Offcanvas
Some text as placeholder. In real life you can have the elements you have chosen. Like, text, images, lists, etc.
Offcanvas
1111Some text as placeholder. In real life you can have the elements you have chosen. Like, text, images, lists, etc.

CSO

"신뢰 구축을 통해 거듭나는" 2021 CISO 서바이벌 가이드 - IDG Deep Dive

정보보안 최고 책임자(Chief Information Security Officer, CISO)는 조직의 정보와 데이터 보안을 담당하는 임원이다. 과거에는 이 역할이 기업 구조에 따라 다소 좁게 정의됐지만, 최근에는 CSO 및 보안 부사장과 함께 사용되는 경우가 많다. 이는 CISO가 기업에서 더욱 포괄적인 역할이 되었다는 의미다. 보안 전문가라면 누구나 CISO 직위를 예의주시하고 있을 것이며, 현재 CISO는 자신의 역할과 임무를 어떻게 진화, 발전시킬지 궁금할 것이다. CISO란 무엇이며, 갖춰야 할 역량과 어떤 의무가 수반되는지 살펴본다. 주요 내용  Tech Trends  - "CSO와 같은 듯, 다른 듯" CISO의 역할과 책임, 요건, 직무 - '역할이 바뀌고 있다' CISO가 최고 임원 및 이사회 지위를 얻은 이유 - ‘신뢰 구축하기’ CISO의 새로운 책임, - CISO 3인이 말하는 새로운 상사와의 신뢰 구축 3단계 전략 How To - CISO가 장수하는 6가지 비결 - CISO 업무를 성공적으로 인수 인계하는 7가지 방법 - CISO가 알아야 할 10가지 필수 협상 전략 

CISO CSO 2021.06.28

"CSO 역할이 바뀌고 있다" 최고 보안 직무에 대한 책임과 요구사항

CSO(Chief Security Officer)는 기관과 기업의 물리적, 사이버 환경에서 전체 보안 상태를 책임지는 경영진이며, 회사의 운영 위험에 대한 큰 그림을 갖고 있다.          CSO란 무엇인가?  CSO는 정보 보안 또는 기업 보안, 또는 2가지 모두를 담당하는 부서의 리더다. 이는 ‘CSO란 무엇인가’라는 질문에 대한 가장 간단한 대답이다. 하지만 CSO라는 직함을 가진 모든 이가 똑같은 역할과 책임을 지는 것은 아니다.  CSO라는 직함은 주로 IT 보안 책임자를 지정하기 위해 주로 정보 기술 부서 내에서 사용됐다. 많은 기업에서 CSO라는 용어는 여전히 이런 방식으로 사용하고 있다. CISO(Chief Information Security Officer)가 이런 직책에 대한 좀 더 정확한 설명이 될 수 있으며, 오늘날 CISO는 정보 보안에 초점을 맞춘 리더들에게 널리 퍼지고 있다. 그러나 이렇게 깔끔하게 구분되는 것은 아니다.  CSO라는 이름은 일부 기업에서도 직원, 시설 및 자산의 물리적 보안 및 안전을 포함하는 ‘기업 보안’ 기능의 리더를 설명하는 데 사용된다. 일반적으로 CSO는 부사장 또는 기업 보안 책임자와 같은 직함을 갖고 있다. 역사적으로 기업 보안 및 정보 보안은 서로 다른 부서에서 담당해왔다(때로는 불화가 있기도 하다).   점점 더 의미가 더해지는 CSO  CSO는 기업에서 물리적 및 디지털 전체 보안 상태를 책임지는 임원이다. 또한 CSO는 비즈니스 연속성 계획(business continuity planning), 유출 방지, 부정 행위 방지, 개인정보 보호와 같은 관련 영역을 담당하거나 밀접하게 참여한다. 물론 현실 세계에는 두 영역 모두에 대한 부담을 짊어지지 않으면서도 공식 CSO 직함을 가진 사람들이 많이 있다.  그러나 CEO나 CFO(Chief Financial Officer)는 어떤 질문을 하...

