2016.11.15

뉴욕 주의 새로운 사이버 규정··· CSO가 알아야 할 9가지

Ryan Francis | CSO
9월 말, 뉴욕 주 주지사인 앤드류 쿠오모와 뉴욕 주 금융서비스부(NY DFS: New York Department of Financial Services)는 금융기업의 사이버보안 요건을 강화하는 새로운 규제 항목을 발표했다. 금융기업들은 개인 고객 정보의 보물 창고이자 공격자들에게 인기 있는 공격 대상이다. 이런 새로운 규정에 따라 은행, 헤지펀드, 보험사, 금융기관 등은 반드시 고객 정보, PII(Personal Identifying Information), 투자 전략, 모든 비공개 정보를 안전하게 보호해야 한다.

데이터 보안 신생벤처인 베라(Vera)의 CEO 겸 공동 설립자 에이제이 아로라는 뉴욕 주의 사이버보안 규정이 앞으로 기업의 보안 전략 수립에 어떤 영향을 끼칠지를 분석했다.

왜 이런 일이 일어나고 있나? ‘어디에나 데이터가 존재하기 때문’
200여 개의 금융기관과 보험사를 대상으로 진행한 설문조사에서 NY DFS는 ‘모든 곳’에서 고객 정보를 얼마나 자주 공유하는지 그리고 금융기관이 써드파티 업체와 공유한 데이터에 대한 통제력이 얼마나 적은지가 관건인 것으로 나타났다. 더욱 엄격한 규정은 금융기관 안건에서 사이버보안을 가장 우선시하도록 하기 위함이다.

무엇이 새로운가? 직접적인 데이터 보호가 핵심이다
NY DFS 사이버 규정이 SEC와 NAIC의 초기 작업에 기초해 구성되긴 했지만 금융기관을 대상으로 하는 4가지 새로운 데이터 중심적인 요건이 존재한다. 바로 (1) 기업에서 ‘보유하거나 전송하는 비공개 정보’ 전체를 암호화, (2) 접근 권한 제한, (3) 감사 추적, (4) 비공개 정보의 보존 및 ‘시의적절한 정보 폐기’다.

바로 본론으로 들어가자, 단순 암호화로는 부족하다
이런 요건에 들어있는 데이터 중심적인 특성 때문에 보안 및 위험팀은 약간의 책략이 필요하다. 이를 준수하려면 기업들은 데이터가 이동하고 있거나 머물러 있는 상태에서 단순히 암호화하는 것 이상의 보호책을 실행해야 한다.

정지 및 이동 상태에서의 암호화는 신뢰할 수 있는 당사자들 간에 교환하는 데이터만 보호할 수 있다. 안타깝게도 단순히 암호화를 확대하는 것만으로는 강화된 NY DFS 요건을 충족할 수 없다. 왜냐하면, 접근 권한을 제한하지 않으며 필요한 감사 추적을 제공하지 않고 기록 및 기타 정보를 원격으로 폐기할 수 있는 옵션이 있기 때문이다.

역동적인 제어로 데이터를 직접 보호하라
데이터에 관한 특정 정책을 변경하려면 데이터를 실시간으로 역동적으로 통제하는 수단이 필요하다. 정보에 접근할 수 있는 사람, 활용, 접근 권한 기간 등을 통제함으로써 기업들은 이런 새로운 규정 기준을 충족하는 데 필요한 추가적인 보안을 확보할 수 있다.

데이터 수준에서 접근 제어를 정의하라
복잡한 기술 생태계에서는 이제 시스템, 디지털 기기, 주변 기기 등에서 접근 및 권한을 정의하는 게 적합하지 않다. 신원 정보는 온프레미스 환경, 클라우드, 비관리형 서비스를 아우르는 하나의 속성이며, 기밀 정보에 대한 접근을 설정ㆍ감사ㆍ통제하는 일관된 방법을 제공한다.

암호화, 접근 제어, 사용 중 데이터 보호는 데이터의 종류, 보관 위치, 공유 방식에 상관없이 궁극적으로 정보 보호에 초점을 맞춰야 한다.

감사 추적 요건을 자동화하는 솔루션 선택하라
예전에는 데이터 접근에 대한 감사 추적 요건을 부수적이거나 나중에 생각할 것으로 여겼다. NY DFS 사이버 규정은 데이터 사용에 대한 가시성 개선, 그리고 권한 평가와 트랜잭션을 추적하고 기록하는 방법까지도 요구한다.

데이터가 어디에 있건 간에 이에 대한 모든 승인 및 미승인 접근 시도를 자동으로 기록하는 보안 솔루션을 실행함으로써 가시성뿐만이 아니라 위험한 행동을 미리 확인할 수 있는 능력도 향상된다. 데이터 유출 사고가 발생하기 전에 선제적으로 예방하고 직원들이 기밀 정보를 반출하지 못 하게 할 수 있다.


