넷스코프 CISO 닐 태커가 알려주는 제로 트러스트 구축을 위한 CISO를 위한 7가지 실용 팁

시즌 2를 마무리하면서 더 세그먼트: 제로 트러스트 리더십 팟캐스트, 업계 최고의 전문가들과 나눈 대화를 되돌아보는 것은 흥미진진합니다.각각은 조직이 오늘날의 끊임없이 변화하는 위협 환경에 적응할 수 있는 방법에 대한 독특한 관점을 제공했습니다.

마지막 에피소드에서는 Netskope의 EMEA 최고 정보 보안 책임자 (CISO) 인 닐 태커 (Neil Thacker) 와 함께 앉을 수 있는 특권을 누렸습니다.Neil은 복원력이 뛰어난 제로 트러스트 프레임워크를 구축하는 방법에 대한 풍부한 경험을 제공합니다.토론에서 그는 보안 리더와 CISO가 제로 트러스트를 향한 여정을 헤쳐나가는 데 도움이 될 수 있는 7가지 팁을 공유했습니다.

1.전통적인 경계선 너머를 보세요

Neil은 1990년대에 사이버 보안 업계에 입문하여 사람들이 인터넷에 안전하게 연결할 수 있도록 돕는 서비스 데스크에서 일했습니다.그는 경영진으로 전환하기 전에 기술 및 컨설턴트 역할로 빠르게 자리를 옮겼습니다.

Neil은 경계 구역 보안이 모든 보안 팀의 초점이었던 경력 초창기를 회상했습니다.당시에는 외부 위협으로부터 조직의 네트워크와 자산을 보호하는 것이 목표였습니다.

하지만 시대는 변했습니다.오늘날 이러한 경계선에 의존하는 것은 잘못된 보안 의식을 심어줍니다.

닐은 이렇게 말했다. “주변이 사라졌어요.“클라우드라고 부르기도 전에 이런 일이 벌어지는 걸 봤어요.조직은 데이터와 운영을 외부 서버로 이전하고 있었고 이러한 연결을 보호하는 것이 그 어느 때보다 중요해졌습니다.”

직원들이 원격으로 일하고 데이터가 하이브리드, 멀티 클라우드 환경에 분산되어 있는 오늘날, 이 아이디어는 기존 네트워크 경계 구식입니다.이러한 새로운 네트워킹 방식은 복잡성을 증가시켰고, 이에 따라 보안 침해와 랜섬웨어 공격도 기하급수적으로 증가했습니다.

Neil은 CISO가 고정된 경계를 방어하는 것에서 어디에 있든 액세스 포인트를 보호하는 것으로 초점을 전환하여 이러한 새로운 현실을 받아들여야 한다고 말했습니다.네트워크의 문을 잠그는 데 그치지 말고 비즈니스에 필요하지 않은 모든 장치, 모든 앱 및 모든 트래픽 흐름을 잠그십시오.팀이 국경이 없는 세상을 더 빨리 받아들일수록 현대적 사이버 위협에 더 빨리 대비할 수 있습니다.

2.위험 관리를 최우선의 과목으로 삼으세요

Neil은 리소스를 적게 분산하는 대신 위험에 초점을 맞추는 것을 강조했습니다.오늘날의 위협 환경에서 모든 것을 동등하게 보호하는 것은 비현실적일 뿐만 아니라 불가능합니다.핵심은 조직에 가장 중요한 것이 무엇인지 이해하는 것입니다.

“완벽한 세상에서는 조직에서 매일 처리하는 모든 데이터를 보호할 수 있습니다.하지만 이는 현실적이지 않습니다.” 라고 그는 말했습니다.“위험 우선 순위 지정이 전부입니다.가장 큰 위험은 어디서 오나요?”

Neil에 따르면 가장 성공적인 보안 전략은 중요한 자산과 고위험 영역에 초점을 맞춥니다.그는 CISO에게 다음과 같은 어려운 질문을 던지라고 권했습니다. 비즈니스에 가장 중요한 데이터는 무엇일까요?데이터에 액세스할 수 없게 되면 어떻게 되나요?재정적 또는 평판에 미치는 영향은 무엇인가요?이러한 해답은 보안 노력의 원동력이 될 것입니다.

3.제로 트러스트 전략을 정체성에만 초점을 맞추지 마세요.

사용자의 신원을 확인하는 것도 중요하지만 제로 트러스트 접근 방식은 훨씬 더 나아가야 한다고 Neil은 설명했습니다.그는 정체성에만 너무 중점을 두지 말라고 경고했는데, 이는 많은 CISO들이 그렇게 하는 경향이 있다고 생각합니다.

대신 Neil은 기기 자세, 위치 및 활동 패턴과 같은 신호를 포함하는 더 넓은 관점을 제안했습니다.

“정체성은 방정식의 한 부분일 뿐입니다.” 라고 그는 설명했습니다.“액세스 요청의 이면에 있는 장치, 위치 및 컨텍스트도 고려해야 합니다.”

제로 트러스트 모델을 개선하기 위해 그는 다층적 접근 방식을 취할 것을 권장했습니다.보안 결정은 단순히 ID가 아닌 여러 신호를 기반으로 내려야 합니다.장치의 상태, 위치 및 액세스되는 데이터의 민감도는 모두 액세스 권한 부여 여부를 결정하는 데 똑같이 중요합니다.

