NIS2 경영진 책임: 이사회의 행동을 바꿀 수 있을까?

20년 동안 보안 리더들은 이사회에 사이버보안을 진지하게 다뤄 달라고 요청해 왔지만, 그 결과는 엇갈렸습니다. NIS2는 인센티브 구조를 바꿉니다. 제20조는 적용 대상 기관의 경영진 기구가 사이버보안 위험관리 조치를 승인하고, 그 이행을 감독하며, 본인들도 교육을 이수하도록 요구하고, 위반에 대해 책임을 지도록 합니다. 필수 기관의 경우 국가 당국은 일부 상황에서 관리자의 경영 기능 수행을 일시적으로 금지하도록 요청할 수 있습니다.

그것이 이사회의 행동을 바꿀까요? 제 생각에는 바뀌겠지만 자동으로 되지는 않으며, 보안팀이 바라는 방식과 항상 같지도 않을 것입니다.

바뀌어야 할 것

• 승인이 실질적인 의미를 갖게 됩니다. 조치를 승인해야 하고 그에 대해 책임을 물을 수 있는 이사회는, 자신이 무엇을 승인하는지 이해할 이유가 생깁니다.
• 교육은 선택 사항이 아니게 됩니다. 이사는 위험을 식별하고 경영 관행을 평가하기에 충분한 교육을 이수해야 합니다. 많은 이사회가 처음으로 공통의 이해 기준을 갖게 될 것입니다.
• 감독에 체계가 생깁니다. 조치, 사고 및 진행 상황에 대한 정기 보고가 호의가 아닌 법적 의무가 됩니다.

잘못될 수 있는 것

• 책임 부담이 형식적 점검을 부추길 수 있습니다. 개인적 책임을 우려하는 이사회는 보안의 증거가 아니라 준수의 증거를 요구할 수 있습니다. 더 많은 인증서, 더 많은 문서, 그러나 똑같은 위험이 남게 됩니다.
• 교육이 형식으로 전락할 수 있습니다. 연 1시간짜리 동영상 시청으로 교육 요건의 문구는 충족되지만 아무것도 바뀌지 않습니다.
• 보안팀이 두려움에 과도하게 의존할 수 있습니다. "개인적으로 책임을 질 수 있습니다"라는 말은 한 번은 주의를 끌지만, 프로그램을 지속시키지는 못합니다.

이사회가 지금 해야 할 일

1. 자신들이 승인하는 조치가 무엇인지 파악하십시오. 제21조는 열 개 영역을 나열하며, 이행규정은 디지털 제공자에 대해 이를 구체화합니다. 각 영역에서 조직이 어디에 서 있는지 한 페이지 분량으로 요청하십시오.
2. 문서가 아니라 결과를 요청하십시오. 중대한 사고를 얼마나 빨리 보고할 수 있습니까? 마지막으로 백업에서 복원한 것은 언제입니까? 어떤 공급업체가 우리 서비스를 중단시킬 수 있습니까?
3. 이사회가 읽을 수 있는 프레임워크를 사용하십시오. NIST CSF 2.0의 Govern 기능은 이사회의 영역을 정확히 다룹니다. 즉 맥락, 위험 전략, 역할, 정책, 감독 및 공급망입니다. CSF 프로파일을 활용한 이사회 보고를 참고하십시오.
4. 교육을 실질적으로 만드십시오: 시나리오 기반이고, 사업에 특화되어 있으며, 반복적으로 이루어져야 합니다.

이사회가 내일 바로 물어볼 수 있는 질문

이사회가 보안을 잘 감독하기 위해 보안 전문가가 될 필요는 없습니다. 문서로는 답할 수 없는 질문을 던지면 됩니다.

• 가장 중요한 시스템이 오늘 밤 랜섬웨어에 감염된다면, 다시 운영하기까지 얼마나 걸리며, 그 점을 마지막으로 테스트한 것은 언제입니까?
• 우리에게 가장 큰 피해를 줄 수 있는 공급업체 세 곳은 어디이며, 그 업체들의 보안 상태에 대해 우리는 무엇을 알고 있습니까?
• 인터넷에 노출된 시스템에서 열려 있는 중요 취약점은 몇 개이며, 가장 오래된 것은 얼마나 됐습니까?
• 어떤 사고가 24시간 내 보고해야 할 만큼 중대한지 누가 결정하며, 그 절차를 실제로 연습해 보았습니까?
• 마지막 감사나 평가에서 무엇이 발견되었고, 그 이후 무엇이 바뀌었습니까?

답변에는 증거가 따라야 합니다. 테스트 결과, 지표, 날짜 등입니다. 시간이 지나면서 이사회의 질문이 경영진이 측정하는 항목을 형성하게 되며, 이것이 바로 제20조가 요구하는 감독입니다. 격차 분석에서는 현재 사용 중인 프레임워크가 이미 어떤 NIS2 조치를 지원하는지 확인할 수 있습니다.

핵심 요약

• 제20조는 이사회가 사이버보안을 승인하고, 감독하며, 교육을 받도록 합니다.
• 책임 부담은 실질적인 감독으로 이어질 수도, 더 많은 문서 작업으로 이어질 수도 있습니다.
• 이사회는 문서가 아니라 결과와 증거를 요청해야 합니다.

기회

제20조는 법에 의해 보안 리더들에게 이사회의 관심을 제공합니다. 이를 가장 잘 활용하는 방법은 책임 조항을 흔드는 것이 아니라, 이사회에 실제 의사결정을 가져다주는 것입니다. 즉 이사회가 어떤 위험을 기꺼이 수용할지, 무엇에 자금을 지원할지, 무엇을 보기를 기대하는지입니다. 그것이 거버넌스입니다. 나머지는 문서 작업일 뿐입니다.

더 넓은 맥락은 NIS2 가이드와 NIS2 보고 절차 게시글을 참고하십시오. NIS2 프레임워크 페이지에서는 이행규정의 모든 항목을 열 개 프레임워크에 매핑합니다.

질문

NIS2 제20조는 경영진에게 무엇을 요구합니까?

필수 및 중요 기관의 경영진 기구는 사이버보안 위험관리 조치를 승인하고, 그 이행을 감독하며, 교육을 이수해야 하고, 위반에 대해 책임을 질 수 있습니다. 회원국은 직원에 대한 정기 교육도 장려합니다.

NIS2에 따라 이사회 구성원이 개인적으로 책임을 질 수 있습니까?

NIS2는 회원국이 경영진의 위반에 대해 책임을 물을 수 있도록 보장할 것을 요구하며, 필수 기관의 경우 일부 경우 경영 기능에서의 일시적 금지를 허용합니다. 책임이 어떻게 적용되는지는 국내법에 따라 다릅니다.

NIS2 경영진 기구가 받아야 하는 교육은 무엇입니까?

위험을 식별하고 사이버보안 위험관리 관행과 기관이 제공하는 서비스에 미치는 영향을 평가하기에 충분한 지식과 기술을 얻을 수 있는 교육입니다. 형식은 기관과 국내법에 따라 정해집니다.