위험 관리는 구체적인 완화 전략 및 잠재적 문제를 해결하고 위협의 심각도와 영향을 줄이기 위한 비상 계획을 개발하는 것을 포함하여 정의된 위험 수용범위를 기반으로 위험을 수집, 분류, 분석 및 조치를 수행하는 시스템입니다.
위험 관리에는 철저한 위험 평가를 수행하고 위험의 가능성과 심각성을 이해하여 유해성과 오류를 최소화하기 위해 취한 조치의 효과를 지속적으로 모니터링하고 평가하는 것이 포함됩니다. 이를 통해 도구, 인력 및 프로세스에 투자하여 시기 적절한 조정 및 사전 조치를 구현하는 등 정보에 입각한 결정을 내릴 수 있는 조직의 능력이 향상됩니다.
그러나 위험 관리는 산업, 운영 규모 및 전략적 우선순위에 따라 위험의 우선순위를 다르게 지정해야 하기 때문에 모든 조직에 동일한 의미는 아닙니다.
예를 들어, 금융 기관은 데이터의 민감한 특성으로 인해 사이버 보안 위험의 우선순위를 정할 수 있는 반면, 제조 회사는 기계 및 생산 프로세스와 관련된 운영 위험에 더 집중할 수 있습니다.
이 게시물은 정의와 중요성을 설명하여 위험 관리를 단순화합니다. 또한 위험 식별, 평가 및 우선 순위 지정, 대응 조치 및 모니터링 등 프로세스의 주요 구성 요소를 간략하게 설명합니다.
우리는 사이버 보안 위협, 규정 준수 문제 및 새로운 AI 기술로 인해 발생하는 위험과 같이 많은 조직이 직면하게 될 일부 높은 우선 순위 위험을 고려하면서 조직의 목표를 달성하는 데 있어 효과적인 위험 관리의 중요성에 대해 논의합니다.
또한 위험 관리 프레임워크, 제3자 위험 평가, 비상 계획 및 근본 원인 분석을 구현하는 것뿐만 아니라 위험 관리 프레임워크, 제3자 위험 평가, 비상 계획 및 근본 원인 분석을 구현하는 등 일반적인 위험 관리 관행 및 전략을 살펴볼 것입니다.
마지막으로, 우리는 전통적인 위험 관리를 기업 위험 관리(ERM)와 비교하고 차세대 위험 및 규정 준수 관리를 위한 ERM의 진화를 검토할 것입니다.위험 관리 및 고유한 비즈니스 요구를 충족하기 위해 프로세스를 맞춤화하는 방법을 이해
함으로써 조직은 더 효과적인 평가를 구현하고 가장 효과적으로 대상화된 전략을 개발할 수 있으며 이를 보다 잘 준비할 수 있습니다.
위험 관리 정의
위험 관리를 위한 국제 표준 기구 또는 ISO 31000 가이드라인은 위험을 \"불확실성이 목표에 미치는 영향\"으로 정의합니다. 불확실성은 의심의 여지가 없는 것을 의미합니다. 예를 들어, 조직이 서버가 절대 충돌하지 않을 것이라고 확신하는 경우, 의심의 여지가 없으므로 위험 분석을 수행할 때 서버를 고려하지 않습니다. 현실 세계에서는 불확실성이 많고 서버가 충돌할지 여부를 포함하여 통제할 수 없는 경우가 많습니다.
위험 관리의 실제 업무는 중요한 불확실성, 즉 조직의 목표에 영향을 미칠 수 있는 불확실성에 중점을 둡니다. 다음은 상업 비즈니스 및 정부 기관을 포함하여 거의 모든 조직에 중요한 몇 가지 주요 목표입니다.
- 데이터 기밀성, 무결성 및 가용성: 승인된 사용자가 데이터를 안전하게 사용할 수 있도록 유지
- 비즈니스 연속성: 조직의 사명을 달성하기 위한 지속적인 운영
- 규정 준수: 모든 해당 법률, 규정 및 표준 준수
위험, 불확실성 및 목표에 대한 이러한 이해를 바탕으로 위험 관리의 목적과 방법을 고려하는 보다 간단한 정의를 제공할 수 있습니다. 위험 관리는 조직이 활동 및 인프라를 지속적으로 모니터링하여 잠재적인 위험을 해결하고 목표를 달성하는 데 도움이 되는 포괄적인 접근 방식입니다.
위험 관리를 정의했으므로 이제 그 중요성에 대해 논의해 보겠습니다. 그 중요성을 이해하는 것은 잠재적인 문제를 예측하고 손실을 최소화하며 장기적인 성공을 보장하는 데 도움이 되므로 조직에 매우 중요합니다. 다음 섹션에서는 효과적인 위험 관리가 필수적인 이유와 이것이 전략적 목표를 달성하고 사이버 복원력을 유지하는 데 어떻게 기여하는지 살펴봅니다.
효과적인 위험 관리의 중요성
관리 되지 않고 완화되지 않은 위험은 조직의 목표 달성을 방해하는 중단으로 이어질 수 있기 때문에 위험 관리가 중요합니다.
오늘날 거의 모든 조직에 직면하는 우선순위가 높은 위험의 일부를 고려하십시오.
