BT와 일루미오: DORA 규정 준수의 간소화

유럽 금융 기관에 대한 사이버 공격 2023년에는 두 배로 증가했습니다 — 해당 부문의 위험이 어떻게 증가하고 있는지 잘 상기시켜줍니다.이는 큰 파도 디지털 운영 레질리언스 법 (도라) 은 중요할 뿐만 아니라 금융 회사가 위협으로부터 방어하고 신속하게 복구할 수 있도록 지원하는 데 매우 중요합니다.

일루미오의 산업 솔루션 마케팅 담당 수석 이사인 라구 난다쿠마라 (Raghu Nandakumara) 와 BT의 수석 컨설팅 전문가인 저스틴 크레이곤 (Justin Craigon) 은 최근 웨비나에서 ICT 위험 관리와 DORA의 2025년 1월 17일 마감일 준비에 관한 전문 지식을 공유했습니다.

업계를 선도하는 금융 서비스

“은행 업계는 항상 보안의 최전선에 있었습니다.법률은 다음과 같습니다. NIS2 DORA는 변화를 주도하고 방어를 강화하고 있습니다.” 라고 Justin은 말합니다.

하지만 사고방식이 바뀌고 있습니다.기업들은 보안 침해가 일어날 것이라는 점을 인정하고 있습니다.이제 초점은 “공격자가 침입했을 때 무엇을 가장 보호해야 할까요?”입니다.주요 자산의 우선 순위를 정하는 것이 피해를 제한하는 열쇠입니다.

“전통적인 경계 방어의 시대는 지났습니다.경계선이 바뀌었고 이제는 단순한 거품이 아닙니다.” — 저스틴 크레이곤, BT

최근의 공격은 복원력의 필요성을 입증합니다.

세계 최대 은행도 예외는 아닙니다. ICBC 2023년 11월과 2024년 10월에 두 번 희생되었습니다.저스틴은 “언젠가는 맞을 거예요.” 라고 말합니다.목표는 모든 공격을 막는 것뿐만 아니라 공격이 발생했을 때 피해를 통제하는 것입니다.

Raghu는 다음과 같이 덧붙입니다. 금융 서비스 산업 한 조직의 보안 침해가 전 세계에 영향을 미칠 수 있을 정도로 서로 밀접하게 연결되어 있습니다.“한 조직이 영향을 받으면 파급 효과를 일으켜 국경을 넘어 시장을 혼란에 빠뜨릴 수 있습니다.이것이 바로 DORA가 방지하기 위해 설계된 것입니다.”

예방에서 회복력까지

기업은 공격이 불가피하다는 사실을 받아들이고 이에 따라 계획을 세워야 합니다.

“ICBC에서 알 수 있듯이 한 번 맞았다고 해서 다시 표적이 되지 않는 것은 아닙니다.” 라고 Raghu는 말합니다.

전환은 다음과 같습니다 탄력성.저스틴은 “예방만으로는 더 이상 충분하지 않다”고 강조한다.기업에는 탄탄한 사고 대응 계획이 필요합니다.신속한 복구는 공격 자체를 막는 것만큼이나 중요합니다.

DORA 규정 준수의 5가지 핵심 요소

준수하려면 도라, 조직은 다음 다섯 가지 주요 영역에 집중해야 합니다.

• 위험 관리: 저스틴은 “어떤 상황에도 대비하는 게 중요해요”라고 말합니다.명확한 위기 계획이 필수적입니다.

• 사고 관리: 공격이 발생하면 이를 억제하여 중요 시스템의 손상을 신속하게 제한할 수 있습니다.

• 복원력 테스트: “안전하기만 바라지 말고 시스템을 테스트해 보세요”라고 Justin은 조언합니다.정기적인 테스트를 통해 공격자보다 먼저 약점을 찾아내세요.

• 운영 레질리언스: 비즈니스의 가장 중요한 부분을 보호하세요.저스틴은 “모든 것을 막을 수는 없지만 피해를 최소화할 수는 있다”고 말합니다.

• 사고 보고: 민감한 정보를 보호하면서 사고에 대해 투명하게 대처하세요.

DORA가 피해를 제한하는 방법

“DORA는 기술적 수정과 정책을 통해 침해로 인한 피해를 제한하는 데 도움이 됩니다.,” 저스틴은 설명합니다.이를 통해 기업은 기술 표준과 모범 사례를 채택하여 공격의 영향을 줄일 수 있습니다.

