의료 기관의 제로 트러스트 여정을 시작하는 3단계

매년 HIMSS 컨퍼런스에 참석할 때마다 가장 바쁜 사이버 보안 세션은 항상 의료 전문가를 위한 제로 트러스트와 관련된 내용이며, HIMSS 2024도 다르지 않을 것으로 예상합니다. 의료 업계는 다른 어떤 분야보다 더 빠르고 깊게 제로 트러스트 개념을 받아들였습니다. 행정 명령 14028이 정부 기관을 제로 트러스트의 방향으로 이끌었지만, 가장 선도적인 역할을 한 것은 의료 분야의 제로 트러스트입니다.

이 블로그 게시물에서는 의료 서비스 제공업체가 CISA의 제로 트러스트 성숙도 모델(ZTMM) 에 따라 제로 트러스트 전략을 구현하는 방법과 모든 제로 트러스트 아키텍처에서 Illumio 제로 트러스트 세분화가 수행하는 기본 역할에 대해 자세히 설명합니다.  

의료용 제로 트러스트란 무엇인가요?

제로 트러스트는 사이버 복원력을 개선하기 위한 간단한 프레임워크를 제공합니다. 실제로 ESG 연구에 따르면 보안 지출과 전반적인 보안 침해 비용도 절감하는 것으로 나타났습니다.  

문제는 제로 트러스트의 정의가 시간이 지남에 따라 변경되어 제로 트러스트가 무엇인지 정확히 알기 어렵다는 점입니다. 제로 트러스트는 2010년 존 킨더백이 Forrester 리서치 보고서 ' 더 이상 촘촘한 센터는 없다'에서 처음 소개한 개념입니다:정보 보안의 제로 트러스트 모델. 그러나 수년 동안 제로 트러스트의 의미는 보안 벤더의 마케팅 부서에 의해 도용되어 왔습니다. 이로 인해 사람들은 너무 많은 모순된 메시지에 휩싸여 자신이 무엇을 해야 하는지 파악하기 어려웠습니다. 좋은 소식은 이러한 마케팅 부서의 대부분이 이제 AI에 집착하고 있으며 상황이 훨씬 더 단순해졌다는 것입니다.  

행정 명령 14028을 지원하기 위해 미국 국립과학기술연구소(NIST)는 제로 트러스트 아키텍처(NIST SP 800-207 )를 발표하여 제로 트러스트의 측면과 "정적인 네트워크 기반 경계에서 사용자, 자산 및 리소스에 집중하도록 방어를 이동시키는 진화하는 사이버 보안 패러다임"으로 정의한 제로 트러스트의 개념을 정의했습니다.

의료 기관의 제로 트러스트 여정을 시작하는 방법

제로 트러스트가 무엇인지 명확히 파악했다면 다음 단계는 제로 트러스트를 달성하는 방법을 이해하는 것입니다. 다행히도 미국 사이버 보안 및 인프라 보안국(CISA)에서 제로 트러스트 성숙도 모델(ZTMM) 을 개발하여 제공하고 있습니다:

1. 조직의 현재 상태를 5가지 제로 트러스트 기둥과 비교하여 매핑하는 가이드

2. 제로 트러스트 아키텍처를 점점 더 최적화하는 방법에 대한 로드맵

너무 많은 조직에서 제로 트러스트 네트워크 액세스(ZTNA) 도구를 VPN 대체 도구로 배포한 후 제로 트러스트가 완료되었다고 선언합니다. 현실적으로 CISA의 ZTMM의 다섯 가지 요소에서 모두 최적 수준을 달성하는 것은 긴 여정이 될 수 있으며, 이는 ZTNA를 훨씬 뛰어넘는 것입니다.  

ZTMM을 사용하면 조직의 제로 트러스트 의료 서비스 여정을 계획하고 그 과정에서 정보를 보호할 수 있습니다.

1. 보호해야 할 대상 식별

CISA는 위험, 임무, 연방 및 규제 요건, 운영상의 제약 등의 요소를 고려하여 제로 트러스트 구현에 대한 결정을 내릴 것을 권고합니다. 위험을 파악하면 조직이 5개의 기둥을 모두 아우르며 각 단계를 단계적으로 강화해야 하는지, 아니면 하나 이상의 기둥을 심층적으로 강화해야 하는지에 대한 지침을 얻을 수 있습니다.

예를 들어 에픽과 같은 EHR 시스템을 사용하는 경우 해당 환경을 링펜싱하는 것이 최우선 순위라고 결정할 수 있습니다.

