지난 3월에 Lapsus$ 갈취 그룹의 해커들은 통신 대기업 T-Mobile에 일련의 공격을 시작했습니다. 훔친 자격 증명을 구매하고 직원 계정에 대해 스위트토크를 한 후 Lapsus$ 갱은 고객 관리 시스템과 같은 T-Mobile의 내부 도구에 액세스할 수 있었습니다. 거기서부터 해커는 조직의 가장 민감한 데이터 중 일부를 훔쳤습니다. 30.000 개 이상의 소스 코드 저장소가 있습니다. 또한 고객의 휴대폰 번호를 하이재킹하고 다단계 인증 코드를 가로챌 수 있었습니다.
그러나 T-Mobile은 심각한 보안 사고에 직면한 유일한 주요 조직이 아니었습니다. 그 다음 달에 추가 해킹은 Coca-Cola, Nestlé, Epic Games 및 Scripps Health를 포함한 조직에서 매우 민감하고 독점적인 대량의 데이터 릴리스를 위협했습니다.
The overall amount of data that hackers can now access is staggering: About 8 billion files are exposed across cloud storage folders, according to Grayhat Warfare’s search tool, and at least 7,2 million databases are exposed online, according to a scan performed for ProPublica.
볼륨이 적지만 훨씬 더 중요한 것은 조직의 가장 민감하고 가치 있는 데이터, 즉 “크라운 주얼리”입니다. 이러한 파일에는 예를 들어 회사의 주요 제품, 암호화 키 또는 민감한 보안 전략에 대한 소스 코드가 포함될 수 있습니다.
회계 회사 Warren Averett의 보안, 위험 및 통제 실무 리더이자 ISACA 신흥 동향 실무 그룹의 일원인 Paul Perry는 “기업은 가장 중요한 데이터가 무엇인지, 데이터가 어디에 있는지, 어떻게 보호되는지 알아야
합니다.”라고 말합니다.이 데이터가 해킹되면 그 결과는 치명적일 수 있습니다.”
크라운 보석을 보호하는 것이 중요하다고 전문가들은 말합니다. 하지만 올바른 보호 장치를 마련하는 것이 항상 간단한 것은 아닙니다. 다음은 조직이 가장 중요한 데이터를 보호할 때 채택해야 하는 다섯 가지 전략입니다.
- Tanium의 기술 솔루션 엔지니어인 Jenu Jose는 조직에서 가장 중요한 데이터를 찾습니다 . 가장 중요한 데이터의 수명을 결정하는 것은 데이터를 보호하는 데 필요한 첫 번째 단계이며 가장 어려운 단계일 수 있다고 말합니다. 가장 중요한 데이터는 조직 내에서 거의 잘 정의되지 않는다고 그는 말합니다. 일부 회사는 민감한 기밀 데이터에 대해 다른 범주로 데이터 보호 정책 또는 분류 시스템을 생성했을 수 있습니다. Jose는 “하지만 많은 회사들이 너무 번거롭기 때문에 무엇을 결정하는 연습을 하지 않았습니다.”라고 말합니다. “이 프로젝트는 수행하기 쉬운 프로젝트가 아닙니다.”
매우 가치 있는 데이터를 찾는 작업조차 복잡할 수 있습니다. “빠른 검색을 하고 모든 데이터를 수집할 수 없습니다.”라고 그는 말합니다. “클라우드 컴퓨팅 은 누군가의 OneDrive, Azure 또는 클라우드의 다른 위치에 있을 수 있기 때문에 찾기가 매우 어렵습니다.” 여러 플랫폼을 검색하여 민감한 데이터의 위치와 최고 수준의 보호가 필요한 리소스에 대한 진정한 아이디어를 얻어야 합니다.
“기업은 가장 중요한 데이터가 무엇인지, 데이터가 어디에 있는지, 데이터가 어떻게 보호되는지 알아야 합니다.”Paul Perry, Warren Averett의 보안, 위험 및 통제 실무 리더
- 잠재적인 데이터 유출의 영향을 평가합니다 . 크라운 주얼리를 찾은 후 조직은 각 자산의 중요도를 평가해야 합니다.라고 Jose는 말합니다. 질문: 특정 자산 또는 엔드포인트가 침해된 경우 가능한 영향은 무엇입니까? “자산 중요도는 애플리케이션, 서버 및 엔드포인트를 이해하고 데이터 유출의 잠재적 위험 측면에서 다른 가중치를 부여하는 것입니다.”라고 그는 말합니다. 이러한 가중치는 회사의 전반적인 사이버 위험 점수 시스템에 반영될 수 있습니다.조직이 자산의 중요도를 결정한
후, 취약성을 파악하고 이를 보호하기 위해 마련된 기존 통제를 평가하기 위해 위험 평가를 수행해야 합니다.라고 Warren Averett의 Perry는 말합니다. 잠재적인 약점은 조직의 모든 사람과 논의해야 한다고 그는 말합니다. 회계 부서는 IT 부서가 알지 못하는 위험에 대해 알고 있을 수 있습니다. - 보안 보호 강화 추가된 방어는 다양한 형태를 취할 수 있다고 Jose는 말합니다. 여기에는 특정 문서 암호화, 취약한 위치에서 데이터 삭제, 개인 USB 드라이브를 사용하여 데이터를 복사할 수 없도록 장치 잠금, 특정 정보에 대한 액세스 제한 등이 포함됩니다. Jose는 “특정 데이터에 대한 액세스 권한을 가진 사람을 식별하는 것은 매우 어려울 수 있습니다.”라고 말합니다. “신용카드 정보가 포함된 모든 것은 내부적으로 보관해야 한다고 명시된 분류가 있을 수 있습니다. 하지만 외부에서 데이터를 공유해야 하는 사용 사례가 있습니다. 그렇다면 어떻게 보호해야 할까요?”
