보안 프로그램이 인시던트 대응에 초점을 맞추고 있습니까? 당신은 그것을 잘못하고 있습니다.
이 문서의 버전은 포브스 기술 위원회의특징으로나타났다. 여기에 업데이트되고 신디케이트되었습니다.
데이터 유출의 잘못된 편에 있는 것과 같은 것은 없습니다. 처음에는 부정, 공황이있을 수 있습니다. 모든 폭발물이 방영되고 CISO가 홍보와 함께 오전 2시 컨퍼런스 콜을 해야 하는 경우 소매를 걷어붙이고 엔드포인트, 시스템 확보 및 잠재적 공격 벡터를 신속하게 제거할 때입니다. 적어도 말하자면 피크닉은 아닙니다.
그럼에도 불구하고 이것은 앞으로 많은 조직에서 시작될 현실이며 포괄적 인 사이버 보안 사고 대응 계획을 절대적으로 준비해야합니다. 그러나 문제는 이 사후 대응 전략이 사이버 공격의 잠재적 심각성을 예방하거나 줄이기 위해 노력하는 대신 많은 시간과 자원 및 노력이 집중되어 있다는 것입니다. 그것은 의심 심장 마비에 대 한 구급차를 호출 처럼 조금; 결과는 수시로 훨씬 덜 긍정적입니다 - 더 손상은 말할 것도 없고 - 너무 늦기 전에 예방 건강 조치가 효력이 있던 경우에 보다는.
이를 위해 예방 계획은 어떤 모습일까요? 보안 프로가 매일 증가하는 사이버 위험을 완화하기 위해 모든 도구를 어떻게 사용할 수 있는지 살펴보겠습니다.
앞에 놓인 작업의 범위 이해
분명해 보이지만 사이버 위험을 완화하는 "올바른" 계획은 산업 간에 미묘한 차이를 가지고 있으며 원하는 결과에 도달하기 위해 선행이 필요한 것을 이해하는 것이 중요합니다.
현재 어떤 보안 문제가 존재합니까? 그들은 몇 시간과 자원을 차지하고 있습니까? 그들 중 몇 개는 되풀이되는 문제입니까? 이러한 요소는 중요한 요소이며 기본 출발점을 제공합니다. 충전이 필요한 역할, 툴링의 간격 및 전문 지식과 도구 관점에서 필요한 역할을 고려하여 엔드포인트를 확보하고 공격 표면을 줄이는 동시에 잠재적 위험의 다른 영역을 선점합니다.
최근 보고서에 따르면 11개 산업은 지난 1년 동안 매일 애플리케이션의 절반 이상에 걸쳐 심각한 취약점을 보았습니다. 특히 유틸리티, 공공 행정 및 전문 서비스 산업은 알려진 취약점을 패치하는 데 평균 288 일이 걸렸습니다. 이는 매우 느리기 때문에 패치를 적용하기 전에 이러한 취약점이 발견되면 공격자에게 심각한 피해를 줄 수 있는 충분한 시간을 제공합니다. 이는 데이터 유출이 30%에 육박할확률과 함께 사고 반응이 충분하지 않다는 냉정한 신호이며, 대규모 사이버 공격의 영향에 대해 지분이 너무 높으면 최고의 사이버 공격이 발생할 수 있기를 바랍니다.
문화적 변화를 위한 바이인 준비
현상 유지를 흔들어 몇 눈썹을 제기하는 경향이 있지만, 진실은, 보안 프로그램은 지속적인 개선의 일정한 상태에 있어야합니다. 모든 구성 요소는 관련성을 유지해야 하며 새로운 개발을 평가하고 고려해야 합니다.
예방에 중점을 두는 것은 사후 대응과는 달리 보안 팀 외부에서 는 접근 방식이 널리 이해되지 않을 수 있으며, 특히 크고 나쁜 보안 사고가 발생하지 않은 경우. 그것은 깨지지 않고 수정할 필요가 없는 것으로 보일 수 있습니다. 이 경우 임원 을 얻는 것이 필수적입니다. 그들이 고려해야 할 더 적절한 점 중 일부는 다음과 같습니다.
