-
기업의 사이버 보안 및 탄력성은 투자자와 규제 기관에 의해 점점 더 면밀히 조사되고 있습니다.
-
세계경제포럼의 사이버 위험 원칙은 산업 전반에 걸쳐 사이버 레질리언스를 추진하는 데 도움이 됩니다.
-
MIT CAMS의 시뮬레이션 지원 연구는 세계 경제 포럼의 사이버 위험 원칙에 대한 약속과 채택이 사이버 탄력성을 크게 향상시킨다는 것을 보여줍니다.
-
결과는 예상과 달리 이러한 사이버 위험 원칙에 대한 약속이 비용을 증가시키지 않는다는 것을 보여줍니다.
우리 사회의 전례 없는 디지털화로 인해 많은 비즈니스 리더와 경영진은 사이버 위험을 적절하게 평가하고 통제할 수 있는 방법을 이해하게 되었습니다. 사이버 위험 관리는 조직의 사이버 레질리언스를 개선하기 위한 전체적인 프로세스입니다. 이러한 맥락에서 정부는 다음을 정의합니다. 사이버 레질리언스 의무, 지정하다 중요 인프라 의무적 보호가 필요하고 투자자를 돕는 더 나은 비교 그들의 회사의 사이버 노력.
조직과 경영진이 벌금 및 기타 심각한 결과에 직면함에 따라 사이버 레질리언스를 성공적으로 관리하는 것이 필요합니다. 잠재적인 영향은 이사회 구성원이 사이버 위험과 이를 완화하는 최선의 방법을 이해해야 함을 의미합니다.
이것은 말처럼 쉽지 않습니다. 기업의 57%는 사이버 위험을 완화하는 모범 사례에 확신을 갖고 있으며, XNUMX%는 사이버 공격을 받은. 안타깝게도 이러한 조직의 절반만이 적절한 사이버 조치를 구현했습니다.
업계 간 사이버 레질리언스 추진
2021년 세계 경제 포럼과 그 파트너는 NACD(National Association of Corporate Directors), ISA(Internet Security Alliance) 및 PwC와 함께 사이버 위험 이사회 거버넌스 원칙 (포럼의 사이버 위험 원칙), 산업 전반에 걸쳐 탄력성을 추진하는 데 중요합니다. 이 지침(처음에는 기업 이사회용으로 개발됨)은 XNUMX가지 원칙으로 요약됩니다.
-
사이버 보안이 전략적 비즈니스 인에이블러임을 인식하십시오.
-
사이버 위험의 경제적 동인과 영향을 이해합니다.
-
사이버 위험 관리를 비즈니스 요구 사항에 맞춥니다.
-
조직 설계가 사이버 보안을 지원하는지 확인합니다.
-
사이버 보안 전문 지식을 이사회 거버넌스에 통합합니다.
-
체계적인 탄력성과 협업을 장려합니다.
이 원칙은 복원력에 대한 접근 방식과 비교하여 상당히 다른 접근 방식을 나타냅니다. 어떻게 조직 사이버 보안을 IT에 위임하고, 사이버 위험의 전략적 특성을 잘못 인식하고, 침해를 감춰두십시오.
사이버 위험의 전략적 특성에 대한 잘못된 인식은 엄청난 결과를 초래할 수 있습니다. 예를 들어 소프트웨어 회사 Kasaye 경험 2021년 XNUMX월 랜섬웨어 공격으로 인해 계획된 기업공개(IPO)가 추후 공지가 있을 때까지 연기되어 올리지 못하다 약 875억 2019만 달러. 또한 XNUMX년에 침해된 SolarWinds는 유명 고객, 궁극적으로 적에게 "쇼핑 목록"을 제공합니다.
포럼의 사이버 위험 원칙을 채택하면 개별 조직이 비용을 높이지 않고도 사이버 레질리언스를 크게 개선할 수 있음을 알 수 있습니다.
"
— Sander Zeijlemaker, MIT Sloan(CAMS)의 연구 제휴 사이버 보안, Disem Institute 전무 이사 | Michael Siegel, 수석 연구 과학자, MIT Sloan(CAMS)의 사이버 보안 책임자 | Daniel Dobrygowski, 세계 경제 포럼 거버넌스 및 신뢰 책임자
시뮬레이션을 통한 이해
사이버 위험이 리더의 의제에서 중요한 문제인 상황에서 MIT CAMS는 개발 사이버 위험을 예측하고 관리하는 리더의 능력을 향상시키는 방법. 사이버 위험 대시보드라고 하는 이 기술은 제어 이론 및 시스템 역학에 기반을 두고 있으며 최고 정보 보안 책임자(CISO)와의 인터뷰를 포함하여 현장에서 중요한 연구를 기반으로 합니다. 광범위한 전략적 사이버 위험 문제를 분석하여 Fortune 500대 기업에서 수년에 걸쳐 검증되었습니다.
대시보드는 사이버 위험 의사 결정 생태계를 밀접하게 모방합니다. 현재의 방어 태세와 공격 전술의 개발, 새로운 사이버 사고, 사람, 프로세스 및 기술 측면에서 변화하는 조직을 고려합니다. 사이버 위험 대시보드는 조직의 사이버 보안 전략의 성과 지표에 따라 예측할 수 있는 수단을 제공합니다. 이 작업은 다른 전략적 분석에 쉽게 적용할 수 있습니다. MIT CAM은 포럼의 사이버 위험 원칙을 적용할 때 조직 행동을 이해하기 위해 시뮬레이션 추가 접근 방식을 사용했습니다.