CSO CISO 최고보안책임자 2021.05.26

우버 데이터 침해 사건, CISO 법적 책임에 대한 분수령 된다

전 우버 CSO가 데이터 침해 사건의 위반 사실을 신고하지 않은 것에 대한 책임 여부를 판가름하는 재판이 진행되면서 CISO로서의 법적 책임이 주목받고 있다. CISO는 이런 위험을 최소화할 수 있는 몇 가지 선택지가 있다.     전 우버 CSO인 조 설리번이 2016년 60만 7,000건의 개인정보를 유출한 위반 사실을 신고하지 않아 지난 8월 2건의 중범죄로 기소된 이후, CISO는 기업의 데이터 침해에 대한 자신의 책임을 규정하기 위해 노력하고 있다. 기소된 2건의 중범죄 혐의는 미국의 공무집행방해죄와 중범죄 은닉죄(범죄 미신고)로 각각 최고 5년과 3년의 징역형이 선고될 가능성이 있다.  미국 비밀경호국 전직 특수요원이자 SINET 회장인 로버트 로드리게스는 "이번 사건은 분수령이 될 것이다”라며, “CISO는 법 집행기관에 통지하는 사람이라는 이유로, 임원배상책임보험(Directors & Officers Liability Insurance, D&O 보험)에 지정 방식이 다르다"라고 지적했다.  대부분의 CISO는 책임을 줄이는 가장 좋은 방법은 올바른 일을 하는 것이라는 데 동의했다. 우버의 경우, 고위 경영진의 개입 여부에 관계없이 위반 사실을 법 집행기관에 보고하는 것이다. 실제로 지난 9월 설리번 법무팀의 가상 브리핑에서 설문조사에 참여한 100명의 CISO 가운데 70명은 사이버보안 사고가 발생했을 때, 이를 당국에 알리는 것은 법률 고문실에서 하는 것이 일반적인 관행이라고 밝혔다.  노스럽(Northrop), 월풀(Whirlpool) 및 보스턴 사이언티픽(Boston Scientific) CSO를 맡았던 린 매티스는 “결국 우버의 CSO는 보고해야 할 위반 사항을 은폐했다”며, “잘못된 일을 할 수 있는 올바른 방법은 없다”라고 말했다.   범죄 사실과 은폐 사실 공방  우버 CSO는 데이터를 되찾기 위해 해커에게 돈을 지불하는 것이 데이터를 보호하는 방법...

우버 데이터침해 유출 2020.10.06

인기 높은 IT 보안 직종과 연봉 TOP 8

IT 보안은 모든 기업에서 가장 중요한 사항이며, 최고의 인재를 확보하기 위해 기꺼이 높은 비용을 지불한다. 혹시 보안 전문가라면 자신의 가치에 맞는 보수를 받고 있는가? 잠시 시간을 내어 확인해보자.    리서치 업체들은 앞으로 수년간 100만~300만 명의 사이버보안 전문가가 부족할 것이라고 예상하고 있다. 새로운 직업을 찾는 사이버보안 전문가에게는 아주 좋은 기회다. 피크(PEAK) 기술 인력 개발 부사장 폴 스미스는 “최고 수준의 적임자는 40만 달러 이상을 받을 수 있다. 이 분야에서 인력은 공급과 수요의 법칙이 두드러지게 나타난다. 기업은 외국 스파이 활동과 같은 문제를 겪고 있기 때문에 NSA와 CIA와 같은 곳에서 전문가들을 높은 연봉에 데려가고 있다. 이런 위협을 이해하는 사람에 대한 수요도 급증했다”라고 설명했다.   모디스(Modis) 수석 부사장 스콧 데이비슨은 “샌프란시스코 지역, 뉴욕 또는 LA와 같은 수요가 많은 시장에서 이 직책에 대한 급여는 16만 달러에서 19만 8,000달러 수준으로 다양하다”고 말했다. 이런 높은 봉급에도 기업은 이런 역할을 채우는 데 어려움을 겪고 있다. 데이비슨은 “정보보안은 어려운 기술 가운데 하나다. 수요도 높고, 기술도 전문화되어 있어 인재를 찾는 전문가에게 큰 과제가 되고 있다”고 말했다.  다음에 설명할 사이버보안 역할은 자신이 직장을 찾거나 향후에 어디로 가고 싶은 지 결정하는데 도움을 줄 것이다. 참고로, 유사한 직책명이나 역할들은 회사마다 다르므로 설명을 읽고 자신이 관심있는 역할과 일치시켜보자. 이 기사에 쓰여진 급여 데이터는 페이스케일(PayScale)에서 제공한 것이다.   - 정보보안 분석가(Information security analyst)  평균 연봉: 7만 1,067달러  연봉 범위: 6만 5,400~9만 9,600달러  보안 분석가는 일반적으로 SIEM(Security Information and...