“물이 퍼지지 않도록 잠수함의 격벽 문을 닫는 것과 같습니다.”목표는 공격을 억제하고 측면 이동을 막고 공급망 문제가 기업과 고객에게 영향을 미치지 않도록 방지하는 것입니다. ‍

중요한 사항의 우선순위 지정

DORA는 비례성을 강조합니다. “모든 것을 보호할 필요는 없습니다.” 라고 Raghu는 말합니다.DORA를 사용하면 기업이 리소스를 너무 적게 분산할 필요 없이 중요한 사항의 우선 순위를 정할 수 있습니다.

Justin은 다음과 같이 동의합니다. “다른 프레임워크와 달리 합격하거나 실패하는 것은 아닙니다.우선 순위를 정하는 것이 관건입니다.중요한 기능이 어디에 있는지 알아야 합니다.”DORA는 기업이 자원을 현명하게 사용할 수 있도록 도와줍니다.

공급망 위험 관리

공급망 위험 DORA가 해결하는 또 다른 주요 관심사입니다.기업은 타사 공급업체에 의존하는데, 이는 취약점이 될 수 있습니다.“공급업체가 타격을 입으면 여러분에게도 영향을 미칠 수 있습니다.” 저스틴이 경고합니다.중요한 공급업체에 대한 정기적인 점검 및 관리가 필요합니다.

주요 리스크는 단일 제공업체에 대한 과도한 의존입니다. ”계란이 한 바구니에 모두 들어 있으면 문제가 생길 수 있습니다.” 라고 Justin은 말합니다.기업은 여러 공급업체를 통해 위험을 분산시켜야 합니다. ‍

방어 테스트

정기적인 테스트를 통해 회사 방어의 취약점이 드러납니다. ”보안 침해를 가정하고 공격자가 이미 내부에 있는 것처럼 행동하여 공격자가 어디까지 침입할 수 있는지 확인하십시오.” 저스틴은 조언합니다.이러한 테스트는 잠재적인 약점을 찾아냅니다.

한 번은 BT의 침투 팀이 잘못된 세분화로 인해 서버 800대 중 400대를 침해한 적이 있습니다.정기적인 테스트는 인식을 높이고 방어 체계를 강화하여 측면 이동과 공격 확산을 막는 데 도움이 됩니다.

최상위에서의 책임

DORA는 복원력에 대한 책임이 IT 팀에게만 있는 것이 아니라는 점을 확실히 합니다.DORA는 레질리언스를 이사회 차원의 책임으로 삼고 있습니다.

저스틴은 이렇게 설명합니다. “결국에는 이사회가 사업을 계속 운영할 책임이 있습니다.

이러한 하향식 접근 방식을 통해 레질리언스가 전체 비즈니스 전략에 통합됩니다.이사회가 참여하면 레질리언스는 단순한 규정 준수 체크박스가 아니라 운영의 중심이 됩니다.

DORA 규정 준수를 위한 주요 시사점

DORA의 요구 사항을 충족하기 위해 기업은 다음을 수행해야 합니다.

• 가장 중요한 기능 보호 가장 중요한 것에 리소스를 집중함으로써 말이죠.

• 정기적인 시스템 테스트 약점을 찾아내고 고치기 위해서죠.

• 공급망 위험 관리 정기적으로 타사 공급자를 확인합니다.

• 이사회 참여 비즈니스 목표에 부합하는 레질리언스 계획

“문제는 사이버 공격이 발생할지 여부가 아니라 언제 발생하느냐입니다.기업은 그 순간이 오면 굳건한 상태를 유지하고 운영할 준비가 되어 있어야 합니다.” — 라구 난다쿠마라, Illumio

사이버 보안의 미래 형성

DORA는 금융 기관과 공급업체가 보안에 대해 생각하는 방식을 바꾸고 있습니다.DORA는 예방에만 초점을 맞추기보다는 회복력을 장려합니다.주요 시스템을 보호하고, 방어 수단을 테스트하고, 공급망 위험을 관리함으로써 금융 회사는 다음 사이버 위협에 대비할 수 있습니다.

시청하기 전체 온디맨드 웨비나 DORA가 금융 부문의 변화를 주도하는 방법에 대해 자세히 알아보십시오.

DORA 규정 준수에 대해 더 자세히 알아보고 싶으신가요?e북을 다운로드하세요. DORA 규정 준수를 위한 전략: 마이크로세그멘테이션의 주요 역할.마이크로세그멘테이션이 어떻게 조직 보안의 판도를 바꿀 수 있는지 알아보십시오.지금 무료로 다운로드하세요.