안녕하세요 인텔렉추얼데이터입니다.
지난 수요일 미 CISA(US Cybersecurity and Infrastructure Security Agency, 사이버보안 및 인프라 보안국)은 사이버보안 사고 보고에 관한 규칙 초안을 공개했습니다. 이 규칙 초안에는 주요한 목표들이 설정되어 있는데, 이 규칙을 통해 미 연방 정부는 의료, 제조, 에너지, 금융 서비스, 운송, 수도 시설 등 핵심 시설에 침투하여 국가 운영에 영향을 줄 수 있는 침입에 대한 폭넓은 정보 수집을 달성하는 것을 목표로 합니다.
미국 CISA, 새로운 사이버보안 사고 보고 규칙 공개
2022년에 제정된 CIRCIA(Cyber Incident Reporting for Critical Infrastructure Act) 규정을 뒷받침하는 이번 규칙은 랜섬웨어로 인해 발생한 '데이터 인질극'이 발생했을때 협상 과정에서 지급된 '데이터 몸값' 추적 등을 비롯하여 보안 사고 전체를 효과적으로 모니터링할 수 있는 미 연방 정부의 역량을 향상시키는 것을 목표로 합니다. 알레한드로 마요르카스(Alejandro Mayorkas) 미 국토안보부 장관은 수집된 데이터를 통해 CISA 및 기타 관련 기관이 사고 대응 전략을 강화하고 국가의 중요 인프라 내 취약성을 정확히 찾아낼 수 있을 것이라고 강조했습니다.
공개된 규칙 초안의 핵심은 조직이 중요한 사이버 사고를 72시간 이내에 보고하고 랜섬웨어 사고가 발생한 직후(혹은 협상을 위해 '데이터 몸값'을 지불한 시간에서) 24시간 이내에 보고할 것을 요구하고 있는데요. 많은 사이버 보안 커뮤니티에서는 매우 촉박한 기간이라고 말하고 있습니다. 거기다 기존에 있던 규정과 별개로 요구되는 추가적 규정이기 때문에 연방 및 주 차원에서 존재하는 36개 이상의 보고 요구 사항과 별개로 추가적으로 연방 지침을 수행해야 하게 됩니다.
자칫 보안사고 대응 초기에 부담이 될 수 있는 규정 강화
이런 제도 자체가 필요한 것이고, 좋은 의미에서 제정되었으나 중복이 많고 복잡한데다 시간마저 매우 촉박하게 강요되는 지침은 보안조직의 운영에 혼란을 초래할 위험이 있습니다. 또한 가뜩이나 복잡한 초기 사이버 공격 대응/평가 작업에 더 많은 부하를 가하겠지요.
보안 커뮤니티에서는 이번 CIRCIA 규정에 대해 "특정 사건을 자세히 공개하면 악의적인 행위자가 이를 참조로 다시 공격할 수 있는, 소위 모방 범죄가 발생할 수 있다"고 평가했습니다. 또한 전체적으로 "비용이 많이 드는데다 너무 중복되는 규정이 많다"고 했는데요. 이는 궁극적으로 업무 강도가 너무 높아져 보안 인력에게 부담이 될 것이라고도 평했습니다.
매번 강화되는 보안 규정에 대응하기 위한 방안
이번 규칙 초안의 핵심은 사이버 사고 및 랜섬웨어 사고가 발생했을 때 보고를 위해 보다 명확한 프레임워크를 수립하는 것을 목표로 하는데요. 해당 사건 보고서에 대한 기밀 처리 작업과 익명화된 통계 게시 작업을 포함하겠다고 밝히며 CISA는 모방 범죄에 대한 우려를 어느 정도 불식시키기도 했습니다. 문제의 핵심은 이러한 규정에 대한 필요성을 판단하는 것이 아닐 것입니다. 증가하는 보안사고를 막기 위해서, 중요한 국가 기반시설의 안전한 운영을 담보하기 위해서라도 미 연방 정부는 이런 규정을 더욱 엄격하게 적용시키고 발전시켜 나갈 것이 명약관화합니다. 중요한 것은 현업에서 기업들이 어떤 방식으로 대응해야 과도한 부담 없이 연방정부의 엄격한 보안에 대한 규정을 대응할 수 있을까 하는 방법을 찾는 것입니다.
아래와 몇 가지 지침과 같이 CISO는 이런 문제에 대한 대응을 하기 위한 방법을 고민해 볼 수 있을 것 같습니다.
- 보안 거버넌스 프로세스 혁신 : CISO는 새로운 요구 사항을 보안 거버넌스 프로세스, 지표 및 워크플로우의 효율성을 향상시켜야 합니다
- 보안 사고 대응 절차 개선 : 더 빠르고 자세한 공개에 대한 새로운 요구를 감안하여 CISO는 보안 사고 대응 절차를 개선, 로그 분석 빈도를 높이고 침투를 좀 더 상세하게 관측, 이상 발생 시 보고 프로세스를 자동화해야 합니다.
- 보안 컴플라이언스 및 리스크 관리 방안 개선 : CISO는 CISA(및 SEC) 규칙에 맞춰 컴플라이언스 및 리스크 관리 방안을 개선해야 하며, 법적 위험을 관리하기 위해 내부 커뮤니케이션에 주의를 기울여야 합니다.
- 컴플라이언스 준수를 위한 대응 절차 및 프로세스 확립 : 보안 사고에 대한 대응 및 컴플라이언스 준수를 위한 작업 프로세스를 자동화된 방식으로 수집, 분류 및 보고하는 시스템에 투자하여 객관적으로 컴플라이언스 준수 상태를 확인, 개선이 필요한 영역을 빠르게 식별할 수 있습니다.
- 기존 보안 작업 최적화 : 사고 분류 시간이나 대응 절차 준수율, 준수 단계와 같은 KPI를 설정하여 워크플로우를 조금 더 신속하고 투명하게 개선해야 하며, 보안 및 컴플라이언스 작업에 자동화를 적극적으로 활용해야 합니다.
- 명확한 경영진 역할 및 책임 설정: CISO 및 보안 팀은 CEO, CFO를 비롯하여 여러 관계자와 협력하고 훈련을 수행하는 과정에서 커뮤니케이션 채널을 충분히 확보해야 합니다.
수많은 난점과 행정, 기술적 복잡성이 증가함에도 불구하고 구체화된 CIRCIA는 미 연방 정부가 의료에서 금융 서비스에 이르기까지 모든 주요 인프라 부문에 걸쳐 사이버 보안 규정을 표준화하겠다는 강력하고 포괄적인 노력이 가시화 된 것으로 볼 수 있습니다. 이를 통해 향후 미국을 포함해 국제 표준이 될 보안 사고에 대한 대응이 어떻게 이루어질지 대략적으로나마 예측할 수 있겠죠. 미국 정부, 혹은 미국 내 기업과 최소한의 관계를 유지하는 IT 기업들 역시 촉각을 곤두세우고 대응해 나가야 할 것입니다. 특히 E-Discovery와 같이 크리티컬한 영역으로 해석될 수 있는 법률-IT 영역은 더더욱 충분한 대비가 필요한 상황입니다.
인텔렉추얼데이터는 국내 대표 E-Discovery 기업으로 보안을 위한 전문 인력 배치, 지속적인 교육과 훈련을 통해 높은 수준의 데이터 보안을 유지하고 있습니다. 해외 소송 상황과 같이 기업의 민감하고 중요한 데이터에 대한 E-Discovery 필요하다면, 인텔렉추얼데이터의 전문가와 상담 받아보세요.
