최근, 국가 최고정보책임자협회(NASCIO)는 제안된 연방법, 이 경우 2019년 주 및 지방 사이버보안 정부법을 공개적으로 지지하는 이례적인 조치를 취했습니다. 초당적 팀이 6월에 도입한 이 법안은 연방, 주 및 지방 정부가 협력하고 리소스를 공유하여 사이버 공격의 조짐을 없애는 방법을 개선하기 위해 2002 의 국토안보법을 개정할 것입니다.
이 보증이 왜 그렇게 많은 관심을 받았는지 쉽게 알 수 있습니다. NASCIO는 사이버 보안이 미국 주에서 가장 중요한 기술이라고 언급하며, 주 또는 지방 기관이 새로 발견된 공격의 헤드라인에 있지 않다는 사실은 일주일 만에 흔치 않습니다. 볼티모어의 지속적인 랜섬웨어 정리는 한 가지 예에 불과합니다.
하지만 제안된 법안과 NASCIO의 지지를 모두 읽으면서 의심스러운 점이 저의 눈에 띕니다.
StateScoop이 보고한 바와 같이, “새로운 자금과 연방 기술에 대한 접근은 사이버 보안 노력에 적절한 자금을 조달하는 데 어려움을 겪고 있는 주 CIO에게 큰 폭로가 될 것입니다. NASCIO의 지표에 따르면 대부분의 주에는 사이버 보안에 대한 전용 예산이 없습니다. 즉, 일반적인 IT 자금 지원에서 벗어나야 합니다... CIO와 CISO는 직면하는 모든 위협에 대처할 수 있는 충분한 인력이 없습니다.”
위의 모든 내용은 정확하지만 문제가 있습니다. 주 및 지방 정부 조직의 경우, 사용되지 않거나 부적절하게 배포된 기존 기술 스택의 일부에 더 많은 기술을 획득할 수 있는 리소스를 보유하는 것은 폭풍우처럼 보일 수 있지만, 처음부터 중단에 개방적인 근본적인 문제를 해결하지 못할 것입니다. 위협 벡터를 \"구매\"할 수 없습니다. 대부분의 성공적인 침해는 조직이 IT 위생을 개선하고 취약성을 패치하고 최소 권한 액세스를 위해 환경을 적절히 구성하기 위한 올바른 조치를 취하지 않았기 때문에 발생합니다.
미주 CISO인 Chris Hallenbeck이 저에게 설명했듯이, 이 법을 살펴보는 한 가지 방법은 CIO에게 더 나은 장비를 제공하는 것입니다. 또 다른 방법은 나쁜 일이 발생할 때 비난 게임을 만들 수 있다는 것입니다.
“CIO는 연방 달러의 지원을 통해 IT 예산을 늘리거나 연방 정부가 약속한 것을 얻지 못한 사건을 비난할 수 있습니다.”라고 Chris는 말했습니다. “이제 대부분의 주 CIO는 최고의 무결성으로 행동하며 끊임없는 사이버 위협으로부터 시스템과 구성 요소를 보호하고자 합니다. 그러나 현재 법안이 구성된 방식은 궁극적으로 환경을 중단에 더 탄력적으로 만들 올바른 행동에 영감을 주지 않습니다.”
이러한 도구가 모두 필요합니까? 올바른 도구입니까?
Chris가 언급했듯이, 올바른 영역에서 지시한다면 예산 완화로 더 많은 혜택이 발생할 것입니다. 주 정부가 연방 자금을 받는 경우, IT 위생, 특히 패치 관리, 자산 인벤토리 및 액세스 제어와 관련된 역사적으로 자금이 부족하거나 대부분 무시된 문제에 이를 사용할 수 있습니다. 정부 기관은 이러한 영역에서 개선이 필요하다는 것을 알고 있습니다. DHS의 지속적인 진단 및 완화(CDM) 프로그램의 1단계 가 진행 중인 하나의 이니셔티브입니다. 하지만 사고가 발생할 때 CIO와 CISO가 손가락을 가리키는 것이 아니라 결과에 대한 답변을 얻을 수 있도록 하는 통제 수단이 있는지 확인해 봅시다.
