적합한 GRC 프레임워크로 규정 준수 감사를 간소화하세요
거버넌스, 위험 관리 및 규정 준수 기준을 위반하면 막대한 비용이 발생할 수 있습니다. 2020년 8월부터 10월까지 미국 재무부 산하 기관은 주요 금융 기관에 6억 2,500만 달러의 벌금을 부과했습니다.
적합한 GRC 프레임워크로 규정 준수 감사를 간소화하세요
거버넌스, 리스크 및 규정 준수 표준을 벗어나면 막대한 비용이 발생할 수 있습니다. 2020년 8월부터 10월까지 미국 재무부 산하 기관은 주요 금융 기관에 6억 2,500만 달러의 벌금을 부과했습니다.
감사 프로세스 간소화
다음 감사가 언제 시작될지는 아무도 모릅니다. 감사가 시작되면 필요한 조사와 규정 준수 입증 작업을 수행하기 위해 최대 6개월 동안 전담 엔지니어 한 명의 시간과 노력을 투입해야 할 수도 있습니다.
안타깝게도 실제로 이러한 사례는 많습니다. OCC는 기관에 벌금을 부과할 수 있으며, 최근에는 미국의 한 대형 은행에 8,500만 달러의 벌금을 부과했습니다. OCC는 조사 결과에서 다음 사항을 지적했습니다:
해당 은행은 은행의 규모, 복잡성 및 위험 프로필에 상응하는 효과적인 규정 준수 위험 관리 프로그램과 정보 기술 위험 거버넌스 프로그램을 구축하고 유지하지 못했습니다.
거버넌스, 위험 관리 및 규정 준수 표준을 준수하는 일은 쉽지 않지만, 그렇다고 해서 핵심 비즈니스 목표 달성에 지장을 받아서는 안 됩니다. F5를 활용하면 감사 프로세스를 간소화할 수 있으며, 그 출발점은 성숙한 사이버 보안 체계를 갖추는 것입니다.
주요 기능
감사 위험 요인에 대한 상세한 가시성
작은 문제는 손쓰기에는 너무 늦을 때까지 숨어 있을 수 있습니다. 그렇게 되면 감사 기관에서 이미 막대한 벌금을 부과했거나 번거로운 규정 준수 입증 작업을 요구했을 수 있습니다. 애플리케이션 전체를 시각화하면 문제가 어디에 숨어 있든 더 커지기 전에 신속하게 찾아 격리하거나 해결할 수 있습니다.
즉시 사용 가능한 규정 준수 솔루션
감사인은 금융 서비스 기관에 더 높은 수준의 사이버 보안 성숙도를 기대합니다. 단순히 규정 준수 요건을 충족하는 것만으로는 충분하지 않은 경우가 많습니다. F5 솔루션은 높은 수준의 사이버 보안 성숙도를 달성하도록 특별히 설계되어 감사인의 기대를 충족하고, 감사로 인한 마찰과 부담을 최소화합니다.
업계에서 검증된 F5의 지원
업계에서 검증된 F5의 지원을 통해 모든 유형의 감사에 조직이 철저히 대비하는 데 필요한 핵심 표준과 절차를 수립할 수 있습니다. 또한 감사인과의 회의에도 함께 참여하여 규정 준수 관련 논의를 더욱 심도 있게 진행할 수 있도록 지원합니다.
규정 준수는 단순히 체크박스를 선택하는 것 이상입니다
감사 프로세스를 효과적으로 간소화하려면 선제적으로 대응해야 합니다. 올바른 접근 방식과 애플리케이션 솔루션이 매우 중요합니다. F5는 이를 지원할 수 있는 다양한 제품과 서비스를 제공합니다.
제품 | 어떤 도움을 주나요? |
BIG-IP Access Policy Manager | 액세스 제어, SSL VPN |
BIG-IP Advanced Firewall Manager | 방화벽 제어, 네트워크 세분화, 접근 제어 |
BIG-IP 애플리케이션 보안 관리자/Advanced WAF® | 애플리케이션 보안, 취약점(WAF는 PCI DSS 규정 준수를 위한 필수 요건) |
BIG-IQ Centralized Management | 관리 플랫폼, 구성 관리, 텔레메트리, 로깅 |
클라우드 서비스 | DNS, DNS Load Balancer, Essential App Protect는 규제 기관 및 감사자를 위한 보안 제어, 분석 및 가시성과 더불어 풍부한 경험과 지원을 제공합니다. |
BIG-IP DNS | DNS 보안(공격에 취약) |
NGINX 컨트롤러 | NGINX Ingress Controller는 Kubernetes 및 컨테이너화된 환경의 클라우드 네이티브 앱을 위한 최고 수준의 트래픽 관리 솔루션입니다. |
NGINX Plus | 액세스, 로깅, WAF |
모양 | 사기 방지, 봇 차단, 거부/기만 옵션 |
실버라인 | SOCS, DDoS 완화, 애플리케이션 보안, 봇 차단, 구성 관리(PCI DSS 규정 준수를 위해 WAF 필수) |
SSL Orchestrator | 가시성, 대규모 SSL 복호화 |
보안 웹 게이트웨이 | 웹 게이트웨이, 외부 액세스, 데이터 유출 |
표준 및 절차의 수립과 거버넌스
업계에서 검증된 F5의 전문가들은 조직이 모든 유형의 감사에 철저히 대비하는 데 필요한 핵심 표준과 절차를 수립할 수 있도록 지원합니다. 규정 준수에 각별히 집중하고 지속적으로 주의를 기울이지 않으면 결제 카드 산업 데이터 보안 표준(PCI DSS) 검증 절차와 같은 주요 규정 및 규정 준수 표준을 충족하지 못하는 경우가 많습니다.
