사이버 리스크 완화: 경영진이 CISO에게 묻는 주요 질문

경영진에게 최신 정보 보고: 복구는 순간이 아닌 하나의 과정

경영진에서 “그럼 이제 끝난 건가요? 통제됐어요? 다 마무리되었나요?”라고 묻는다면, 복구란 특정 시점에 제한되는 경험이 아니라 하나의 과정으로 구성하는 것이 중요합니다. 복구는 계속 진행되는 프로세스이며, 전보다 강하고 빨라진 모습으로 돌아오는 것이 관건입니다.

다시 말해 CISO는 경영진과 본격적으로 일정을 잡고 검토 회의를 진행하여 이번 사건을 통해 배운 교훈을 전하고, 시간을 절약할 수 있었던 부분을 알아내거나 실제 이행한 것과는 다르거나 더 나은 방법이 있었는지 논의해야 합니다. 매우 급박한 상황의 경우 이러한 문서는 아무것도 놓치지 않고 사소한 것이라도 간과하지 않으며 한 단계도 빼놓지 않고 만전을 기할 수 있도록 하는 데 큰 역할을 합니다. 하지만 업무 효율성 면에서 큰 차이를 일으킬 수 있는 사소한 부분을 파악하고 이를 관리하는 것도 그만큼 중요합니다.

예를 들어 특정 상황이나 비즈니스 영향 보고서에서 따르기 쉬운 콜 트리(Call Tree)를 정해 주요 자산의 위치를 신속하게 알아낼 수 있다면, 인생에서 가장 스트레스가 많은 힘든 하루를 보내는 와중에 많은 시간과 노력을 절약할 수 있습니다. 무슨 일이든 지나고 나서 보면 사실관계가 명확하게 보이는 법입니다. 그러므로 충분히 시간을 들여 어떤 방법이 유용했을지 생각해 보고, 전보다 강력하게 복구하기 위해 어떤 조치를 취하고 있는지 경영진에게 설명해야 합니다.

경영진의 질문에 대한 답변을 하나의 과정으로 구성하여 전달하면 보안이란 결코 끝이 없고 완벽할 수도 없지만 점점 강력해지고 효과적일 수 있다는 점을 경영진에게 일깨울 수 있습니다. "춤을 선보여야 하는 당일에 안무를 외워서는 안 된다”는 점을 명심해야 합니다. 즉, 매사를 완벽하게 문서화하는 작업 외에도 리허설과 연습을 끊임없이 반복해야 합니다. 기회가 있을 때마다 역량을 갖추고 기존 역량을 강화하기 위해 어떤 조치를 취하고 있는지, (모두 아시다시피, ‘다음번’이 있게 마련이므로) 다음에는 더 나은 성과를 보이기 위해 어떤 노력을 하고 있는지 경영진에게 전달하세요.

이 시리즈 3부에서는 “우리 회사에서는 어떤 사이버 보안 실사와 보증 업무를 실시했나요?”라는 물음에 답변하는 방법을 알아봅니다.

다음 동영상을 통해 경영진에게 사이버 리스크 완화에 관해 설명하는 방법을 자세히 알아보세요.