무슨 일이 있었는지 알지 못해서 그들은 즉시 건물을 질서있는 방식으로 떠났다. 파일 캐비닛과 컴퓨터 시스템은 모두 뒤에 남겨 두어야했습니다. 그 뒤에있는 재난에서, 리버티 플라자 (Liberty Plaza)는 10 층이 뒤틀린 상태에서 난파되어 기울어졌다. 터너 & 오웬의 사무실은 사망했다.
Turner & Owen IT 직원은 컴퓨터 시스템의 정기적 인 백업 테이프를 만들었지 만, 그 테이프는 South World Trade Center 타워에 위치한 회사의 부서로 보내졌으며 사우스 타워가 파괴되었을 때 완전히 잃어 버렸습니다. 프랭크 터너 (Frank Turner)와 에드 오웬 (Ed Owen)은 사례 데이터베이스를 복구하거나 사업을 중단해야한다는 사실을 알면서 구조적으로 불가능한 하나의 리버티 플라자 (Liberty Plaza)를 통해 생명을 기어 다니며 가장 중요한 레코드로 두 파일 서버를 검색했습니다. 이 정보를 통해 Owen & Turner의 법률 회사는 2 주도 채되지 않아 작업을 재개 할 수있었습니다.
다른 많은 회사 들이이 재난에서 잃어버린 정보를 복구 할 수 없었습니다.
무엇이 바뀌 었습니까?
그러한 엄청난 생명, 재산 및 정보의 손실 이후 몇 년 후 비즈니스가 직원, 자산 및 데이터를 보호하기 위해 노력하는 방식에 극적인 차이와 개선이있을 것이라고 생각할 수도 있습니다. 그러나 변화는 많은 사람들이 예상했던 것보다 점진적이었습니다. 익명을 유지하는 것을 선호하는 한 정보 보안 전문가는“모닝콜을 받아야하는 일부 조직은 메시지를 무시한 것 같았다”고 말했다.
9 월 11 일 이후 수년에 걸쳐 발전해 온 일부 트렌드를 살펴보면 더 나은 정보 보안 발전의 필요성이 분명하지만 더 나은 변화의 징후가 있음을 보여줍니다.
연방 동향
2001 년 9 월 11 일 이후 가장 눈에 띄는 정보 보안 변경은 연방 정부 차원에서 발생했습니다. 집행 명령, 행위, 전략 및 신규 부서, 부서 및 이사들은 정보 보호에 중점을 둔 미국의 인프라를 보호하는 데 중점을 두었습니다.
부시 대통령은 9/11 이후 1 개월 만에 행정 명령 13231 “정보 시대의 중요한 인프라 보호”에 서명하여 대통령의 중요한 인프라 보호위원회 (PCIPB)를 설립했습니다. 2002 년 7 월 부시 대통령은 국토 안보부 (DHS)의 설립을 요구하는 국토 안보 전략을 발표했으며, 이는 화학, 생물학적, 방사선 및 핵 (CBRN) 무기의 공격을 예방, 탐지 및 대응하기위한 이니셔티브를 이끌 것입니다. 2002 년 11 월 법에 서명 한 국토 안보법은 DHS를 현실로 만들었습니다.
2003 년 2 월, 국토 안보부 장관 인 톰 릿지 (Tom Ridge)는 “사이버 공간을 확보하기위한 국가 전략”의 두 가지 전략을 발표했다. “사이버 공간을 확보하기위한 국가 전략”은 “미국인들이 자신이 소유하고, 운영, 통제 또는 상호 작용하는 사이버 공간의 일부를 확보하고 권한을 부여하기 위해”, “중요한 인프라 및 핵심 자산의 물리적 보호를위한 국가 전략”은 우리의 노력을 지침 할 것 “이라는 기본적으로 표현할 것이다. 국가 안보, 거버넌스, 공중 보건 및 안전, 경제 및 공공 신뢰에 필수적인 자산.
또한 국토 안보부의 정보 분석 및 인프라 보호 (IAIP) 이사회에 따라 CIAO (Critical Infrastructure Assurance Office) 및 NCSD (National Cyber Security Division)가 만들어졌습니다. NCSD의 최우선 과제 중 하나는 사이버 공간을 확보하기위한 국가 전략의 주요 권장 사항을 통해 통합 된 사이버 보안 추적, 분석 및 대응 센터를 만드는 것이 었습니다.
