WannaCry 랜섬웨어 확산 속도가 새로운 것은 아니지만, 새로운 책임 문제, 특히 사이버 공격으로부터 자신을 보호하는 방법에 대한 개인적 책임을 제기하고, 더 중요한 것은 정부와 벤더 모두에게 안전한 기술 개발에 대한 책임을 지우는 것입니다. 다음 번 WannaCry 전염병을 줄이기 위해, 우리는 안전벨트와 에어백부터 점검 엔진 조명과 백업 카메라에 이르기까지 자동차를 안전하게 만드는 데 필요한 것과 동일한 수준의 통합 노력이 사이버 보안에 적용되어야 합니다. 따라서 모든 사람이 향후 사이버 공격으로부터 자신을 보호하는 데 있어 자신의 역할을 이해할 수 있습니다.
(이미지: Karen Nadine / Pixabay)
2010년, 이란에 대한 Stuxnet 바이러스는 많은 사이버 보안 전문가를 위험하고 예측할 수 없는 글로벌 사이버 공격 세계로 이끌었습니다. 이번 주에 북한을 비난하면서 WannaCry 랜섬웨어 공격은 일반 대중을 매우 위험하고 예측할 수 없는 세계로 이끌었습니다. 이 공격은 매우 중요했으며, 심지어 지역 뉴스 방송국도 이를 다루고 있었고, “사이버 혼란”에 대한 헤드라인도 매력적이었습니다.
과거에 수많은 사이버 공격을 목격한 적이 있는데, 이것이 다른 이유는 무엇입니까? 이 랜섬웨어 공격은 많은 사람들에게는 너무 개인적인 것이었습니다. 주로 기술이 우리의 일상 생활에 어느 정도까지 침투했는지를 당연하게 생각했기 때문입니다. 우리 대부분은 “일만 하는 것”처럼 작동합니다. 우리는 다이얼 톤을 생성하거나 엘리베이터를 실행하거나 심지어 응급실에서 약물을 불출하는 데 사용되는 수많은 시스템을 인식하지 못합니다. 시스템이 작동 중일 때 아무도 현재 운영 체제가 있는지, 모든 소프트웨어 패치에 대한 최신 상태인지, 크랙하기 어려운 암호를 사용하고 있는지에 대해 두 번 생각하지 않습니다. 대신 전화를 걸거나, 엘리베이터에 탑승하거나, 알약을 복용합니다.
하지만 911 로 전화를 걸 때 아무도 없을 때 어떻게 됩니까? 또는 엘리베이터가 층 사이에서 정지하고 비상 호출 버튼이 작동하지 않습니까? 또는 기록이 사라졌기 때문에 약물을 과다복용했습니까? 현재 패치와 비밀번호에 대해 생각하기에는 너무 늦었습니다. 알려진 것은 현재 알려져 있지 않으며 심지어 매우 무섭습니다.
WannaCry가 당황하는 가운데, 피해자들은 오래된 소프트웨어를 패치하기 위해 스크램블링을 하고 있었고, 회사들은 공격을 받고 있는지, 그리고 일반 대중이 무력감을 느꼈는지 확인하기 위해 스크램블링을 하고 있었으며, 다음 번이 될까 걱정하고 있었습니다.
최근 WannaCry 공격이 그 이전에 발생한 많은 300 달러 비트코인 랜섬웨어 흉터 또는 그 후에 따라올 것으로 확신하는 흉터와 형태와 구조가 다르다는 사실을 자각하지 마십시오. 그렇게 한 것은 우리 자신의 사이버 안전과 보안에 대해 개인적인 책임을 지지 않았다는 것입니다. 이는 변경되어야 합니다. 우리 각자는 우리가 매일 의존하는 기술에 더 많이 관여하고 더 많이 인식해야 합니다.
먼지가 가라앉으면서 무엇을 배웁니다? 첫째, 이 공격은 몇 년이 아니더라도 몇 달 전에 완화되었을 수 있습니다. 예, 기술 업그레이드는 광범위한 사이버 공격 감소에 대한 논의에서 중요한 부분을 차지합니다. 그러나 이러한 시스템에 대한 책임이 있는 사람들은 이러한 기술이 구현되고 보호되는 방법을 결정합니다. 개인적인 책임이 부족하면 IT 전문가는 안전하지 않은 소프트웨어를 개발하고, 패치되지 않은 버그를 보고하지 않으며, 심지어 가장 하위 시스템 관리자의 더 나은 판단에 반하여 수십 년 된 소프트웨어를 사용합니다.
사회로서 우리는 물리적 세계에서와 마찬가지로 사이버 세계에서 우리의 안전과 보안에 대해 더 큰 개인적 책임을 져야 합니다. 오일을 교환하지 않고 몇 년 동안 자동차를 운전하시겠습니까? 아마도 그렇지 않을 것입니다. 그렇다면 오래된 소프트웨어와 기술을 사용하는 이유는 무엇입니까? 조명이 잘 켜지지 않은 지역에서 밤에 ATM에서 $200 를 인출하시겠습니까? 가능성 낮음. 그렇다면 의심스러운 웹사이트를 방문하거나 의심스러운 이메일을 여는 이유는 무엇입니까? 아무도 오일을 교환하지 않고 차량을 운전하지 말거나 밤에 ATM을 피하라고 말하지 않을 것입니다. 나쁜 아이디어라는 것을 알고 계실 겁니다.
