리스크를 줄이기 위해 MTTR(Mean Time to Remediate)을 감소시키는 것은 보안팀에게 중요한 과제입니다. MTTR을 줄이기 위한 구체적인 단계는 다음과 같습니다.
- 취약점 발견 및 집계: 첫 번째 단계는 코드 저장소, 소프트웨어 의존성, 소프트웨어 구성 목록(SBOMs), 컨테이너, 마이크로서비스 등 자산의 인벤토리를 생성하는 것입니다. 이러한 자산에 대한 컨텍스트를 추가하여, 누가 소유하고 있으며 어떤 중요한 비즈니스 기능에 영향을 미치는지 파악합니다.
- 비즈니스 리스크 평가: 수집한 컨텍스트를 사용하여 각 취약점을 위험도에 따라 평가합니다. 이를 통해 비즈니스에 가장 큰 위험을 초래하는 취약점을 우선 순위에 둘 수 있습니다.
- 삼중 분류(트리아지): 다음으로, 어떤 소프트웨어 자산이 수정되어야 하는지, 누가 수정해야 하는지, 어떻게 수정해야 하는지에 대해 취약점을 삼중 분류합니다.
- MTTR 측정을 통한 개선 노력 구동: MTTR을 측정하고 추적하여 리스크 감소에 있어서 행동의 효과를 평가하고, 어디에 더 개선이나 변경이 필요한지 파악합니다.
MTTR을 감소시키는 것은 단순히 취약점을 빠르게 수정하는 것 이상의 의미가 있습니다. 취약점의 우선순위를 정하고, 신속하게 대응하며, 조직 전체의 보안 자세를 강화하는 전략적인 접근 방식을 필요로 합니다. 이러한 접근 방식은 보안 팀이 더 효과적으로 리스크를 관리하고, 보안 취약점을 통한 공격의 창을 줄일 수 있도록 돕습니다.
보안 팀은 보다 진보된 도구와 접근 방식을 사용하여 취약점을 식별하고 수정하는 데 필요한 작업을 우선순위에 따라 정렬해야 합니다. 이는 취약점을 신속하게 해결하여 MTTR을 감소시키고, 결과적으로 조직의 전반적인 보안을 향상시키는 데 중요한 역할을 합니다.
MTTR(Mean Time to Remediate)을 감소시키는 것은 조직의 보안을 강화하고 리스크를 관리하는 데 중요한 과정입니다. 이를 효과적으로 수행하기 위한 단계는 다음과 같이 보완될 수 있습니다.
- 취약점 발견 및 목록화
- 디지털 자산을 철저하게 인벤토리화합니다. 이는 코드 리포지터리에 담긴 코드, 소프트웨어 의존성, 컨테이너, 마이크로서비스 등을 포함합니다.
- 각 자산에 대해 소유자, 사용 상황 등의 컨텍스트를 추가하여 자산의 완전한 목록을 작성합니다. 이는 취약점 관리를 위한 첫걸음으로, 자산 파악 없이는 취약점을 정확히 평가하거나 대응할 수 없습니다.
- 사업적 측면에서 리스크 평가
- 자산에 대한 컨텍스트 정보를 바탕으로, 각 취약점의 사업적 리스크를 평가합니다. 기술적 취약점뿐만 아니라 사업 운영에 미치는 영향을 고려하여 리스크의 우선순위를 결정합니다.
- 이 과정에서는 순수한 기술적 측면을 넘어서 회사의 사업 목표와 전략을 고려해야 하며, 그렇지 않으면 리스크 관리의 효율성이 떨어질 수 있습니다.
- 취약점 분류 및 조치 계획
- 평가 결과를 기반으로 취약점을 우선순위에 따라 분류합니다. 이는 당장 해결해야 할 취약점, 잠시 후에 해결해도 되는 취약점, 장기적으로 모니터링해야 할 취약점으로 구분될 수 있습니다.
- 각 취약점에 대한 조치 방안과 담당자를 명시하여 실행 가능한 계획을 수립합니다. 이는 취약점 대응의 신속성과 효율성을 높이는 데 중요합니다.
