공공 부문에서 사이버 공격이 증가하고 있다는 사실은 우리 모두 잘 알고 있습니다. 작년에 100 개 이상의 주 및 지방 정부와 수십 개의 학군이 랜섬웨어 (새 탭에서 열림) 의 공격을 받아 피해를 입었습니다. 또한 앞으로 지정학적 긴장은 국가와 연계된 위협 행위자들과 금전적 동기를 가진 위협 행위자들 모두를 더욱 대담하게 만들 뿐입니다. 정부 및 교육 부문 기관의 사이버 보안 책임자들에게는 지금이 불안한 시기입니다. 하지만 도움이 곧 닿을 것입니다.
‘ ’의 주 전체 차원 사이버 보안 접근 방식( )은 공통의 위협에 직면한 조직들이 사이버 위험을 보다 효과적으로 관리할 수 있는 유용한 방안으로 주목받고 있다. 자원을 모으고, 정보를 공유하며, 전반적으로 협력함으로써, 막대한 비용을 들이지 않고도 공동의 디지털 방어 체계를 강화할 수 있습니다. 최근 미국 카운티 협회( )와 타늄(Tanium)이 공동으로 주최한 웨비나 ‘카운티의 디지털 전환( )’(미국 카운티 협회(), 전국 카운티 협회(National Association of Counties) (새 탭에서 열림) 와 협력)에는 흥미로운 통찰이 담겨 있습니다.
패널에는 지방 정부 전문가인 콜로라도주 볼더 카운티 CIO, 벤 에델렌(Ben Edelen) (새 탭에서 열림), 애리조나주 피날 카운티 CISO, 제리 키일리(Jerry Keely) (새 탭에서 열림), 애리조나주 임시 CISO 겸 애리조나주 국토안보부 부국장, 라이언 머레이(Ryan Murray) (새 탭에서 열림), 그리고 콜로라도주 CISO, 레이 예페스(Ray Yepes)가 참여했습니다. (새 탭에서 열림)
존재론적 과제
왜 주 차원의 종합적인 접근 방식이 필요한가? 주 정부들은 심각한 사이버 위협을 막아낼 만한 충분한 자원과 역량을 갖추고 있을지 모르지만, 많은 소규모 기관들—특히 교육구—는 이에 대처하는 데 어려움을 겪을 수 있기 때문이다.
에델렌은 “이는 우리의 자원을 공유하고, 소규모 지역 사회 파트너들과 일종의 ‘사이버 빈곤선’ 아래에 있는 동료 정부 기관들에게 가치 있는 것을 제공함으로써, 우리 주의 사이버 보안이 개선될 때 자금력이 풍부한 기관들뿐만 아니라 우리 모두에게 혜택이 돌아가도록 하기 위함입니다”라고 말합니다.
또한 많은 경우, 시, 카운티 및 기타 소규모 지방 자치 단체들이 적대적인 국가 행위자들과 연간 예산이 수백만 달러에 달하는 막대한 자원을 보유한 사이버 범죄 조직들의 막강한 힘에 맞서 싸우고 있다는 점도 사실입니다. 그렇기 때문에, 이미 확립된 프로그램과 공유할 자원을 갖춘 이들이 이를 아낌없이 나누는 것이 그 어느 때보다 중요해집니다. 특히 예페스의 말에 따르면, 이번 사안의 중대성이 그야말로 “존재적” 수준에 달하기 때문입니다.
“만약 작은 도시가 랜섬웨어 공격을 받아 마비되고, 백업도 없고, 제대로 된 방어 체계도 없으며, 사이버 보험사도 수년 전부터 보장을 중단한 상태라면, 그 도시는 사실상 더 이상 행정 서비스를 제공할 수 없게 될 것이며, 우리는 그런 일이 일어나도록 방치할 수 없다”고 그는 주장한다.
성공적으로 활용하는 방법
문제는 이 모든 것을 어떻게 하나로 통합할 것인가 하는 점입니다. 머레이에 따르면, 중요한 것은 바퀴를 다시 발명하는 것이 아니라, 공동의 접근 방식이 실제로 어디에서 효율성과 규모의 경제를 이끌어낼 수 있는지 파악하는 것이라고 한다. 그는 애리조나주의 이 프로그램을 통해 이미 이와 같은 성과가 나타나고 있다고 말합니다.
