기술은 비즈니스가 효과적으로 일하고, 성장을 위한 수단을 식별하고, 데이터를 관리(manage)하도록 돕습니다. 그러나 기술은 취약점을 생성하여 위험을 초래하기도 합니다: 오래된 소프트웨어(software), 느슨한 접근(access) 관리, 안전하지 않은 데이터 저장공간(storage)은 모두 해커들의 유혹적인 표적입니다. 기술 위험 관리 요금제(plan)를 수립하는 것은 비즈니스가 의존하는 기술이 효과적이고 안전하게 작동하도록 보장하는 가장 효과적인 방법입니다.

기술 위험이란 무엇인가?

기술 위험은 하드웨어든 소프트웨어(software)든 비즈니스의 기술로 인해 발생하는 모든 종류의 문제(issue)를 의미합니다. 광범위한 범주이지만 일반적으로 다음과 같은 영향 중 하나 이상을 미칩니다:

  • 비즈니스 연속성 손실: 작업자가 필요한 데이터나 서비스에 접근(access)할 수 없어 불필요한 다운타임이 발생하므로 평상시와 같은 비즈니스를 계속할 수 없습니다.
  • 보안 사고(Security breaches): 해킹된 계정(account)이나 분실된 업무용 노트북은 데이터 유출(leaks)로 이어져 고객에게 영향을 미치고 평판을 손상시킬 수 있습니다.
  • 규제 위반(Regulatory breaches): 해커에 의해 인프라가 보안 사고(breached)를 당하거나 데이터가 다크 웹(web)에 유출(leak)되면 규제 기관으로부터 벌금을 부과받을 수 있으며 잠재적으로 형사 고발을 당할 수 있습니다.
  • 재정적 손실: 다운타임은 매출 손실을 초래하지만 더 심각한 위험도 있습니다. 평판 손상, 규제 벌금 및 법적 비용은 비즈니스에 상당한 비용을 초래할 수 있으며 잠재적으로 운영을 중단하게 될 수도 있습니다.

기술 위험의 예로는 무엇이 있습니까?

앞서 언급했듯이 기술 위험은 매우 광범위한 잠재적 문제(issues)를 포괄합니다. 이 기사의 목적을 위해 다음 사항에 중점을 둡니다:

  • 소프트웨어(Software) 위험: 여기에는 타사 앱(apps) 및 서비스뿐만 아니라 비즈니스 내의 소프트웨어(software) 개발이 포함됩니다.
  • 하드웨어 위험: 여기에는 노트북, 태블릿, 전화와 같은 물리적 물체뿐만 아니라 서버(servers)도 포함됩니다. 또한 보안 키, USB 및 휴대용 하드 드라이브(drives)도 포함됩니다.
  • 운영 위험: 여기에는 팀이 비즈니스 소프트웨어(software)를 사용하는 방식이나 데이터가 내부적으로 공유(shared)되는 방식 등 일상적인 프로세스가 실행되는 방식이 포함됩니다.
  • 사이버 보안 위험: 여기에는 피싱, 랜섬웨어 및 기타 유형의 멀웨어(새 창)와 같은 잠재적 위협이 포함됩니다. 또한 신원(identity) 및 접근(access) 관리의 강도, 예를 들어 MFA가 조직(organization) 전체에 배포(deployed)되었는지 여부도 포함됩니다.
  • 규정 준수 위험: 여기에는 클라이언트 및 고객 데이터가 저장됨(stored) 위치와 방식, 그리고 현지 데이터 규정(regulations)에 대한 전반적인 준수 여부가 포함됩니다.

비즈니스에는 기술 위험에 대한 요금제(plan)가 필요합니다

기술 위험은 자원이 부족하거나 준비가 부족한 비즈니스에만 영향을 미치는 것이 아닙니다. 기술 사용의 부산물일 뿐입니다. 모든 산업의 모든 크기(size)의 비즈니스, 그리고 광범위하게 기술을 사용하는 모든 기관에서 발생할 수 있습니다.

미국 재무부는 2025년 유출된 원격 지원(support) 도구로 인한 주요 사이버 사건(새 창)의 영향을 받았습니다 — 중국 해커들은 원격 지원(support) 도구가 재무부의 접근(access) 관리에서 단일 실패 지점이었기 때문에 문서에 접근(access)할 수 있었습니다. 호주 항공사 Qantas는 해커 그룹(group)의 공격으로 다크 웹(web)에 1,100만 건 이상의 고객 기록이 유출(leaked)되었습니다. 이름, 주소(addresses) 및 이메일(email) 주소(addresses)를 포함한 민감한 고객 데이터가 유출(leaked)되었습니다.

귀하의 조직(organization)이 해커의 표적이 되기에 너무 작다고 가정하거나, 어떤 종류의 기술 위험 요금제(plan) 없이 운영할 수 있다고 가정하지 마십시오. 요금제(plan)를 세울 때입니다.

기술 위험 관리 요금제(plan) 생성

귀하의 기술 위험 관리 요금제(plan)는 일상적인 비즈니스를 보호하고 조직의 보안 표준과 규제 요구 사항을 충족하도록 보장합니다. 정책(policies), 절차 및 도구를 결합하여 비즈니스 내 기술로 인해 발생하는 잠재적 위험을 관리(manage)하도록 돕습니다. IT 인프라가 변경될 때마다 다시 방문하고 비즈니스 요구 사항이 변경될 때마다 수정하는 살아있는 문서여야 합니다.

일반적으로 IT 위험 관리 요금제(plan)는 비즈니스의 구체적인 요구 사항과 관계없이 거의 동일한 단계를 따릅니다. 시작하는 방법을 이해하는 데 도움이 되도록 비즈니스에 맞는 기술 위험 관리 요금제(plan)를 만드는 과정을 단계별로 살펴보겠습니다.