사용 사람들을 – 사이버 위험 관리 전략을 주도하는 특정 특성을 가진 인공 의사 결정자 프로필은 사이버 위험 관리의 행동 측면을 탐색하기 위한 과학적 기반 접근 방식입니다. 다양한 조직의 페르소나를 사용하여 전략적 의사 결정을 추진하는 이 시뮬레이션 기술은 전략의 미래 영향을 예측할 수 있습니다. 이 분석에서는 Smart Wealth Management Inc라는 Fortune지 선정 500대 기업의 익명화된 사례 연구 데이터도 재사용합니다.
사이버에 민감한 CEO(CC-CEO)
이 CEO는 원칙을 알고 있을지 모르지만 아직 채택하지 않았습니다. 이 CEO는 합리적인 보안 표준 준수에 중점을 두고 보안 비용을 통제합니다. 증가하는 작업량과 보안 리소스 부족으로 인해 사이버 위험에 대한 보다 대응적인 접근 방식이 필요합니다.
WEF 탄력적 CEO(WEF-CEO)
이 CEO는 사이버 의식이 있지만 회복력을 강화하기 위해 포럼의 사이버 위험 원칙을 채택함으로써 한 걸음 더 나아갔습니다. 그 또는 그녀는 포럼의 서명자가 될 수 있습니다. 사이버 레질리언스 서약. 이 CEO는 위협에 대한 선제적이고 예측적인 접근 방식을 가지고 있으며 기술이 비즈니스를 주도하는 방법을 알고 비즈니스 성과 및 사이버 위험 비용 예측을 유지하는 데 중점을 둡니다.
전략적 인식은 사이버 레질리언스를 촉진합니다.
보안 사고/손상된 자산의 수로 표시되는 방어 태세의 강도를 비교할 때 상당한 차이가 관찰됩니다. 포럼의 사이버 위험 원칙(WEF-CEO)을 따르는 CEO는 CC-CEO에 비해 사이버 사고가 최대 85% 더 적을 것으로 예상됩니다(그림 1 참조).
그림 1. CC-CEO 및 WEF-CEO의 사이버 위험 관리 전략에 대한 60개월 동안의 누적 사고. 이미지: MIT 캠스
WEF-CEO의 사이버 위험 노력과 작업 우선 순위 지정은 적의 행동을 제한하는 조기 개입을 허용하는 반면 CC-CEO의 팀은 종종 느리게 대응하여 궁극적으로 적에게 이익이 됩니다.
WEF-CEO에게 유리한 잠재적 사이버 사고 발생 빈도 분포와 관련하여 위험 프로필(그림 2 참조)에서 유사한 통찰력을 관찰할 수 있습니다. 주로 방대한 수의 사이버 사고로 인해 IT 팀이 보안 팀을 지원해야 할 수 있습니다. 파급 효과로 알려진 이러한 상황에서는 일반적으로 IT 프로젝트 제공을 희생하면서 IT 작업의 우선 순위를 다시 지정해야 합니다.
그림 2. 사이버 위험 프로파일은 CC-CEO와 WEF-CEO의 사이버 위험 관리 전략을 위해 60개월 동안 발생한 잠재적 보안 사고 분포를 기반으로 합니다. 민감도 분석은 95% 확실성 범위로 수행됩니다. 포럼의 사이버 위험 원칙을 채택하면 개별 조직이 비용을 높이지 않고도 사이버 레질리언스를 크게 개선할 수 있음을 알 수 있습니다. 이미지: MIT 캠스
탄력적인 접근 방식은 비용을 증가시키지 않습니다.
WEF-CEO는 CC-CEO보다 비용이 낮을 가능성이 높습니다(그림 3 참조). 이 두 시나리오의 주요 차이점은 작업 우선 순위 할당과 보안 직원의 사이버 위험 노력에 있습니다. CC-CEO는 대응 및 복구 프로세스를 지원하고, 사후 연구를 실행하고, 그에 따라 보안 기능을 조정 및 개선하기 위해 추가 인력이 필요한 지속적인 노력을 기울이고 있습니다. WEF-CEO가 구현한 보안 설계는 지속적인 사전 예방적 기능 조정 및 개선(지속적인 자동화 포함)을 갖추고 있으며 정기적인 이사회 수준의 사이버 위험 대시보드 및 보고를 구현했습니다.
그림 3. CC-CEO와 WEF-CEO의 사이버 위험 관리 전략을 위한 자원(FTE) 60개월. 이미지: MIT 캠스
포럼의 사이버 위험 원칙을 채택하면 개별 조직이 비용을 높이지 않고도 사이버 레질리언스를 크게 개선할 수 있음을 알 수 있습니다. 이러한 시뮬레이션에서 원칙을 채택하는 것이 가치 있는 것으로 입증되었습니다. 실제로 조직 간의 상호 연결성과 연결성은 새로운 상호 의존성을 도입하며 이는 추가 연구와 시뮬레이션을 통해 탐구될 것입니다. 그러나 현재의 조사 결과는 조직이 포럼의 사이버 위험 원칙을 채택할 수 있는 강력한 사례가 됩니다.
링크: https://www.weforum.org/agenda/2022/11/as-cyber-attacks-increase-heres-how-ceos-can-improve-cyber-resilience/