Tanium의 SLED 팀은 몇 가지 포인트 제품 및 보안 도구에 투자한 주 및 지역 기술 리더와 많은 시간을 보낸 다음, 파괴적인 이벤트를 발생시킨 다음 몇 주, 몇 달, 심지어 몇 년 동안 벤더와 이러한 도구가 도움이 되지 않는 이유를 궁금해하는 데 시간을 보냅니다. 보안 및 IT 운영에서 더 많은 리소스를 훔치더라도 문제가 해결되지 않습니다. 이는 여전히 올바른 목표를 염두에 두고 계획을 실행하는 데 달려 있습니다.
연방 기술 지원은 주에서 교육 및 평가에 사용하는 경우 가장 큰 차이를 만듭니다. 여기에는 위생 이니셔티브를 식별하고, 현재 배포된 도구가 중복되는 부분과 그 결과로 여전히 누락된 기능을 이해하기 위한 격차 분석을 수행하는 것이 포함됩니다. Proactive State CIO 및 CISO는 이 분석을 통합하여 전체 도구 수를 줄일 수 있는 기회로 사용할 수 있습니다.
올바른 것 보고
법안에 대해 제가 갖는 가장 중요한 질문은 새로운 법률이 보고 요건에 대해 제공할 것입니다. 기술 지원 및 교육의 많은 측면에서 현재 국토안보부에서 주 정부에 이미 제공되고 있습니다. 이 법안은 특히 DHS가 각 주의 보안 태세에 대해 2년마다 국토안보 및 정부 업무 위원회(HSGAC)에 보고하도록 요구하고 있습니다.
그러나 DHS는 주가 자발적으로 유용한 데이터를 제공하는 정도까지만 보고할 수 있으며, 모든 의회가 동료와 비교한다고 생각하는 경우 주가 보고하도록 장려하지 않을 것입니다. DHS가 보고를 효과적으로 만들고자 하고 주 정부가 IT 환경을 보호하는 방법을 진정으로 개선하는 데 도움이 되는 경우, 주 정부가 연방 자금에 대한 액세스를 원하는 경우 법률은 의무 보고를 요구해야 합니다. 이는 집계하여 수행할 수 있습니다.
측정 시 일부 주가 자금 지원 및 리소스 액세스에도 불구하고 상당히 지연되고 있다는 징후가 있는 경우, 주별 특정 보고를 요구하도록 법률이 개정됩니다. 그러나 무엇보다도 이 법률은 끊임없는 사이버 공격의 문제를 실제로 해결하기 위해 올바른 행동을 장려하는 것이어야 합니다.
보이지 않는 것을 보호할 수 없습니다
모든 기술 리더와 마찬가지로 스테이트 기술 리더는 최신 도구와 서비스를 구매하여 문제를 해결하기 위해 모든 규모의 벤더로부터 메시지와 빈 약속에 직면하게 됩니다. 그러나 제한된 예산, 제한된 직원 및 때때로 신뢰할 수 없는 기술로 인해 문제가 발생할 경우 리더는 더 나은 선택을 하고 실제로 환경을 중단에 더 탄력적으로 만들 수 있는 것에 투자해야 합니다.
Tanium은 SLED 조직이 엔드포인트 장치의 실시간 가시성 및 제어를 통해 사이버 위생을 개선할 수 있는 진정한 플랫폼 솔루션을 제공합니다. 자세한 내용은 주 및 지방 정부 리소스 페이지를 참조하십시오.
Tanium이 작동하는 것을 보고 싶으십니까? 일대일 데모를 예약 하거나 주간 웨비나에 참석하십시오. 예정된 이벤트에서 Tanium 전문가와 상의하십시오.
저자 소개: Tyker Fagg는 Tanium의 미국 주 및 지방 정부 및 교육 프로그램 부사장입니다.