기술 위험 평가 수행

좋은 기술 위험 관리 요금제(plan)는 위험 평가로 시작합니다. 이는 비즈니스의 가장 가치 있거나 가장 큰 위험을 초래하는 영역과 자산을 식별하는 데 도움이 되기 때문에 프로세스의 핵심 단계입니다. 다음 목록을 작성하십시오:

  • 모든 시스템 전반의 모든 비즈니스 어플리케이션(application)
  • 노트북, 전화, 태블릿과 같은 모든 비즈니스 기기(device)
  • 모든 데이터 세트 및 해당 국가(location)
  • “BYOD(bring your own device)” (BYOD) 요금제(plan)에 따라 접근(accessed)되는 모든 기기(device)
  • 모든 서버(server) 및/또는 데이터 센터

이 연습의 목적은 비즈니스에 대한 전체적인 뷰를 생성하여 취약점과 위험을 식별할 수 있도록 하는 것입니다. 또한 각 비즈니스 영역에서 위험 평가 및 관리에 대한 책임을 질 이해관계자를 위임할 수도 있습니다. 여기에는 일반적으로 IT 부서뿐만 아니라 재무, 법무, 규정 준수 및 리더십이 포함됩니다.

잠재적 기술 위험 평가 및 우선순위 지정

모든 자산을 식별한 후에는 잠재적 위험의 영향과 그것이 비즈니스에 미칠 수 있는 영향을 평가할 수 있습니다. 다음을 포함한 위험을 찾으십시오:

  • 피싱(phishing) 사기, 랜섬웨어 및 기타 멀웨어(malware)와 같은 보안 위협에 대한 취약성
  • 오래되거나 이전 버전(legacy) 시스템 및 지원되지 않는 소프트웨어(software)
  • 중요한 서비스에 대한 안전하지 않은 로그인(login) 관행 또는 2단계 인증(2FA)(two-factor authentication) 부재
  • 데이터 보안 사고(breaches)

모든 잠재적 위험을 식별한 후에는 그에 따라 자원의 우선순위를 지정할 수 있습니다. 가장 가치 있는 자산을 보호하기 위해 추가적인 사이버 보안 조치를 선택하고 네트워크(network)에 저장됨(stored) 가장 민감한 데이터에 대해 제로 지식 접근 방식을 구축하십시오.

위험 완화 요금제(planning) 시작

궁극적으로 위험이 발생하는 이벤트(event)에 대비해야 합니다. 위험을 예방하거나 완화하기 위한 전략을 수립하는 것은 비즈니스에 도움이 될 수 있는 현실적인 접근 방식입니다. 예를 들어, 팀원의 비즈니스 계정(account)이 유출(compromised)된 경우 사용자(users)의 접근(access) 권한을 삭제(remove)하는 것이 얼마나 쉽습니까?

완화 및 감소 방법은 비즈니스 요구 사항에 따라 다르지만 기본 사항부터 시작하는 것을 고려하십시오:

  • 사고 대응 요금제(plan)를 만드십시오. 이는 사고에 대응하는 비즈니스의 지침 역할을 하며, 데이터 보안 사고(breach)나 해킹이 발생했을 때 준비되어 있다면 큰 차이를 만들 수 있습니다.
  • 비즈니스가 여러(그리고 잠재적으로 안전하지 않은) 국가(locations)에 민감한 데이터를 저장하는 경우 확산을 줄이십시오. 안전한 비즈니스 비밀번호 관리자(password managers)와 클라우드(cloud) 저장공간(storage)은 비즈니스 데이터의 보안과 접근(access) 관리 개선에 큰 차이를 만들 수 있습니다.
  • 비즈니스의 사이버 보안을 개선하는 동시에 생산성을 높이는 새로운 기술적 통제를 고려하십시오. 예를 들어. SSO는 IT 관리자(admins)의 접근(access) 관리를 간소화하여 단일 국가(location)에서 사용자(user) 계정(accounts)을 관리(manage)하고 필요한 경우 즉시 접근(access)을 삭제(remove)할 수 있도록 하는 훌륭한 방법입니다.
  • 취약하거나 비효율적인 이전 버전(legacy) 시스템을 업그레이드(upgrading)하는 것을 고려하고 모든 비즈니스 어플리케이션(applications)의 최신 버전이 배포(deployed)되도록 하십시오.
  • 위험 이해관계자가 기술 모범 사례와 각 부서에서 위험을 피하는 방법에 대해 효과적으로 소통하고 있는지 확인하십시오.
  • 가능한 경우 대면 및 온라인(online)으로 정기적인 교육을 실시하십시오. 모든 팀원과 기술 위험에 대한 대화(conversation)를 계속하여 항상 염두에 두도록 하십시오.

위험 모니터링

잠재적 기술 위험을 모니터링(monitoring)하는 데 더 많이 투자할수록 더 많이 완화할 수 있습니다. 잠재적인 데이터 보안 사고(breaches)나 사이버 공격을 조기에 감지하면 비즈니스가 잠재적인 영향을 크게 줄이는 데 도움이 됩니다. 이를 염두에 두고 다크 웹 모니터링(dark web monitoring) 및 사용 로그(logs)는 무단 로그인(logins) 및 데이터 보안 사고(breaches)를 발견하는 데 유용한 도구입니다. 네트워크(network) 활동을 모니터링할 수 있는 프로세스를 설정(Set up)한 다음 시간이 지남에 따라 해당 프로세스의 효과를 검토하십시오. 반복을 통해 비즈니스 환경과 요구 사항에 가장 효과적인 통제를 찾을 수 있습니다.