- 사이버 보안 위험: 사이버 공격은 정교하고 자주 증가하고 있으며 공격 비용은 계속 증가하고 있습니다. 일부 비용에는 IT 및 보안 팀이 침해를 추적하고 억제하는 것이 포함됩니다. 그 외에는 콜센터 설치 및 고객 및 규제 기관과의 커뮤니케이션이 포함됩니다. 추가 비용에는 변색된 브랜드가 포함됩니다.
- 규정 준수 위험: 규정을 준수하지 않으면 막대한 규제 벌금, 언론 보도, 고객 관계 부담, 비즈니스 손실 등이 발생할 수 있습니다. 데이터 개인정보 보호 및 기타 규정이 증가함에 따라 규정 준수 유지가 더욱 복잡해지고 있습니다.
- 새로운 AI 기술이 도입한 위험: 지난 몇 년 동안 AI는 전략적 투자로 간주되지 않고 음성 인식 앱과 챗봇에 나타나는 기술이 되었습니다. ChatGPT의 출시와 빠른 채택은 이를 변화시켰습니다.
[또한 읽기: 가장 큰 GenAI 위협 3 개(및 기타 위험 1개) 및 방어 방법]
그러나 이러한 채택은 위험을 초래합니다. 가장 유용한 AI 애플리케이션은 고객 커뮤니케이션, 재무 기록 등을 포함하여 조직의 가장 중요한 데이터와 함께 작동해야 하기 때문입니다. 직원들은 실수로 기밀 정보를 공개 챗봇에 쉽게 유출할 수 있습니다. 따라서 최신 위험 방지 전략은 AI를 고려해야 합니다.이러한 위험을
감안할 때 조직이 시장을 변화시키는 새로운 기술을 빠르게 채택하더라도 위험을 줄이고 완화하는 데 도움이 되는 프로세스를 구현하는 것이 그 어느 때보다 중요합니다.
표준 위험 관리 프로세스 이해
위험 관리는 궁극적으로 조직의 목표에 대한 불확실성을 이해하고 줄이는 것입니다. 이 프로세스는 위험을 비교하는 여러 단계를 포함하며 한 번 수행되지 않은 다음 완료된 것으로 간주됩니다.
위험 관리는 다음 5가지 주요 요소로 구성된 활동의 수명 주기입니다.
- 전략적 목표와 관련된 위험 식별
위험 관리는 조직의 법적, 환경적, 시장, 규제 및 기술 위험을 식별한 다음 사람, 프로세스 및 기술이 비즈니스 목표 추구를 지원하는 방법을 조정하는 것으로 시작됩니다.이 작업을 공급망 분석으로
생각하십시오. 규정 준수 팀은 높은 수준의 목표에서 조직의 목표 실현을 돕는 특정 IT 시스템 및 프로세스에 이르기까지 데이터, 인력 및 운영의 흐름을 추적합니다. 이러한 시스템과 프로세스는 목표 자체를 위한 공급망 역할을 합니다.위험을 측정
하려면 공급망의 종속성을 식별하고 조직의 목표와 역량에 합당한 범위 내에서 추적합니다. 위험을 비교하려면 공급망의 모든 것에 사이버 위험 점수를 할당해야 합니다.
이러한 목표가 식별되면 다음 단계는 위험의 심각도와 잠재적 영향을 이해하기 위해 위험과 기타 조직 요인 간의 범위와 연결을 분석하는 것입니다. - 가중 척도를 구축하여 위험을 우선순위화
하는 것은 심각도와 가능성에 따라 위험의 순위를 매기고 우선순위를 정해야 합니다. 이 단계를 통해 조직은 위험 노출에 대한 전체적인 관점을 확보하고 1~10의 척도로 점수를 할당하여 가장 중요한 위험에 집중할 수 있습니다. 전략적 목표 자체도 비교하고 가중치를 부여해야 합니다. 조직이 모든 전략적 목표를 동등하게 처리하는 것은 드문 일입니다.
예를 들어, 경영진과의 대화를 기반으로 리더는 최소 10%의 연간 복합성장률(CAGR)을 10점으로, 규제 준수를 7점으로 할당할 수 있습니다.
다음으로 각 전략적 목표를 지원하는 인력, 프로세스 및 기술을 식별하고 각 지원 요소의 중요성을 순위를 매깁니다.추가적인 미묘한 차이를 제공
하려면 비즈니스 및 IT 이해관계자가 협력하여 특정 유형의 실패 가능성을 추정해야 합니다. 예를 들어, 비즈니스 크리티컬 모바일 앱을 지원하는 웹 서버가 있는 조직을 상상해 보십시오. 최대 사용 중에 허용할 수 없을 정도로 느린 성능을 제공하는 서버의 확률은 주 전원 시스템과 백업 전원 시스템을 모두 충돌시키는 정전으로 이어질 확률보다 높습니다.서버의 전략적 중요성(예: 50% 또는 0,5)에 대한 점수를 곱
하면 팀은 위험 순위를 매기고 보다 즉각적인 조치가 필요한 위험을 식별할 수 있습니다.
