디지털 혁신은 기업 비즈니스 기술 스택을 지속적으로 변화시키고 있습니다. 이전에 중앙에서 제어되었던 동기 경계, 기업에서 발급한 엔드포인트 및 온프레미스 인프라는 소프트웨어 서비스, 클라우드 인프라 및 분산형 애플리케이션 서비스 웹의 확장과 지속적인 증가로 발전했습니다.
증명하려면 돈을 따르기만 하면 됩니다. Enterprises now spend some
$700 billion annually on digital transformation projects, according to research firm Futurum. 회사의 연구에 따르면 일반적인 기업은 200 개 이상의 애플리케이션을 적극적으로 사용했을 뿐만 아니라 이러한 애플리케이션의 60%가 2년마다 전환됩니다. That means that by 2023, 60% of applications used today will be replaced.
이는 놀라운 비율입니다. 사이버 보안에 대한 도전 때문에 현재 조직을 괴롭히고 있습니다. 클라우드 보안 회사인 Orca Security의 자문 최고 정보 보안 책임자(CISO)이자 웹 보안 의상 Akamai Technologies의 전 최고 보안 책임자인 Andy Ellis는 “이러한 모든 빠른 변화는 보안에 대한 전통적인 접근 방식을 능가했습니다. “문제에 더 많은 인간을 던지는 것은 해답이 아닙니다. 확장되지 않습니다.”
조직의 신속한 디지털 혁신 노력에 보조를 맞추고 보안 문제를 완화하기 위해 CIO와 CISO는 다음 5가지 관행을 따라야 합니다.
디지털 혁신에 보안 도입
여전히 말해야 한다고 믿기 어렵지만 보안 팀은 새로운 디지털 이니셔티브에 일찍 참여해야 합니다. 기간. 대규모 가공 식품 회사의 선임 정보 보안 임원인 John D. Johnson은 “보안은 중요한 초기 대화와 계획 중에 포함되어야 합니다.”라고 말합니다.
그런 식으로 그는 “어떤 일이 발생하면 우리는 책임을 지고, 회사를 보호하는 데 중요한 역할을 합니다. 무언가가 깨질 때에만 문제를 해결하기 위해 들어옴으로써 새로운 디지털 이니셔티브를 효과적으로 보호할 수 있는 방법은 없습니다. 우리는 조직이 새로운 디지털 마켓플레이스를 활용할 수 있도록 보다 안전한 로드맵을 수립하는 데 도움을 줄 수 있도록 전체 대화에 참여해야 합니다.”
조직 전체에 보안을 적용하는 것에는 전체 디지털 혁신 프로세스에 대한 의사 결정만 포함되는 것은 아닙니다. 또한 보안은 조직이 배포하고 있는 앱, 해당 앱에 추가된 기능, 데이터가 저장된 위치 및 해당 데이터에 액세스할 수 있는 사용자와 같은 일상적인 비즈니스 결정의 일부가 되어야 합니다.
451 Research의 정보 보안 연구 책임자인 Scott Crawford는 “여러분은 모든 사람이 동일한 길을 걸어가고 비즈니스 변화의 중요성을 이해하기를 원합니다. “이것은 사용자 인식을 가져야 하고 건전한 기업 문화를 구축하기 위해 노력해야 함을 의미합니다.”
왼쪽 보안 교대
디지털 혁신 전반에 걸쳐 보안을 통합해야 하지만 DevOps 프로세스 및 소프트웨어 애플리케이션 개발의 경우 특히 그렇습니다. 벨기에 기반 정보 보안 컨설팅 회사인 Wire Security의 CEO 겸 설립자인 Wim Remes는 이 문제를 직접 목격했습니다. DevOps는 더 높은 소프트웨어 품질과 보안을 제공할 수 있으며 이를 일관되게 수행할 수 있습니다. 하지만 그는 “소프트웨어의 위협 모델을 고려하고 복구할 결함을 지속적으로 모니터링하는 개발 및 IT 운영과 잘 부합하려면 보안 기능이 필요합니다.”라고 말합니다.
“이처럼 빠른 변화는 모두 보안에 대한 기존의 접근 방식을 뒤집었습니다.”Andy Ellis, Orca Security 자문 CISO
Liberty Mutual Insurance의 공격적 보안 책임자인 Chris Blow는 이에 동의하고 덧붙입니다. 보안이 개발에 적절히 통합되면 소프트웨어가 배포된 후 발생하는 대신 사이버 방어가 개발 파이프라인에 구축됩니다. Blow는 “이는 보안 개발을 확장하고 신속하게 만듭니다.”라고 말합니다.