CSO 정보보안 사이버보안 2019.12.26

AV-TEST 인스티튜트 선정 '우수 안티바이러스 소프트웨어 12선'

AV-TEST 인스티튜트가 방어, 성능, 유용성, 3가지 기준으로 윈도우 10 클라이언트 안티바이러스 제품을 테스트해 높은 점수를 받은 12개 툴을 공개했다.  AV-TEST 인스티튜트는 최근 가장 인기 있는 윈도우 10 클라이언트 안티 바이러스 제품을 방어, 성능, 유용성이라는 3가지 기본 기준으로 테스트했다. 테스트한 18개 제품 중 각 기준에서 6점 만점을 받은 5개 제품은 다음과 같다. • 비트디펜더 엔드포인트 시큐리티 • 카스퍼스키 스몰 오피스 시큐티리 • 카스퍼스키 엔드포인트 시큐리티 • 시만텍 엔드포인트 프로텍션 • 시만텍 엔드포인트 프로텍션 클라우드 여기에 소개한 상위 12개의 안티바이러스 제품은 알파벳순으로 나타냈으며, 최소 17.5점을 받았다. AV-TEST 인스티튜트 웹 사이트에서 전체 결과를 내려받을 수 있다.   안티바이러스 테스트 결과 활용법 이 테스트는 랩 환경에서 수행됐기 때문에 실제 위협 모델이 아래 나열된 각 제품에 대해 엔터프라이즈 시스템마다 다른 결과가 나타날 수 있다. 다시 말해, 실험실에서 탐지율이 100%였다고 해서 해당 제품이 네트워크의 모든 바이러스 위협을 탐지한다는 의미는 아니다. 이러한 차이를 보이는 한 가지 이유는 새로 제출된 악성코드 표본이 지정된 안티바이러스 제품의 데이터베이스로 만들어지는 데 며칠이 걸릴 수 있기 때문이다. AV-TEST 결과에 따르면 악성코드 탐지의 기본 요소에 가장 적합한 윈도우 안티바이러스 제품이 시스템 성능에 미치는 영향은 가장 적었다. 이는 환경에 가장 적합한 제품을 평가할 때 좋은 출발점이 된다. 윈도우 10 안티바이러스 툴 12선 1. 어베스트 비즈니스 안티바이러스 프로 플러스 19.6과 19.7 어베스트 비즈니스 안티바이러스 프로 플러스(Avast Business Antivirus Pro Plus)는 제로데이 악성코드 공격을 막는 데 완벽한 점수를 받았으며 지난 4주 동안 발견된 악성코드의 99.4%를 차단했다. 표준 PC에서 평균보다 13%포인...

안티바이러스 CSO 백신 2019.12.16

'해킹이 국가 재난 될 수 있다' 인도 핵발전소 해킹 사건의 전말

민간 기반시설 공격은 전쟁 범죄가 맞다. 그런데 세계 각국의 첩보원들은 민간 기반시설(예: 에너지를 생산하는 민간 핵발전소)에 침투해 사전 배치하기 위한 소리 없고 비열한 전쟁을 치르고 있다. 지정학적 긴장이 발생하는 동안 파괴 공작을 저지르기 위해서다.   다음은 인도의 쿠당쿨람 핵발전소(Kudankulam Nuclear Power Plant, KNPP) 해킹 사건이 어떻게 발생했으며 어떻게 쉽게 예방할 수도 있었는지에 대한 설명이다. KNPP 해킹 사건 소식이 알려진 것은 요즘에는 흔히 그렇듯 트위터를 통해서였다. 뉴 인디언 익스프레스(The New Indian Express)에 따르면, ‘저명한 사이버 첩보 전문가’이자 ‘인도 국립기술연구조직(NTRO)의 사이버전 작전 센터 수립에 중요한 역할’을 한 푸크라 싱은 본인의 트위터 계정에 다음과 같은 글을 올렸다. “자, 이제 공개된 사실이다. KNPP에 도메인 컨트롤러 수준 접근 발생. 정부는 이미 오래전에 이 사실을 통보받았다. 임무 수행에 지극히 중요한 목표물이 공격받았다.” 그는 인용 트윗에서 이 공격에 대해 2019년 9월 7일부터 이미 알고 있었다면서 ‘전쟁 명분(causus belli)’(전쟁을 도발할 정도로 심각한 공격)이라고 규정했다. 싱은 그 이후 트윗에서 본인이 직접 악성코드를 발견한 것은 아니라고 밝혔다. 제3자가 “본인에게 연락을 취했고 나는 9월 4일(날짜가 중요)에 국가사이버보안담당자(NCSC)에게 통보했다. 제3자는 그 후 침해지표(IoC)들을 NCSC 사무실과 공유했다. 카스퍼스키는 이를 나중에 보고했고 디트랙(DTrack)이라고 불렀다.” 인도 핵발전소공사는 처음에 이 사실을 부인했다. 보도자료를 통해, SNS에 나돌고 있는 ‘잘못된 정보’라고 매도했으며 KNPP 핵발전소는 “독자적인 네트워크로, 외부 사이버 네트워크와 인터넷에 연결되어 있지 않아 핵발전소 제어 시스템에 대한 사이버 공격은 불가능하다”라고 주장했다.  그러나 나중에 이 주장을 철회했...

