보안 정책: 이는 미래에 필수적인 핵심 기반 시설로 분류됩니다.

은행 및 공공 서비스 부문에서 규제 기관은 특정 시스템을 중요 시스템으로 정의합니다. 중요 시스템이란 시스템 장애 발생 시 고객, 시장 또는 공공 안전에 용납할 수 없는 피해를 초래할 수 있는 시스템을 말합니다. 예를 들어, 결제 은행의 결제 플랫폼이나 전력 배급업체의 SCADA 네트워크는 지속적인 모니터링, 문서화된 변경 관리, 그리고 입증 가능한 복원력을 포함한 최고 수준의 관리 의무를 갖습니다.

방화벽, 클라우드 제어 및 마이크로세그멘테이션 전반에 걸쳐 축적된 규칙 집합인 정책 환경은 시스템 간 접근 허용 여부, 통신 차단 여부, 예외 허용 여부를 결정합니다. 이러한 규칙들은 총체적으로 보안 정책 제어 계층, 즉 분산된 실행 지점 전반에 걸쳐 비즈니스 목표를 접근 권한 결정으로 변환하는 거버넌스 계층을 구성합니다.

클라우드 마이그레이션 중 해싱 규칙이 잘못 구성되면 결제 서비스가 정산 플랫폼에서 연결이 끊어질 수 있습니다. 마찬가지로, 개발 서브넷에서 프로덕션 환경에 광범위한 액세스 권한을 부여하는 임시 규칙은 이를 제거할 책임자가 없기 때문에 실제 운영이 완료된 후에도 몇 달 동안 유효한 상태로 남아 있을 수 있습니다.

방화벽 규칙, 세분화 정책 및 액세스 결정은 모두 운영 위험에 직접적인 영향을 미치며, 정책 환경에 문제가 발생하면 이를 관리하는 핵심 서비스도 함께 중단됩니다.

이로써 정책 환경은 그 자체로 매우 중요한 기반 시설이 됩니다.

여전히 일상적인 업무로 처리되고 있습니다.

그럼에도 불구하고, 많은 규제 대상 조직들은 여전히 ​​정책 환경을 순전히 운영상의 업무로만 관리하고 있습니다. 규칙은 변경 요청을 통해 추가되고, 누적 효과는 원래 의도와 비교하여 검토되는 경우가 드뭅니다. 리더의 역할이 바뀌면서 책임 소재가 분산되고, 특정 규칙이 존재하는 이유는 변경 요청이 있는 경우에만 확인할 수 있으며, 그마저도 제대로 파악되지 않는 경우가 많습니다.

지속적인 모니터링이나 문서화된 종속성 없이는 결제 플랫폼 운영을 절대 허용하지 않을 최고 정보 보안 책임자(CISO)라 할지라도, 플랫폼 접근 여부를 결정하는 정책 환경에서는 이러한 요소들이 부재한 상황을 용인할 수도 있습니다. 이러한 상황은 인프라 규모의 결과를 초래하면서도 일상적인 수준의 거버넌스로 해결해야 하는 문제로 볼 수 있습니다.

은행 부문에서 결제 시스템 간의 통신을 방해하는 정책적 실패는 핵심적인 비즈니스 서비스에 차질을 초래할 수 있습니다. 금융감독청(FCA)은 이러한 실패를 예의주시할 것이며, 서비스 중단은 상당한 손해를 야기할 수 있습니다.

의료 및 에너지 부문에서 그 결과는 다르지만 메커니즘은 동일합니다. 기업 네트워크에서 NHS 기관의 임상 시스템이나 에너지 공급업체의 운영 기술 시스템에 접근할 수 있도록 허용하는 잘못된 구성은 필수 서비스 제공에 취약점을 초래합니다. 이는 가상의 위험이 아니라, 핵심 인프라 관리를 일상적인 업무로 취급할 경우 발생하는 실제적인 운영상의 결과입니다. 사전 계획의 중요성에 대해 더 자세히 알아보려면 "시작하기 전에: 필수 인프라 관련 질문" 기사를 참조하십시오.

규제 당국의 예측도 같은 추세를 보여줍니다.

영국 내 규제 당국의 기대치가 높아지고 있으며, 이는 핵심 서비스 접근을 관리하는 보안 정책이 인프라 수준에 걸맞은 엄격한 규율로 관리되어야 한다는 결론을 뒷받침합니다. 금융감독청(FCA)의 운영 복원력 체계는 규제 대상 기업이 핵심 사업 서비스를 식별하고, 이를 지원하는 인프라가 설정된 허용 오차 범위 내에 유지됨을 지속적으로 입증하도록 요구합니다.

영국 가스·전력 시장 규제기관인 Ofgem은 국가 사이버 보안 센터(NCSC)의 사이버 보안 평가 프레임워크를 기준으로 필수 서비스 제공업체를 평가하고 있으며, 특정 보안 목표가 지속적으로 달성되고 있는지 여부를 검토하고 있습니다. 올해 말 법률로 제정될 것으로 예상되는 사이버 보안 및 복원력 법안은 데이터 센터 , 관리형 서비스 제공업체, 그리고 중요 공급업체에도 유사한 의무를 확대 적용할 예정입니다.

