기업의 사이버 리스크가 진화함에 따라 기업도 변화해야 합니다. 비즈니스를 보호하고 직원들에게 의미 있는 사이버 보안 문화를 조성하기 위한 5가지 팁을 소개합니다.
사이버 보안 문화를 조성하는 것은 항상 조직의 사이버 보안 전략에서 중요한 요소였습니다. 하지만 코로나19로 인한 원격 근무로의 대규모 전환과 하이브리드 업무 환경의 증가는 위협 환경을 근본적으로 변화시켰습니다.
과거의 사이버 보안 정책은 물론 팬데믹 초기에 제정된 정책도 새로운 사이버 보안 과제에 직면하여 재평가되어야 합니다. 새로운 위험을 식별하고, 명확하게 설명하며, 비즈니스 전략과 연계되도록 해야 합니다.
위험 프로필이 변화함에 따라 조직의 사이버 보안 문화도 변화해야 하기 때문입니다. 그리고 진화하는 보안 위험에 대처하는 데 필요한 행동과 사고방식, 즉 기업의 사이버 보안 문화는 조직 전체로 확장되어야 합니다.
사이버 보안 문화란 무엇이며 왜 중요한가요?
사이버 보안 문화는 모든 사람이 사이버 보안에 대해 관심을 갖고 이를 개선하려는 동기가 부여된 업무 환경으로 간주되어야 하며, 사람들은 사이버 보안이 중요한 이유를 이해하고 스스로를 솔루션의 일부로 여깁니다.
사이버 보안 문화를 조성하면 직원들이 어떤 위험이 존재하거나 발생할 수 있는지 인지하고 이에 대응하거나 신고하는 방법을 이해할 수 있습니다. 이러한 인식은 사이버 공격과 잠재적인 데이터 침해에 대한 강력한 방어선을 구축하여 조직을 더 효과적으로 보호하는 데 도움이 됩니다.
도전 과제
보안을 위한 적절한 예산 부족은 모든 조직이 직면하는 주요 과제 중 하나입니다. 또 다른 문제는 회사 경영진의 지원 없이 사이버 보안 문화를 조성하는 것입니다.
보안에 대한 평판이 좋지 않습니다. '보안 브랜드'는 사이버 보안 문화를 조성하는 데 있어 중요한 요소입니다. 보안에 대한 사람들의 태도를 바꾸기 위해 노력하는 보안 팀이 항상 존중받거나 이해받지 못한다는 것은 극복해야 할 장애물입니다.
조직의 최고 보안 책임자는 이러한 도전에 맞서야 합니다. 사이버 보안 문화를 주도하고 구축하며 이를 우선 순위로 삼을 수 있는 혁신적인 CISO를 찾는 것은 많은 기업에게 어려운 과제입니다.
문화 조성을 위한 5가지 모범 사례
다음은 정보 보안 전문가가 조직 전체에 사이버 보안 문화를 조성하는 데 도움이 되는 5가지 주요 모범 사례에 대한 개요입니다.
1. 올바른 보안 도구에 투자하세요.
보안 도구는 계층화된 방어의 필수적인 부분이지만 사이버 공격에 대한 만병통치약은 아닙니다. 사이버 보안의 '인간적 측면'을 보강할 수 있는 사이버 보안 도구를 신중하게 보완하는 것이 좋습니다.
예를 들어, 머신 러닝 기술을 사용하는 SIEM 솔루션에 투자하면 보안 운영 센터 직원이 탐지 및 대응 역량을 강화하고 신호 대 잡음비를 개선하며 보안 분석가가 중요한 위협에 집중할 수 있도록 도울 수 있습니다.
그러나 기술이 발전하고 사이버 공격이 증가함에 따라 사이버 보안 기술 부족 문제는 더욱 악화되고 있다는 사실을 기억하는 것이 중요합니다. 시대를 앞서 나가기 위해서는 다양한 배경을 가진 사이버 인재를 채용, 교육, 유지하는 것이 필수적입니다.