성숙한 조직은 특정 파일에 액세스할 수 있는 사람들의 목록을 유지할 수 있으며, 다른 회사는 직원이 비즈니스 파트너 또는 벤더에게만 문서를 이메일로 보낼 수 있도록 할 수 있습니다. 다른 수신자에게 보내는 것은 자동으로 차단됩니다. 자산이 잠기면 조직은 보호 비용과 특정 수준의 위험에 대한 리더의 편안함 간의 균형을 어떻게 이룰지에 대해 전략적으로 생각해야 합니다.
“특정 데이터에 액세스할 수 있는 사람을 식별하는 것은 매우 어려울 수 있습니다.”Jenu Jose, Tanium의 기술 솔루션 엔지니어
- 민감한 데이터를 지속적으로 모니터링합니다 . 크라운 보석이 식별, 평가 및 보호되면 조직은 이를 모니터링해야 합니다. Perry는 “모니터링 도구는 데이터 관점에서 조직에서 일어나는 활동의 눈과 귀입니다. 누가 데이터에 액세스하는가, 얼마나 자주 액세스하는가, 그리고 액세스가 가능한가를 말합니다.”라고 말합니다. 데이터 모니터링은 파일에 액세스하고 사용하는 방법에 대한 심층적인 보기를 제공하며, 이는 정부 규정을 준수할 때 특히 중요할 수 있습니다. Tanium의 Jose는 “규정 준수를 충족하려면 특정 파일 또는 파일 세트에 대해 발생하는 모든 변경 사항을 기록할 수 있어야 합니다.”라고 말합니다. 또는 HR 문제에 도움이 될 수 있습니다. 예를 들어, 직원이 있는 공개 HR 사례에서 회사는 해당 직원의 장치에서 민감한 데이터에 대한 액세스를 모니터링하고자 할 수 있습니다.모니터링 도구를 선택할
때 조직은 특정 키워드 또는 프로젝트 이름을 포함하여 조직의 민감한 데이터에 대한 사용자 지정 정의를 생성하는 유연성을 평가해야 합니다. 또한 도구는 통합 머신 러닝(ML) 기능이 있는 최신 AI 기반 보안 솔루션 및 도구를 배포하여 IT 직원을 압도할 수 있는 오탐 보안 경고의 수를 최소화하는 데 있어 더 나은 능력을 갖추어야 합니다.
“사용자 이름과 비밀번호가 있고 무언가에 액세스하고 있다면 이제 IT 기능을 수행하고 있는 것입니다.”페리
- 조직의 문화에 대한 보안 키 만들기 조직의 보안 문화는 가장 중요한 데이터를 얼마나 잘 보호하는지를 결정합니다. 그러나 일부 회사에서는 효과적인 보안 조치를 채택하는 것이 편의성에 두 번째입니다. “직원들은 2단계 인증과 같은 것이 자신 또는 고객에게 매우 불편하다고 말할 것이기 때문에 많은 조직들이 필요한 통제를 마련하지 못하고 있습니다.”라고 Perry는 말합니다. “조직도 사이버 보안에 무감각해졌습니다. 인적 또는 자본적 자원이 매우 한정되어 있고 데이터를 가장 잘 보호하는 방법을 결정해야 하는 경우, 기업은 압도당할 수 있습니다.”
견고한 사이버 보안 문화 구축은 최상위에서 시작된다고 Jose는 덧붙입니다. 조직이 가장 중요한 데이터를 성공적으로 보호하려면 경영진은 사이버 보안에 대한 회사의 접근 방식을 전적으로 지원해야 합니다. “임원과 비즈니스로부터 동의를 받지 않으면 보호는 효과가 없습니다.”라고 그는 말합니다.
또한 CISO가 사이버 위험에 대해 이야기하여 CEO가 실제로 경청할 수 있는 방법
보호 및 정책을 마련하고 준수하는 것 또한 모든 사람이 처한 전사적인 “홀리스틱 책임”이기도 합니다. Perry는 “저는 항상 회사의 모든 사람이 이제 IT의 일부라는 사실을 알리려고 노력합니다.”라고 말합니다. “사용자 이름과 비밀번호가 있고 무언가에 액세스하고 있다면 이제 IT 기능을 어느 정도 수행하고 있는 것입니다.”
결국 IT 직원은 직원이 일상적으로 다단계 인증을 우회하거나 안전하지 않은 비밀번호를 설정하는 경우 한 손으로 뒤로 묶을 수 있습니다.
궁극적으로 리더는 보안 문화 내에서 가장 중요한 데이터를 식별, 평가, 모니터링 및 보호하기 위한 강력한 전략을 구현해야 합니다. 고도로 민감한 데이터에 대한 레이저 빔 공격과 싸울 수 없는 기업은 평판, 고객 및 왕관 보석의 치명적인 손실을 초래할 수 있습니다.