4.보안이 데이터를 따르도록 하세요

Neil은 모든 제로 트러스트 모델에서는 데이터가 항상 우선 순위를 유지해야 한다고 주장했습니다.어디에서든 사용자, 장치, 애플리케이션이 연결되기 때문에 보안은 데이터를 준수해야 합니다.이렇게 하면 어디를 가든 데이터를 보호할 수 있습니다.

“더 이상 네트워크 보안에만 의존할 수는 없습니다.” 라고 Neil은 말했습니다.“데이터가 어디로 이동하든 데이터를 보호해야 합니다.”즉, 모든 환경에서 데이터와 함께 이동하는 보안 제어를 적용해야 합니다.

데이터에 액세스하는 사람을 모니터링하는 것뿐만 아니라 데이터가 어떻게 사용되고 어디로 이동하는지를 모니터링하는 것이 중요합니다.데이터 중심 보안을 통해 데이터가 클라우드, 엔드포인트, 파트너 네트워크 등 어디에 있든 일관된 보안 정책이 적용됩니다.

5.보안 스택을 통합하여 효율성을 높이세요

Neil은 많은 CISO가 직면한 주요 과제는 위협으로부터 방어하는 것뿐만 아니라 복잡성을 관리하는 것이라고 생각합니다.보안 도구가 너무 많으면 솔루션보다 골치 아픈 문제가 더 커질 수 있습니다.Neil은 보안 리더에게 가능한 경우 도구를 통합하여 보안 스택을 간소화하라고 조언했습니다.

“보안 도구의 수에는 좋은 점이 있습니다.” 라고 그는 말했습니다.“스택을 10개 미만으로 줄일 수 있다면 훨씬 더 관리하기 쉬운 위치에 있는 것입니다.”

수십 개의 시스템을 저글링하다 보면 시스템 간의 격차가 발생할 수 있습니다. 가시성 및 보안 또는 중복 기능Neil은 더 적은 수의 효과적인 도구를 단일 플랫폼에 통합할 것을 강조했습니다.스택을 단순화하면 복잡성을 줄이고 비용을 절감하며 조직의 보안 상태를 더 명확하게 파악할 수 있습니다.

6.보안 계산에 시간을 더하세요

닐은 제로 트러스트에서 흔히 간과되는 부분이 시간이라고 생각합니다.이해 언제 데이터에 액세스하는 것은 이해만큼이나 중요할 수 있습니다. 누구 액세스 중입니다.

“제로 트러스트를 구축할 때는 데이터에는 고유한 라이프 사이클이 있기 때문에 시간을 고려해야 합니다.” 라고 그는 설명했습니다.

Neil은 특정 시점에 일부 데이터 자산의 기밀을 고도로 유지하는 인수 합병 (M&A) 활동을 예로 들었습니다.특정 시점이 지나면 해당 데이터는 더 이상 기밀로 취급되지 않습니다.

“시간이 데이터와 보안 요구 사항에 미치는 영향을 이해하는 것은 제로 트러스트 전략 고려 사항의 일부여야 합니다.” 라고 그는 말했습니다.

즉, 시간을 또 다른 보안 신호로 간주하십시오.예를 들어, 업무 시간 이후에는 민감한 데이터에 액세스하지 못하도록 차단하는 제어를 설정하거나 일반적인 사용 패턴을 벗어나는 액세스 요청에 플래그를 지정하세요.시간 기반 이상 현상은 악의적인 활동이나 계정 침해를 나타내는 강력한 지표가 될 수 있습니다.

7.제로 트러스트를 비즈니스 목표에 맞게 조정

제로 트러스트 전략은 IT 부서뿐만 아니라 비즈니스에도 도움이 되어야 합니다.Neil은 비즈니스 리더들과 모국어로 소통하는 것이 중요하다고 강조했습니다.이는 보안 계획의 기술적 세부 사항뿐만 아니라 보안이 성장과 비즈니스 연속성을 어떻게 지원하는지에 초점을 맞추는 것을 의미합니다.

Neil은 이렇게 말했습니다. “기술적 측면에 덜 초점을 맞춘 토론을 하는 것이 유용하다는 것을 알았습니다.“이사회에서는 얼마나 많은 시스템을 대상으로 하는지, 얼마나 많은 사고가 발생했는지에 관한 것이 아닙니다.궁극적으로는 비즈니스를 어떻게 지원하고 비즈니스가 발전하도록 지원하는지가 관건이었죠.”

이사회 또는 경영진에게 제로 트러스트 전략을 제시할 때는 다음과 같은 관점에서 구성하십시오. 비즈니스 가치.제로 트러스트는 주요 수익원을 어떻게 보호할 수 있을까요?지적 재산과 고객 데이터를 어떻게 보호할 것인가?보안 노력을 비즈니스 우선 순위에 맞게 조정하면 회사 전체에 제로 트러스트를 성공적으로 구축하는 데 필요한 리더십의 동의를 얻을 수 있습니다.

청취, 구독, 리뷰 더 세그먼트: 제로 트러스트 리더십 팟캐스트

Netskope에서 제로 트러스트를 구축한 Neil의 경험에서 알 수 있듯이 제로 트러스트는 “설정하고 잊어버리는” 접근 방식이 아닙니다.이는 사고방식이자 학습, 개선, 확장을 위한 지속적인 프로세스입니다.

더 알아보고 싶으세요?에서 전체 에피소드를 들어보세요당사 웹사이트,애플 팟캐스트,스포티파이, 어디서든 팟캐스트를 받을 수 있습니다.에피소드의 전체 대본을 읽을 수도 있습니다.