- 중요한 사고의 잠재적 비용과 는 달리 역할 기반 교육 및 관련 도구와 같은 예방 조치의 시간과 비용 절감
- 취약점을 찾고 수정하는 방법은 보안 팀의 쇼스토퍼 수가 줄어들면서 제 시간에 릴리스를 유지하는 방법
- 개발 팀에서 출시까지 잠재적인 보안 위험을 준비하고 선점하는 이유는 전체적으로 더 많은 시간(중요한 현금은 말할 수 없음)을 절약합니다. 이를 관점으로 제시하기 위해 테스트 단계에서 발견된 후기 단계의 취약점(또는 더 나쁜 후 프로덕션)은 평균 3,000%의 비용을 증가시킬 수 있습니다.
제안된 문화적 변화는 처음에는 불편해 보일지라도 비즈니스 목표와 일치하는 것이 중요합니다.
보안 인식은 무언가이며, 보안 기술은 모든 것입니다.
업계로서 우리는 보안 인식의 중요성에 대해 자주 이야기하며, 이는 조직의 모든 직원의 점점 더 중요한 구성 요소입니다. 그러나, 그것은 립 서비스 및 수동 훈련에서 중지 하는 충분 하지 않습니다., 특히 기술 적인 위치에 있는 사람들을 위해.
간단히 말해서 코드를 만지는 사람은 안전하게 코딩할 수 있는 기술이 갖추어져 있지 않은 경우 잠재적인 보안 위험입니다. 기본 보안 매개 변수에 대한 일반적인 인식은 좋은 시작이지만, 좋은, 안전한 코딩 패턴, 가난한 습관에 대한 맥락적 지식이 없는 것은 공격자가 더러운 작업을 수행하는 데 의존하는 품질 개발 기술의 부족입니다.
개발자를 쓰지 마십시오.
태도가 변화하고 있지만, 많은 조직은 개발자가 보안 완화 계획에서 거의 진정한 고려사항이 아닌 방식으로 구성됩니다. 은행 및 금융과 같은 일부 산업은 엄격한 규정 준수 및 규제 요구 사항을 가지고 있으며, 이로 인해 모든 직원을 위해 전반적으로 보안 관행과 교육이 강화됩니다. 그리고 그들은 확실히 다른 수직 앞서 있는 동안, 지구에 거의 모든 조직 보안 인식 개발자의 사내 군대에서 혜택을 받을 수 있습니다., 그들은 최선을 다하고 전에 일반적인 보안 버그를 냄새 하는 기준 능력. 대부분은 보안 프로그램 퍼즐의이 중요한 조각을 달성 근처에 아무 데도 없다 - 우리는 이제까지 매년 볼륨 증가 코드의 홍수를 확보의 희망이있는 경우 필요합니다.
예방 보안은 손가락이 소프트웨어를 만들기 위해 키보드를 터치하는 순간을 시작해야하지만 개발자는 보안 기술 격차를 혼자 해소 할 것으로 예상 할 수 없습니다. 더 높은 수준의 코드 품질에 도달하기 위해서는 올바른 도구 집합과 컨텍스트 지침이 필요하며, 연간 규정 준수 요구 사항이 적용될 때마다 산발적으로 롤아웃되는 사후 고려가 아니라 일상 업무의 일부가 될 때 최상의 결과를 항상 얻을 수 있습니다.
피터 다뉴
피터 댄히외는 보안 컨설턴트로 12년 이상 경력을 쌓았으며, 조직, 시스템 및 개인의 보안 취약점을 타겟팅하고 평가하는 방법에 대한 공격 기법을 가르치는 SANS의 수석 강사로 8년 이상 활동한 세계적으로 인정받는 보안 전문가입니다. 2016년에는 호주에서 가장 멋진 기술자 중 한 명으로 선정(비즈니스 인사이더)되었고, 올해의 사이버 보안 전문가(AISA - 호주 정보 보안 협회)로 선정되었으며, GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA 자격증을 보유하고 있습니다.