다음 WannaCry 이전: 각자가 자신의 역할을 수행할 수 있는 방법
개인의 책임 외에도 우리는 더 큰 이익을 보장해야 할 공동의 책임이 있습니다. 거리와 고속도로 주행에 대해 합의한 모범 사례와 마찬가지로 디지털 세계에서의 행동에 대해서도 합의한 모범 사례가 필요합니다. 다음은 몇 가지 예입니다.
공공 부문: 정부 리더들은 사이버 보안 101에서 충돌 과정을 긴급하게 필요로 합니다. 그리고 그때만 사이버 위기 동안 정부 기관의 역량(그리고 솔직히 제한 사항)을 진정으로 이해할 수 있습니다. 사이버 방어자는 작업을 완료하는 데 필요한 기술과 도구를 가지고 있습니까? 사이버 보안의 기본 원칙을 이해하지 못하면 이 질문에 어떻게 대답할 수 있습니까?
사설 부문: 훌륭한 사이버 보안은 맨 위에서 시작됩니다. CEO는 사이버 책임 격차를 해소하고 오래된 기술을 제거하여 보다 안전한 옵션을 추구함으로써 책임 문화를 채택해야 합니다. 간단히 말해, 관리되지 않는 시스템은 패치되지 않고 패치되지 않은 시스템은 사이버 공격으로 이어지므로 관리되지 않는 시스템은 사이버 공격으로 이어집니다. 기업은 범죄자가 관리하기 전에 이러한 관리되지 않는 시스템을 찾아야 합니다. 제3자 벤더와 거래하고 있습니까? 서명하기 전에 법무팀이 계약서에 보안 표준을 작성하도록 하십시오. 또한 전담 IT 보안팀이 없는 모든 회사, 즉 IT 업무를 매일 관리하는 팀과는 별도로 기능하는 팀은 고객에게 명확한 신호를 보내고 있습니다. 사이버 보안은 회사에 중요하지 않습니다.
일반 대중. 개인은 정부 리더와 CEO에게 더 많은 것을 요구해야 합니다. 전기와 ATM을 제공하는 인프라와 라이브 비디오 스트림을 전달하고 스마트폰과 베이비 모니터 및 Alexa 장치가 작동할 수 있게 하는 스펙트럼 대역폭은 모두 공공-민간 협력 정신의 결과입니다. 하지만 개인적인 책임은 여기서 멈추지 않습니다. 우리 각자에게 사이버 보안은 단순히 바이러스 백신과 기도 그 이상을 의미합니다. 이는 일부 시간만이 아니라 항상 가정용 컴퓨터를 패치하고 “나중에 알림”을 클릭하지 않는 것을 의미합니다. 이렇게 하면 다음 랜섬웨어 또는 봇넷 스커 동안 컴퓨터를 쉽게 납치할 수 없습니다. 이는 직장에서 실천하는 것과 동일한 좋은 사이버 위생 관행을 가정에 도입하고, 자녀가 좋은 디지털 시민이 되도록 가르치는 것을 의미합니다. 이는 기업이 사이버 보안 의무에 미달할 때 책임을 지도록 함으로써 좋은 소비자가 되는 것을 의미합니다. 데이터를 안전하게 유지하는 것에 대해 회사에 보상하고 그렇지 않은 것은 피합니다.
북한 출신이든 기숙사에 있는 대학생이든 다음 번 WannaCry 사이버 전염병을 줄이기 위해서는 자동차를 안전하게 만드는 데 필요한 것과 동일한 수준의 통합 노력이 필요합니다. 안전벨트와 에어백, 체크 엔진 조명 및 백업 카메라가 있는 것과 마찬가지로 사이버 보안에도 유사한 보호 장치가 필요합니다. 이러한 방식으로만 우리 각자는 향후 사이버 공격으로부터 우리 자신과 회사 및 사회를 안전하게 보호해야 하는 개인적 책임을 이해할 수 있습니다.
자세히 알아보기:
저자 소개: Tanium의 보안 책임자로서 Andre McGregor는 사이버 보안에 중점을 두고 있습니다. 그는 미국 컴퓨터 네트워크 및 인프라를 공격하는 데 사용되는 범죄 및 반지능 사이버 기술에 대한 깊은 지식을 보유하고 있습니다. Tanium에 합류하기 전에 Andre는 뉴욕시에서 FBI 사이버 특별 에이전트로 근무했으며, 나중에 FBI 본사의 감독 특별 에이전트로 승진했습니다. FBI에서 McGregor는 여러 대규모 컴퓨터 침입에 대한 선임 기술 에이전트이자 주요 사고 대응자였습니다. 또한 유엔의 FBI 사이버 연락 담당자와 DHS US-CERT 및 ICS-CERT의 FBI 사이버 연락 담당자로도 근무했습니다. FBI 전에 McGregor는 Brown University로 가서 Goldman Sachs에서 경력을 시작한 후 나중에 전국의 모든 IT 운영에서 Advogent(Cardinal Health)의 IT 이사로 근무했습니다. 자유 시간에 Andre는 또한 Robot의 FBI 겸 기술 컨설턴트이기도 합니다.