2. 각 ZTMM 기둥에 대한 조직의 상태 파악하기

성숙도 모델은 제로 트러스트의 5가지 기둥을 기반으로 현재 상태인 '전통적'부터 최고 수준인 '최적'까지 4단계의 성숙도를 정의합니다. 보호하려는 대상을 이해했다면 다음 단계는 ZTMM의 각 기둥에 대한 현재 상태를 파악하는 것입니다.  

3. 우선순위 기둥에 대한 작업 시작

공급자마다 각 기둥의 최적 수준을 달성하기 위한 작업 우선순위가 다릅니다. 이는 보안 격차, 예산, 인력 가용성 또는 규정 준수 요구 사항에 따라 달라집니다. 또한 어떤 기둥은 달성하기 더 어렵고 비용이 많이 드는 반면 어떤 기둥은 더 간단하다는 점을 고려하는 것이 중요합니다.  

우선 순위는 다르지만 네트워크는 모든 조직이 심도 있게 살펴봐야 할 핵심 요소입니다. 이 기둥은 스위치와 라우터가 아니라 네트워크의 전반적인 개념과 네트워크에 흐르는 트래픽에 관한 것입니다. 네트워크 세분화를 적용하려면 기존에는 정적 VLAN이나 복잡한 방화벽 규칙이 필요했지만, CISA ZTMM은 보다 세분화된 세분성을 제공하는 보다 동적이고 유연한 접근 방식을 권장합니다.

CISA는 세분화, 트래픽 관리, 복원력 등 네트워크 기둥의 각 구현 수준에 대한 자세한 내용을 제공했습니다:

의료 서비스 제공업체를 위한 더 많은 제로 트러스트 리소스

영국 국립보건서비스(NHS)는 네트워크 세분화에 대한 지침을 발표하여 5가지 주요 진단 기둥을 세분화하는 방법에 대해 조언하고 있습니다:

• 유전체학
• 이미징
• 병리학
• 내시경 검사
• 생리학적 측정

세분화에 대한 NHS의 권장 사항의 대부분은 CISA의 ZTMM 중 가장 낮은 전통적인 수준에 속하지만, NHS는 네트워크 세분화를 제로 트러스트 전략의 기본 요소로 강조하고 있습니다. 이 가이드에 따르면 제로 트러스트 보안은 "조직의 기업 경계 내에서 신뢰할 수 있는 네트워크의 개념을 폐지하고 중요 자산 주변에 마이크로 경계를 설정하고 엄격한 액세스 제어, 네트워크 세분화 및 ID 관리를 시행하는 것을 옹호합니다."라고 명시되어 있습니다. 이러한 세분화의 정의는 CISA의 ZTMM의 최적 수준과 깔끔하게 매핑됩니다.  

일루미오 제로 트러스트 세분화로 공격 내성 구축

의료 기관은 복잡한 네트워크 엔지니어링이나 정적 방화벽 규칙 없이 최적의 네트워크 세분화 수준을 달성하기 위한 간단하고 비용 효율적인 접근 방식을 위해 Illumio 제로 트러스트 세분화(ZTS)로 전환하고 있습니다.

Illumio ZTS를 사용하면 조직은 다음과 같이 할 수 있습니다:

• 공격에 대한 내성을 확보하세요: 전체 하이브리드 공격 표면에서 워크로드와 디바이스 간의 모든 통신에 대한 엔드투엔드 가시성을 확보하세요. 보안에 취약한 부분을 파악하고 불필요한 연결을 차단하세요.  

• 공격에 대비하세요: 세밀하면서도 유연한 정책 제어를 자동으로 설정하여 사이버 위협의 확산을 막고, 중요 시스템에 대한 사이버 복원력을 강화하며, 피할 수 없는 다음 공격에 선제적으로 대비할 수 있습니다.  
• 실시간으로 적응하세요: 공격이 진행되는 동안 손상된 시스템을 즉각적으로 격리하여 측면 이동을 차단하고 운영을 유지합니다. IT 환경이 진화함에 따라 가시성과 보안 정책을 동적으로 확장하여 비즈니스 민첩성과 복원력을 보장하세요.
• 규정 준수 요건을 충족하세요: 가시성과 마이크로세그멘테이션을 활용하여 위험을 평가하고, 규정 준수를 증명하고, 민감한 데이터와 중요 리소스를 보호하세요.

의료 서비스 제공업체를 위한 Illumio ZTS에 대한 가이드를 읽고 ZTS가 의료 보안 문제를 해결하는 3가지 방법에 대해 자세히 알아보세요:

지금 바로 문의하여 일루미오가 침해 및 랜섬웨어 공격의 확산을 막는 데 어떻게 도움이 되는지 알아보세요.