블로그에서 최신 보안 코딩 인사이트에 대해 자세히 알아보세요.
Atlassian의 광범위한 리소스 라이브러리는 안전한 코딩 숙련도를 확보하기 위한 인적 접근 방식을 강화하는 것을 목표로 합니다.
개발자 중심 보안에 대한 최신 연구 보기
광범위한 리소스 라이브러리에는 개발자 중심의 보안 코딩을 시작하는 데 도움이 되는 백서부터 웨비나까지 유용한 리소스가 가득합니다. 지금 살펴보세요.
보안 프로그램이 인시던트 대응에 초점을 맞추고 있습니까? 당신은 그것을 잘못하고 있습니다.
이 문서의 버전은 포브스 기술 위원회의특징으로나타났다. 여기에 업데이트되고 신디케이트되었습니다.
데이터 유출의 잘못된 편에 있는 것과 같은 것은 없습니다. 처음에는 부정, 공황이있을 수 있습니다. 모든 폭발물이 방영되고 CISO가 홍보와 함께 오전 2시 컨퍼런스 콜을 해야 하는 경우 소매를 걷어붙이고 엔드포인트, 시스템 확보 및 잠재적 공격 벡터를 신속하게 제거할 때입니다. 적어도 말하자면 피크닉은 아닙니다.
그럼에도 불구하고 이것은 앞으로 많은 조직에서 시작될 현실이며 포괄적 인 사이버 보안 사고 대응 계획을 절대적으로 준비해야합니다. 그러나 문제는 이 사후 대응 전략이 사이버 공격의 잠재적 심각성을 예방하거나 줄이기 위해 노력하는 대신 많은 시간과 자원 및 노력이 집중되어 있다는 것입니다. 그것은 의심 심장 마비에 대 한 구급차를 호출 처럼 조금; 결과는 수시로 훨씬 덜 긍정적입니다 - 더 손상은 말할 것도 없고 - 너무 늦기 전에 예방 건강 조치가 효력이 있던 경우에 보다는.
이를 위해 예방 계획은 어떤 모습일까요? 보안 프로가 매일 증가하는 사이버 위험을 완화하기 위해 모든 도구를 어떻게 사용할 수 있는지 살펴보겠습니다.
앞에 놓인 작업의 범위 이해
분명해 보이지만 사이버 위험을 완화하는 "올바른" 계획은 산업 간에 미묘한 차이를 가지고 있으며 원하는 결과에 도달하기 위해 선행이 필요한 것을 이해하는 것이 중요합니다.
현재 어떤 보안 문제가 존재합니까? 그들은 몇 시간과 자원을 차지하고 있습니까? 그들 중 몇 개는 되풀이되는 문제입니까? 이러한 요소는 중요한 요소이며 기본 출발점을 제공합니다. 충전이 필요한 역할, 툴링의 간격 및 전문 지식과 도구 관점에서 필요한 역할을 고려하여 엔드포인트를 확보하고 공격 표면을 줄이는 동시에 잠재적 위험의 다른 영역을 선점합니다.
최근 보고서에 따르면 11개 산업은 지난 1년 동안 매일 애플리케이션의 절반 이상에 걸쳐 심각한 취약점을 보았습니다. 특히 유틸리티, 공공 행정 및 전문 서비스 산업은 알려진 취약점을 패치하는 데 평균 288 일이 걸렸습니다. 이는 매우 느리기 때문에 패치를 적용하기 전에 이러한 취약점이 발견되면 공격자에게 심각한 피해를 줄 수 있는 충분한 시간을 제공합니다. 이는 데이터 유출이 30%에 육박할확률과 함께 사고 반응이 충분하지 않다는 냉정한 신호이며, 대규모 사이버 공격의 영향에 대해 지분이 너무 높으면 최고의 사이버 공격이 발생할 수 있기를 바랍니다.