예를 들어, 느린 성능을 제공하는 서버는 40%의 가능성이 있을 수 있으며 치명적인 정전으로 인한 서버 충돌은 2%의 가능성이 있을 수 있습니다. 서버의 중요성이 10점 중 7점인 경우 느린 성능 시나리오의 위험 점수는 .40 의 7배가 됩니다(2,8를 산출함).
정전 시나리오의 위험 점수는 7 x 0,02 (0,14)입니다. 위험 점수가 높은 느린 성과 시나리오는 먼저 주의가 필요한 위험입니다.
[또한 읽기: CISO 성공 사례인 이 남성 공식을 사용하면 사이버 위험(정확하게)을 예측하는 것이 더 쉽습니다]
- 위험 등록기에 위험 관리 데이터를 중앙 집중화
식별된 위험에 대한 정보가 수집되고 표로 작성되면 위험 및 위험 전략에 대한 정보를 중앙 집중식으로 보관하는 위험 등록기에 저장해야 합니다.
위험 등록기는 조직에 대한 잠재적 위협에 대한 포괄적인 개요를 제공하여 위험을 간과하지 않고 각 위협이 체계적으로 평가되도록 합니다. 이러한 중앙 집중화는 부서와 이해관계자 간의 커뮤니케이션과 협업을 강화하여 모니터링 및 보고 위험을 보다 쉽게 만듭니다. 이는 정확한 최신 정보를 제공하여 정보에 입각한 의사 결정을 지원하고 가장 중요한 위협을 기반으로 위험 관리 작업의 우선순위를 정하는 데 도움이 됩니다.
위험 등록부는 종종 규제 프레임워크에서 요구하는 위험 및 관리 기록을 유지하므로 규제 준수를 보장하는 데 도움이 될 수 있습니다. 위험 등록부는 또한 과거 기록의 역할을 할 수 있으므로 추세 분석 및 과거 경험에서 학습하여 향후 위험 관리 관행을 개선할 수 있습니다.모든 위험을 명확하게 확인
함으로써 조직은 리소스를 더 효과적으로 할당하여 높은 우선순위의 위험이 완화에 필요한 주의와 리소스를 받을 수 있습니다.위험 등록기의 위험 관리 데이터를
중앙 집중화하면 더 효과적인 완화 및 더 강력한 전반적인 위험 관리 전략으로 이어집니다. 조직 전체에 걸쳐 승인된 이해관계자는 위험 등록부에 액세스하고 이를 사용하여 일상 활동을 안내할 수 있어야 합니다. - 각 위험에 대한 계획 전략 수립
이 단계는 불확실성을 줄이고 의사 결정의 질을 개선하는 명확한 로드맵을 제공함으로써 위험을 완화하거나 제거하는 솔루션을 구현하는 것을 포함합니다. 여기에는 잠재적 문제를 예측하고 심각도와 가능성에 따라 위험의 우선순위를 정하는 데 도움이 되는 사전 예방적 관리를 지원하여 각 위험을 일관되고 체계적으로 관리하기 위한 전략, 조치 및 체계적인 접근 방식을 개발하여 리소스를 보다 효율적으로 할당할 수 있습니다. 이러한 예방 접근법은 위험의 영향을 크게 줄이고 주요 문제로 확대되는 것을 방지할 수 있습니다.
또한 위험 전략을 채택하면 개인 또는 팀에 특정 작업을 할당하여 책임을 보장할 수 있습니다. 이를 통해 위험 관리 작업에 대한 명확한 소유권을 지원하고 위험을 관리하여 진행 상황을 추적할 수 있습니다. 이는 신속하고 효과적인 대응이 필요한 고위험 상황에서 특히 중요합니다. 조직은 정의된 전략을 가지고 사전 예방적인 관리 태세를 장려함으로써 잠재적 문제를 예측하고 예방 조치를 취할 수 있습니다.
[또한 읽기: Shadow IT는 “통제 불가”입니다. 위험을 관리하는 방법은 다음과 같습니다.]
또한 조직이 자신의 경험에서 배우고, 전략을 구체화하고, 조직에 가장 관련성이 높고 잠재적으로 피해를 줄 수 있는 것으로 간주되는 위험을 해결하는 데 장기적인 성공을 지원하는 보다 탄력적인 위험 관리 프레임워크를 구축하여 위협을 효과적으로 완화할 수 있도록 함으로써 지속적인 개선을 지원합니다.
- 시간 경과에 따른 위험 및 결과 모니터링
마지막 단계는 위험 관리 전략의 효과를 포함하여 위험을 지속적으로 모니터링 및 검토하여 위험 환경이 잘 이해되고, 식별된 위험이 효과적으로 관리되며, 새로운 위험이 신속하게 식별 및 관리되는지 확인하는 것입니다.위험을 정기적으로 모니터링하는
조직은 위험 및 규정 준수가 시간 경과에 따라 어떻게 감소 또는 증가하는지에 대한 선형 그래프를 생성할 수 있으며, 이는 다른 위험 관리 활동을 수행하는 팀 및 다양한 수준의 진행 상황을 추적하고, 변화가 발생할 때 위험의 영향을 이해하며, 위험 관리 비용에 영향을 미치는 다른 요인을 파악하고자 하는 고위 경영진에게 중요한 데이터를 제공합니다.