맬웨어 인도 핵발전소공사 사이버비트 2019.12.12

2020 CSO 명예의 전당 수상자

CSO 명예의 전당은 정보 위험 관리와 보안의 발전에 크게 기여한 뛰어난 리더들을 조명하기 위해 만들어졌다. CSO 본지의 편집자와 고문, 임원들에 의해 선발된 CSO 명예의 전당 수상자들은 탁월한 리더십을 보여주고, 모든 조직의 보안 향상에 기여한 인물이다.    수상식은 2020년 4월 27일부터 29일까지 애리조나 주 스콧데일에 있는 JW 매리오트 카멜벡 인 리조트에서 열리는 CSO50 컨퍼런스 + 어워드에서 진행된다.  매년 열리는 이 컨퍼런스는 3일간 서로간의 상호교류와 교육, 참여를 위해 200명 이상의 보안 의사 결정권자들이 참석해 명예의 전당 수상자를 수상하는 시상식으로 마무리된다.  2020 CSO 명예의 전당 - 팀 칼라한, 수석부사장 글로벌 CISO 아플락(Aflac) - 데이브 이스틱, CISO, 스타벅스  - 자밀 파시치, CISO, 에퀴팩스(Equifax) - 에밀리 히스, 신뢰 및 보안 책임자, 도큐사인(DocuSign) - 브래드 메이오리노, CISO, 톰슨 로이터(Thomson Reuters) - 캐시 오너, 부사장, CRO, CWT  - 짐 루스, 엔터프라이즈 정보 위험 관리 수장, 매스뮤추얼(Massmutual) - 그레고리 우드, 수석 부사장, 기술 위험 관리 및 보안, 월트 디즈니  - 티모시 영블러드, 부사장, CISO, 맥도날드   앞서 나열된 명예의 전당 수상자 이외에도 본지는 SANS 인스티튜트(SANS Institute) 및 국제 전략문제 연구소(Center for Strategic and International Studies)에 종사했던 고 마이클 아산테를 명예의 전당에 모시게 된 것을 자랑스럽게 생각한다. editor@itworld.co.kr   

