CISO는 어떤 지표가 필요합니까?
재무, 소매, 항공우주, 미디어, 통신, 컨설팅 및 기타 여러 산업에 걸쳐 세계적으로 가장 유명한 조직의 CISO 및 CIO를 만날 때 매일 듣는 질문입니다. 대화가 우리를 어디로 데려가든, 근본적인 문제는 자신감의 하나입니다. 데이터가 최신이고, 완전하며, 조직의 맥락에서 이루어지고, 위험, 규정 준수 및 운영에 있는 동료들이 유사한 이야기를 하고 있습니까? 그렇지 않다면 메모를 비교해야 하지 않습니까? 패치 규정 준수 또는 다른 중요한 IT 기능 등 어떤 것에 대해 100 % 미만을 “허용 가능한” 벤치마크로 받아들이게 된 이유는 무엇입니까?
저는 Tanium의 2019 Resilience Gap 연구를 이러한 많은 CIO 및 CISO와 함께 전반적인 IT 성능과 관련된 인접 역할의 IT 이사 및 기타 리더와 공유했습니다. CIO와 CISO는 종종 두 가지 핵심 비즈니스 요구 사항인 시스템 가동 시간(가용성)과 효과적인 보안(패치 관리)의 균형을 맞추기 위해 노력합니다. 회복력 격차 조사가 강조됨에 따라, 후자는 종종 배포 유효성, 적용 범위 및 적절한 보고에 관한 레거시 우려로 인해 파킹 순서에 빠집니다.
저는 이 데이터를 CISO와 공유하며 그들은 때때로 한숨을 쉬며 고개를 끄덕입니다. 한 CISO는 최근에 그의 팀이 엔드포인트 전반에서 95% 규정 준수를 보고했다고 말했으며, 저는 그에게 그 의미가 무엇인지 명확히 해 달라고 요청했습니다. 이것이 CIO에게 제공하는 지표라고 그는 말했습니다. 그는 CFO, CEO 및 이사회에 정기적으로 보고하는 데 이 지표를 포함시킵니다. 하지만 CISO는 관리형 또는 비관리형 엔드포인트의 수를 정확히 알 수 있는 방법이 없었고, 95%가 참조하고 있었기 때문에 상대적 근사치를 절약할 수 없었습니다. 이것은 인정하기 어려운 일이지만 매일 발생합니다. Tanium의 연구에 따르면 CIO 및 CISO의 80% 이상이 비즈니스 운영에 미치는 영향에 대한 우려로 인해 중요한 보안 업데이트 또는 패치를 1회 이상 수행하지 않았습니다.
얼마나 많은 위험이 있는지 모를 경우 어떻게 위험을 관리할 수 있습니까?
우리가 진보에 저항하는 것처럼 보이지는 않습니다. 우리는 CISO와 기술 리더에게 업무의 전통적인 목표를 넘어서 생각하도록 요청했습니다. IT 자산을 관리해야 하지만 지식과 전문 지식을 활용하여 디지털 혁신을 추진하고, 조직의 전반적인 보안 및 복원력을 강화하며, IT를 비용 센터 대신 조력자로 만들어야 합니다. 우리가 수년 동안 들은 모든 일입니다. 그러나 운영 및 사이버 보안은 주로 물리적 또는 기술적 아키텍처 측면에서 살펴보고 가시성 및 제어와 관련하여 특정 제한을 수용합니다. 이는 더 나은 비즈니스 대화를 하는 데 도움이 되지 않습니다. 얼마나 많은 위험이 있는지 모를 경우 어떻게 위험을 관리할 수 있습니까?
다음은 경영진 회의에서 항상 진행되는 일반적인 시나리오입니다. 특히 이번 주에는 CVE-2019-0708, “웜블” Windows 버그에 관한 뉴스를 보았습니다.
- CISO가 개입되어 비즈니스가 CVE-2019-0708에 취약한지 묻습니다. CISO는 스캔을 실행할 것을 약속하지만 레거시 기술을 사용하면 몇 주가 걸릴 수 있음을 알고 있습니다.
- 취약한 경우 CISO는 필요한 패치를 배포하는 데 걸리는 시간을 묻습니다. CISO는 마지막으로 “유리 파손” 보안 문제가 있었던 때 95% 패치 배포를 달성하는 데 20 일이 걸렸지만, 팀이 실제로 엔드포인트가 얼마나 있는지 확신하지 못하기 때문에 그 수가 75%에 가까울 수 있음을 기억합니다.
- 이러한 엔드포인트 중에서 CISO와 비즈니스는 Windows 8 또는 10를 실행하는 수를 파악하는 것이 중요하므로 CV-2019-0708은 영향을 받지 않습니다. 안타깝게도 해당 데이터를 쉽게 찾을 수 없습니다.
이러한 문제는 모두 IT 자산의 가시성과 제어 문제입니다. 클라우드, 디지털 혁신, 규정 준수, 보안 및 IT 리더의 시간을 지배하는 모든 것 중에서 모든 사람에게 “기본으로 돌아가기”를 요청하는 것은 신중하지 않습니다. CIO와 CISO의 업무는 20, 10 또는 심지어 5년 전과 동일하지 않습니다. 그러나 CIO와 CISO의 94%가 조직을 얼마나 잘 운영 중단으로부터 보호할 수 있는지 양보해야 한다고 인정하는 경우, IT 자산, 양질의 결정을 내릴 수 있는 데이터, 지체 없이 다른 작업을 복구, 패치 및 수행할 수 있는 능력을 정확히 파악해야 합니다.
기본 원칙을 고집하면 CISO와 CIO 업무가 더 쉬워지고 비즈니스의 위험이 더 잘 관리됩니다. 완전한 가시성과 제어보다 탄력적인 IT 자산에 더 중요한 것은 없습니다. 제한된 가시성을 수용할 때 깨닫는 것보다 훨씬 더 많은 것을 포기하고 있습니다.
Tanium이 작동하는 것을 보고 싶으십니까? 일대일 데모를 예약 하거나 주간 웨비나에 참석하십시오. 예정된 이벤트에서 Tanium 전문가와 상의하십시오.