이러한 모니터링 노력에는 구현된 통제 및 전략 추적, 조직에 미치는 영향 연구, 남은 잔여 위험 이해도 포함되어야 합니다. 조직은 위험 및 위험 관리 전략의 영향을 지속적으로 모니터링함으로써 잠재적 위협을 조기에 보다 쉽게 탐지할 수 있습니다. 이를 통해 실시간 데이터를 사용하여 의사 결정을 알리고, 규제 준수를 보장하며, 법적 처벌을 피함으로써 문제가 확대되기 전에 시기 적절한 완화가 가능합니다.
위험 관리 프로세스의 이 5가지 필수 구성 요소를 사용하는 실제 사례를 살펴보고 일반 전자 상거래 회사가 이러한 단계를 탐색하고, 직면할 수 있는 일반적인 위험을 해결하고, 이러한 원칙이 실제 상황에서 어떻게 적용되는지 보여드리겠습니다.
위험 관리 프로세스의 예
전 세계에 글로벌 온라인 입지와 배송 및 주문 처리 운영을 제공하는 전자 상거래 회사를 상상해 보십시오. 이 5단계에 따라 위험 관리 프로세스가 어떻게 보일 수 있는지 살펴보겠습니다.
- 식별: 1단계에서 위험을 식별할 때 전자상거래 회사는 해당 웹사이트를 지원하는 웹사이트 및 IT 인프라가 매우 중요하고 직면할 수 있는 위험 중에서도 중요하다고 생각할 수 있습니다.해당 웹사이트에 대한 위험의
예로는 사이버 공격, 소프트웨어 버그, 데이터 센터 가동 중단, 구성 또는 운영 제어에서의 인적 오류 등이 포함될 수 있습니다. - 우선 순위 지정: 전자 상거래 회사는 각 위험이 발생할 확률과 이러한 위험이 비즈니스에 어떤 의미일 수 있는지 순위를 매겨야 합니다.
예를 들어, 전자 상거래 회사는 며칠 동안 웹 사이트를 사용할 수 없게 되면 조직의 비즈니스에 치명적인 문제가 될 수 있으므로 사이버 공격이 가동 중단을 야기할 가능성을 판단해야 합니다. 또한 회사는 웹사이트를 보호하기 위해 사이버 보안 모범 사례를 따르는지 고려해야 합니다. 그렇게 되면 해당 결과의 전반적인 위험이 감소하고 다음 단계에서 낮은 우선순위로 순위를 매길 수 있습니다. - 중앙 집중화: 전자상거래 회사는 모든 위험을 이해하므로 이제 통합 위험 데이터를 보고 그에 따라 우선순위를 정할 수 있어 가장 가능성이 높고 가장 파괴적인 위험을 보다 쉽게 식별할 수 있습니다.
예를 들어, 데이터 센터가 가동 중단을 겪었기 때문에 웹사이트가 오프라인 상태가 될 위험은 어떻습니까? 회사가 다른 데이터 센터 및 서비스 제공업체로 작업을 전송하기 위한 장애 조치 아키텍처를 가지고 있다고 가정해 봅시다. 이 경우, 그 위험도 감소할 수 있습니다. 그러나 회사가 장애 조치 시스템을 구축하지 않은 경우 이러한 유형의 가동 중단 위험은 여전히 높으므로 위험 관리 전략에서 우선 순위를 지정해야 합니다. - 전략 수립: 전자상거래 회사는 기존 및 잠재적 위험과 목표에 부합하는 우선 순위에 대해 충분한 정보를 가지고 있습니다. 이제 관련 이해 관계자는 식별된 각 위험에 맞는 특정 전략을 개발하고 구현할 수 있습니다.데이터 센터 가동 중단에
대응하여 전자 상거래 회사는 백업 발전기 및 무정전 전원 공급 장치(UPS)와 같은 중복 시스템 구현을 조사하여 정전 시 지속적인 운영을 보장할 수 있습니다. 정전 중에 네트워크 트래픽 및 워크로드를 자동으로 이동하는 소프트웨어와 같은 고급 복원력 솔루션 또한 가능한 솔루션일 뿐만 아니라, 실제 사고에 대비하고 이러한 상황을 처리할 수 있도록 직원을 교육하기 위해 데이터 센터 중단을 시뮬레이션하기 위한 정기적인 테스트 및 훈련도 가능합니다. 모니터링 및 경고 시스템을 구현하여 잠재적 문제가 확대되기 전에 감지하는 것도 가동 중단을 방지할 수 있습니다.이러한 전략을 채택
함으로써 회사는 데이터 센터 가동 중단의 위험을 효과적으로 관리하고 비즈니스 연속성을 보장할 수 있습니다. - 모니터링: 마지막으로, 전자상거래 회사는 새롭고 진화하는 위험에 주의를 기울이고 대응하기 위해 위험과 결과를 지속적으로 모니터링해야 합니다. 회사는 위험 관리 전략의 효과를 정기적으로 검토하여 접근 방식의 격차 또는 약점을 식별할 수 있습니다. 이를 통해 비즈니스는 필요한 조정 및 개선을 수행하여 위험 완화 조치가 효과적이고 관련성 있게 유지되도록 할 수 있습니다.결과를
모니터링하면 회사가 과거 경험, 성공 및 실패에서 배우고 이러한 교훈을 향후 위험 관리 노력에 적용하는 동시에 조직 내에서 사전 예방적인 위험 관리 문화를 조성할 수 있습니다.
