NIS2를 준비하는 방법: 알아야 할 사항

최근 NIS2 구현의 주요 이정표를 향해 나아가는 과정에서 많은 글이 작성되었습니다. 회원국은 2024년 10월^18일까지 NIS2 지침을 준수하는 데 필요한 조치를 채택하고 게시해야 합니다.

이 날짜는 많은 사람들에게 공포심을 심어줄 수 있지만, 개별 국가가 NIS2를 법으로 채택하고 NIS1(EU 2016/1148)을 폐지해야 하는 날짜에 불과합니다. 개별 조직의 규정 준수 일정은 각 주에서 제정하는 법률에 규정되어 있습니다. 일부의 경우 이 날짜로부터 최대 4년이 경과할 수도 있습니다.

NIS2가 언제 시행되든 조직은 사이버 복원력을 위한 NIS2의 의무를 준수할 준비를 시작해야 할 때입니다.  

NIS1과 NIS2의 차이점은 무엇인가요?

많은 사람들이 국정원 지침의 버전 2 또는 향후 버전 3이 필요한 이유에 대해 질문했습니다.  

간단한 대답은 상황이 변한다는 것입니다.  

새로운 NIS2 지침은 현재의 사이버 보안 환경을 더 잘 반영합니다. 또한 NIS1의 학습 내용을 기반으로 업데이트합니다.

NIS1이 2016년에 발효된 이후:

• 중요하다고 간주되는 조직의 유형이 변경되었습니다.

• 자동화 및 스마트 기기의 증가로 기술이 변화하고 있습니다.
• 사이버 보안은 기존의 정적 네트워크 보호에 중점을 두던 방식에서 보다 민첩한 접근 방식으로 바뀌었습니다.
• 제로 트러스트의 도입으로 사이버 보안 배포 방식이 간소화되어 더 적은 비용으로 더 안전한 접근 방식을 구현할 수 있게 되었습니다.
• 사이버 공격의 유형은 파괴적인 공격의 증가와 AI 생성 공격의 등장으로 변화하고 있습니다.

NIS1을 업데이트하는 또 다른 주된 이유는 거버넌스를 개선하기 위해서입니다. 2016년의 아이디어는 각 주에서 자체 규정을 개발하고 국가 규제 당국이 이를 시행하는 것이었습니다. 안타깝게도 각 국가마다 NIS1을 이행하는 방식에 큰 차이가 있었기 때문에 NIS2는 특정 중점 분야에 대한 최소한의 기준을 제시하고 유럽위원회에 더 큰 감독 권한을 부여했습니다.  

마지막 변경 사항은 조직을 재분류하고 지침에 포함되는 조직의 수와 규모를 확대하는 것입니다:

• 필수 서비스와 디지털 서비스 제공업체의 구분은 국가에 대한 중요도에 따라 조직을 분류하고 필수와 중요 범주로 구분하는 것으로 대체됩니다.

• 이제 직원 수가 50명 이상이고 연간 매출액이 5천만 유로 이상인 조직은 중요 조직으로 분류됩니다.

NIS2는 조직에 어떤 영향을 미치나요?

NIS2는 회원국이 시행하는 프레임워크에 대한 구체적인 규칙을 설정하여 회원국 간의 요구 사항을 조화시키려고 합니다. 여기에는 다음과 같은 특정 사이버 보안 조치에 중점을 둡니다:

• 위험 분석 및 정보 시스템 보안 정책
• 인시던트 처리
• 비즈니스 연속성 및 위기 관리
• 공급망 보안

• 취약점 처리 및 공개를 포함한 안전한 네트워크 및 시스템 획득, 개발 및 유지 관리
• 조치의 효과성을 평가하는 정책 및 절차
• 기본 컴퓨터 위생 관행 및 사이버 보안 교육
• 암호화/암호화 사용에 관한 정책 및 절차
• MFA, 보안 통신 및 보안 비상 통신 사용

이러한 조치가 아직 국내 규정에 포함되지 않은 회원국은 이러한 기능을 추가해야 합니다. 그리고 아직 이러한 제어 기능을 구현하지 않은 국가의 조직은 이러한 제어 기능을 도입해야 합니다.

NIS2의 가장 큰 영향은 이전에 NIS1의 적용을 받지 않았던 조직에 미칠 가능성이 높습니다. 우려스러울 수 있지만, ENISA의 조사에 따르면 NIS 구현을 위한 평균 예산은 14~18개월 동안 지속되는 프로젝트에 사용됩니다.

NIS2에 대비하기 위해 지금 조직에서 할 수 있는 일은 무엇인가요?

2016년에는 기업에서 사용할 수 있는 보안 도구와 접근 방식이 제한적이었고, 기존 AV, NAC, 방화벽과 같은 정적 기술에 갇혀 가시성이 제한적이었습니다.  

당시 제로 트러스트가 논의되고 있었지만, 여전히 모든 멀웨어를 탐지하여 모든 공격을 막으려는 데 초점이 맞춰져 있었습니다. 오늘날 랜섬웨어와 AI의 결합된 위협은 NIS2 지침이 해결하고자 하는 새로운 문제를 야기합니다.  

각 회원국에 대한 구체적인 NIS2 기술 요구 사항은 아직 제공되지 않지만, 조직은 마이크로세그멘테이션이라고도 하는 제로 트러스트 세분화와 같은 기술을 사용하여 침해 차단 접근 방식을 채택함으로써 규정 준수를 향한 여정을 시작할 수 있습니다. 이러한 최신 접근 방식은 침해가 불가피하다고 가정하고 이에 대응하여 사전 예방적 보안 조치를 취합니다.

