호주 정부가 국가 사이버 보안 복원력을 구축하고 위협에 맞서 설 수 있는 방법

2020년이 다가오면서 원격 근무의 급격한 증가대규모 데이터 침해가 계속되고 온라인 개인 정보 침해로 인한 결과에 대한 관심이 높아지면서 사이버 보안에 대한 대중의 관심이 그 어느 때보다 커졌습니다.그 결과 전 세계 정부는 기업이 가장 소중한 디지털 리소스를 처리할 때 따라야 하는 전략과 규정을 포함하여 사이버 보안 계획과 인프라를 재편하고 업데이트하기 위해 개입했습니다.

사이버 보안에 대한 전략적 보호 지침은 새로운 개념이 아니며 조직에서는 NIST 수년 동안 세계 정부 부처의 정책을 알려 왔습니다.빠른 속도로 디지털 발전을 진행하면서 많은 사람들이 끊임없이 변화하는 환경의 일부인 위협의 수, 가능한 공격 경로 및 규정 준수 요구 사항을 따라잡기가 어려워졌습니다.

최근 54,000개의 뉴사우스웨일즈 운전면허증 위반 쉽게 액세스할 수 있고 잘못 구성된 타사 서버의 S3 버킷으로 인해 수천 명의 개인이 피해를 입었습니다. 이를 보고한 보안 연구원은 데이터가 이미 다크 웹에서 판매되었을 수 있다고 인정했습니다.안타까운 점은 이 문제를 쉽게 해결할 수 있다는 것입니다. 캐시를 구성하는 사람들이 보안을 최우선으로 고려했다면 이런 일이 일어날 가능성은 전혀 없었을 것입니다.

호주 정부는 최근 다음과 같은 내용을 발표했습니다. 호주 사이버 보안 전략 2020“호주인과 그들의 비즈니스 및 우리 모두가 의존하는 필수 서비스를 위해 보다 안전한 온라인 세상을 만들겠다는 비전”을 달성하기 위해 향후 10년 동안 사용할 새로운 이니셔티브와 16억 7천만 달러의 자금 지원을 강조합니다.이번 검토는 매우 환영할 만한 일이며 업데이트된 계획임이 분명합니다. 특히 주요 목표 중 하나가 다음과 같기 때문입니다.

“제품과 서비스를 보호하고 알려진 사이버 취약성으로부터 고객을 보호하기 위한 기업의 조치“.

정부 기관은 국가의 중요 인프라, 즉 치명적인 조직적 공격이 일어날 수 있는 지역에 대한 보안 조치에 (필요한 만큼) 초점을 맞추는 경향이 있지만, 과거에는 매일 데이터를 수집하고 사용하는 기업을 위한 지침이 부족했습니다.

이런 공식 전략의 경우 맥주와 스키틀즈가 항상 중요한 것은 아닙니다.해석하기 조금 어렵고 세부 사항이 모호할 수 있기 때문에 구체적이지 않은 지침을 기반으로 계획을 짜는 것은 조직의 보안 팀에 맡겨질 수 있습니다.이 문제는 호주 정부에만 국한된 문제가 아닙니다. 이제 새로 출시된 릴리스를 분석해 보겠습니다.

예방이 아닌 반응에 초점을 맞춥니다.

업데이트된 호주 사이버 보안 전략은 기업, 특히 중소기업을 위한 상당히 포괄적인 계획을 포함하여 2016년 마지막 릴리스에 비해 더욱 관련성이 높은 개선되었습니다.이 전략은 다음과 같이 요약됩니다.

“정부 및 대기업은 중소기업 (SME) 이 사이버 보안에 대한 인식과 역량을 키우고 성장하도록 지원할 것입니다.호주 정부는 대기업 및 서비스 제공업체와 협력하여 SME에 보안 서비스 (예: 위협 차단, 안티바이러스, 사이버 보안 인식 교육 등) 의 일환으로 사이버 보안 정보 및 도구를 제공할 예정입니다..”