이러한 사전 예방적인 접근 방식은 회사의 회복력을 강화하고 회사가 안전하고 신뢰할 수 있는 운영을 유지하기 위해 최선을 다하고 있다고 확신할 수 있는 고객, 이해관계자 및 파트너와의 신뢰를 구축합니다.
일반 전자상거래 회사의 관점에서 위험 관리 프로세스의 실제 사례와 직면할 수 있는 다양한 과제를 검토한 후, 일반적인 유형의 위험 관리 관행으로 초점을 전환할 수 있습니다. 이러한 관행에는 위험 수용, 완화, 감소 및 이전이 포함되며, 각각은 잠재적 위험을 처리하기 위한 고유한 전략을 제공합니다. 이러한 접근 방식을 자세히 살펴보고 다양한 시나리오에 효과적으로 적용할 수 있는 방법을 이해해 보겠습니다.
위험 관리 대응 유형
조직은 위험 관리 관행을 통해 식별된 위험에 대응하기 위한 다양한 선택권을 가지고 있습니다. 이러한 선택에는 다음이 포함됩니다.
- 위험 수용 은 조직이 위험 감소 또는 완화 전략에 투자하지 않고 위험을 수용하기로 결정할 때 발생합니다. 때때로 조직은 그 영향이 작거나, 발생 가능성이 거의 없거나, 둘 다이기 때문에 위험이 수용 가능하다고 결정할 수 있습니다.매장 결제 시스템에서 잠재적 위험을 식별하지만 이 취약성을 제거하기 위해 시스템을 완전히 점검하는 비용이 매우 높고 악용될 가능성이 낮다고 판단하는 소매 회사를
고려하십시오.이 시나리오
에서 회사는 잠재적인 영향이 관리 가능하고 고가의 완화 전략에 투자하지 않는 것을 정당화할 정도로 악용 가능성이 낮다고 결정할 수 있습니다. 대신 보안 인프라의 다른 측면을 개선하는 데 리소스를 집중할 수 있습니다. - 위험 완화 에는 조직이 종종 직면하는 프로젝트 목표에 대한 위협을 줄이기 위한 계획 및 개발 전략이 수반됩니다.회사가 어느 정도 데이터 침해가 불가피하다고 결정하는
경우. 이 경우, 제로 트러스트 아키텍처 를 구현하여 공격자가 침해된 한 장치에서 다른 장치로 이동하는 능력을 제한하기로 결정할 수 있습니다.데이터 침해의 전반적인 위험은 동일하게 유지될 수
있지만, 공격자가 느슨한 사용자 권한과 개방형 네트워크 포트를 사용하여 자유롭게 네트워크를 이동할 수 없기 때문에 발생할 수 있는 피해는 줄어들 수 있습니다. - 위험 감소 에는 위험한 결과의 가능성 또는 심각도를 줄이기 위한 도구, 사람 또는 프로세스에 대한 투자가 포함됩니다.
예를 들어, 조직이 데이터 침해 위험을 줄이고자 하는 경우 엔드포인트(데스크톱 및 노트북 등)에 최신 보안 업데이트를 모두 설치하도록 엔드포인트 관리 솔루션에 투자할 수 있습니다. - 위험 이전 은 사이버 보험 회사 또는 다른 유형의 비즈니스 파트너와 같은 다른 조직에 위험 부담을 이전하는 것을 의미합니다.
예를 들어, 비즈니스 리더는 랜섬웨어 공격의 일부 위험을 충당하기 위해 이러한 공격으로부터 복구하는 데 드는 비용의 대부분 또는 전부를 충당할 것을 약속하는 보험 회사에 보험 이전을 구매할 수 있습니다. 정책을 발급하기
전에 보험 회사는 조직이 엄격한 보안 통제를 구현하고 데이터 보안 관행과 관련된 SOC 2과 같은 사이버 보안 프레임워크에 대한 IT 준수 인증서를 제시하도록 요구할 수 있습니다. 어느 경우든 조직은 보험 비용을 지불함으로써 위험의 일부를 다른 당사자에게 이전했습니다.
다양한 유형의 위험 관리 관행에 대해 논의한 후, 우리는 조직이 사용하는 일반적인 위험 전략에 주의를 기울일 수 있습니다. 이러한 전략에는 위험 관리 프레임워크 구현, 타사 위험 평가 수행, 비상 계획 개발 및 근본 원인 분석 수행이 포함됩니다. 조직 내에서 위험을 효과적으로 관리하고 완화하기 위해 이러한 전략이 어떻게 활용되는지 살펴보겠습니다.
조직에서 사용되는 일반적인 위험 관리 전략은 무엇입니까?
