숀 코넬리, 제로 트러스트가 연방 사이버 보안을 현대화한 방법에 대해 이야기하다

사이버 보안 및 인프라 보안국 (CISA) 은 진화하는 사이버 위협으로부터 미국의 중요 인프라를 보호하는 데 앞장서고 있습니다.또한 연방 정부가 사이버 보안을 기존의 경계 기반 전략에서 현대적인 제로 트러스트 접근 방식으로 발전시키는 데 중요한 역할을 했습니다.

The Segment: 제로 트러스트 리더십 팟캐스트의 최근 에피소드에서 저는 제로 트러스트로의 전환을 주도한 설계자와 이야기를 나눴습니다. 바로 전 CISA 제로 트러스트 이니셔티브 책임자였던 숀 코넬리 (Sean Connelly) 입니다.그는 연방 사이버 보안의 혁신적인 변화, 네트워크 경계의 진화를 살펴보고 제로 트러스트 여정을 시작하는 모든 사람에게 실용적인 조언을 제공했습니다.

토론의 요약을 보려면 계속 읽으십시오.

에 대해 숀 코넬리

Sean은 의 주요 인물입니다. 연방 사이버 보안, 지난 10년 동안 CISA의 이니셔티브를 수립하는 데 중요한 역할을 했습니다.그는 연방 정부의 방어 전략에 필수적인 제로 트러스트 사이버 보안 모델을 발전시켰습니다.또한 최초의 제로 트러스트 성숙도 모델 개발을 주도했으며 NIST 제로 트러스트 아키텍처를 공동 저술했습니다.

올해 초 그는 다음과 같이 출시했습니다. CISA 제로 트러스트 이니셔티브 오피스 정부 기관에 사이버 보안 조치를 강화하는 데 필요한 교육 및 리소스를 제공합니다.

CISA가 연방 사이버 보안을 현대화하는 데 도움을 준 방법

2000년대 중반, 연방 기관의 네트워크는 빠르게 성장했고 인터넷에 대한 네트워크 연결은 놀라운 수치로 증가했습니다.공격 대상이 점점 늘어나고 있었습니다.Sean은 연방 정부가 연방 정부 전반에서 위험을 줄일 방법을 찾아야 한다는 것을 깨달았습니다.

Sean과 CISA 팀은 다른 미국 사이버 보안 기관과 협력하여 다음을 만들었습니다. 신뢰할 수 있는 인터넷 연결 (TIC) 2007년의 이니셔티브.정부 네트워크의 게이트웨이 수를 제한하는 것이 목표였습니다.모든 연방 인터넷 트래픽은 TIC 승인 기관을 통해 라우팅되어야 합니다.

초기에는 기존의 허브 앤 스포크 네트워킹 모델에 의존하던 네트워크 경계를 보호하는 데 중점을 두었습니다.그러나 Sean과 같은 연방 사이버 보안 리더들은 시간이 흐르면서 데이터 중심의 탈중앙화된 접근 방식이 필요하다는 것을 깨달았습니다. 구름 및 모바일 기술.

“당시에도 Cisco와 Jericho Forum은 심층 경계화의 필요성을 언급했습니다.” 라고 그는 설명했습니다.“그들이 내건 계명 중 하나는 '보안을 데이터에 더 가깝게 배치할수록 더 좋다'는 것이었습니다.말이 되네요, 그렇죠?”

TIC는 2.0으로 발전했고 결국에는 3.0으로 발전했으며, 이제는 기관이 오늘날의 복잡한 위협 환경에 대비하기 위해 클라우드 서비스와 제로 트러스트를 채택하도록 장려하고 있습니다.TIC 3.0은 이전 버전의 TIC 프로그램보다 더 유연한 위험 기반 접근 방식에 중점을 둡니다.

Sean은 TIC 3.0을 연방 사이버 보안을 위한 “새로운 여정”이라고 불렀습니다.이를 통해 데이터 보안과 네트워크 보안 간의 균형이 개선되었습니다.이는 연방 정부가 제로 트러스트 접근 방식을 채택한 데 있어 중요한 이정표이기도 합니다.

CISA의 제로 트러스트 성숙도 모델 구축

이 “새로운 여정”에서 중요한 부분은 기관에 건물에 대한 실용적인 정보를 제공하는 것이었습니다. 제로 트러스트.제로 트러스트에는 에이전시의 사고방식 전환이 필요했지만 에이전시 리더에게는 제로 트러스트를 실현하는 방법에 대한 전술적 세부 사항도 필요했습니다.