이를 통해 SME는 사이버 위협으로부터 비즈니스를 보호할 수 있는 적절한 기본 기반을 제공할 수 있지만 대체로 반응형 접근 방식입니다.그리고 사이버 보안 환경에서 비교적 작은 부분인 탐지 도구에 초점을 맞추고 있습니다.

또한 대기업이 스스로를 보호하고 공격 경로를 줄일 수 있는 방법에 대한 정보도 놀라울 정도로 적습니다.주요 인프라 (예: 통신, 교통) 를 보호하기 위한 계획에 참여하고 있는 것도 많지만, 금융 서비스, 소매점, 그리고 다른 많은 업종들은 성공적인 사이버 공격과 관련하여 잃을 것이 많습니다.아마도 이는 향후 법안의 일부가 될 수도 있겠지만, 그렇더라도 기업 차원에서 세심한 사이버 보안 모범 사례의 중요성을 강조하는 것은 중대한 변화를 가져오고 손상된 데이터 및 사이버 범죄를 줄이는 데 필수적입니다.

전반적으로 전략을 고려할 때 반응형 접근 방식을 중심으로 구축되었습니다.사이버 공격에 대응하고, 활동 중인 사이버 범죄자를 교란하고, 기소를 보장하고, 국제 동맹국과의 정보 공유도 모두 중요한 요소이지만, 국가 차원의 보호 표준이 예방에 초점을 맞췄다고 상상해 보십시오.중요 인프라에 대한 보호 조치와 함께 모든 비즈니스에서 보안을 최우선으로 생각하고 디지털 세상을 만드는 코드를 만지는 모든 사람이 공격이 발생하기 전에 차단할 수 있는 적절한 장비를 갖추고 있다면 피해자가 시간, 비용 및 고통을 절감할 수 있을 만큼 크게 절감할 수 있습니다.

회복력은 가능하지만 계획을 세워야 합니다.

사이버 보안에 대해 진지하게 생각하려는 호주 정부의 노력을 보면 사이버 보안이 국가 차원에서 주요 위험 영역으로 확인되었다는 것이 분명합니다.우리의 생활 방식을 방해할 수 있는 다른 악의적 공격과 마찬가지로, 복구 능력은 절대적으로 중요합니다. 이러한 시도를 견뎌내는 것뿐만 아니라 그러한 시도를 저지하는 역할을 하기 위해서입니다.결국 위협 행위자들도 게으름을 피울 수 있으며, 성공을 가로막는 장애물이 너무 많으면 목표 달성을 위해 더 쉬운 표적으로 이동하게 됩니다.

현재, 우리는 세계적인 사이버 보안 기술 부족에 직면해 있습니다그리고 이것은 전 세계 CISO들이 밤에도 깨어있게 하는 원동력입니다.수십억 줄의 코드, 끊이지 않는 대규모 데이터 침해, 높아지는 페널티 위험 (메리어트만 해도 GDPR 기준 1억 2300만 달러 벌금 수령 2018년 데이터 유출 사고에 대해... 그리고 그들은 올해 또 다른 보안 침해가 발생했습니다.) 는 그 어느 때보다 보안 전문가에 대한 수요 격차를 만들었으며, 현실적으로 폐쇄될 가능성은 거의 없습니다.모든 각도에서 이를 강화하기에는 코드는 너무 많고 리소스는 너무 적습니다.

그렇다면 사이버 위협에 맞서 우리가 진정으로 우뚝 설 수 있다는 생각을 포기해야 할까요?기회는 아니죠.레질리언스를 위해서는 가용한 리소스를 모두 활용하고 한 발 앞서 생각해야 합니다.그리고 많은 기업에서 개발자는 코드가 작성되는 즉시 강력한 강화 방법을 사용할 수 있습니다..이는 기업 전반에 걸쳐 가시적이고 긍정적인 보안 문화를 조성할 경우 많은 공격자가 흔들거나 무너뜨리기 어려운 안전한 기반을 제공합니다.하지만 이 방법을 사용하려면 호주 사이버 보안 전략의 제안을 예로 들어 비즈니스와 관련된 효과적인 변화를 지원하기 위해 이러한 제안을 맞춤화할 수 있는 방법을 심층적으로 살펴봐야 합니다.