주요 정보 시스템을 포함한 인프라 확보와 관련된 연방 정부의 이러한 모든 활동으로 인해 민간 부문의 정보 보안 관행에 눈에 띄는 영향이있을 것이라고 생각할 수 있습니다. 그러나 특히 사이버 공간을 확보하기위한 국가 전략에 대한 대응은 규제, 인센티브, 자금 및 집행에 중점을 둔 비판과 함께 미묘한 일이었다. 정보 보안 전문가들 사이의 감정은 연방 차원에서 강력한 정보 보안법과 리더십이 없다면, 민간 부문에서 우리나라의 중요한 정보를 보호하기위한 관행은 최소한 더 나은 변화를 크게 바꾸지 않을 것입니다.
업계 동향
그러나 민간 부문에서 근거가있는 것으로 보이는 한 가지 추세는 다른 회사와 조직간에 보안 관련 정보를 공유 할 필요가 있지만 익명으로 수행해야한다는 점에 대한 강조가 증가한다는 것입니다. 이를 위해 조직은 12 개 정도의 산업별 정보 공유 및 분석 센터 (ISAC) 중 하나에 참여할 수 있습니다. ISACS는 경고를 수집하고 물리적 및 사이버 위협, 취약성 및 경고에 대한 분석 및 알림을 수행합니다. 그들은 중요한 정보 기술 인프라, 비즈니스 및 개인을 보호하는 데 필요한 공공 및 민간 부문에 필요한 보안 정보를 경고합니다. ISAC 회원은 또한 다른 회원이 제공 한 정보와 관련된 정보 및 분석에 액세스하고 미국 정부, 법 집행 기관, 기술 제공 업체 및 CERT와 같은 보안 협회와 같은 다른 출처에서 얻은 정보 및 분석에 액세스 할 수 있습니다.
Critical Infrastructure Protection에 관한 클린턴 대통령의 대통령 결정 지침 (PDD) 63의 격려로 ISACS는 9/11 이전에 몇 년 전에 처음으로 형성되기 시작했습니다. 부시 행정부는 PCIPB 및 DHS와 협력하기 위해 ISAC의 형성을 계속지지 해왔다.
ISACS는 IT-ISAC를 포함한 대부분의 주요 산업에 존재합니다.) 정보 기술의 경우, FS-ISAC () 금융 기관 및 전 세계 모든 산업을위한 월드 와이드 ISAC (http://www.wwisac.com/)의 경우. 많은 조직이 ISAC에 참여하는 것이 중요한 정보를 보호하기위한 적법한 의무 의무를 이행하는 데 도움이된다는 것을 인식함에 따라 지난 몇 년 동안 ISACS 회원 자격이 빠르게 성장했습니다.
9/11에서 배운 주요 교훈은 비즈니스 연속성 및 재해 복구 (BC/DR) 계획이 강력하고 자주 테스트되어야한다는 것입니다. PricewaterhouseCoopers의 글로벌 위험 관리 솔루션 담당 이사 인 Richard Luongo는“비즈니스 연속성 계획은 이사회의 이사회가 진지하게 고려해야 할 것에 대한 감사를 유지하는 재량 항목이되지 않았다”고 말했다. BC/DR은 투자 수익을 입증했으며 대부분의 조직은 재난 발생시 비즈니스 및 정보를 복구 할 수 있도록하는 데 큰 관심을 기울였습니다.
또한 위험 관리 솔루션과 비즈니스에 대한 예산 책정 요구 사항에 적용 할 수있는 방법에 대한 강조가 커지고 있습니다. 위험 관리에 관한 더 많은 회의 세션, 서적, 기사 및 제품이 그 어느 때보 다 존재합니다. 이 분야의 성장 중 일부는 HIPAA, GLBA, Sarbanes Oxley, Basel II 등과 같은 법률에 기인 할 수 있지만 9/11은 사람들이 위험의 구성 요소로 위협과 취약성에 대해 생각하고 그 위험을 관리하기 위해 수행해야 할 일을 시작하게하기 위해 많은 일을했습니다.
