사이버 위험 및 위협 관리: 기본 원칙으로 돌아가기
작성자: Mike Lester
날마다 새로운 사이버 공격이 발생하고 있습니다. Microsoft, Intel, Cisco 등의 주요 기업에 영향을 미친 SolarWinds 해킹, 예방적 운영 중단으로 인해 석유 및 가스 공급에 혼란을 초래한 Colonial Pipeline 공격, 그리고 가장 최근에는 글로벌 컨설팅 회사 Accenture에 영향을 미친 LockBit 랜섬웨어 공격 등 이러한 사례는 끝이 없습니다. 독립 범죄 조직과 국가가 지원하는 단체들의 해킹 사실이 드러나면서 기업 이사회, 정부 기관, 그리고 입법 기관 내에서 우려의 수준이 높아지고 있습니다.
이러한 사이버 공격은 반드시 새로운 공격 기법을 사용하는 것은 아니지만, 안타깝게도 점점 더 심각하고 빈번해지고 있습니다. 어느 제조 조직도 그들이 전혀 영향받지 않을 것이라고 보장할 수는 없겠지만, 그럼에도 비즈니스 및 사이버 보안 리더들은 조직 내 장벽을 허물고, 전체적인 관점에서 운영하며, 모범 사례를 도입함으로써 이러한 유형의 위협으로 인한 위험을 줄이기 위한 기본적인 조치를 취할 수 있습니다.
당사는 이러한 우려가 업계의 최우선 과제임을 알고 있으며, 매일 고객과 함께 강력한 기반을 구축하고 위험을 최소화하기 위해 노력하고 있습니다. 다음은 Emerson이 생산 업체 고객에게 적용하도록 가장 많이 권장하는 기초 지침입니다.
비즈니스 운영 매핑에 참여하기
제조업체는 각 기능, 수익원 또는 미션별로 비즈니스 및 제조 시스템을 매핑해야 합니다. 이를 통해 각 공정을 이해하고 소유권을 제공하고 비즈니스 위기관리 시나리오와 마찬가지로 사이버 공격과 관련한 비즈니스 연속성 및 극복 목표를 달성할 수 있습니다. 일반적으로 비즈니스 운영 매핑을 위해서는 생산 작업, 플랜트 사이버보안, IT 보안, 생산 시스템 및 엔터프라이즈 시스템을 비롯한 복합 이해 관계자를 위한 경영진의 후원이 필요합니다. 이 과정은 많은 노력이 필요하므로, 많은 것을 배우고 프레임워크 접근 방식을 구현하는 과정에서 도움과 조언을 구할 준비를 해야 합니다.
위협을 철저히 분석하기
제조업체는 또한 철저한 위협 분석을 수행해야 합니다. 이 과정의 일부로, 실제 공격에서 사용된 적대자의 전술과 기술에 기반한 글로벌 지식 베이스를 바탕으로 개발된 MITRE ATT&CK 매트릭스, 특히 최근에 개발된 MITRE ICS ATT&CK 매트릭스를 검토하는 것이 모범 사례입니다.
사이버 보안 보호 평가하기
사이버 보안 평가 또는 감사를 통해 현재 시행 중인 사이버 보안 제어와 운영을 결정하고 평가하는 것이 중요합니다. 여기에는 인력, 새로운 기술 및 프로세스에 대한 숙련도 향상을 중심으로 세 가지 요소(인력, 프로세스, 기술)에 대한 평가가 포함되어야 합니다. 일은 기술이 하지만, 성공은 사람이 만듭니다. 평가를 위해서는, 해당 분야의 전문 지식을 보유하고 산업 제어 시스템 및 운영에 익숙한 Emerson과 같은 자동화 공급업체와 협력하는 것이 더 좋습니다.
방어 전략 개발하기
위협 분석과 사이버 보안 평가에서 얻은 결과를 바탕으로, 기업은 직접적인 사이버 공격, 간접적인 사이버 공격 또는 운영 능력 손실의 영향을 받을 수 있는 모든 운영 전반의 취약점을 해결하고 위험을 완화하기 위한 심층 방어 전략을 개발해야 합니다. 이 전략에는 제어 복원력을 보장하기 위해 주요 위험이 우선적으로 해결되도록 모든 격차나 위협에 대한 위험 기반의 우선순위 설정이 포함되어야 합니다.
사람, 공정, 기술의 동일한 세 가지 핵심 축을 평가하는 과정에서, 당사는 고객이 외부 자원을 활용하거나, 직원 교육 및 역량 강화를 진행하거나, 특정 공정·기술 통제·시스템·아키텍처를 변경함으로써 강력한 방어 체계를 구축하는 데 가치를 발견하는 경우를 자주 목격합니다. 실행 계획은 조직의 비즈니스 연속성 계획과 재해 복구 계획과도 일치해야 합니다. 즉, 시스템 오류나 하드웨어 고장으로 인한 운영 중단과 마찬가지로, 사이버 공격 대응 계획 또한 격리 및 복구 시간 목표에 초점을 맞춘 명확하고 실행 가능한 공정을 포함해야 합니다.
이러한 방어 전략에는 최악의 시나리오에 대비한 계획이 포함되어야 합니다. 예를 들어, 생산 시설의 경우 컴퓨터 시스템 고장에 대비한 명확한 백업 계획과 주문, 라벨 및 연락처의 하드 복사본을 확보하는 것이 컴퓨터가 다운된 경우에도 수동 작업을 계속 진행하는 데 필수적일 수 있습니다. 모든 상황에서 가능하지는 않더라도, 정기적으로 검토된 백업 및 비즈니스 연속성 계획을 마련해 두면, 사이버 공격이 발생하더라도 기업이 운영을 지속할 수 있는 기반을 확보할 수 있습니다.
효과성 검토 및 정기 업데이트
심층 방어 전략이 마련되면, 그 전략이 효과적이며 지속적인 운영을 위협하거나 다른 위험을 초래하지 않도록, 체계적이고 목적 있게, 그리고 정기적으로 테스트 및 검토해야 합니다. 새로운 관행이나 기술이 도입될 때마다, 역할, 책임, 직원 교육도 함께 업데이트되어야 합니다.
제조업체는 자사가 직면한 사이버 위협의 규모와 유형을 파악하기 위해 지금 즉시 조치를 취해야 합니다. 위협과 사이버 공격은 실재하며 엄청난 속도로 발전하고 있습니다. 사이버 보안은 제조업체와 모든 기업에 있어 중요한 데이터, 공정 및 비즈니스 운영을 보호하기 위해 적절한 사전 예방적, 방어적 사이버 보안 운영 및 제어 체계를 갖추도록 항상 최우선 순위로 유지되어야 합니다. 비즈니스 리더는 사이버보안 리더와 논의하여 실제 목표를 파악한 다음 이러한 위험을 평가, 이해 및 관리할 수 있도록 이사회 수준에서 긴급한 요구 사항과 지원을 마련해야 합니다.