CSO 명예의전당 2019.12.04

윈도우 10용 안티바이러스 소프트웨어 TOP 12

AV-TEST 인스티튜트가 최근 가장 인기 있는 윈도우 10 클라이언트 안티바이러스 제품을 방어, 성능, 유용성이라는 세가지 기준으로 테스트했다. 그 결과 18개 제품 중 4개가 각 기준에 대해 6점 만점을 받았다. - 카스퍼스키랩 엔드포인트 시큐리티 - 카스퍼스키랩 스몰 오피스 시큐리티 - 시만텍 엔드포인트 프로텍션 - 시만텍 엔드포인트 프로텍션 클라우드 이번 기사에서 알파벳순으로 소개하는 12개 안티바이러스 제품은 18점 만점에서 최소 17.5점을 받았다. 전체 테스트 결과는 AV-TEST 인스티튜트 웹사이트에서 확인할 수 있다.   안티바이러스 테스트 결과 활용법 이 테스트는 랩 환경에서 수행되었다. 위협 모델 다른 각각의 다른 엔터프라이즈 시스템은 각 제품에 관해 다른 결과를 나타낸다. 다시 말해, 실험실에서 100% 탐지율을 보였다고 해서 해당 제품이 네트워크의 모든 안티바이러스 위협을 탐지한다는 의미는 아니다. 이런 차이를 보이는 이유 중 하나는 새로 제출된 악성코드 표본이 지정된 안티바이러스 제품의 데이터베이스로 만들어지는 데 며칠이 걸릴 수 있기 때문이다. AV-TEST 결과에 따르면, 악성코드 탐지의 기본 요소에 가장 적합한 윈도우 안티바이러스 제품이 시스템 성능에 미치는 영향은 가장 적었다. 이는 기업 환경에 가장 적합한 제품을 평가할 때 좋은 출발점이 된다. ‘우수 평가받은’ 윈도우 10 안티바이러스 툴  1. 어베스트 비즈니스 안티바이러스 프로 플러스 19.5와 19.6 어베스트 비즈니스 안티바이러스 프로 플러스는 지난 4주 동안 발견된 제로데이 악성코드 공격 및 악성코드를 중지시키는 데 완벽한 점수를 받았다. 표준 PC에서 평균보다 11%포인트가 느린 인기 웹사이트를 제외하고 모든 테스트에서 평균보다 성능이 높았다. 합법적인 소프트웨어를 설치하고 사용하는 동안 하나의 잘못된 행동 차단을 등록했다. 2. 비트디펜더 엔드포인트 시큐리티 6.6 비트디펜더 엔드포인트 시큐리티는 테스트에 쓰인 모든 제로데이 악성코드...

맥아피 윈도우10 AV-TEST 2019.10.08

미 국토안보부 CISA 책임자에게 듣는 "2020년 미국 대선 보안"

뮬러 보고서에서도 밝혔듯이, 러시아는 2016년 미국 대선 때 ‘훼방’을 놓았다. 대규모로 허위정보 살포작전을 수행했으며, 주 선거 시스템을 해킹하려 시도했다. 그렇지만 미국은 이를 너무 늦게 발견했다. 이런 점을 감안하면, 미국 국토안보부 산하 사이버보안 및 인프라 보안국(CISA)의 연례행사인 2차 사이버보안 서밋의 주요 주제가 ‘프로텍트 2020’이라는 이름 아래의 ‘선거 보안’이라는 점은 놀랄 일이 아니다. 그렇지만 CISA의 디렉터 크리스토퍼 크랩스는 선거 보안을 둘러싼 지나친 걱정, 공포를 조장하는 말들에 대한 경고로 서밋을 시작했다. 그는 “우리는 더 솔직하고, 신중하고, 합리적으로 말을 해야 한다. 선거 보안이 여기에 해당되는 사례이다. 인프라에 절대적인, 근본적인, 진짜 위험이 존재하는가? 그렇다. 그러나 이에 대한 담론에서 ‘히스테리적 요소’들을 없애야 한다. 그렇지 않으면 더 많은 유권자의 신뢰가 하락하기 때문이다”라고 강조했다.   선거 보안에 더 균형 잡힌 방식으로, 그리고 덜 흥분된 방식으로 접근해야 한다. 그렇지만 2020년 선거를 악의적인 주체들과 사이버 위협으로부터 보호하는데 필요한 노력을 무시해도 된다는 의미는 아니다. 크렙스는 “나는 11월이 기대된다. 최소한 나는 역대 가장 역동적인 대통령 선거가 될 것으로 기대하고 있기 때문이다. 2020년을 보호하기 위해 무엇을 할 것인가? 당신 회사는 어떤 일을 할 것인가? 당신의 조직은 어떤 일을 할 것인가? 지역에서 지역 선거구를 지원하기 위해 어떤 일을 할 것인가? 투표장에 갔을 때 필요한 것들을 이해하고 있는가?”라고 말했다. 2020년 선거와 관련된 새로운 우려사항 중 하나는 지방선거 시스템을 잠글 수도 있는 랜섬웨어 공격이다. 이와 관련, 최근 텍사스주에서 23개 지방정부를 무력화시킨 랜섬웨어 공격이 발생한 사례가 있었다. 크랩스는 “위협 모델링을 토대로 했을 때, 지금부터 2020년 선거까지 1년 동안 유권자 등록 데이터베이스, 기타 선거 관련 ...