위에서 설명한 위험 관리 프로세스 외에 조직에서 규정 준수를 달성하고 손실 위험을 줄이기 위해 채택할 수 있는 다른 전략은 무엇입니까? 다음은 간소화된 관리 프로세스를 따르는 것 외에도 고려해야 할 몇 가지 일반적인 위험 전략입니다.
위험 관리 프레임워크
기존 위험 관리 프레임워크를 채택하면 위험 분석, 완화 및 위험 관리 및 규정 준수 관리 업무 흐름의 기타 단계를 위한 구조와 모범 사례를 제공하는 데 도움이 될 수 있습니다.
넓게 사용되는 위험 관리 프레임워크는 다음과 같습니다.
- 후원 조직 위원회(COSO)의 기업 위험 관리: COSO의 기업 위험 관리 지침은 전략 수립 프로세스에서 위험을 고려하고 성과를 추진하는 것의 중요성을 강조하기 위해 최근에 업데이트되었습니다.
- FAIRTM(Factor Analysis of Information Risk): 정보 보안 및 운영 위험에 대한 국제 표준 정량적 모델
- ISO 31000: 위험 관리에 대한 ISO의 지침은 규모, 활동 또는 부문에 관계없이 조직이 사용할 수 있는 위험 관리 원칙, 프레임워크 및 프로세스를 특징으로 합니다.
NIST(National Institute of Standards of Technology) RMF(위험 관리 프레임워크)
: 조직이 조직 및 시스템의 정보 보안 및 개인정보 보호 위험을 관리하는 데 사용할 수 있는 포괄적이고 유연하며 반복 가능하고 측정 가능한 7단계 프로세스이며, 위험 관리 프로그램의 구현을 지원하여
연방 정보 보안 현대화법(FISMA)
[또한 읽기: 사이버 보안 프레임워크란 무엇입니까? 개요]
제3자 위험 평가
위험은 내부 리소스 및 운영과 공급업체, 컨설팅 회사 및 기타 유형의 파트너십을 포함한 조직 파트너의 리소스 및 운영에서 발생할 수 있습니다. 제3자 위험은 사이버 보안에서 특히 중요합니다.제3자를 평가하고 관리하기 위한 도구와 프로세스를
구현하면 이러한 위험 유형을 완화하는 데 도움이 됩니다.
비상 계획
때때로 나쁜 일이 발생합니다. 그렇게 하면 준비하는 것이 가장 좋습니다. 팀이 비상 상황에 대응하는 방법을 알고 있는 경우, 혼란과 추측을 제거하고 더 빠르고 효과적으로 대응할 수 있습니다.
비상 계획은 사이버 공격, 주요 IT 중단, 지진 또는 주요 폭풍과 같은 자연 재해 및 기타 잠재적으로 치명적인 공격을 포함한 비상 사태에 대한 계획입니다. 조직은 이러한 비상 상황에 대한 계획을 개발하고 대응을 다시 듣음으로써 이러한 비상 상황이 발생할 때 발생할 수 있는 피해를 줄일 수 있습니다.
근본 원인 분석
주요 또는 경미한 위험이 드러나는 경우, 발생한 상황과 그 이유를 이해하고 그 출처를 역추적하기 위해 부서 간 이해관계자 팀을 모는 것이 도움이 됩니다.그
들은 일반적으로 근본 원인을 결정할 때 다음 사항을 질문하고 답변해야 합니다.
- 불량한 직원 교육과 관련된 문제는 무엇입니까? 그렇다면 새로운 교육 모듈에 투자하는 것이 적절할 수 있습니다.
- 문제가 데이터 침해와 관련이 있었습니까? 그렇다면 네트워크에서 어떤 부분이 발생했습니까? 공격자가 탐지되지 않은 채 머무를 수 있었던 기간
- 시스템이 최신 상태이고 올바르게 구성되었습니까?
- DevOps, IT 및 보안 팀과 같은 모든 이해관계자는 공격의 소스와 특성을 정확히 파악할 때 효과적으로 협업하는 데 필요한 중앙 가시성 및 실시간 엔드포인트 데이터를 가지고 있습니까?
- 조직은 모든 엔드포인트 장치에 액세스할 수 있습니까?
문제의 근본 원인을 분석하고 IT 인프라, 직원 교육 및 기타 영역의 약점을 식별함으로써 조직은 유사한 이벤트가 다시 발생하고 전략적 목표를 위태롭게 할 위험을 줄일 수 있습니다.
이제 몇 가지 필수 위험 관리 전략을 살펴보았으므로, 기존 및 기업 위험 관리 접근 방식을 비교하여 각 방법이 이러한 노력을 어떻게 도울 수 있는지 또는 방해할 수 있는지 알아봅시다.
기존 위험 관리 대 기업 위험 관리
기존 위험 관리 프레임워크에서 위험 관리의 책임은 일반적으로 그러한 위험이 있는 각 단위를 감독하는 비즈니스 리더의 책임입니다. 일부 조직에서는 위험 관리가 최고 준법 책임자(CCO), 최고 운영 책임자(COO), 최고 감사 책임자(CAO), 최고 재무 책임자(CFO) 또는 기타 C급 임원의 책임에 해당할 수 있습니다. 예를 들어, 최고 정보 책임자(CIO) 또는 최고 기술 책임자(CTO)는 IT 관련 위험을 처리하고 CFO는 재무 위험을 처리하며 COO는 운영 위험을 관리합니다.