Credit:Pexel

간결성과 보안의 균형을 맞추는 솔루션의 우선순위를 정하라
보안팀이 규정에 대응하고자 추가적인 기술을 적용하고 협업 및 비즈니스 프로세스를 지원하는 원활하면서 간소한 툴의 중요성을 간과하는 경우가 너무 많다. 이로 인해 직원들이 툴을 찾기 복잡하고 어려워지며, 협업 시 난관에 부딪히는 경우가 많아진다. 확장할 수 있고 실행할 수 있는 데이터 보안 접근방식은 강력한 보안과 사용성을 균형적으로 제공해 보호 대상인 비즈니스 사용자에게 최선의 서비스를 제공해야 한다.

데이터를 얼마나 보관하고 어느 시점에 폐기할지 정보를 제공하라
이 규정은 내부에 있는 데이터뿐 아니라 데이터가 이동하는 모든 곳에 적용된다. 이는 수백 개의 써드파티 업체와 협력하는 금융기관에 필수적이다. 엉뚱한 사람에게 엉뚱한 파일을 보냈다는 이야기를 얼마나 많이 들어 봤나? 아니면 M&A 계약 후 기업의 재정 정보가 공유, 다운로드, 보존되었다는 이야기는 얼마나 자주 들어 봤나? 궁극적으로 데이터 소유자에게 해당 데이터를 회수하거나 접근을 차단하는 권한을 제공하는 것이 무엇보다도 중요하다.


Credit:Pexel

규정의 범위는 뉴욕보다 넓으며 모든 산업에 적용된다
당신의 기업이 이 새로운 규정을 적용받지 않더라도 국내외의 유사한 규제 당국들이 뉴욕의 사이버 규정을 신속하게 도입할 것으로 예상된다.

이런 규정의 메시지는 하나다. 주변과 정보 시스템만 보호한다고 해서 이런 의무사항을 충족할 수 없다. 기업들은 현재의 시스템을 초월하는 동적인 형태의 데이터 보호를 통해 데이터 중심적인 전략을 수립해야 한다.

희소식은 이렇게 제안된 규정으로 기업에 대한 외부 공격의 위험이 완화되고 내부자 위협, 부주의, 의도하지 않은 데이터 오용으로 인한 데이터 유출 위험이 많이 감소한다는 점이다. ciokr@idg.co.kr
 



2016.11.15

뉴욕 주의 새로운 사이버 규정··· CSO가 알아야 할 9가지

Ryan Francis | CSO
9월 말, 뉴욕 주 주지사인 앤드류 쿠오모와 뉴욕 주 금융서비스부(NY DFS: New York Department of Financial Services)는 금융기업의 사이버보안 요건을 강화하는 새로운 규제 항목을 발표했다. 금융기업들은 개인 고객 정보의 보물 창고이자 공격자들에게 인기 있는 공격 대상이다. 이런 새로운 규정에 따라 은행, 헤지펀드, 보험사, 금융기관 등은 반드시 고객 정보, PII(Personal Identifying Information), 투자 전략, 모든 비공개 정보를 안전하게 보호해야 한다.

데이터 보안 신생벤처인 베라(Vera)의 CEO 겸 공동 설립자 에이제이 아로라는 뉴욕 주의 사이버보안 규정이 앞으로 기업의 보안 전략 수립에 어떤 영향을 끼칠지를 분석했다.

왜 이런 일이 일어나고 있나? ‘어디에나 데이터가 존재하기 때문’
200여 개의 금융기관과 보험사를 대상으로 진행한 설문조사에서 NY DFS는 ‘모든 곳’에서 고객 정보를 얼마나 자주 공유하는지 그리고 금융기관이 써드파티 업체와 공유한 데이터에 대한 통제력이 얼마나 적은지가 관건인 것으로 나타났다. 더욱 엄격한 규정은 금융기관 안건에서 사이버보안을 가장 우선시하도록 하기 위함이다.

무엇이 새로운가? 직접적인 데이터 보호가 핵심이다
NY DFS 사이버 규정이 SEC와 NAIC의 초기 작업에 기초해 구성되긴 했지만 금융기관을 대상으로 하는 4가지 새로운 데이터 중심적인 요건이 존재한다. 바로 (1) 기업에서 ‘보유하거나 전송하는 비공개 정보’ 전체를 암호화, (2) 접근 권한 제한, (3) 감사 추적, (4) 비공개 정보의 보존 및 ‘시의적절한 정보 폐기’다.

바로 본론으로 들어가자, 단순 암호화로는 부족하다
이런 요건에 들어있는 데이터 중심적인 특성 때문에 보안 및 위험팀은 약간의 책략이 필요하다. 이를 준수하려면 기업들은 데이터가 이동하고 있거나 머물러 있는 상태에서 단순히 암호화하는 것 이상의 보호책을 실행해야 한다.

