 보고를 따져 묻는 데 가장 준비가 덜 된 경우가 많으며, 이는 선출 의원에 대한 쉬운 말의 보고를 이 수준의 독특한 거버넌스 과제로 만든다.

중앙정부

중앙정부는 대개 전담 사이버 보안 기관과 국가 틀을 구축할 자원을 가지며, 영국의 국가 사이버 보안 센터(영국)나 미국의 사이버 보안 및 기반 시설 보안국 같은 기구는 표준을 정하고, 대응을 조율하고, 관할권 안의 자원이 부족한 공공 기관을 지원하기 위해 존재한다. 국가 수준의 독특한 과제는 기본 위생보다 국가 후원의 고도로 유능한 위협 행위자, 부문과 민간 운영자에 걸친 핵심 국가 기반 시설의 상호의존, 지방이나 조직 수준에서는 거의 나타나지 않는 귀속과 대응의 외교적, 법적 차원에 있다.

사회 부문과 비영리

비영리조직과 NGO는 건강 기록, 폭력이나 박해 생존자의 기록, 난민 및 망명 사례 업무처럼 어느 부문보다 민감한 데이터를 보유하는 경우가 많으면서, 재원 제공자가 보안에 돈을 지정하는 경우가 드물고 보조금 조건이 그것을 요구하는 경우가 드물기 때문에 이 책의 어느 조직 유형보다 가장 얇은 보안 예산으로 운영한다. 많은 사회 부문 조직은 또한 자원봉사자와 높은 직원 이직에 의존하며, 이는 안정적이고 전문 인력이 있는 조직에서보다 일관된 보안 교육과 접근 통제를 유지하기 어렵게 만든다. 보안 사고는 정부 부처에는 드문 방식으로 작은 자선단체에는 존립에 관한 문제일 수 있는데, 평판 손상과 기부자 신뢰의 상실이 조직을 곧바로 끝낼 수 있기 때문이다(주제 3.8 — 사회 부문과 비영리 조직 관리 참조).

다자 및 국제기구

다자기구와 국제기구는 공개 법률, 핵심 기반 시설의 정의, 국가 사이버 역량 수준이 서로 다른 관할권에 걸쳐 운영하며, 이는 조율 자체를 독특한 문제로 만든다. 국제기구 자신의 시스템은 잘 보호되어 있어도 회원국의 국가 기관은 엄청나게 다를 수 있으며, 경제협력개발기구나 유럽연합 사이버 보안청 같은 기구는 운영적 역할만큼이나 표준 설정과 역량 구축의 역할을 한다. 다자 관점은 또한 국경을 넘는 사고 대응과 정보 공유 약정이 가장 중요한 곳이기도 한데, 한 나라의 기반 시설에서 시작된 공격이 대부분의 국제 조율 메커니즘이 움직이도록 만들어진 것보다 빠르게 몇 시간 안에 다른 나라의 기반 시설로 번질 수 있기 때문이다.

흔한 실패 유형

운영적 실질 없는 보안 연극. 조직이 인상적으로 보이는 정책 문서, 준수 인증서, 또는 값비싼 단일 도구를 채택하고 점검 표시를 마친 것으로 다루는 반면, 패치, 다중 인증, 시험된 백업 같은 기본 위생은 일관되지 않은 채 남는다. 이는 보안 자체가 아니라 보안의 외양에 실제 돈을 쓰는 것이며, 사고가 정책과 실무 사이의 간극을 드러낸 뒤에야 연극이었음이 발견되는 경우가 많다.

소유자 없는 위험. 사이버 보안이 다른 누군가의 일, 곧 정보기술 팀, 공급업체, 규제기관의 일로 가정되고, 의사결정 기구 수준에 단일한 책임 있는 소유자가 없다. 이는 어디서나 논의되지만 어디서도 결정되지 않는 위험을 낳으며, 조직이 자신의 노출에 대한 기본 질문을 받았을 때 답하지 못하게 만드는 바로 그 유형이다.