이러한 프레임워크는 구체적인 지침을 제시하거나 세부적인 내용을 담고 있지 않습니다. 조직이 반드시 갖춰야 할 방화벽 규칙 이나 소매 정책 구성 방법을 정의하는 프레임워크는 없습니다. 이러한 프레임워크가 요구하는 것은 입증입니다. 즉, 정책 환경에서 허용되는 내용이 의도한 바와 일치하며, 조직이 매번 평가마다 증거를 새로 구축하는 것이 아니라 일관되게 이를 입증할 수 있어야 한다는 것입니다.

현행 시스템이 이 기준을 충족하지 못하는 이유는 무엇입니까?

대부분의 정책 환경은 이러한 기준을 충족하도록 구축된 적이 없습니다. 사실, 대부분의 정책 환경은 의식적으로 또는 의도적으로 구축된 것조차 아닙니다. 오히려 정책은 구현 과정의 부산물로 축적되는 경향이 있습니다. 각 프로젝트와 마이그레이션 과정에서 새로운 규칙이 추가되고, 삭제되는 규칙은 거의 없습니다.

시간이 지남에 따라 "정책 표면", 즉 구현 계층 전반에 걸친 모든 규칙과 접근 결정 사항은 이를 이해하는 사람들의 수를 초과하게 되고, 시스템은 운영은 가능하지만 설명은 불가능한 지점에 도달하게 됩니다.

은행, 에너지, 의료와 같은 규제 산업에서는 이전 규제 체계 하에서 이러한 방식이 지속 가능했습니다 . 즉, 주기적인 평가, 통제 기반 감사, 그리고 통제의 효과성보다는 통제의 존재 여부를 중점적으로 다루는 준수 체계가 존재했습니다. 그러나 이제는 더 이상 충분하지 않습니다. 새로운 기준은 접근이 의도적이라는 지속적인 증거를 요구합니다.

금융감독청(FCA)이 1년간 자체적으로 실시한 운영 복원력 평가 결과를 통해 실제 상황을 분석한 결과, 규제 대상 기업들이 핵심 사업 서비스를 지원하는 인프라에 보안 취약점이 거의 없거나 전혀 없다고 보고한 경우, FCA는 해당 취약점이 실제로 존재하지 않는 것인지 아니면 단순히 발견되지 않은 것인지를 판단하기에 증거가 불충분하다고 판단하는 경우가 많았습니다.

이 교훈은 보안 정책 거버넌스에 직접적으로 적용됩니다. 어떤 조직도 정책에서 허용하는 내용, 정책 테스트 방법, 그리고 취약점 해결 여부에 대한 증거를 제시하지 않고서는 접근 취약점이 통제되고 있다고 확실하게 주장할 수 없습니다.

인프라 수준의 거버넌스 요구사항

흔히 이러한 상황에 대한 대응은 투명성 강화와 문서화 요구로 이어집니다. 그러나 문서화는 특정 시점의 정보만을 제공할 뿐, 규제 당국이 기대하는 지속적인 보증을 제공할 수는 없습니다.

규제 대상 기업의 CISO는 정책 환경에서 허용되는 사항에 대한 기록 이상의 것을 필요로 합니다. 구성과 실질적인 접근 권한은 동일한 것이 아닙니다. 보안 팀은 규칙, 경로, 객체 및 구현 계층이 어떻게 상호 작용하는지 이해하여 실제로 무엇이 통신할 수 있는지를 결정해야 합니다.

이 기준을 충족한다는 것은 두 가지를 조화시키는 것을 의미합니다. 즉, 환경이 실제로 허용하는 것이 의도한 바와 일치함을 입증하고, 사전 경고 없이 이를 증명할 수 있어야 합니다.

정책 의도를 정의하는 부분과 이를 시행하는 부분을 분리합니다. 의도는 중앙에서 관리되는 반면, 시행은 하이브리드, 멀티 클라우드 및 멀티 벤더 환경에서 방화벽, 클라우드 제어 및 마이크로세그멘테이션에 분산되어 이루어집니다.

의도는 검토 단계에서 확인하는 것이 아니라 지속적으로 검증됩니다. 제안된 변경 사항은 실제 운영 환경에 적용되기 전에 정책에 부합하는지 테스트되고, 실질적인 접근 권한은 불필요한 노출, 구현 계층 간의 불일치, 그리고 사업 의도와의 차이점을 감지하기 위해 지속적으로 평가됩니다. 허용된 사항과 변경된 사항은 증거로 보관됩니다.

지속적인 모니터링, 검증된 변경 관리 및 문서화된 종속성 없이 운영되는 결제 플랫폼을 절대 용납하지 않을 정보 보안 책임자는 플랫폼 접근 가능 여부를 결정하는 정책 환경에도 이러한 기준을 적용해야 합니다.

금융감독청(FCA), 국가사이버보안센터(NCSC)의 사이버 평가 프레임워크, 그리고 사이버보안 및 복원력 법안은 모두 동일한 근본적인 질문을 던집니다. 즉, 이 조직은 핵심 서비스를 지원하는 인프라가 해당 서비스에 필요한 기준에 따라 관리되고 있음을 지속적으로 입증할 수 있는가 하는 것입니다.

이 질문에 답한다는 것은 정책 환경이 특정 시점에 무엇을 허용하는지 (추측이나 면밀한 검토를 통한 재구성이 아닌) 정확히 아는 것과, 그 허용이 원래 의도했던 바와 일치하는지 아는 것을 의미합니다. 이러한 필수적인 기반 시설에 대한 질문은 이 맥락에서 매우 중요한 출발점입니다.