위험 관리자는 또한 전통적인 위험 관리에 매우 중요합니다. 사고 및 자연 재해를 포함한 이벤트의 가능성을 평가하고 IT, 재무 또는 운영에서 가장 일반적으로 특정 부서와 관련된 위험을 완화하기 위한 전략을 개발하여 조직의 목표와 운영을 잠재적 피해 및 영향으로부터 보호합니다.
그러나 이러한 역할은 독립적으로 작동할 수 없습니다. 이들의 성공은 사업부 관리자, DevOps 리더 및 사이버 보안 팀 리더를 포함한 다른 조직 이해관계자와의 정보 공유 및 협업에 달려 있습니다.
부서 및 사업부 는 특정 위험을 해결하기 위한 고급 시스템을 보유하고 있을 수 있지만, 조직들은 서로 다른 위험 간의 상호 연결 또는 전체 운영에 미치는 통합 영향을 인식하지 못하는 경우 문제에 직면할 수 있습니다.
각 부서 내에서 위험을 관리하는 데 있어 기존 위험 관리의 단점을 해결하기 위해 기업 위험 관리는 1990s에서 전체론적 접근 방식으로 등장했습니다 . 여러 가지 중요한 실패, 예방 가능한 대규모 손실 및 전략적 계획에서 주주 가치 모델의 역할이 증가함에 따라 이러한 접근 방식이 주도되었습니다. ERM과 현대의 위험을 해결하는 데 있어서의 도전 과제에 대해 자세히 살펴보겠습니다.
기업 위험 관리란 무엇입니까? 기존 위험 관리보다 더 나은가?
ERM은 위험이 발생할 때 이를 처리하는 전통적인 위험 관리 프로그램에서 사용하는 보다 대응적인 접근 방식 대신, 위험 관리를 조직의 의사 결정 프로세스의 모든 측면에 통합하여 위험이 발생하기 전에 전체 조직에서 위험을 식별, 평가 및 관리하는 것을 목표로 합니다. 이러한 사전 예방적 접근 방식은 조직이 심각한 위협이 되기 전에 위험을 예측하고 완화하는 데 도움이 됩니다.
[또한 읽기: 위협 헌팅이란 무엇입니까? 실제 사례가 포함된 개요]
그러나 ERM은 여전히 현재 몇 가지 문제에 직면해 있습니다. 의사소통 부족, 교육 부족 및 지속적인 개선 부족은 ERM 프로그램의 효과를 크게 저해할 수 있습니다.많
은 조직들은 또한 ERM을 지원하는 데 필요한 위험 인식 문화를 확립하는 데 어려움을 겪고 있으며, 이는 충분한 리소스를 할당하지 않거나 ERM을 조직의 전략에 완전히 통합하지 않는 것에서 기인할 수 있습니다.
또한 ERM 프레임워크의 복잡성은 압도적일 수 있으며, 조직이 위험 관리에 대한 대응적 접근 방식을 계속 취하기로 선택함에 따라 종종 노력이 세분화될 수 있습니다.
위험 관리 프로그램이 부족할 때 어떤 일이 일어나는지 궁금했던 적이 있습니까? 세계에서 가장 성공적이고 기술에 정통한 조직 중 일부에 부과된 이러한 최근의 막대한 규제 벌금 및 법적 합의를 고려하십시오.
- In 2024, Ireland's Data Protection Commission (DPC) fined Meta Platform Ireland Limited ("Meta Ireland") €91 million ($95,7 million) for violating the General Data Protection Regulation (GDPR) by storing user passwords without encryption.
The DPC noted, "This decision highlights the requirement for data controllers to implement appropriate security measures when processing personal data, taking into account factors such as the risks to service users and the nature of the data process." - In 2024, the Dutch Supervisory Authority (SA) fined Uber €290 million ($305 million) for improperly transferring the private data of 170 French drivers to the U.S. in violation of GDPR, which imposes strict rules for the retention and transfer of personal data.
- In 2023, DPC fined Meta a total of €390 million ($410 million) for breaching the GDPR "in connection with the delivery of its Facebook and Instagram services." Meta Ireland was fined €210 million ($225 million) for violations related to Facebook and €180 million ($193 million) for violations related to Instagram.
- In 2022, mobile communications giant T-Mobile agreed to pay a settlement of $500 million following a data breach that occurred in early 2021 and affected nearly 77 million customers. The incident involved unauthorized access to T-Mobile's systems after a portion of customer data was discovered listed for sale on a known cybercriminal forum.
The company settled a consolidated class action lawsuit, agreeing to pay an aggregate of $350 million to fund class members' claims, the legal fees of plaintiffs' counsel, and the costs of administering the settlement. The company also promised to spend $150 million on data security and related technology in 2022 and 2023.
이러한 벌금 및 법적 합의에서 알 수 있듯이 조직은 규정 준수 관리의 우선순위를 정하고 모든 사람, 도구 및 프로세스가 비즈니스 리더의 사이버 보안 및 규정 준수 목표를 지원하도록 하기 위해 더 많은 노력을 기울여야 합니다.
