정책을 작성하기 전에 컴플라이언스 도구부터 구매하지 마세요

익숙한 순서가 있습니다. 회사가 SOC 2나 ISO 27001을 준비해야 하고, 누군가 조사를 하고, 첫 구매는 도구입니다. 컴플라이언스 플랫폼, 엔드포인트 스위트, SIEM, 정책 생성기 등입니다. 몇 달 뒤 도구는 절반만 설정된 상태이고, 경보는 무시되며, 감사인은 도구가 답하지 못하는 질문을 던집니다. 문제는 도구가 아니었습니다. 순서가 문제였습니다.

도구는 결정을 구현한다

모든 통제에는 도구가 도움이 되기 전에 몇 가지 결정이 필요합니다. 범위에 무엇이 포함되는지, 누가 책임지는지, 얼마나 자주 실행되는지, 무엇이 “좋은” 상태인지, 실패하면 어떻게 할지입니다. 이러한 결정이 곧 정책과 절차입니다. 이런 결정 없이 취약점 스캐너를 구매하면 아무도 책임지지 않는 수천 건의 발견 사항을 얻게 되고, SIEM을 구매하면 아무도 읽지 않는 로그를 얻게 됩니다.

프레임워크도 같은 입장이다

주요 프레임워크 중 특정 제품을 요구하는 것은 없습니다. ISO 27001은 정책, 위험 처리, 그리고 실제로 운영되는 통제를 요구합니다. SOC 2는 통제가 설계되었는지, 그리고 효과적으로 운영되는지를 묻습니다. PCI DSS는 12개 요구사항 각각을 문서화된 정책과 절차, 지정된 역할로 시작하도록 합니다. 모두 사고가 먼저 이루어진다고 전제합니다.

더 나은 순서

1. 범위와 위험: 무엇을, 무엇으로부터 보호하는가, 그리고 어떤 프레임워크가 적용되는가? 격차 분석은 다음 프레임워크가 현재 보유한 것에 무엇을 더하는지 보여줍니다.
2. 각 통제 결정: 책임자, 주기, 기준, 증적. 간단히 기록해 두십시오. 그것이 정책 세트입니다(여러 프레임워크를 위한 하나의 정책 세트 참조).
3. 가능하면 먼저 수동으로 실행: 스프레드시트에서 하는 분기별 접근 검토는 도구가 무엇을 해야 하는지 알려 줍니다.
4. 그다음 이미 내린 결정을 자동화하는 도구를 구매하고, 그 결정들에 비추어 도구를 평가하십시오.

도구가 먼저, 작업은 나중에 올 때

예외는 있습니다. 엔드포인트 보호, MFA, 백업은 세부 조정에 가치가 달려 있지 않기 때문에 즉시 배포할 가치가 있습니다. 또한 정책을 작성하고 통제를 추적하도록 돕는 컴플라이언스 플랫폼은 2단계를 가속할 수 있습니다. 단, 템플릿과 매핑을 정답이 아닌 초안으로 취급하는 경우에 한합니다(검증할 수 없는 대응표에 관해 이미 글을 썼습니다).

결정을 먼저 한다는 것의 모습

제품으로 가장 흔히 구매되는 통제인 취약점 관리를 예로 들어 보겠습니다. 스캐너를 고르기 전에 다음을 결정하십시오.

• 범위: 어떤 자산을 스캔하는지(내부, 외부, 클라우드, 컨테이너)와 자산 목록이 완전한지 어떻게 확인할지.
• 주기: PCI DSS는 내부 스캔을 3개월마다, 그리고 중대한 변경 후에 요구합니다. CIS Controls는 내부 및 외부 자산에 대한 자동 스캔을 요구합니다. 귀사의 위험에 따라 더 많은 스캔이 필요할 수 있습니다.
• 심각도와 기한: 발견 사항을 어떻게 등급화하고, 각 심각도별로 얼마나 빨리 조치해야 하는지.
• 책임: 누가 발견 사항을 분류하고, 누가 조치하며, 수정할 수 없을 때 누가 위험을 수용하는지.
• 증적: 통제가 실행되었고 발견 사항이 처리되었음을 증명하는 보고서가 무엇인지.

이 다섯 가지 답을 기록해 두면 도구 평가는 단순해집니다. 도구가 범위를 포함하는지, 주기대로 실행되는지, 귀사의 방식대로 심각도를 등급화하는지, 증적을 생성하는지 확인하면 됩니다. 그렇지 않으면 모든 데모가 인상적으로 보이지만 그중 어느 것도 감사 질문에 답하지 못합니다. 같은 방법은 로깅, 엔드포인트 보호, 접근 관리에도 적용됩니다. 주제 페이지에서 통제별로 모든 프레임워크가 요구하는 내용을 확인할 수 있으며, 이는 결정 사항을 점검하기 좋은 체크리스트입니다. 시작하기 좋은 곳은 취약점 관리 주제입니다.

핵심 요약

• 도구는 결정을 구현합니다. 범위, 책임자, 주기, 증적을 정한 뒤에 구매하십시오.
• 주요 프레임워크 중 특정 제품을 요구하는 것은 없습니다.
• 가능하다면 통제를 먼저 수동으로 실행한 뒤 자동화하십시오.

테스트

구매 전에 물어보십시오. 이 도구는 어떤 통제를 구현하는가, 그 통제의 책임자는 누구인가, 어떤 증적을 생성하는가? 아무도 답할 수 없다면 그 구매는 이르다.

질문

무엇을 먼저 해야 하나요? 정책인가, 도구인가?

결정이 먼저입니다: 범위, 위험, 그리고 조직이 각 통제를 어떻게 운영할지(누가, 얼마나 자주, 어떤 기준으로). 이를 기록하면 그것이 정책과 절차가 되며, 도구는 그다음 이를 구현합니다.

감사인이 특정 도구를 요구하나요?

주요 프레임워크 중 특정 제품을 요구하는 것은 없습니다. 감사인은 통제가 어떤 방식으로 구현되었든, 실제로 운영되고 증적을 생성하는지를 확인합니다.

컴플라이언스 자동화 플랫폼은 가치가 있나요?

어떤 통제를 운영하고 누가 책임지는지 알고 나면 가치가 있을 수 있습니다. 플랫폼은 알림, 증적 수집, 추적에 강하지만 범위나 위험 수용 수준을 대신 정해 주지는 못합니다.