2023년, 세계적인 수준의 CISO들이 예산과 이사회의 신뢰를 얻는 방법

이 기사는 SC Magazine에 처음 게재되었으며, 업데이트 후 이곳에 신디케이트되었습니다.


CISO들은 점점 더 어려운 상황에 직면해 있습니다. 더 많은 자산을 보호하고, 더 많은 코드를 배포하며, 더 넓어진 공격 표면을 줄여야 하는데, 가용 예산은 급격히 줄어들고 있기 때문입니다. 사이버 보안이 비용 센터로 간주된다는 것은 피할 수 없는 현실입니다. 조직의 보안 프로그램이 기업을 내일의 뉴스 헤드라인을 장식할 재앙으로부터 지켜주는 방패임에도 불구하고, 보안 리더들은 경영진이 이해할 수 있는 언어로 부서의 전반적인 비즈니스 가치를 입증하고 설득하기 위해 더 많은 노력을 기울여야 합니다.

세계적인 수준의 CISO들은 고객 신뢰와 브랜드 평판을 높이는 통합 보안 프로그램을 주도하며, 가용한 모든 도구를 활용해 확실한 가치를 창출함으로써 이러한 상황을 돌파하고 있습니다. 이는 보안의 일반적인 함정에 대한 전략적이고 예방적인 접근 방식에서 시작되며, 보안 우수성을 유지하기 위한 시간, 자원, 인력이 항상 부족하다는 사고방식에서 벗어나는 것에서 출발합니다.

이사회에서의 논의 방식을 바꾸십시오.

현재의 경제 상황에서 지출 비용, 채용, 비즈니스 목표에 미치는 전략적 영향에 대해 경영진의 면밀한 검토를 피할 수 있는 기업이나 부서는 거의 없습니다. 현대 기업에 광범위한 사이버 보안 프로그램이 필수적이라는 점은 자명해 보이지만, 이는 투자 대비 수익 측면에서 정당화하기 어려운 상당한 비용을 수반합니다.

경영진과 이사회 관계자들은 사이버 보안 이니셔티브에 대한 투자 결과를 스프레드시트의 숫자 이외의 언어로 명확히 이해해야 합니다. 이들은 기술적 지식 수준이 각기 다르므로, CISO는 접근하기 쉬운 메시지로 자신의 주장을 전달해야 합니다. 프로그램의 규모, 보호해야 할 대상, 그리고 최고 수준의 보안 사례를 구축하기 위해 지원이 필요한 대상을 설명하십시오. 공격은 증가하고 있지만, 예산은 이를 따라가지 못하고 있습니다. 따라서 정당성을 확보하기 위한 설득력 있는 캠페인이 필요합니다.

업종을 불문하고 모든 기업이 빠르게 기술 기업으로 변모하고 있다는 말은 오래전부터 있어 왔습니다. 디지털 우선 접근 방식이 대부분 조직의 표준이 되면서, 이는 현재 가용한 최선의 보호가 필요한 거대한 공격 표면을 형성하고 있습니다. 보안 리더는 여러 역할을 수행하지만, 너무 늦기 전까지 간과되는 역할 중 하나는 바로 고객 신뢰의 관리자라는 점입니다. 이는 가치 제안으로서 아무리 강조해도 지나치지 않으며, 영업 및 마케팅 목표만큼이나 중요합니다.

보안에 대한 예방적 접근 방식의 가치를 입증하십시오.

현재의 사이버 보안 통계는 매우 충격적이지만, 예산 확보를 위해 공포와 불안을 조장하는 것은 대개 효과가 없는 전략입니다. 기업 경영진 중 사이버 보안이 우선순위가 아니라고 주장할 사람은 거의 없지만, 기존 자원을 활용해 더 나은 성과를 낼 수 있는 진취적인 전략을 제시한다면 예산 증액에 훨씬 더 긍정적일 것입니다.

Neustar 국제 보안 위원회의 최근 연구에 따르면, 기업의 50%만이 알려진 사이버 보안 문제를 해결하기에 충분한 예산을 확보하고 있다고 느낍니다. 2021년에서 2022년 사이 전 세계 사이버 공격이 38% 증가함에 따라, 일반적인 CISO에게는 앞으로 더욱 험난한 길이 예상됩니다. 그러나 진정한 세계적 수준의 보안 리더는 이러한 고충을 극복하고 역경 속에서도 혁신을 이뤄낼 수 있습니다.

많은 경우 예방은 치료보다 쉽고 간단하며, 사이버 보안도 다르지 않습니다. 통합 보안 프로그램은 사후 대응 조치를 넘어 훨씬 더 확장되어야 합니다. 취약점 관리가 많은 CISO의 3대 고민 중 하나인 만큼, 개발자가 이러한 움직임의 핵심적인 부분이 되는 것은 당연합니다. 개발자들은 일반적인 보안 버그를 직접 해결할 수 있는 실무 교육을 통해 소스 단계에서 문제를 제거하고, 애초에 프로덕션 환경으로 넘어가지 않도록 해야 합니다. 이제는 품질이 낮고 보안이 취약한 코드를 더 이상 용인할 수 없으며, 개발자 역량 강화는 코드 수준의 취약점에 대한 가장 비용 효율적이고 강력한 해결책입니다.

CISO는 기존 예산을 지키기 위해 노력해야 하며, 특히 개발자를 위한 역할 기반 보안 역량 강화의 이점을 상세히 설명하는 것이 다루기 힘든 보안 기술 스택에 새로운 '만병통치약'을 추가하는 것보다 더 빠른 성과를 낼 수 있습니다.

보안은 브랜드의 기본 요소가 되어야 합니다.

대부분의 CISO는 마케팅에 대한 열정으로 이 역할을 시작한 것은 아니지만, 예산 결정권자들에게 자신의 주장을 펼칠 때는 이 분야가 큰 도움이 될 수 있습니다.

사이버 보안 프로그램이 고객 신뢰와 브랜드 충성도에 미치는 영향은 아무리 강조해도 지나치지 않으며, 대규모 침해 사고는 치명적인 고객 이탈을 초래할 수 있습니다. 반대로 엄격한 보안 관행을 핵심 브랜드 가치와 일치시키면, 데이터 개인정보 보호와 보안이 단순히 우선순위일 뿐만 아니라 고객이 신뢰할 수 있는 가치라는 명확한 메시지를 전달할 수 있습니다.

현대의 CISO는 보안 전략 및 정책이 지속적인 긍정적 고객 정서와 신뢰에 미치는 경쟁 우위를 강조하는 시간을 가져야 합니다. 사후 대응식 보안만으로는 같은 효과를 낼 수 없으며, 가용한 모든 자원으로 중요 자산을 보호하는 데 집중하는 균형 잡힌 접근 방식이 궁극적인 차별화 요소가 될 수 있습니다.

더 이상 변명의 여지는 없지만, CISO가 진정으로 혁신적인 보안 전략을 위해 충분한 자금을 확보하고자 할 때 강조할 수 있는 설득력 있는 이유는 많습니다.