보안 프로그램을 처음부터 구축하기

회사의 첫 번째 보안 담당자로 고용되는 것은 특별한 종류의 혼란입니다. 티켓 큐도 없고, 확립된 도구도 없으며, 보통 당신을 기다리는 예산 항목도 없습니다. 다음은 처음 90-180일이 어떻게 진행되는지에 대한 대략적인 지도이며, 실제로 효과를 보는 것과 단순히 생산성이 있는 것처럼 느껴지는 것을 구분합니다.

"아무것도 없다"는 것이 보통 의미하는 바

회사에 보안 기능이 없다고 사람들이 말할 때, 그들은 거의 제어 기능이 완전히 없다는 의미는 아닙니다. 그들은 전담 담당자가 없다는 의미입니다. 엔지니어링은 아마도 기본 AWS IAM 정책을 활성화했을 것이고, IT는 MDM 도구를 통해 일부 안티바이러스를 배포했으며, 고객이 물어봤기 때문에 재무팀의 누군가는 SOC 2에 대한 의견을 가지고 있습니다. 당신의 첫 번째 일은 구현이 아니라 인벤토리입니다. 단 하나의 정책도 작성하기 전에, 이미 실행 중인 것을 찾아보세요: 클라우드 계정(그리고 아무도 생성한 것을 기억하지 못하는 계정이 몇 개인지), 소스 코드에 대한 관리자 접근 권한이 있는 SaaS 도구, 그리고 직원 오프보딩에 대한 단일 출처가 있는지 여부. 이를 위해 스프레드시트는 괜찮습니다. GRC 플랫폼은 아직 우선순위가 아닙니다.

처음 30일: 제어보다 가시성

1주차에 사용 정책을 작성하고 싶은 충동을 참으세요. 아무도 읽지 않을 것이고 실제 위험을 막지 못할 것입니다. 대신, 세 가지에 대한 가시성을 확보하세요:

• Identity: 아이덴티티 공급자(Okta, Google Workspace, Azure AD)에서 전체 사용자 목록을 가져오고 HR의 활성 직원 목록과 대조합니다. 유령 계정을 발견하게 될 것입니다.
• 클라우드 규모: AWS를 사용 중이면 aws organizations list-accounts 같은 것을 실행하거나, GCP의 Asset Inventory를 확인하여 실제로 존재하는 환경이 몇 개인지 그리고 누구도 메모리에서 이름을 지을 수 있는 환경이 몇 개인지 확인합니다.
• 코드 및 보안 비밀 노출: 주 저장소에 대해 gitleaks detect 또는 trufflehog filesystem .을 실행합니다. 2년 전 커밋 히스토리에서 하드코딩된 API 키를 찾는 것은 거의 확실하며 가치를 입증하는 빠른 방법입니다.

결과를 문서화하되, 이것을 아무도 열지 않는 40페이지 보고서로 만들지 마세요. 5개 항목이 있는 1페이지 위험 요약은 CTO에게 읽힙니다. 긴 PDF는 그렇지 않습니다.

처음 세 가지 제어 선택하기

인원이 없고 도구 예산도 없으면, 한 번에 모든 것을 할 수 없습니다. 작동하는 경향이 있는 작업 순서:

1. 아이덴티티 공급자부터 시작하여 이미 MFA가 아닌 모든 곳에 MFA 배포, 그 다음 GitHub/GitLab, 그 다음 클라우드 콘솔. 이것만으로도 가장 일반적인 계정 탈취 경로를 차단합니다.
2. 클라우드 및 인증 이벤트에 대한 중앙 집중식 로깅. SIEM 유사 도구의 무료 티어 또는 단순히 CloudTrail/GCP 감사 로그를 보존이 있는 버킷으로 전송하는 것도 보안 사건이 발생할 때 아무것도 없는 것보다 낫습니다.
3. 작성된, 짧은 사건 대응 계획, 2페이지이더라도: 누가 호출되는지, 누가 고객과 통신하는지, 누가 무언가를 종료할 권한을 가지는지. 그것이 필요한 날까지 아무도 이것을 구축하는 것을 기억하지 않으며, 그때쯤이면 너무 늦습니다.

이들 중 어느 것도 큰 공급업체 계약이 필요하지 않습니다. 그들은 결정과 후속 조치가 필요합니다.

보안 예산 항목 없이 동의 얻기

첫 번째 보안 담당자로서 신뢰를 잃는 가장 빠른 방법은 어떤 결과도 보여주지 않고 도구 위시리스트와 함께 나타나는 것입니다. 대신, 모든 요청을 구체적인 것과 연결하세요: "우리는 2021년부터 회전되지 않은 접근 키를 가진 3개의 IAM 사용자를 찾았습니다"는 "우리는 CSPM 도구가 필요합니다"보다 낫게 들립니다. 요청을 엔지니어링과 재무가 이미 신경 쓰는 용어로 표현하세요: 영향 범위 감소, 더 빠른 감시, 더 적은 오전 2시 호출. 회사가 SOC 2 또는 ISO 27001을 추구하고 있다면, 그 규정 준수 마감일은 종종 규정 준수 자체가 목표가 아니더라도 리소스를 얻기 위한 최고의 레버리지 포인트입니다.

첫 해의 일반적인 실수

실제로 운영할 프로세스나 인원이 있기 전에 비싼 플랫폼(SIEM, EDR, CSPM)을 구매하는 것이 초기 예산 낭비의 가장 일반적인 원인입니다. 아무도 조정하지 않는 $50k 도구는 탐지가 아니라 노이즈를 생성합니다. 마찬가지로, 회사가 실제로 작동하는 방식에 맞게 조정하지 않고 템플릿에서 복사한 정책을 작성하는 것은 누군가가 예외가 필요할 때 처음으로 무시됨을 보장합니다. 그리고 첫 6개월 이후로 모든 것을 혼자 소유하려고 시도하는 것은 번아웃의 길입니다. 견인력이 생기는 순간, 다음 고용은 보통 탐지 및 대응을 소유할 수 있는 사람이어야 하므로 당신은 프로그램 구조를 계속 구축할 수 있습니다.

처음부터의 보안은 대부분 순서 결정입니다: 존재하는 것을 보고, 가장 큰 공백을 닫고, 결정이 당신의 기억에 의존하지 않도록 충분한 프로세스를 구축하고, 거기에서 확장합니다.

이런 종류의 기초 수준 프로그램 구축에 관심이 있다면, Korra Studio는 사건 대응 기본 사항 및 클라우드 보안 자세에 대한 관련 세그먼트를 가지고 있으며, 이는 이 항목과 잘 어울립니다.