다행히도, 위험 솔루션은 AI 기능과 클라우드 아키텍처의 확장성 및 유연성을 활용하여 최신 엔터프라이즈의 보안 및 관리에 대한 까다로운 요구 사항을 충족함으로써 더욱 포괄적이고 자율적으로 진화하고 있습니다.
ERM과 ERM이 기존 위험 관리와 어떻게 비교되는지에 대한 명확한 이해를 바탕으로 진화를 탐색할 수 있습니다. 다음 섹션에서는 ERM이 차세대 위험 및 규정 준수 관리의 복잡성을 해결하기 위해 어떻게 적응했는지에 대해 간략하게 설명하고, 현재의 관행을 형성한 발전과 혁신을 강조합니다.
차세대 위험 및 규정 준수 관리를 위한 ERM의 진화
위험은 궁극적으로 활동에 관한 것입니다. 이는 평상시와 같이 진행되지 않는 것에 관한 것입니다.리스크 및 규정 준수 솔루션의
경우, AI와 머신 러닝 을 통합하면 조직이 규모와 실시간으로 정상적이고, 비정상적이며, 매우 위험한 것을 신속하게 결정할 수 있습니다. 이러한 기술은 위험 분석, 이상 탐지, 위협 탐지, 보고 및 위험 복구를 빠른 속도와 정확성으로 수행하는 데 사용될 수 있으며, 비즈니스 및 IT 리더에게 운영, 위험 및 가능한 솔루션에 대한 전례 없는 세부 정보를 제공합니다.
머신 러닝과 AI는 함께 다음을 수행할 수 있습니다.
- 데이터 분석: 로그인 활동에서 공급업체 청구 금액에 이르기까지, AI 및 머신 러닝은 운영 분석에 대한 빠르고 확장 가능한 접근법을 세부적으로 제공합니다. 이를 통해 비즈니스 및 IT 리더는 위험 관리 및 규정 준수 관리 접근 방식을 미세 조정할 수 있는 데이터를 얻을 수 있습니다.
- 패턴 감지: 데이터에서 패턴을 인식하면 조직이 데이터 침해와 같이 위협을 나타낼 수 있는 이상에 대해 사람 또는 시스템에 의한 행동 기준을 설정하는 데 도움이 될 수 있습니다.
예를 들어, 회사의 회계 팀이 일반적으로 주중에 근무하고 드물게 주말에 로그인하는 경우, 회계사에게 할당된 노트북 또는 기타 엔드포인트가 원격 위치에서 오전 3:00 에 네트워크에 액세스하고 있는지 감지하여 경고 및 복구 작업을 트리거하는 데 사용할 수 있습니다. - 전력 자동화: 스마트 보안 자동화 는 서로 다른 소스에 수집 및 위치하는 데이터에서 보고서 및 요약 생성부터 패치 관리, 실시간 위협 탐지 및 대응 자동화 등에 이르기까지 엔드포인트 관리의 미래를 지원합니다.
AI 및 머신 러닝은 조직이 더 효과적이고 대응이 빠른 프로세스를 통해 위험과 규정 준수에 접근하는 방법을 혁신함으로써 사이버 보안 위협과 규제 요구의 끊임없이 증가하는 과제를 자신감과 민첩성으로 해결할 수 있도록 지원합니다.
Tanium 위험 및 규정 준수 는 자동화된 Tanium 플랫폼 내에서 조직에게 엔드포인트에 대한 실시간 가시성, 익스플로잇에 대한 지속적인 모니터링 및 포괄적인 도구 세트를 제공하여 취약성을 해결하고 자산을 양호한 상태로 복원합니다. Tanium
을 통해 조직은 엔드포인트 위험 및 규정 미준수 사고와 팀이 이러한 노출을 복구하는 데 필요한 컨텍스트에 대한 완벽한 가시성을 제공함으로써 위험 및 규정 준수를 관리하도록 확장하는 통합 플랫폼의 이점을 누릴 수 있습니다. 또한 Tanium은 보안 및 운영 팀이 이질적인 포인트 솔루션을 단일 에이전트 및 솔루션으로 통합할 수 있도록 지원합니다.
Tanium Autonomous Endpoint Management(AEM) 는 고급 AI 및 머신 러닝 기능을 도입하는 Tanium 플랫폼의 새로운 진화입니다. 여기에는 실시간 클라우드 인텔리전스가 포함되며, 이를 통해 엔드포인트에 대한 가장 작은 변경 사항도 분석 및 측정하여 영향을 자신 있게 평가할 수 있습니다. 자동화 및 오케스트레이션은 다양한 IT 및 보안 운영 사용 사례를 포괄하는 동적 재사용 가능 자동화를 캡처 및 설계합니다. 배포 템플릿 및 링은 엔드포인트 변경이 조직의 속도에 맞게 실행되도록 하여 중단을 최소화합니다.개인화된 데모
를 예약하여 Tanium이 위험 및 규정 준수 관리와 기타 중요한 보안 노력을 강화하는 방법을 알아보십시오.