기술 트렌드
대부분의 회사는 9/11 이전에 네트워크 24×7을 모니터링해야 할 필요성을 깨달았지만 그 후에 그러한 기능이 아직 설치되지 않았다면 최우선 과제가되었습니다. 점점 더 많은 회사들이 네트워크 침입 탐지 시스템 (NIDS) 및 호스트 침입 탐지 시스템 (HIDS) 솔루션을 포함한 침입 탐지 시스템 (IDS)을 구현하고 있습니다. Deloitte Touche Tohmatsu의 2003 년 글로벌 보안 조사에 따르면 응답자의 85 %가 침입 탐지 시스템을 배치했습니다. 이러한 시스템은 장비 및 소프트웨어 구매, 컨설팅 비용 및 직원 시간의 많은 비용을 수반 할 수 있으므로 일부 회사는 네트워크 모니터링을 관리하기 위해 관리되는 보안 서비스 제공 업체 (MSPS)로 전환하고 있습니다. 일부 MSSP는 또한 다른 네트워크를 모니터링하면서 MSSP가 식별했을 수있는 위협에 대한 고객에게 사전 통지를 제공합니다.
Slammer, Patch Management, Change Management 및 Configuration Management 기술 솔루션과 같은 급격한 벌레 및 바이러스로 인해 기업 위험 관리 이니셔티브에서 우선 순위가 높아졌습니다. 패치, 변경 및 구성 관리의 요구를 해결하기 위해 다양한 응용 프로그램 및 도구가 존재하지만, 주어진 환경에서 작업을 수행 할 도구의 올바른 조합을 찾는 데 어려움이 있습니다.
정보 보안 직원은 매일 가능한 모든 플랫폼 조합에 자라는 수많은 위협 경고 및 취약성 경고를 통해 체계 할 시간이 없습니다. 따라서 개발 한 또 다른 정보 보안 기술 트렌드는 지능적인 위협 분석입니다. 이는 고객의 특정 환경에 맞춤화 된 위협 및 취약성 경고를 제공하는 서비스입니다.
여전히 변화해야 할 것
정부, 산업 및 기술의 정보 보안 변화는 주목할 만하지 만 이러한 분야에서 여전히 개선해야합니까?
우리 정부가 중요한 정보를 보호하는 것에 대해 진지한 경우, 일부 합리적인 법률을 통과해야하며 정보 보안 전문가에게 경쟁해야합니다. Counterpane Internet Security, Inc.의 설립자이자 CTO 인 Bruce Schneier는“기업이 불안에 대해 책임을지게하면 상황이 얼마나 빨리 안전 해지는 지 놀랄 것입니다.
정보 보안 관리자는 회사가 CEO 및 이사회에 정보를 보호 해야하는 방법을 더 잘 전달해야합니다. Siebel Systems Cio Mark Sunday는 기업 보드가 보안 문제를 더 잘 알고 있지만 여전히 이해하지 못하지만 대부분의 보드는 이해하지 못하는 것에 자금을 지원하는 것을 좋아하지 않는다고 말합니다. 일요일은“CEO와 이사회가 보안 문제가된다는 사실을 알면서 해당 지역의 지출은 비례하지 않았으며 사람들이 예상 한 수준에 달려 있지 않았다”고 말했다.
주류에서는 널리 알려져 있거나 사용되지 않은 고급 정보 보안 기술이 존재합니다. CSOINFORMER 및 정보 보안 산업 분석가의 편집자 인 Jim Reavis는“우리의 기술은 너무 서명 기반입니다. “우리는 마지막 전투에서 싸울 준비가되어 있습니다. 우리는 더 예측을 받아야합니다. 더 많은 행동 기술을 사용해야합니다.”
결론
인터넷 보안 얼라이언스 (ISALLIANCE)가 공동으로 실시한 설문 조사에서 2001 년 9 월 11 일 이후 1 년 후 NAM (National Association of Manufacturers) 및 Redsiren Technologies Inc.에서 응답자의 40 %가 정보 보안이 9 월 11 일 이전보다 더 중요하다고 간주되었다고보고했습니다. 그러나 거의 3 분의 1이 회사는 여전히 컴퓨터 네트워크에 대한 공격을 처리 할 수있는 적절한 장비가 없다고 말했다. 설문 조사는 “많은 조직이 보안 위험, 위협 및 비용을 식별, 측정 및 관리하는 방법을 수정해야한다고 결론 지었다.
우리의 정보는 9 월 11 일 이후 2 년이 더 안전합니까? 불행히도, 많은 것은 아닙니다. 9/11 이후의 일부 추세는 정보 보호 분야의 진전을 보여 주지만 더 나은 정보 보안 관행을위한 기회는 분명히 남아 있습니다.