지속적 보안 태세 관리 vs. 시점 평가

보안의 한 발 앞서나가는 것은 사고방식의 전환에서 시작됩니다

대부분의 보안 업무는 외부의 자극에서 시작됩니다. 감사인이 요청 목록을 보내거나 경보가 누군가의 받은 편지함에 도착하면, 팀은 하던 일을 멈추고 조사와 대응에 나섭니다. 한 발 앞서나가려면 다른 사고방식이 필요합니다. 좋은 태세가 어떤 모습인지 정하고, 꾸준한 주기로 점검하며, 누군가 자극하기 전에 어긋난 부분을 바로잡으십시오. 이것이 사전 예방 보안이며, 예방한 사고는 조사할 필요가 없습니다.

자극, 조사, 대응의 주기

제가 만나는 많은 팀은 보안을 두 가지 트리거가 있는 순환 구조로 운영합니다.

첫 번째는 감사입니다. 감사인이 오기 전까지 아무도 태세를 자세히 들여다보지 않습니다. 그때서야 팀은 일년 내내 기준을 충족했음을 입증하기 위해 며칠 동안 보고서를 추출하고, 타임라인을 재구성하고, 스크린샷을 쎫아다닙니다. 그것으로 준수 항목은 체크할 수 있을지 모릅니다. 보안 활동으로서는 부족한 점이 많습니다. 증거는 수집한 그 주에 사실이었던 것만 보여 주고, 그 이전 몇 달에 대해서는 거의 아무것도 보여 주지 못하기 때문입니다.

두 번째는 경보입니다. 더 성숙한 팀은 중요한 시나리오를 골라 그에 맞춰 경보를 만들고, 경보가 울리면 조사합니다. 분명 한 단계 발전한 것입니다. 문제는 많은 경보가 이미 위반된 정책을 설명한다는 점입니다. 누군가 Domain Admins에 추가되었거나 민감한 파일 폴더가 Everyone에게 열렸다는 것을 알게 될 때에는, 이미 예방했어야 할 위반을 조사하고 있는 것입니다. 두 경우 모두 감사인이나 사고가 팀의 일정을 정합니다.

프레임워크는 이미 지속적인 개선을 기대합니다

감사인은 이미 오래 전에 스냅샷 방식을 넘어졌습니다. SOC 2 Type I 보고서는 특정 시점에 통제가 올바르게 설계되었는지 확인합니다. Type II 보고서는 보통 3개월에서 12개월의 기간 동안 통제가 효과적으로 운영되었는지 테스트합니다. ISO/IEC 27001:2022는 보안 통제를 모니터링하고 측정하며(9.1항) 보안 관리 체계를 지속적으로 개선할 것(10.1항)을 요구합니다. NIST CSF 2.0은 지속적 모니터링과 개선을 모두 범주로 포함합니다. 각 프레임워크는 시간에 걸쳐 태세에 대해 조치하고 있음을 보여 주기를 요구하며, 감사 직전의 벌떡 대응은 이를 입증하는 가장 어려운 방법입니다.

실제로 사전 예방 보안이 어떤 모습인지

사전 예방 보안은 대부분 정책을 중심으로 한 주기이며, 작게 시작할 수 있습니다.