이를 위해서는 다음과 같은 몇 가지 팁을 세분화하는 것이 중요합니다.

• 보안 인식 교육: 이는 특히 중소기업을 대상으로 하며 전체 보고서의 맥락에서 모든 직원에게 기본적인 보안 위생 (예: 피싱 이메일 탐지, 알 수 없는 링크 클릭 금지 등) 을 가르치는 것을 목표로 합니다.현실적으로는 그보다 훨씬 더 나아가 특히 개발자와 같이 코드를 접하는 사람들의 경우 역할에 특화되어야 합니다.보안 인식 교육은 예방 조치 및 복원력 구축의 구성 요소라는 것이 필수적입니다.
• 교육: 새로운 변화로, 초등 및 중고등학교에서 고등 교육에 이르는 사이버 보안 교육에 중점을 두어 향후 10년 동안 사이버 보안 기술 부족 문제를 해결하기 위한 심층적인 계획이 있습니다.이는 미래의 보안 슈퍼스타를 양성하기 위해 절실히 필요하지만, 당장의 비즈니스 요구 사항을 해결하기 위한 관점에서 볼 때 개발 집단을 위한 보안 코딩에 대한 실무 교육은 일반적인 취약점을 줄이기 위해 절대적으로 필요하며 기능적 보안 프로그램의 일부여야 합니다.

보안 전문가로서 우리는 전 세계 기업이 단순한 기본 인식 측정을 넘어서는 내부 보안 프로그램 구축의 중요성을 이해할 수 있도록 더 많은 노력을 기울여야 합니다.시간을 들여 개발자의 역량을 향상시키면 과로한 AppSec 전문가의 부담을 덜 수 있으며, 전체 조직이 자신의 역할과 관련하여 최대한 보안을 인식하도록 하는 것은 소프트웨어의 위협 표면 공격 영역을 줄이는 데 매우 중요합니다.

개발자 기술 향상에는 많은 시간이 소요되는데 왜 그렇게 많은 회사들이 이를 무시할까요?

DDLS의 최근 설문 조사에 따르면 호주 조직의 사이버 보안 교육에 대한 우선 순위는 거의 없습니다.사실, 상위 3개 교육 우선순위에 포함되지도 않았습니다.응답자의 77% 가 사이버 보안 인식이 비즈니스에서 “매우 중요”하거나 “매우 중요”하다고 평가했음에도 불구하고

따라서 호주가 점점 확대되는 기술 격차를 좁히기 위해 고군분투하고 있으며 필수 서비스부터 소매업에 이르기까지 보다 탄력적인 인프라를 만들기 위해 해야 할 일이 있다는 것은 놀라운 일이 아닙니다.

여기에는 엄청난 기회가 있습니다. 정부 보안 기술 기준, 인증 또는 규정을 수립하기 위한 것이며, 전략은 이를 한정된 리소스로 작업하는 방법으로 암시합니다.하지만 다시 한 번 말씀드리지만, 이는 미래 지향적인 제안인 것 같습니다. 우리는 영향력이 큰 분야를 먼저 목표로 한다면 훨씬 더 빨리 시작할 수 있는 도구를 갖추고 있습니다.저에게 희망의 등대는 각 조직 내 개발 팀에 있습니다. 성공에 필요한 도구와 지식이 있다면 개발 팀은 흔히 발생하는 취약점을 즉시 차단하고 조직 내 데이터 침해 위험을 크게 줄일 수 있습니다.

2019년에는 전체 데이터 침해의 24% 가 사람의 실수로 인해 발생했습니다. 즉, 보안 구성 오류입니다. 이는 일반적으로 비교적 간단한 코드 수준 수정입니다.여기에서 전사적 보안 인식 제고와 더불어 교육을 우선 순위로 삼는다면 수천 명의 보안 침해 통지에 동의하는 CISO가 줄어들 것이라고 장담할 수 있습니다.