미국 러시아 CSO 2019.09.27

"IoT 기기 보안, 쉬운데도 안 한다" CITL 조사

IoT 기기의 컴파일 시간 보안 기능을 쉽게 활성화할 수 있다. 그런데 보안 기능을 활성화하는 IoT 기기 제조업체가 늘지 않는 이유는 무엇일까? IoT 펌웨어 바이너리를 구축할 때 보안 기능에 대한 플래그를 추가하면 IoT 기기 보안을 크게 개선할 수 있다. 그런데 대부분이 이렇게 하지 않는다. 게다가 CITL(Cyber Independent Testing Lab) 매스 퍼징 프로젝트의 새로운 조사 결과에 따르면, 상황이 나아지는 것이 아니라 오히려 악화되고 있다. 보안 활성화는 매우 쉬운 일이다. 이렇게 하지 않을 이유가 없다. 그런데 이렇게 하지 않는다.  CITL은 컨슈머 리포트 같은 비영리 보안 연구소다. 현재까지 지난 15년간 발표된 300여만 개의 IoT 펌웨어 바이너리 퍼징을 자동화했다. 그 결과는 실망스럽다. CITL의 최고 과학자인 사라 자트코는 “매우 쉬운 일이다. 그런데 IoT 업체들은 기본적인 컴파일 시간 보안 기능을 활성화하지 않고 있다. 기능을 활성화하지 않을 이유가 없는데도 그렇게 하지 않고 있다”고 말했다. 이어서 자트코는 “의도적으로 무시했으리라 생각하지는 않는다. 진짜로 누군가 이 보안 기능을 제외하기로 의도적으로 결정을 내린 경우가 아니라면 말이다. 이는 선의의 무시라고 봐야 한다. 자신이 반드시 해야 할 일, 자신의 직업이라면 이런 일이 일어나지 않았을 것이다”라고 덧붙였다.   빌드 후 확인할 시기? IoT 업체들은 쉽게 이런 컴파일 시간 보안 플래그를 활성화하고, 이를 릴리스 관리 프로세스의 일부로 확인할 수 있다. 더 최신 버전의 컴파일러가 있는지 확인하고, ASLR과 DEP, 스택 가드 같은 기본적인 보안 플래그를 활성화하는 것 등이 빌드에서 권장되는 ‘보안’ 조치이다. 마법 같은 보안 경감책은 존재하지 않지만, 그래도 IoT 환경에서 에어백과 안전벨트 같은 역할을 한다. 충돌 자체를 방지하지는 못하더라도 생명을 구하는 역할을 한다는 이야기다. 하루 최대 몇 시간의 엔지니어링 작업이 ...

취약점 CSO 익스플로잇 2019.09.17

"연봉을 알아보자" 미국에서 인기 있는 IT 보안 직종 TOP 8

모든 조직에서 IT 보안은 주요 관심사며, 조직은 최고의 인재를 확보하기 위해 큰 비용을 기꺼이 지불하려고 한다.  시장조사 회사들은 향후 몇 년간 100만~300만 명의 우수한 사이버보안 전문가가 부족할 것으로 전망한다. 새로운 직장을 찾는 사이버보안 전문가에게 반가운 소식이다. PEAK 테크니컬 스태핑(PEAK Technical Staffing)의 사업 계획 부사장인 폴 스미스는 “최고 수준의 적임자는 40만 달러 이상을 받을 수 있다. 수요와 공급 법칙이 바로 그 근거다. 기업은 산업 스파이 같은 문제를 겪고 있기 때문에 NSA와 CIA 근무자들까지도 물색하고 있다. 이러한 위협을 이해하는 사람들에 대한 수요가 급증했다”라고 밝혔다.  모디스(Modis)의 수석 부사장인 스콧 데이비슨은 “실리콘밸리, 뉴욕 또는 LA 같은 수요가 많은 시장에서 이러한 직종에 대한 급여는 16만 달러에서 19만 달러 사이다. 이러한 급여를 받더라도 회사는 보안 역할을 수행하는 데 어려움을 겪고 있다. 데이비슨은 “정보보안은 가장 어려운 기술 중 하나다. 수요가 높고 기술이 너무 전문화되어 있어 인재를 찾는 전문가에게는 큰 도전이 된다"라고 이야기했다.  현재 미국에서 인기 있는 IT 보안 직종은 아래와 같으며, 이러한 사이버보안 역할은 직장을 찾거나 투자를 받거나 아니면 큰 도전을 하든 경력을 쌓을 곳을 결정하는 데 도움이 될 것이다. 조직마다 해당 업무를 수행하는 사람의 직책은 다를 수 있음으로 관심 있는 직종이라면 직종 설명을 잘 파악해야 한다.  *연봉은 페이스케일의 급여 데이터를 인용했다.   정보보안 분석가 연봉 중간값 : 7만 1,067달러 연봉 구간 : 6만 5,400~9만 9,600달러 보안 분석가는 일반적으로 정보 보호(데이터 손실 보호(DLP)와 데이터 분류)와 위협 보호를 처리한다. 여기에는 SIEM(security information and event management), UEBA(user a...