제로 트러스트 침해 차단 전략에는 다음과 같은 핵심 요소가 포함됩니다:

1. 침해를 가정하고 이에 대한 계획 수립

2. 모든 자산과 리소스를 식별하고 상호 의존성을 매핑하세요.

3. 모든 취약성 및 노출된 포트로부터 보호

4. 신속하고 민첩하게 대응

5. 재감염 없이 안전하게 복원

NIS 지침의 목적은 유럽 연합 전역의 중요 인프라의 복원력을 개선하는 것입니다. 즉, 공격을 받는 동안에도 서비스가 유지될 수 있도록 해야 합니다.  

이를 위해서는 공격을 막는 것에서 공격이 조직의 비즈니스 크리티컬 리소스에 도달하지 못하도록 차단하는 것으로 초점을 전환해야 합니다.  

Illumio는 NIS2 요구 사항을 어떻게 충족하나요?

NIS2는 주요 사이버 보안 조치를 표준화하는 데 중점을 두고 있으며, Illumio 제로 트러스트 세분화(ZTS)는 다음을 충족하는 데 도움이 됩니다.

1. 위험 분석 및 정보 보안에 관한 정책

애플리케이션 종속성 매핑은 단일 콘솔에서 컨테이너, IoT, 가상 머신을 포함한 모든 워크로드의 트래픽에 대한 완벽한 가시성을 제공합니다. 이를 통해 보안팀은 네트워크 위험을 정확히 파악하고 포트 간 불필요한 연결을 차단하는 보안 정책을 만들 수 있습니다.

2. 인시던트 처리  

침해가 발생하는 동안 Illumio는 신속하게 대응하여 중요 리소스에 대한 액세스를 제한하고 공격의 확산을 막고 손상된 시스템을 완전히 격리할 수 있습니다. 침해 후 ZTS는 감염된 시스템을 실시간으로 지능적으로 분리하여 데이터를 안전하게 복원할 수 있습니다.  

3. 비즈니스 연속성 및 위기 관리

보안 및 IT 팀은 Illumio를 사용하여 개별 부서와 시스템에 대한 보호 기능을 설정하여 공격으로부터 보호받으면서 운영을 재개할 수 있습니다. 침해 복구 중에는 변경 불가능한 데이터 소스와의 연결만 허용하여 재감염 시도를 방지할 수 있습니다.

4. 공급망 보안  

Illumio는 환경 간에 알려진 검증된 통신만 허용합니다. 이를 통해 공급망에 침해가 발생하면 ZTS는 침해가 조직의 시스템으로 유입되어 확산되는 것을 차단합니다.

5. 네트워크 및 정보 시스템의 보안

Illumio는 온프레미스 데이터 센터에서 하이브리드 및 멀티 클라우드 환경에 이르기까지 모든 환경에 걸쳐 일관된 마이크로세그멘테이션을 확장합니다. 이렇게 하면 공격자가 네트워크의 다른 부분으로 이동할 수 없도록 침해가 즉시 중지되고 차단됩니다.  

6. 조치의 효과성을 평가하는 정책 및 절차  

Illumio 랜섬웨어 보호 대시보드는 워크로드 위험 노출에 대한 인사이트, 보호되는 워크로드와 보호되지 않는 워크로드의 가시성, 보호 범위 점수를 제공하여 공격 위협에 더 잘 대비하고 보호할 수 있도록 도와줍니다.

7. 기본 컴퓨터 위생 관행 및 사이버 보안 교육  

전체 공격면에 대한 일루미오의 엔드투엔드 가시성은 사이버 위생 및 교육 요구 사항을 알리는 데 도움이 되는 보안 격차에 대한 인사이트를 제공합니다. 또한 ZTS는 불가피한 인적 오류로 인해 공격자가 악용할 수 있는 취약점을 남기지 않도록 합니다.  

8. 인적 자원 보안, 액세스 제어 및 자산 관리 조치

일루미오를 통해 보안팀은 세분화된 세분화 정책을 구현하여 HR 리소스를 포함한 시스템에 대한 액세스를 제한할 수 있습니다. 즉, 네트워크의 한 부분이 침해되더라도 공격자가 중요한 리소스로 확산할 수 없습니다.

자세한 내용은 일루미오로 NIS2 규정 준수 달성하기에서 확인하세요.

NIS2: 필수 서비스 보안을 위한 더 간단한 프레임워크

기존의 예방 및 탐지 전략에 비해 침해 차단 접근 방식은 조직에서 차단해야 하는 수천 개의 항목이 아니라 네트워크에서 허용되는 몇 가지 항목만 정의하면 되므로 훨씬 간단합니다. AI의 취약점과 개방형 연결을 찾아내는 능력은 침해에 더 취약하게 만들지만 접근 방식을 바꾸면 도움이 될 수 있습니다.  

리소스가 서버, 클라우드 또는 OT 디바이스에 있든 상관없이 리소스를 보호하는 데 집중하면 정적 네트워크 기반 보안 기술에 대한 정책을 설계하는 데 따르는 복잡성을 줄일 수 있습니다.

Illumio가 필수 서비스 조직을 보호하는 방법에 대해 자세히 알아보세요.  

무료 데모와 상담을 원하시면 지금 바로 문의하세요.