보안 결정은 직원, 고객, 주주 및 비즈니스 연속성에 직접적인 영향을 미칩니다. CISO(최고 정보 보안 책임자)의 역할이 기술 리더에서 비즈니스 리더로 발전함에 따라 점점 더 비즈니스 목표와 보안 위험 간의 격차를 해소하고 보안을 측정 가능한 결과로 전환해야 합니다. 이번 글에서는 이 문제를 의 관점에서 살펴보겠습니다. 신원 보안.
CISO 역설: 때때로 사이버 보안은 사이버 보안보다 더 비즈니스적입니다.
모든 비즈니스 결정과 마찬가지로 사이버 보안은 위험 관리의 문제입니다. 즉, 사이버 보안에 투자하여 얻을 수 있는 잠재적 위험 감소와 이러한 투자에 수반되는 비용입니다. 다른 조직의 요구 사항에 리소스를 할당하는 것과 마찬가지로 사이버 보안에 대한 투자는 올바른 도구를 구입하는 것 이상입니다. 이는 비즈니스 연속성, 직원, 고객, 주주 및 기타 많은 사람들에게 영향을 미칩니다.
문제는 비즈니스 리더가 일반적으로 사이버 보안을 비즈니스 결정으로 보지 않는다는 것입니다. 그 이유는 CISO의 역할이 진화했고 조직은 여전히 조정 중이기 때문입니다. CISO는 이제 기술 리더라기보다 비즈니스 리더에 가깝지만 이 개념은 아직 완전히 이해되고 구현되지 않았습니다.
이로 인해 CISO에게는 복잡한 작업이 발생합니다. 정보 보안 설계자는 솔루션 측면에서 말하고, 경영진은 비즈니스 결과 측면에서 말합니다. 이 둘의 균형을 맞추고 하나를 다른 것으로 번역하려면 엄청난 노력과 더 큰 권위가 필요합니다. 계산된 비즈니스 결정을 내리려면 다음 공식을 적용하는 것이 도움이 됩니다.
- 현재 위험: 조직의 공격 표면 평가, 위반 시 금전적 손실, 각 부서에 대한 가동 중지 시간의 영향, 위반 가능성에 대한 통계를 발표합니다. 위반 비용등
- 예상되는 위험 감소: 제안된 보안 계획의 구현에 따른 위험 예측(예: 공격 표면, 보험료 인하 등
- 투자 비용: 도구 구매 및 교육을 포함하여 제안된 보안 계획을 구현하는 데 드는 총 비용입니다.
가격은 지불하는 것이고, 가치는 얻는 것입니다. 신원 보안의 실제 비용은 얼마입니까?
그렇다면 위의 방정식은 ID 보안을 비즈니스 중심 결정으로 어떻게 변환합니까?
ID 공격 표면 상태 보고서에 따르면, 83%의 조직이 손상된 자격 증명과 관련된 보안 위반을 경험했습니다.. 대부분의 랜섬웨어 공격은 다음을 사용합니다. 측면 운동 네트워크 전체에 확산됩니다. 일반적으로 초기 진입점은 손상된 일반 사용자 계정을 통하거나 서비스 계정.
이러한 핵심 부분을 보호하는 데 드는 비용을 살펴보겠습니다. 신원 공격 더 자세히 표면화합니다. 우리는 MFA를 예로 들어 논의하는 것으로 시작하고, 그 다음에 논의할 것입니다. 서비스 계정 뿐만 아니라.
MFA… 하지만 비용은 얼마나 듭니까?
의 경우 MFA조직에는 다음 두 가지 옵션이 있습니다.
- 관리자에게만 MFA 시행: 모든 사용자에 대해 MFA보다 저렴하지만 그렇지 않습니다. 측면 이동을 방지 여기에는 일반 사용자가 포함됩니다.
- 모든 사용자에 대해 MFA 시행: 더 비싸지만 일반 사용자와 관련된 측면 이동에 대한 보호 기능을 제공합니다.
각각의 경우 현재 위험은 동일합니다. CISO는 방정식에 실제 숫자를 입력하여 각 옵션의 결과를 설명하고 비즈니스 중심 토론을 시작할 수 있습니다.
경영진과 이사회에 전달되고 측정 가능한 결과를 통해 입증된다면 결정은 두 가지 옵션 중 하나일 수 있습니다.
서비스 계정: 보이지 않는 데 드는 비용은 얼마입니까?
서비스 계정을 사용하면 위험을 가시성으로 전환하는 것이 더 쉽습니다.
- 구매 서비스 계정 보안 해결책: 모든 서비스 계정을 검색, 모니터링, 제어할 수 있습니다. 완전한 가시성을 제공할 수 있지만 비용이 많이 들 수 있습니다.
- 적어도 부분적으로는 수동으로 수행하십시오. 모든 서비스 계정을 추적하는 것은 어렵습니다. 소규모 조직에서는 다소 달성 가능하지만 대규모 조직에서는 거의 불가능한 작업입니다. 비용은 다양하지만 일반적으로 보안 솔루션에 투자하는 것보다 훨씬 저렴합니다.
- 아무것도 하지 마세요: 가시성은 동일하게 유지되며 현재 위험도 동일하게 유지됩니다.
보유한 조직의 수 서비스 계정에 대한 전체 가시성은 5.7%에 불과합니다.. 그러나 최근 몇 년간 세간의 이목을 끄는 많은 데이터 침해 사건에는 다음을 포함하여 인간이 아닌 신원의 사용 및 손상이 포함되었습니다. SolarWinds, 미국 인사 관리국 및 Marriott.
조직은 과거 사건이 발생했는지, 서비스 계정이 오용되거나 손상되었는지, 그리고 어떻게 되었는지 확인하기 위해 기록을 검토해야 합니다. 랜섬 공격은 해당 업계의 다른 조직에도 영향을 미쳤습니다.
각 옵션에는 장점과 단점이 있으며 모든 조직에 적합한 옵션은 없습니다. 결과 설명:
최종 생각: 격차 해소
CISO는 보안 솔루션을 비즈니스 의사결정으로 전환하는 데 있어 핵심 역할이 되고 있습니다. 그러나 큰 힘에는 큰 책임이 따릅니다. 측정 가능한 보안 결과는 토론에 대한 더 나은 이해를 촉진할 뿐만 아니라 올바른 선택을 하는 데에도 중요합니다.
올바른 선택은 무엇입니까? 위에서 본 것처럼 이 질문에 대한 단일 답변은 없습니다. 핵심은 사이버 보안을 다른 비즈니스 투자와 마찬가지로 신중하게 다루고 모든 사실을 파악하고 실제 수치를 기반으로 다루는 것입니다.