- MTTR 측정 및 개선 방법 수립
- 취약점 대응에 소요되는 평균 시간(MTTR)을 측정하는 기준을 명확히 설정합니다. 이는 취약점 발견부터 해결까지의 전 과정을 포함해야 합니다.
- 설정된 기준에 따라 MTTR을 지속적으로 측정하고, 그 결과를 토대로 개선 방안을 도출합니다. 이를 통해 보안 대응 프로세스의 효율성을 객관적으로 평가하고 지속적으로 개선할 수 있습니다.
이러한 과정을 통해, 조직은 취약점 대응 시간을 단축하고, 리스크를 효과적으로 관리하며, 보안 자세를 지속적으로 강화할 수 있습니다. MTTR 감소는 단순히 취약점을 빠르게 해결하는 것을 넘어서, 조직의 전반적인 보안 프로세스와 대응 능력을 향상시키는 핵심적인 요소입니다.
MTTD(Mean Time to Detect)와 MTTR(Mean Time to Remediate)는 조직의 보안 프로그램 성숙도를 평가하는 데 있어 중요한 지표입니다. 이 두 지표는 보안 취약점을 신속하게 감지하고 해결하는 조직의 능력을 나타냅니다. MTTD는 보안 사고가 시작된 후 사고를 발견하기까지의 평균 시간을 의미하며, MTTR은 사고가 발견된 후 해결되기까지의 평균 시간을 가리킵니다. 이 지표들은 보안 취약점의 신속한 감지 및 해결 능력이 조직의 손실을 최소화하는 데 중요함을 강조합니다.
7가지 취약점 해결 일정 모범 사례
- 취약점 관리 프로세스 확립: 취약성을 찾아 식별하고, 평가하고, 모니터링 및 해결하며, 최종적으로 완화되었는지 확인하는 절차를 포함합니다.
- 교정 지침 따르기: 예를 들어 CISA 같은 기관에서 제시하는 시간 기준 내에 취약점을 해결하기 위한 계획을 세우세요.
- 취약점 우선순위 지정: 심각도와 악용 가능성을 기준으로 취약점의 우선순위를 지정하고, 이에 따라 리소스를 할당하고 수정 일정을 계획합니다.
- IT 자산 추적: 모든 하드웨어 및 소프트웨어 자산의 업데이트된 인벤토리를 유지하고 중앙 위치에 보관하여 취약한 자산을 식별하고 우선순위를 지정합니다.
- 취약점 관리 정책 수립: 취약점 식별, 평가 및 해결 방법에 관한 구체적인 지침이 포함된 정책을 만들고, 직원이나 최종 사용자에게 특정 역할을 할당합니다.
- 취약점 해결 보고: 식별된 취약점의 수와 유형, 해결 정도 및 시간 목표 달성 여부 등에 대한 정기적인 보고서를 생성합니다.
- IT 자동화 구현: 패치 배포 및 취약점 검색과 같은 취약점 관리 프로세스의 특정 작업을 자동화하여 반복적인 관리 작업을 간소화합니다.
MTTR을 줄이는 방법
- 디지털 자산 파악: 코드 리포지터리, 소프트웨어 의존성, 컨테이너, 마이크로서비스 등을 포함한 디지털 자산의 목록을 만들고, 각 자산에 대한 컨텍스트를 추가합니다.
- 사업적 리스크 평가: 자산의 컨텍스트를 기반으로 각 리스크의 심각성을 평가하고, 기업 상황에 맞는 결과를 도출합니다.
- 취약점 분류: 평가 결과를 기준으로 취약점을 우선순위에 따라 분류하고, 조치 방법과 담당자를 결정합니다.
- MTTR 측정 방법 수립: 취약점을 다루는 데 소요되는 평균 시간을 정확하게 측정하고 추적하여, 시간이 지남에 따라 개선되고 있는지를 객관적으로 확인합니다.
이러한 모범 사례와 방법을 통해 조직은 취약점 관리 프로세스를 개선하고, 보안 사고에 대응하는 시간을 단축하여 보안 위협으로부터 자산을 보호할 수 있습니다. MTTD와 MTTR은 이 과정에서 중요한 지표로 기능하며, 이들을 개선함으로써 조직의 보안 태세를 강화할 수 있습니다.
댓글