정지 및 이동 상태에서의 암호화는 신뢰할 수 있는 당사자들 간에 교환하는 데이터만 보호할 수 있다. 안타깝게도 단순히 암호화를 확대하는 것만으로는 강화된 NY DFS 요건을 충족할 수 없다. 왜냐하면, 접근 권한을 제한하지 않으며 필요한 감사 추적을 제공하지 않고 기록 및 기타 정보를 원격으로 폐기할 수 있는 옵션이 있기 때문이다.

역동적인 제어로 데이터를 직접 보호하라
데이터에 관한 특정 정책을 변경하려면 데이터를 실시간으로 역동적으로 통제하는 수단이 필요하다. 정보에 접근할 수 있는 사람, 활용, 접근 권한 기간 등을 통제함으로써 기업들은 이런 새로운 규정 기준을 충족하는 데 필요한 추가적인 보안을 확보할 수 있다.

데이터 수준에서 접근 제어를 정의하라
복잡한 기술 생태계에서는 이제 시스템, 디지털 기기, 주변 기기 등에서 접근 및 권한을 정의하는 게 적합하지 않다. 신원 정보는 온프레미스 환경, 클라우드, 비관리형 서비스를 아우르는 하나의 속성이며, 기밀 정보에 대한 접근을 설정ㆍ감사ㆍ통제하는 일관된 방법을 제공한다.

암호화, 접근 제어, 사용 중 데이터 보호는 데이터의 종류, 보관 위치, 공유 방식에 상관없이 궁극적으로 정보 보호에 초점을 맞춰야 한다.

감사 추적 요건을 자동화하는 솔루션 선택하라
예전에는 데이터 접근에 대한 감사 추적 요건을 부수적이거나 나중에 생각할 것으로 여겼다. NY DFS 사이버 규정은 데이터 사용에 대한 가시성 개선, 그리고 권한 평가와 트랜잭션을 추적하고 기록하는 방법까지도 요구한다.

데이터가 어디에 있건 간에 이에 대한 모든 승인 및 미승인 접근 시도를 자동으로 기록하는 보안 솔루션을 실행함으로써 가시성뿐만이 아니라 위험한 행동을 미리 확인할 수 있는 능력도 향상된다. 데이터 유출 사고가 발생하기 전에 선제적으로 예방하고 직원들이 기밀 정보를 반출하지 못 하게 할 수 있다.


Credit:Pexel

간결성과 보안의 균형을 맞추는 솔루션의 우선순위를 정하라
보안팀이 규정에 대응하고자 추가적인 기술을 적용하고 협업 및 비즈니스 프로세스를 지원하는 원활하면서 간소한 툴의 중요성을 간과하는 경우가 너무 많다. 이로 인해 직원들이 툴을 찾기 복잡하고 어려워지며, 협업 시 난관에 부딪히는 경우가 많아진다. 확장할 수 있고 실행할 수 있는 데이터 보안 접근방식은 강력한 보안과 사용성을 균형적으로 제공해 보호 대상인 비즈니스 사용자에게 최선의 서비스를 제공해야 한다.

데이터를 얼마나 보관하고 어느 시점에 폐기할지 정보를 제공하라
이 규정은 내부에 있는 데이터뿐 아니라 데이터가 이동하는 모든 곳에 적용된다. 이는 수백 개의 써드파티 업체와 협력하는 금융기관에 필수적이다. 엉뚱한 사람에게 엉뚱한 파일을 보냈다는 이야기를 얼마나 많이 들어 봤나? 아니면 M&A 계약 후 기업의 재정 정보가 공유, 다운로드, 보존되었다는 이야기는 얼마나 자주 들어 봤나? 궁극적으로 데이터 소유자에게 해당 데이터를 회수하거나 접근을 차단하는 권한을 제공하는 것이 무엇보다도 중요하다.


Credit:Pexel

규정의 범위는 뉴욕보다 넓으며 모든 산업에 적용된다
당신의 기업이 이 새로운 규정을 적용받지 않더라도 국내외의 유사한 규제 당국들이 뉴욕의 사이버 규정을 신속하게 도입할 것으로 예상된다.

이런 규정의 메시지는 하나다. 주변과 정보 시스템만 보호한다고 해서 이런 의무사항을 충족할 수 없다. 기업들은 현재의 시스템을 초월하는 동적인 형태의 데이터 보호를 통해 데이터 중심적인 전략을 수립해야 한다.

희소식은 이렇게 제안된 규정으로 기업에 대한 외부 공격의 위험이 완화되고 내부자 위협, 부주의, 의도하지 않은 데이터 오용으로 인한 데이터 유출 위험이 많이 감소한다는 점이다. ciokr@idg.co.kr
 

X