CSO 자격증 연봉 2019.09.16

"사이버 공격 비용은 얼마일까" CSO가 사이버범죄 시장을 알아야 하는 이유

기업은 사이버 위협으로부터 네트워크와 자산을 방어하는데 막대한 비용을 소비한다. 카스퍼스키랩에 따르면, 기업의 보안 예산은 연 평균 900만 달러 내외다. 또한 데이터 유출은 기업에게 수백 만 달러의 피해를 입힌다. 반면 저렴하고 비교적 사용하기 쉬운 해킹 툴은 사이버 범죄자의 진입 장벽을 믿을 수 없을 정도로 낮춰 놓았다.     사이버 공격, 사이버보안보다 훨씬 저렴 사이버 공격과 방어의 수학적 계산은 단순히 불공평하다. 공격자는 데이터를 싼 값에 판매해도 수익이 남지만, 기업과 개인 피해자가 감당해야 할 비용은 이보다 훨씬 더 높다. 탑10VPN(top10vpn)은 개인의 디지털 신원은 주요 온라인 사이트인 아마존, 우버, 스포티파이, 지메일, 페이팔, 트위터, 심지어 그럽허브, 매치닷컴 로그인 정보를 포함해, 전부 합쳐도 1,000달러 가치를 넘지 않는 것으로 추산했다. 온라인 쇼핑이나 페이팔 같은 금융 계정을 제외하면 가치가 100달러 미만에 불과하다.   아무르(Armour)의 블랙 마켓 보고서에 따르면, 개인식별정보(Personally Identifiable Information, PII)는 다크웹 상에서, 이보다 더 비싸기는 하지만, 여전히 데이터당 200 달러 미만의 가치를 가진다. 비자 및 마스터카드 신용카드 정보는 데이터당 10달러에 구입할 수 있다. 전체 은행 계좌에 대한 정보도 최대 1만 5,000달러가 들어있는 계좌라도 1,000달러에 불과하다.  많은 경우, 오래된 정보는 그냥 무료로 유포된다. 이는 데이터 유출에 따른 기업 피해와 극명히 대조된다. IBM의 최신 데이터 유출 비용 보고서에 따르면 유출 데이터 당 기업의 평균 비용은 233달러이고, 규제가 심한 업종은 이보다 훨씬 높을 수 있다.  탑10VPN의 해킹 툴 가격 지수(Hacking Tools Price Index)에 따르면, 악성코드는 불과 45달러면 구입할 수 있고, 공격을 실행하는 방법에 관한 교재는 5달러에 구입...