2. 보안 접근성 확보
보안 관리자는 고위 경영진과 협력해야 합니다. 보안 전문가는 비즈니스 전략을 이해하고 이에 맞춰야 하며, 해당 전략과 관련된 위험을 파악하고 이를 비즈니스 측면에서 적절하게 전달해야 합니다.
관리자가 이해하기 쉬운 용어로 위험이 무엇이고 무엇을 요구하고 있는지 이해하면 앞으로 나아갈 수 있습니다.
3. 사이버 위생을 처음부터 끝까지 홍보합니다.
실질적인 영향을 미치려면 좋은 사이버 보안 관행이 최고 경영진으로부터 시작되어 조직 전체로 퍼져나가야 합니다. CEO가 긍정적인 사이버 보안 관행을 보여주고 회사 전체에 좋은 모범을 보인다면 나머지 팀원들도 이를 따를 가능성이 높습니다.
사이버 보안을 최우선 과제로 삼고 회사 전체의 분위기를 조성해야 합니다.
- 경영진이 사이버 보안 교육 과정에 참여하도록 장려하세요.
- 계층적 수준에 관계없이 전반적으로 보안 정책과 프로세스를 적용하세요.
- 정책 입안자와 협력하여 이사회 구성원의 업무 방식에 따라 절차를 조정하세요. 정책이 그들에게 효과가 없다면 조직의 하위 수준에서도 효과가 없을 가능성이 높습니다.
- 관행이 회사 전체로 확산되는 데는 시간이 걸린다고 가정합니다. 문화가 발전하려면 시간과 노력이 필요합니다.
4. 인간에 집중
보안팀은 종종 '사람 중심'의 보안 프로그램을 마련하는 것과 모든 직원이 반드시 받아야 하는 보안 인식 교육을 제공하는 것을 동일시하는 경우가 많습니다.
사람으로부터 시작해야 합니다. 즉, 이해관계자를 분석하고 그들의 행동과 과제를 이해하며 무엇이 변화해야 하고 어떻게 그 변화를 구현할 수 있는지 파악해야 합니다. 그런 다음 이를 바탕으로 각 이해관계자 커뮤니티를 위한 안전 문화 이니셔티브를 수립합니다.
5. 제로 트러스트 전략 수립
사이버 보안 업계에서는 멀티팩터 인증(MFA) 및 제로 트러스트와 같은 보안 전략이 액세스 제어를 강화하는 방법으로 자주 논의되지만, 제로 트러스트가 빠르게 인기를 얻고 있으며 많은 조직에서 이 사고방식을 도입하려고 합니다.
기업 사이버 보안을 위한 제로 트러스트 전략은 모든 사용자가 특정 기업 시스템이나 데이터에 대한 액세스 권한을 부여받기 전에 지속적으로 인증, 권한 부여 및 검증을 받아야 하는 프레임워크입니다. 여기에는 하이브리드 근무의 영구적인 단계에 접어들면서 회사 네트워크 내부의 사용자와 회사 네트워크 외부의 사용자 모두 포함됩니다.
이 모델을 회사 전체에 적용하면 회사 내 모든 사람이 동일한 보안 조치를 적용하므로 실수로 인해 비즈니스에 손실을 입힐 여지가 거의 없습니다.
결론
보안 문화의 중요성을 강조하는 조직이 너무 적어 잘못된 의사 결정, 시스템 손상 및 사이버 침해로 이어질 수 있습니다.
사이버 보안 문화를 발전시키는 것은 지속적인 과정이며 조직의 모든 계층의 참여가 필요합니다.
직장에서 올바른 사이버 보안 관행을 구현하면 시간이 지남에 따라 보안 문화를 구축할 수 있을 뿐만 아니라 조직을 사이버 위협으로부터 더 잘 보호할 수 있습니다.
