(ISC)²가 트럼프에게 사이버보안 행정명령 권고안 제시하다

취임 100일 앞둔 트럼프에게 사이버보안 인력양성 등 주문

[보안뉴스 오다인 기자] 전 세계 보안 교육 및 인증 전문단체인 (ISC)²가 취임 100일을 앞둔 도널드 트럼프 미국 대통령에게 일련의 권고안을 제시했다. 사이버보안 관련 행정명령에 대한 권고로, 보안인력 양성을 최우선시할 것 등이 핵심 내용으로 포함됐다.

·ⓒ iclickart

지난 4월 19일, (ISC)²가 발표한 대대적인 권고 목록은 12월 소집된 전문가들에 의해 작성됐다. 각 정부부처의 CISO 및 실무자들뿐 아니라 최초의 연방정부 CISO로 근무하다 최근 백악관을 떠난 그레고리 투힐(Gregory Touhill) 퇴역장군 등이 참여했다.

(ISC)²의 북미지역 상무이사 댄 워델(Dan Waddell)은 “지난 10년 간 연방 사이버 인력의 전문성이 상당히 향상되었다”며 “이번 권고는 행정명령과 더불어 현재 기반에서 미래의 사이버보안 정책을 마련하는 것이 중요하다는 점을 반영했다”고 말했다. 권고안은 앞서 미 대통령직 인수 때와 보조를 맞춰 의회 청문회 기간에 제시된 바 있다. (ISC)² 권고안의 세부내용은 다음과 같다.

시간이 생명이다
사이버 위협은 일상적으로 만연하며 피해 또한 막심하다. 이에 따라 숙련된 사이버보안 인력 수요도 증가하고 있다. 2017년 (ISC)²가 발표한 전 세계 정보보안인력 연구보고서에 따르면 2022년까지 180만의 정보보안 인력이 추가로 필요하다.

지난 정권에서 이뤄온 것을 부정하지 말라
사이버보안은 초당파적인 문제다. 지난 8년 간 사이버보안 인력 향상을 위해 중요한 작업들이 이뤄졌다. (ISC)²는 사이버보안 국가행동계획(CNAP: Cybersecurity National Action Plan)을 강력하게 지지한다, CNAP을 통해 직전 행정부에서 처음으로 연방 CISO 직책이 탄생했다. (ISC)²은 연방 CIO 및 CISO 직위를 이전보다 큰 권한과 함께 복권시킬 것을 권고한다. 특히, 연방 CIO와 CISO는 반드시 긍정적인 변화를 이끌 능력과 함께 사이버보안에 대한 기술 및 관리라는 두 측면 모두에 대해 깊이 있는 경험이 있어야 하며, 필수적인 요소로서 사람과 절차, 기술 전체를 포괄하되 효과적인 사이버보안 솔루션을 택할 수 있는 인물이어야 한다.

인력을 강화하라
모든 사람이 반드시 사이버보안 교육을 받아야 한다. 단순히 더 좋은 기술을 사는 데 집중하는 방식에서 벗어나 모든 사용자를 훈련하는 데 심혈을 기울여야 한다. 인턴사원부터 CEO까지 ‘사이버보안은 모두의 일’이라는 인식전환이 필요하다. 이를 달성하기 위해 연방기관의 전 부서를 아울러 사이버 리터러시 및 사이버보안 향상 교육을 권고한다.

채용을 장려하고 이직을 방지하라
요즘 세상에선 사명감이 높은 월급에 우선하는 경우가 거의 없다. 예를 들어 2014년 미 의회에서 통과된 사이버보안 채용기관들의 말에 따르면, 미 국토안보국(DHS)의 국가보호프로그램위원회(NPPD)는 사이버보안 신규 인력 채용을 촉진하기 위해 연봉의 20~25% 정도를 인센티브로 지급했다. 인센티브는 민간영역의 전문가들을 끌어오기 위해 연방정부 전역에 실시될 필요가 있다. 이런 특전은 사이버보안 부문의 재능 있는 인력들을 계속 잡아두는 데도 중요하다. 퓨(Pew) 연구소에 따르면, 최근 미국 인력시장에서 밀레니얼 세대가 X세대를 규모면에서 앞지른 것으로 나타났다. 2017년 (ISC)² 전세계 정보보안인력 연구보고서에 따르면 전문가 멤버십 및 훈련을 위해 예산을 지출하는 것이 밀레니얼 세대의 직업 만족도 측면에서 중요한 요인인 것으로 밝혀졌다.