이전 사고가 없었다는 사실로 정당화되는 과소 투자. 잘 운영되는 보안 프로그램은 성공할 때 눈에 보이는 사건을 만들지 않으므로, 빠듯한 예산 라운드에서 눈에 보이는 산출이 있는 무언가를 위해 삭감하기 쉽고, 지금까지 유출이 없었다는 사실이 아직 시험되지 않은 증거가 아니라 적절한 보호의 증거로 오인된다. 이는 회복탄력성 투자를 더 넓게 훼손하는 것과 같은 예산 논리를 반영한다(주제 3.12 — 위기, 비상사태, 회복탄력성 관리 참조).

지원 가능한 수명을 넘겨 계속 운영되는 레거시 시스템. 공공 기관은 교체가 비싸고, 교란적이거나, 정치적으로 인기가 없고, 시스템이 '여전히 작동하기' 때문에 공급업체가 보안 패치 발행을 중단한 한참 뒤에도 소프트웨어나 하드웨어를 운영하는 경우가 많다. 패치되지 않고 지원되지 않는 시스템은 레거시의 불편이 아니라 공격자가 아무 비용 없이 걸어 들어올 수 있는 열린 문이다.

비난 우선의 사고 문화. 의심되는 유출이나 실수를 보고한 직원이 지원받는 대신 징계를 받으면, 미래의 사고는 늦게, 축소되어, 또는 전혀 보고되지 않으며, 조직은 적시의 보고가 주는 조기 경보 신호를 잃는다. 이 실패 유형은 이 목록의 다른 모든 것을 악화시키는데, 조직이 자신의 문제를 정직하게 볼 수 없다면 위의 해결책 어느 것도 작동하지 않기 때문이다.

성숙도 모델

체크리스트

• 의사결정 기구 수준의 지명된 개인이나 위원회가 사이버 위험을 소유하고 쉬운 말로 정기적으로 보고한다.
• 조직이 보유한 데이터와 시스템, 그리고 어느 것이 가장 민감하거나 서비스에 가장 핵심적인지에 대한 최신 목록이 있다.
• 민감한 데이터를 보유하거나 핵심 서비스를 제어하는 모든 시스템에 다중 인증이 강제된다.
• 백업이 정기적으로 이루어지고, 주 네트워크에서 격리되어 저장되며, 복원이 지난 12개월 안에 시험되었다.
• 소프트웨어와 시스템이 정해진 일정으로 패치되며, 더 이상 패치할 수 없는 시스템에는 그것을 교체하거나 격리할 문서화된 계획이 있다.
• 서면 사고 대응 계획이 있고, 핵심 결정을 내릴 권한이 누구에게 있는지 명시하며, 지난해에 현실적 연습으로 훈련되었다.
• 몸값 지불, 그리고 영향받은 사람, 규제기관, 대중에게 어떻게 언제 알릴지에 대한 이사회 승인 정책이 있다.
• 소프트웨어 공급업체 및 관리형 서비스 제공자와의 계약에 보안 보증과 사고 통지 의무가 포함된다.
• 직원이 모의 피싱 훈련을 포함한 정기적이고 현실적인 보안 교육을 받는다.
• 의심되는 사고나 아차 사고의 보고가 비난의 근거가 아니라 가치 있는 정보로 다뤄진다.
• 비슷한 규모와 예산의 동료 조직과 공유 또는 풀링된 보안 약정을 탐색했다.
• 사이버 위험이 조직의 더 넓은 위기 및 회복탄력성 계획에 별도로 단절된 계획이 아니라 명시적으로 포함된다.

주요 출처

이 주제는 사이버 보안 실천을 조직하는 선도적인 구조화된 틀로서 미국 국립표준기술연구소의 사이버 보안 프레임워크, 유럽연합 전반에 공통된 수준의 사이버 보안을 달성하기 위한 유럽연합 사이버 보안청이 공표한 임무와 지침, 디지털 보안을 순전히 기술적인 사안이 아니라 경제적, 사회적 위험 관리 사안으로 규정하는 경제협력개발기구의 디지털 보안 정책 연구, 그리고 영국 국가 사이버 보안 센터와 미국 사이버 보안 및 기반 시설 보안국 같은 국가 사이버 보안 기관이 공표한 운영 지침에 의존하며, 이 두 기관은 모두 자원이 부족한 공공 기관을 특별히 겨냥한 무료 지침을 제공한다.

참고문헌

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Centre (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about