Sean은 CISA의 창작 노력을 이끌었습니다. 제로 트러스트 성숙도 모델 (ZTMM), 2021년에 출판되었습니다.ZTMM은 연방 기관이 제로 트러스트를 향해 나아갈 때 사용할 수 있는 가장 중요한 로드맵 중 하나입니다.

ZTMM은 연방 정부의 제로 트러스트 채택의 주요 지표입니다.이는 기관들이 제로 트러스트 플랜을 만들 때 공통된 언어를 제공하기 때문입니다.Sean은 제로 트러스트 구축과 관련하여 정확한 지침이 필요하다는 것을 알고 있었습니다.당시에는 기관마다 제로 트러스트에 대한 이해가 달랐습니다.이로 인해 제로 트러스트가 실제로 어떤 모습이고 연방 보안 명령에 어떻게 적용되는지에 대한 혼란이 야기되었습니다.그는 이렇게 말했습니다. “정책에 언어를 넣을 수는 있지만 기관들은 여전히 '이게 진짜 뜻인가요? '하고 싶어해요.”

첫 번째 버전을 출시한 후 CISA는 다른 사이버 기관 및 SME와 함께 기관별로 Zero Trust의 진행 상황과 성숙도에 대해 논의했습니다.그 결과 공급업체, 학계 및 국제 정부와의 회의를 포함하여 100개 이상의 회의가 열렸습니다.CISA는 2022년에 발행된 ZTMM의 두 번째 버전에 이 피드백을 추가했습니다.

Sean은 프레젠테이션과 기사에서 ZTMM의 마운틴 그래픽을 여러 번 본 것에 대해 회상하며 “반향을 일으켰습니다.” 라고 말했습니다.“그래도 제가 보기에 가장 중요한 건 산 정상에 도착했을 때 정말 산맥이 된 것 같다는 거예요.”

Sean은 제로 트러스트는 결코 완전하지 않으며 지속적인 여정이라고 강조했습니다.그는 “기술이 발전함에 따라 깃발을 옮기고 골대를 옮길 것”이라고 설명했다.“제로 트러스트를 구축하기 위해서는 항상 새로운 방법을 추가해야 합니다.”이를 위해 Sean은 ZTMM을 사이버 보안의 현재 상태를 지속적으로 반영해야 하는 살아있는 문서라고 생각합니다.

제로 트러스트를 위한 5단계

Sean에 따르면 제로 트러스트 여정을 막 시작한 사람들과의 미팅에 참여한다면 다음과 같은 것부터 시작하라고 권할 것입니다. NSTAC 제로 트러스트 보고서.이 가이드는 함께 작성되었습니다. 존 킨더백제로 트러스트의 창시자이자 일루미오의 수석 에반젤리스트인 그는 제로 트러스트 프로그램을 구축하기 위한 다섯 단계를 설명합니다.

다음은 우리가 논의한 다섯 단계에 대한 분석입니다.

1. 보호 표면 정의: 보호가 필요한 항목을 식별하십시오.

2. 거래 흐름 매핑: 시스템, 클라이언트-서버 및 조직 상호 작용을 포함하여 조직 내의 데이터 및 통신 흐름을 문서화합니다.

3. 아키텍처 구축: 네트워크, 호스트 장치 및 ID의 신호를 활용하여 보호 자산에 가까운 보안 조치를 갖춘 데이터 중심 보안 아키텍처를 개발합니다.

4. 동적 정책 생성: 클라이언트-서버 및 조직 상호 작용을 고려하여 변화하는 조건에 대응하는 조정 가능한 정책을 수립합니다.

5. 매니페스트, 모니터링 및 유지 관리: 지속적인 보안 및 규정 준수를 보장하기 위해 제로 트러스트 환경을 구축, 지속적으로 모니터링 및 유지하세요.

더 세그먼트: 제로 트러스트 팟캐스트를 듣고, 구독하고, 리뷰하세요

더 알아보고 싶으세요?Sean과 함께 전체 에피소드를 들어보세요.당사 웹사이트,애플 팟캐스트,스포티파이어디서든 팟캐스트를 받을 수 있습니다.에피소드의 전체 대본을 읽을 수도 있습니다.

곧 더 많은 제로 트러스트 인사이트를 가지고 돌아오겠습니다!