“서로 다른 여러 그룹이 ‘이 특정 도구가 필요하다’거나 ‘이 특정 문제를 해결해 줘야 한다’고 말하는 대신, 우리 모두가 힘을 합쳐 더 큰 차원에서 이러한 문제들을 해결하려고 노력하고 있습니다,”라고 그는 설명한다. “그렇게 하면 주 정부 기관에서 27 가지의 서로 다른 도구를 관리할 필요가 없고, 모든 카운티를 위해 또 다른 30 가지의 서로 다른 도구를 관리할 필요도 없습니다.” “우리는 모든 분야에서 동일한 도구를 사용하고 있으며, 이 모든 것은 주 정부에서 관리하고 지방 정부 파트너들이 지원하고 있습니다.”
패널들이 공유한 다른 팁은 다음과 같습니다:
소수 정당들의 목소리에 귀 기울이기: 주 전체를 아우르는 접근 방식은 어느 한 주체의 전유물이 아니므로, 도시, 카운티, K12s번 지역과 같이 가장 도움이 필요한 곳들을 지원하는 데 중점을 두어야 한다. 예페스는 “주 정부는 자신들이 무엇을 필요로 하는지 미리 단정해서는 안 되며, 오히려 귀를 기울여 소수자의 목소리가 제대로 전달되도록 해야 한다”고 말했다.
사람들이 있는 곳에서 그들과 소통하라: 머레이는 거리가 멀다는 점을 고려할 때, 이해관계자들이 주 도심으로 직접 찾아오기를 기대하기보다는 주 차원의 전문가들이 직접 현장을 찾아가 그들이 살고 일하는 곳에서 만나기 위해 순회 설명회를 개최하는 것이 합리적일 수 있다고 말한다.
작게 시작하고 크게 생각하라: 닐리(Neeley)는 일을 시작하려면, 더 많은 협력을 원하는 비교적 소규모의 그룹으로 시작하는 것이 가장 좋을 것이라고 말한다.
“도움을 청해도 괜찮아요,”라고 그가 덧붙인다. “누구도 자신이 모든 것을 안다고 생각해서는 안 됩니다.” “애리조나에서 우리가 시작한 것은 아주 소수의 사람들이 모여 ‘함께 협력해 보자’고 말한 것에서 비롯되었습니다.”
먼저 위협 인텔리전스부터 시작해 보세요: 이를 통해 주 전체 차원의 정책을 지지하는 분들에게 즉각적인 성과를 거둘 수 있는 기회가 열립니다. 에델렌은 연방 기관이나 ISAC(정보공유분석센터) 등에서 제공하는 위협 인텔리전스 정보가 정확성을 확인하고 검증하는 데 많은 시간이 소요되기 때문에 전달 속도가 느릴 수 있다고 주장한다.
에델렌에 따르면, 신속하게 대응할 수 있는 체계를 구축하여, 동료들의 환경에 방해가 될 수 있는 IP 주소나 인접한 시·군에서 명백히 해킹당한 이메일 주소 등 잠재적으로 유해한 정보를 동료들과 신속하게 공유할 수 있도록 하는 것이 중요하다고 한다.
그냥 시작해 보세요: 어떤 위원회와 태스크포스를 구성해야 할지 고민하는 데만 많은 시간을 쏟곤 합니다. 머레이는 이것이 큰 그림을 제대로 보지 못하게 할 수 있다고 결론지었다.
“정부는 바뀌고 또 바뀌며, 이사직도 바뀌곤 한다.” “우리는 이런 일에 휘말려 2년이나 4년마다 계획을 다시 세워야 하는 상황에 처해서는 안 됩니다,”라고 그는 말한다. “그냥 무언가 시작해 보세요. 그러면 나머지는 저절로 풀리게 마련이에요.” “나머지는 저절로 잘 풀릴 거예요.”
웹세미나 전체 영상인 ‘ : 주 전체를 아우르는 2,0: 두 주와 두 카운티의 이야기’를 시청하시려면 상단에 삽입된 동영상을 확인해 주세요.
를 통해 주 전체를 아우르는 보안 아키텍처를 구현하여 시민의 데이터를 보호하는 방법을 알아보시려면 당사 웹사이트 을 방문해 주시고, 를 통해 리소스 라이브러리를 방문하여 25개 이상의 블로그, 백서, 사고 리더십 인터뷰 등을 살펴보시기 바랍니다. (새 탭에서 열림)