CSO 사이버범죄비용 2019.02.22

"CISO란 무엇인가" CISO의 직무와 책임, 그리고 요건

최고정보보안임원(Chief Information Security Officer, CISO)은 조직의 정보 및 데이터 보안을 책임지는 임원이다. 과거, 이 직함은 다소 협소한 의미로 쓰였지만, 요즘은 CSO, 보안 부사장(VP)과 종종 혼용되고 있는데 이는 조직 내에서 CISO의 역할이 한층 확장됐음을 의미한다.   기업 내에서 출세하고 싶은 야심찬 보안 전문가라면 CISO 직위가 눈에 들어올 것이다. CISO가 될 확률을 높이려면 무엇을 해야 하고, 이 중요한 직위를 차지했다면 막상 무슨 책임이 수반되는 지를 알아보자.   CISO 직무  CISO는 무슨 일을 하는가. CISO 직무를 이해하는 가장 좋은 방법은 CISO가 매일 같이 수행하는 일이 무엇인지 알아보는 것이다. CISO의 역할은 조직마다 다를 수밖에 없지만, 90년대 시티그룹에서 CISO 역할을 개척했던 스티븐 캐츠는 MSNBC와의 인터뷰에서 CISO의 직무 영역을 개략적으로 소개했다. 캐츠는 CISO 직무를 다음과 같은 범주로 세분했다.  - 보안 업무: 당면한 위협의 실시간 분석, 그리고 무언가 잘못되었을 때 자원의 선별적 분배 - 사이버 위험 및 사이버 첩보: 진화하는 보안 위협에 정통하고, 기업 인수나 여타 중대한 비즈니스 변화에 따라 발생할 수 있는 잠재적 보안 문제를 이사회가 이해하는데 기여  - 데이터 유출 및 사기 방지: 내부 직원이 데이터를 악용하거나 훔치지 못하도록 단속  - 보안 아키텍처: 보안 하드웨어 및 소프트웨어를 계획하고, 구매하고, 전개, 그리고 모범 보안 관행에 유의하며 IT 및 네트워크 인프라를 설계  - 신원 및 접근 관리: 권한있는 사람만 제한적으로 데이터 및 시스템에 접근할 수 있도록 보장  - 프로그램 관리: 예컨대 정기 시스템 패치 등 위험을 완화하는 프로그램이나 프로젝트를 이행하면서 보안 니즈에 선제적으로 대처  - 조사 및 포렌식: 보안 사고 시 잘못된 부분을 규명하고, ...

CIO CSO CISO 2019.01.21

'패치만 잘해줬어도…' 관리 프로세스 6단계

전 세계 사이버 보안 관계자들이 지난 20년 동안 제조된 대부분 컴퓨터에 영향을 끼치는 보안 결함의 총체인 스펙터(Spectre) 및 멜트다운(Meltdown)과 씨름하면서 소프트웨어 패치의 중요성이 다시 한번 주목받고 있다. 왜냐하면 제공되는 소프트웨어 패치가 결함을 해결할 수 있기 때문이다. 단, 칩 성능은 희생해야 한다. 오늘의 상황은 워너크라이(WannaCry)와 페티야(Petya) 랜섬웨어에 대한 작년의 이야기가 반복되는 듯하다. 둘 다 자체적으로 복잡할 여지가 있는 패치로 업데이트되지 않은 소프트웨어 취약점을 공격했다. 이런 균형에서 패치 관리의 복잡성이 드러나고 있으며, IT 및 사이버 보안팀은 보안 위험을 파악하고 패치 적용 시 발생할 수 있는 비즈니스 중단 위험 그리고 IT 인프라 고장과 비교하여 저울질해야 한다. 패치 관리란 무엇인가? 패치 관리는 소프트웨어를 새로운 코드로 업데이트하는 것으로, 대부분 해커가 악용할 수 있는 취약성을 해결하는 것이지만 기존 프로그램의 다른 문제를 해결하거나 새 기능을 추가하기도 한다. 이 활동이 꽤 간단해 보이기도 하지만 대부분 IT 조직에게 패치 관리는 쉬운 일이 아니다. 복잡한 사용자 정의 환경과 복수의 통합 포인트가 있는 현대의 기업에서 소프트웨어 패치를 적용하면 스펙터 및 멜트다운 취약성을 해결하기 위해 개발된 패치와 마찬가지로 하드웨어 또는 소프트웨어가 느려질 수 있다. 패치로 포트가 닫히거나 중요한 인프라가 비활성화되거나 시스템이 충돌하거나 가용성이 저하될 수 있다. 기업이 거래를 운용 또는 처리하기 위해 사용하는 시스템이 사라질 수 있다. IT 거버넌스에 집중하는 국제적인 전문협회 ISACA의 이사 겸 사이버 보안 활동 전문가 프랭크 다운스는 "대형 조직 또는 다양한 네트워크가 있는 경우 패치를 적용하면 여러 시스템에 여러 가지 일이 발생할 수 있다. 배치가 보안 구멍을 해결할 수 있지만 여러 의도하지 않은 결과가 발생할 수 있다"고 말했다. 또한 조직은 패치를 이...

취약점 멜트다운 페티야 2019.01.04

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.