문화적 변화를 위한 바이인 준비
현상 유지를 흔들어 몇 눈썹을 제기하는 경향이 있지만, 진실은, 보안 프로그램은 지속적인 개선의 일정한 상태에 있어야합니다. 모든 구성 요소는 관련성을 유지해야 하며 새로운 개발을 평가하고 고려해야 합니다.
예방에 중점을 두는 것은 사후 대응과는 달리 보안 팀 외부에서 는 접근 방식이 널리 이해되지 않을 수 있으며, 특히 크고 나쁜 보안 사고가 발생하지 않은 경우. 그것은 깨지지 않고 수정할 필요가 없는 것으로 보일 수 있습니다. 이 경우 임원 을 얻는 것이 필수적입니다. 그들이 고려해야 할 더 적절한 점 중 일부는 다음과 같습니다.
- 중요한 사고의 잠재적 비용과 는 달리 역할 기반 교육 및 관련 도구와 같은 예방 조치의 시간과 비용 절감
- 취약점을 찾고 수정하는 방법은 보안 팀의 쇼스토퍼 수가 줄어들면서 제 시간에 릴리스를 유지하는 방법
- 개발 팀에서 출시까지 잠재적인 보안 위험을 준비하고 선점하는 이유는 전체적으로 더 많은 시간(중요한 현금은 말할 수 없음)을 절약합니다. 이를 관점으로 제시하기 위해 테스트 단계에서 발견된 후기 단계의 취약점(또는 더 나쁜 후 프로덕션)은 평균 3,000%의 비용을 증가시킬 수 있습니다.
제안된 문화적 변화는 처음에는 불편해 보일지라도 비즈니스 목표와 일치하는 것이 중요합니다.
보안 인식은 무언가이며, 보안 기술은 모든 것입니다.
업계로서 우리는 보안 인식의 중요성에 대해 자주 이야기하며, 이는 조직의 모든 직원의 점점 더 중요한 구성 요소입니다. 그러나, 그것은 립 서비스 및 수동 훈련에서 중지 하는 충분 하지 않습니다., 특히 기술 적인 위치에 있는 사람들을 위해.
간단히 말해서 코드를 만지는 사람은 안전하게 코딩할 수 있는 기술이 갖추어져 있지 않은 경우 잠재적인 보안 위험입니다. 기본 보안 매개 변수에 대한 일반적인 인식은 좋은 시작이지만, 좋은, 안전한 코딩 패턴, 가난한 습관에 대한 맥락적 지식이 없는 것은 공격자가 더러운 작업을 수행하는 데 의존하는 품질 개발 기술의 부족입니다.
개발자를 쓰지 마십시오.
태도가 변화하고 있지만, 많은 조직은 개발자가 보안 완화 계획에서 거의 진정한 고려사항이 아닌 방식으로 구성됩니다. 은행 및 금융과 같은 일부 산업은 엄격한 규정 준수 및 규제 요구 사항을 가지고 있으며, 이로 인해 모든 직원을 위해 전반적으로 보안 관행과 교육이 강화됩니다. 그리고 그들은 확실히 다른 수직 앞서 있는 동안, 지구에 거의 모든 조직 보안 인식 개발자의 사내 군대에서 혜택을 받을 수 있습니다., 그들은 최선을 다하고 전에 일반적인 보안 버그를 냄새 하는 기준 능력. 대부분은 보안 프로그램 퍼즐의이 중요한 조각을 달성 근처에 아무 데도 없다 - 우리는 이제까지 매년 볼륨 증가 코드의 홍수를 확보의 희망이있는 경우 필요합니다.
예방 보안은 손가락이 소프트웨어를 만들기 위해 키보드를 터치하는 순간을 시작해야하지만 개발자는 보안 기술 격차를 혼자 해소 할 것으로 예상 할 수 없습니다. 더 높은 수준의 코드 품질에 도달하기 위해서는 올바른 도구 집합과 컨텍스트 지침이 필요하며, 연간 규정 준수 요구 사항이 적용될 때마다 산발적으로 롤아웃되는 사후 고려가 아니라 일상 업무의 일부가 될 때 최상의 결과를 항상 얻을 수 있습니다.