• 벤치마크를 토대로 첫 정책을 정하십시오. 좋은 상태의 정의를 직접 만들 필요는 없습니다. CIS Benchmarks, NIST CSF, 또는 감사인이 테스트하는 SOC 2 기준 등 비즈니스에 중요한 프레임워크나 벤치마크에서 시작하십시오. 그 중 몇 가지 통제를 정책으로 바꾸십시오. 좋은 출발점으로는 최근 로그인 없는 활성 계정, 비밀번호가 필요 없는 계정, 구성원을 아무도 설명하지 못하는 권한 그룹, Everyone 또는 외부 사용자와 공유된 민감한 파일이 있습니다.
• 시나리오를 파악하고 데이터를 확보하십시오. 각 정책에 대해 충족 여부를 알기 위해 무엇을 봐야 하는지 정하십시오. 그런 다음 그 정보를 지속적으로 모니터링하는 도구를 도입하여 분기마다 수작업으로 다시 만들지 않도록 하십시오.
• 결과를 명확하고 실행 가능하게 만드십시오. 기준선은 팀이 한눈에 읽고 무엇을 먼저 고쳐야 할지 알 수 있을 때에만 유용합니다. 결과를 해석하려면 전문가가 필요하다면 조치로 이어지지 않습니다.
• 매주 사전 예방 차원의 위험을 검토하십시오. 30분을 확보해 아직 경보나 사고로 이어지지 않은 가장 중요한 위험을 살펴보십시오. 각 위험이 합리적인지 판단하고, 그렇지 않다면 고치십시오. 같은 결과를 계속 수용한다면 정책을 비즈니스의 실제 운영 방식에 맞게 조정해야 할 수 있습니다.
• 추세를 지켜보십시오. 단일 점수는 오늘 어디에 있는지를 보여 줍니다. 시간에 따라 어떻게 변하는지는 경영진과 감사인에게 이 활동이 효과가 있는지 보여 줍니다. 작고 꾸준한 개선은 감사를 수월하게 만들고 위험을 계속 낮춰 잠재적인 침해로부터 더 멀어지게 합니다.

흔한 예를 들어 보겠습니다. 계약직 직원이 프로젝트를 마치지만 계정은 활성 상태로 남아 있습니다. 경보 중심 모델에서는 그 계정이 예상치 못한 곳에서 로그인할 때 알게 됩니다. 사전 예방 주기에서는 주간 검토에서 최근 활동이 없는 활성 계정으로 나타나, 다른 누군가 사용하기 전에 비활성화합니다.

태세 관리가 모든 공격을 막지는 못하며, 의심스러운 행동에 대한 경보는 여전히 필요합니다. 다만 공격자가 의존하는 잘못된 구성을 줄여 주므로, 받는 경보가 새로운 무언가를 가리킬 가능성이 더 높아집니다.

대부분의 팀이 수동적으로 머물러 있는 이유

팀 규모보다 실무 성숙도가 더 중요합니다. 3명의 팀도 성숙한 프로그램을 운영할 수 있고, 대기업도 여전히 감사에서 감사로 바쁜 시간을 보낼 수 있습니다. 가장 어려움을 겪는 팀은 개선하려고 노력하는 팀, 또는 새로운 규정 준수 요건, 고객의 보안 검토, 사이버 보험 설문지로 인해 떠밀리듯 시작하는 팀입니다.

이들을 막는 것은 마찰입니다. 좋은 상태에 대한 정의가 준비되어 있지 않습니다. 수백 개의 설정 중 무엇이 가장 중요한지 알 수 없고, 처음부터 프레임워크를 만들 시간이 아무에게도 없습니다. 대규모 조직은 종종 컨설턴트를 고용해 이를 제공받습니다. 비용이 많이 들고, 보통 특정 시점에 고정된 또 하나의 평가만 남깁니다. 대부분의 중소기업은 예산 편성조차 할 수 없습니다.

저는 이러한 마찰을 없앤 수 있도록 도와주는 것이 제품의 역할이라고 생각합니다. 좋은 태세 도구는 내장된 기준선, 위험을 높이는 요인에 대한 쉽은 말로 된 설명, 무엇을 먼저 고쳐야 하는지에 대한 명확한 감각을 제공해야 합니다. 팀이 직접 프레임워크를 가져와야 한다면 대부분의 팀은 첫 단계를 넘지 못합니다.

주기부터 시작하십시오

시작하는 데 성숙한 프로그램은 필요 없습니다. 벤치마크에서 몇 가지 정책으로 시작하고, 기준선을 확보하고, 주당 30분을 지키십시오. 몇 달 후면 외부 자극이 더 이상 일정을 정하지 않고, 다음 감사는 하루 오후면 뽑을 수 있는 보고서가 됩니다.

저희가 Netwrix 1Secure를 만드는 것도 바로 이런 실무를 돕기 위해서이며, 팀에게 태세의 출발점이 되어 주는 내장 위험 평가를 제공합니다.

오늘 태세가 어느 수준인지 확인해 보십시오. Netwrix 1Secure 무료 체험을 시작하십시오.