NIST 사이버 보안 프레임워크
2014년 미국 상무부의 NIST(National Institute of Standards and Technology)는 모든 산업 분야의 기업들이 위험을 더 잘 평가하고 중요한 인프라의 보안 및 복원력을 강화하기 위한 공통 분모인 NIST 사이버보안 프레임워크라는 사이버 보안 지침의 가장 중요한 부분 중 하나를 만들었습니다. 이 프레임워크는 민간 및 공공 부문 조직에게 위험을 관리하는 데 도움이 되는 자발적인 산업 표준과 모범 사례를 제공합니다. 3년 이내에 모든 미국 조직의 30% 이상이 프레임워크 또는 그 일부를 채택했습니다. 2020년까지 이 수치는 50%로 증가할 것으로 예상됩니다.
이번 달 초, 저는 워싱턴 DC의 Billington Cybersecurity Summit 에서 이 프레임워크를 구현하기 위한 모범 사례와 인상적인 업계 리더 그룹에 대해 논의할 기회를 가졌습니다.
- Jeff Snyder, Raytheon Corporation 사이버 프로그램 부사장
- 후면 Admiral(왼쪽) Michael Brown, 부사장 겸 총괄 관리자, 글로벌 공공 부문, RSA
- Donna Dodson, 최고 사이버 보안 자문가, NIST 및 이사, NCCOE, NIST
- Ryan Gillis, Palo Alto Networks의 사이버 보안 전략 및 글로벌 정책 담당 부사장
- Terry Rice, 부사장, CISO 정보 기술, Merck
국가의 사이버 보안 개선
NIST 프레임워크는 Barack Obama 대통령의 행정 명령 에 대응하여, 우리 국가의 중요한 인프라의 사이버 보안을 개선하기 위한 프레임워크를 요구했습니다. 공공 정책의 취지는 더 큰 비즈니스 솔루션으로 확대되었으며, 이 솔루션에서는 모든 조직이 The Framework를 사용할 뿐만 아니라 이를 잠재적으로 파악할 수 있습니다. 프레임워크의 채택은 네 가지 이유로 매우 성공적이었습니다.
- 유연합니다. 프레임워크는 '모두에게 적합한' 모델이 아닙니다. 조직은 고유한 요구에 맞게 조정하고, 기존 사이버 보안 정책에 연결하며, 의료 부문 사이버 보안 프레임워크 구현 가이드와 같은 부문별 지침을 보완할 수 있습니다.
- 공통 언어를 제공합니다. 마지막으로, 서버실에서 회의실에 이르기까지 조직 내 모든 사람이 모든 사람이 이해할 수 있는 방식으로 위험을 명확하게 전달할 수 있는 방법이 있습니다. 이를 통해 구매자와 공급업체는 현재 또는 원하는 사이버 보안 프로세스를 표시할 수 있습니다.
- 이를 통해 조직은 사이버 보안에 대한 투자의 우선순위를 정할 수 있습니다. 프레임워크는 어떤 IT 활동이 미션 크리티컬한지 식별함으로써 가장 큰 위협이 있는 곳을 표적으로 삼아 IT에 지출되는 모든 비용을 극대화할 수 있습니다.
- 현실적입니다. 이는 침해가 발생할 것임을 인정하고, 가능한 한 빨리 탐지, 대응 및 복구하기 위한 지침을 제공합니다.
이번 달, NIST는 조직이 사이버 보안 노력을 보다 효과적으로 측정하는 데 사용할 수 있는 자체 평가 도구인 Baldrige Cybersecurity Excellence Builder (BCEB) 가이드에 대한 추가 자료를 발표했습니다. 프레임워크 또는 BCEB를 채택한다고 해서 조직이 연방, 주 또는 산업 규정을 준수하고 있다는 의미는 아닙니다. 오히려 이러한 문서는 조직이 자신의 고유한 요구에 맞게 맞춤화하기 위해 채택할 수 있는 자발적 지침입니다.
NIST는 업계와 정부 조직을 통합하고 사이버 보안에 대한 자발적이고 유연한 위험 기반 접근 방식을 개발하기 위해 힘을 모았습니다. 프레임워크를 더욱 유용하게 만들기 위해 비즈니스 및 보안 커뮤니티에서 우리는 서로, 그리고 정부와 학습한 교훈을 공유해야 합니다. 조직이 아직 프레임워크를 사용하지 않는 경우, 30%가 50%에 도달할 수 있도록 변화시킵니다
저자 소개: Ralph Kahn은 Tanium 연방 부사장입니다. 이 역할에서 그는 대규모 실시간 상황 인식에 대한 미국 정부의 요구를 이행하고 있습니다. 랄프는 기술 업계에서 25 년 이상의 경험을 보유하고 있습니다. 이전에는 McAfee에서 Intel 및 신기술 담당 부사장을 역임했으며, 미래지향적 사이버 연구를 통해 조직된 고급 기술 그룹을 이끌었습니다. 그의 지시에 따라 이 그룹은 몇 가지 새로운 위협 경로를 발견하고 McAfee 제품의 핵심에서 사용되고 다른 사이버 보안 제품을 포함하도록 확장되는 정보 공유 및 사이버 시스템 상호작용 모델을 개발했습니다.
