Essential Eight 목표 성숙도 수준 선택하기

ASD의 Essential Eight 성숙도 모델은 8가지 완화 전략 각각에 대해 세 가지 레벨을 제시합니다. 흔한 실수는 이 레벨을 등급처럼 취급해 모든 조직의 목표를 레벨 3으로 두는 것입니다. 이것은 등급이 아닙니다. 각 레벨은 서로 다른 유형의 공격자를 막도록 설계되었으며, 올바른 목표는 조직의 위협 환경에 따라 달라집니다.

각 레벨의 목적

• 레벨 1은 일반적으로 쓰이는 수법을 기회주의적으로 사용하는 공격자를 막습니다. 누구나 구할 수 있는 익스플로잇, 탈취된 자격 증명, 아무에게나 보내는 악성 문서가 여기에 해당합니다.
• 레벨 2는 더 많은 시간과 노력을 들이고 특정 조직을 노리려 하지만, 여전히 대부분 알려진 기법에 의존하는 공격자를 막습니다.
• 레벨 3은 공개 도구에 덜 의존하고, 새로운 취약점을 빠르게 악용하며, 탐지를 회피하려 하는 적응형 공격자를 막습니다.

각 레벨로 올라갈수록 요구사항이 강화됩니다. 패치 기한이 짧아지고, MFA 적용 대상 사용자와 시스템이 늘어나며 피싱에 강한 방식이 요구되고, 애플리케이션 제어 적용 시스템과 파일 유형이 확대되며, 관리자 권한과 백업에 대한 제한이 더 엄격해집니다.

선택 방법

1. 위협에서 출발하세요. 누가 귀사가 보유한 것을 원할까요? 정부 데이터, 중요 인프라, 금융 서비스, 고가치 지식재산은 더 유능한 공격자를 끌어들입니다.
2. 의무사항을 확인하세요. 호주 연방정부의 비기업 연방 기관은 성숙도 레벨 2 달성이 기대됩니다. 고객, 규제기관, 보험사도 자체 기대치를 설정할 수 있습니다.
3. 역량을 현실적으로 판단하세요. 레벨 3은 소규모 IT 팀이 유지하기 어려울 수 있는 엔지니어링 노력과 운영 규율을 요구합니다.
4. 8개 전략 모두에 동일한 목표를 설정하세요. ASD는 어느 한 전략의 레벨을 올리기 전에 모든 전략을 같은 레벨까지 끌어올릴 것을 권장합니다. 레벨 3 패치 프로그램이 있더라도 레벨 0 애플리케이션 제어가 남아 있다면 문은 여전히 열려 있습니다.

일반적인 경로

• 대부분의 조직: 8개 전략 모두 레벨 1을 달성한 뒤 레벨 2로 진행합니다.
• 민감한 정부 데이터나 중요 데이터를 다루는 조직: 레벨 2를 기준선으로 삼고, 가장 위험도가 높은 시스템에 대해서는 선별된 레벨 3 요구사항을 적용합니다.
• 고위협 환경: 레벨 3을 목표로 하며, 보통 시스템 단위로 순차적으로 달성합니다.

결정 사항 기록

ISO 27001 ISMS를 운영한다면, 선택한 레벨과 그 근거를 위험 평가와 적용성 선언서(Statement of Applicability)에 기록하세요. 이렇게 하면 감사인과 평가자에게 근거를 제공할 수 있으며, Essential Eight와 ISO 27001 비교 분석에서 설명하듯 Essential Eight가 해당 Annex A 통제항목의 구현 기준이 됩니다.

목표 설정 시 흔한 실수

• 한 전략만 레벨 3을 추구하고 나머지는 레벨 0에 머무르는 것. 공격자는 가장 강한 전략이 아니라 가장 약한 전략을 노립니다.
• 효과가 아닌 적용 범위를 집계하는 것. 애플리케이션 제어를 워크스테이션의 절반에만 배포했다면 레벨 1이 아닙니다. 모든 요구사항은 적용 범위 내 모든 시스템에서 충족되어야 합니다.
• 예외를 방치하는 것. 패치되지 않은 레거시 시스템, 매크로 차단에서 제외된 사용자 등 모든 예외에는 책임자, 보완 통제, 종료 기한이 필요합니다. 그렇지 않으면 성숙도 레벨은 허구에 불과합니다.
• 인터뷰로 평가하는 것. ASD의 평가 지침은 증거의 강도를 구분합니다. 통제를 직접 테스트하는 것이 가장 강력하고, 문서와 인터뷰가 가장 약합니다. 사람들의 말에 기반한 자체 평가는 성숙도를 과대평가하게 됩니다.
• 목표를 한 번만 설정하는 것. 위협은 변하고 성숙도 모델도 바뀝니다. ASD는 모델을 주기적으로 업데이트합니다. 목표는 위험 평가와 함께 매년 검토하세요.

핵심 요약

• 각 성숙도 레벨은 서로 다른 공격자를 겨냥하므로, 위협과 의무사항에 따라 선택하세요.
• 어느 한 전략을 올리기 전에 8개 전략 모두 같은 레벨에 도달하세요.
• 레벨 2가 보통 첫 번째 목표입니다.

진행 상황 측정

ASD의 Essential Eight 평가 프로세스 가이드에 따라 각 전략을 평가하되, 가능한 경우 시스템 테스트를 활용하세요. 전략은 해당 레벨 및 그 하위 레벨의 모든 요구사항이 충족될 때에만 그 레벨에 도달한 것으로 봅니다. 8개 전략 중 달성한 가장 낮은 레벨을 대표 지표로 추적하세요.

각 전략 페이지에서는 성숙도 레벨별 ISM 통제항목을 확인할 수 있습니다. 예를 들어 애플리케이션 패치와 다중 인증을 볼 수 있습니다. Essential Eight 가이드에서는 평가를 더 자세히 다룹니다.

질문

우리 조직은 Essential Eight 성숙도 레벨 중 어떤 것을 목표로 해야 할까요?

위협에 따라 선택하세요. 일반 도구를 쓰는 기회주의적 공격자에는 레벨 1, 더 많은 노력을 들일 의지가 있는 공격자에는 레벨 2, 적응형 공격자에는 레벨 3이 적합합니다. 레벨 2는 보통 첫 번째 목표이며, 호주 연방정부의 비기업 연방 기관에 대한 기대 수준이기도 합니다.

전략마다 성숙도 레벨이 달라도 되나요?

각 전략을 별도로 평가하는 것은 가능하지만, ASD는 어느 한 전략을 더 높이기 전에 8개 전략 모두 같은 레벨에 도달할 것을 권장합니다.

성숙도 레벨 2에 도달하는 데 얼마나 걸리나요?

시작 지점과 환경 규모에 따라 다릅니다. 8개 전략 모두 이미 레벨 1에 도달한 조직은 몇 달 안에 레벨 2에 이르는 경우가 많습니다. 처음부터 시작하는 조직은 전략별로 더 긴 기간을 계획해야 합니다.