법조팀과 인사팀 확보를 위해 투자하는 것을 우선시하라
법조팀과 인사팀에 전문인력을 확보하는 것은 연방 사이버보안 생태계에 필수적이다. 해당 전문인력은 이용자 및 사이버 인력 모두의 필요에 의해 교육이 이뤄져야 한다. 이는 정확한 제안요청서(RFPs) 작성과 인재채용을 위해, 그리고 안전한 제품과 시스템 조달을 위해서 반드시 필요한 일이다.

잘못 해석하는 것을 막아라
사이버 인력과 경영진 또는 임원 사이에서 소통 수준을 향상시키는 것은 매우 중요하다. 이를 위해 정부는 사업가에게 기술적인 위험을 효과적으로 설명할 수 있는 커뮤니케이터가 필요하다. CISO라는 역할이 어떤 효과를 거둘 지는 훈련 인력들이 어떻게 해석하는가에 달려 있다. 정부는 미 예산관리국(OMB) Circular A-123에 나타난 변화들을 보고 그 중요성을 깨달은 바 있다.

공무원 체계 개혁이 필요하다
공무원 시스템은 망가졌고 정부의 필요도 충족시키지 못하고 있다. 최고 수준의 사이버보안 전문가들을 데려오고, 좋은 인력의 이직을 막기 위해선, 정부의 구식 급여체계(GS)를 바꿔야 한다. 높은 성과를 내는 사람들을 격려하고, 성과가 낮은 사람들을 재배치하는 것이 구식 체계로는 어렵기 때문이다. ‘사이버 국가방위대’ 등을 만드는 것도 이런 개혁의 한 방법이다. 이는 STEM 학위가 있는 학생이 연방기관에서 몇 년 일하기로 계약한다면 연방정부가 해당 학생의 학자금 대출을 갚아주는 방법을 말한다. 미 정부가 현재 시행 중인 장학금(SFS: Scholarship for Service) 프로그램을 확대한 버전으로 생각할 수 있으며, 지금보다 넓은 범위에서 인력개발 이니셔티브를 추진할 수 있게 될 것이다.

법 준수만으론 보안을 지킬 수 없다. 위험을 관리하라
미국표준기술연구소(NIST)에 따르면, 다음과 같은 일을 지속할 수 있는 능력을 일컬어 정보시스템 회복력이라고 한다. 첫째, 극도로 불리하고 쇠약한 상황 하에서도 핵심적인 운영 능력을 유지할 수 있는 것, 둘째로 목표 달성에 필요한 기간들을 준수하며 효과적인 운영상태로 복귀하는 것 등이다. 사이버 회복력을 높이는 차원에서 정부는 위험관리에 대한 관점을 가져야 한다.

사이버보안 인력 프레임워크를 활용하라
2016년 11월, 미국표준기술연구소(NIST)는 ‘NICE 사이버보안 인력 프레임워크(NCWF)’라는 제목의 특별 간행물(NIST Special Publication 800-181) 초안을 펴냈으며, 현재 대중들의 반응을 살피는 중이다. NCWF는 정부, 산업, 학계가 수년간 협력한 결과물로, (ISC)²는 인증, 교육 등과 관련해 보조를 맞출 수 있도록 노력하고 있다. NIST에 따르면, “NCWF는 사이버보안의 역할 및 각 담당자의 세부 업무, 그리고 해당 업무를 성공적으로 마치기 위한 지식, 기술, 능력(KSAs) 등에 대한 설명을 공유하는 본질적인 참고자료”다. 최종본이 완성되면, NCWF는 인력 개발, 계획, 훈련 및 교육과 관련해 탁월한 자료로 활용될 수 있을 것으로 보인다.
[국제부 오다인 기자(boan2@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)