할 수 있는 것 자동화
수동 프로세스는 확장되지 않으므로 회계 송장 추적에서 HR 온보딩에 이르기까지 광범위한 엔터프라이즈 애플리케이션 및 워크플로에서 프로세스 자동화가 증가하고 있습니다. 자동화는 작업자가 더 높은 수준의 작업을 수행할 수 있도록 함으로써 인적 오류를 줄이고 생산성을 높이며 직원 직무 만족도를 높입니다. 자동화도 사이버 보안 의 목표가 되어야 합니다.
다행히도 API(응용 프로그램 프로그래밍 인터페이스)의 증가와 응용 프로그램 보안 스캔, 시스템 취약성 및 구성 평가, 사용자 프로비저닝과 같은 보안 작업을 자동화하는 기능이 이를 가능하게 합니다.
Crawford는 “기업은 지속적인 자동 보안 테스트 및 검증 측면에서 생각해야 합니다.
Ellis는 이렇게 덧붙입니다. “오늘날 보안은 대부분 자동화 능력에 관한 것입니다. 반복 가능한 작업을 수행하는 데 시간을 소비하지 않도록 자동화해야 합니다. 아직 그렇게 하고 있지 않다면 뒤처진 것입니다.” 앞서나가기 위해 보안 및 기술 팀에게 최신 API 및 통합 기능을 사용하여 보안 문제에 대한 네트워크 구성을 모니터링하도록 조언합니다. “통합을 쉽게 모니터링할 수 있도록 통합을 저렴하고 쉽게 만드는 방법을 찾아야 합니다.”라고 그는 말합니다.
위생 유지
시스템이 빠르게 배포되면 보안 기본 사항도 신속하게 채택해야 합니다. 즉, 시스템을 패치하고 최신 시스템 구성을 올바르게 설정하고 엔드포인트 및 네트워크를 스캔하여 위협 및 멀웨어, 백업된 데이터 및 시스템, 불필요한 서비스를 종료해야 합니다.
Campbell의 Johnson은 “기본 위생은 시스템 민첩성을 갖추기 위해 마련되어야 합니다. 기본 위생이 없다면 새로운 이니셔티브 또는 혁신 중에 보다 정교한 기능을 수행하기가 어렵기 때문입니다.”라고 말합니다.
[또한 읽기: 사이버 위생—여기에서 사전 위험 관리 시작]
Crawford가 동의합니다. 그는 “한 걸음 물러서 서 어떤 자산이 있는지, 그리고 기술 발자국이 진화함에 따라 자산을 유지 관리하고 보호해야 할 책임이 있는 사람이 누구인지에 대한 일관성 있는 인벤토리 를 확보하는 것이 중요합니다.”라고 말합니다.
고부가가치 규제 데이터에 집중
투자 은행가가 특정 기간 동안 금융 회사, 포트폴리오 또는 포지션 내에서 발생할 수 있는 손실의 정도를 정량화하는 데 사용하는 통계 모델이 있습니다. 이를 위험 가치(VaR)라고 합니다. 조직의 보안 위험을 평가하는 CISO에게 VaR은 점점 더 중요한 도구가 되었습니다.
보안 리더는 시스템 및 데이터의 가치를 기반으로 디지털 위험을 정량화해야 하므로 사이버 보안 투자 결정을 쉽게 내릴 수 있습니다. 사이버 VaR 모델은 보안 사고로 인한 잠재적인 재정적 손실, 기간 및 발생 확률을 살펴봅니다. 이를 통해 CISO는 주요 경영진과 비즈니스 맥락에서 사이버 보안 위험에 대해 논의할 수 있습니다.
[또한 읽기: IT 위험을 평가하고 해결하는 새로운 통합 솔루션인 Tanium 위험 발표]
중요한 위험에 집중하는 것은 필수적입니다. 보안 팀이 조직의 디지털 혁신 노력에 보조를 맞추고자 하는 경우 위험 점수에 정통해야 합니다. 그렇지 않으면 알 수 없는 에 의해 깜짝 놀라게 됩니다.
Crawford는 “보안 팀은 종종 특정일에 조직 내에서 발생하는 모든 것을 다루기에는 너무 작습니다.”라고 말합니다. “그러므로 국가 비밀과 같은 모든 것을 보호하려고 하면 오랫동안 아무것도 잘 보호할 수 없을 것입니다.”