2019년 PCI DSS 규정 준수 평가를 받은 전체 조직 중 중간 규정 준수 검증에서 100% 준수를 달성한 조직은 27.9%에 불과했습니다.
진화된 애플리케이션 방법론이 핵심입니다
레거시 인프라를 사용하여 현대적이고 편리한 애플리케이션을 구축하고 제공하려면 여러 과제와 제약이 따르며, 특히 규정 준수 요구 사항까지 고려하면 더욱 그렇습니다. 기관이 디지털 혁신을 추진함에 따라 유연하고 확장 가능한 엔터프라이즈 애플리케이션 아키텍처(EAA)는 일관성과 조화를 강화하여 대규모 성과 달성을 지원할 수 있습니다. 이는 애플리케이션 보안, 성능 및 안정성에 대한 기대치를 충족하는 데 필수적인 요건입니다.
발전된 EAA 접근 방식은 혁신 활동을 비즈니스 전략에 맞추고 새로운 기술을 손쉽게 통합할 수 있도록 지원하여 조직이 민첩성을 유지하도록 돕습니다. 적절한 EAA를 구축하면 개발자는 위치나 디바이스에 관계없이 표준과 규정을 준수하면서 최신 애플리케이션을 빠르고 안전하게 제공할 수 있습니다.
1단계: EAA와 비즈니스 목표를 연계하고 혁신, 민첩성, 위험 간의 적절한 균형을 결정합니다.
2단계: 애플리케이션 인벤토리를 작성합니다. 엔터프라이즈 포트폴리오의 모든 애플리케이션을 파악합니다.
3단계: 포트폴리오에 포함된 각 애플리케이션의 보안 위험을 평가하고 적절한 솔루션을 지정합니다. 몇 가지 예는 다음과 같습니다:
- 표준 및 규정을 준수하는 데 필요한 하드웨어 및 소프트웨어의 FIPS 인증
- 기존 및 새롭게 등장하는 OWASP 위협으로부터 보호하기 위한 웹 앱 및 API 보호
- 동적 정책 기반 복호화 및 암호화와 여러 검사 장치를 통한 트래픽 조정을 지원하는 SSL 오케스트레이션
4단계: 애플리케이션 범주를 정의하고 각 범주에 필요한 애플리케이션 서비스를 지정합니다.
5단계: 애플리케이션 배포 및 관리에 대한 매개변수를 설정합니다. 여기에는 다음이 포함됩니다:
- 배포 옵션 이해
- 관련 비용, 소비 모델 및 규정 준수/인증 프로필 평가
6단계: 역할과 책임을 할당합니다. 다음 사항을 수행하세요:
- 보안을 포함하여 EAA 내 각 구성 요소의 담당자를 명확히 합니다.
- 책임이 개별 기여자, 부서 또는 여러 부서가 참여하는 위원회에 있을 수 있음을 인식합니다.
7단계: 보안을 최적화하기 위해 조직 전체에 EAA 접근 방식을 적용합니다. 여기에는 다음이 포함됩니다:
- 사용자 액세스 제어 또는 코드 취약점 검사와 같은 자동화된 메커니즘 활용
- 직원 교육과 커뮤니케이션을 통해 조직 전체의 참여 유도
8단계: F5 전문가와 협력하여 사이버 보안 성숙도를 지속적으로 향상하세요.
표준 및 절차의 거버넌스 수립을 위해 지정해야 할 핵심 역할
구성 규정 준수 팀장
구성 관리는 구현하기 어려울 수 있으므로 담당 책임자를 지정하는 것이 필수적입니다. 구성 표준을 유지하고 구성 드리프트를 최소화하는 데 도움이 되는 자동화 도구는 다음과 같습니다:
- 선언적 온보딩
- AS3
- 텔레메트리 스트리밍
- 클라우드 포메이션 템플릿
엔터프라이즈 애플리케이션 아키텍처 팀 리드
이 이니셔티브의 진행 상황과 우선순위를 감독할 담당자가 없다면 이 핵심 기능은 방향성을 잃게 됩니다. 또한 이 역할을 전담할 담당자가 없으면 전사적 표준도 제대로 정착되지 못할 것입니다.
감사 책임자
각 감사에서 주요 감사 주제에 대한 지속적인 가시성을 확보하는 것은 매우 중요합니다. 각 팀에는 F5 솔루션을 총괄하고, 애플리케이션과 네트워크의 심층 데이터를 활용하여 감사 관련 문제를 신속하게 해결하는 데 필요한 인사이트를 제공할 팀 리더가 필요합니다.
F5의 공유 애플리케이션 중심 대시보드는 네트워크, 개발 및 보안 팀이 필요한 데이터에 액세스할 수 있도록 지원하는 동시에 협업을 통한 문제 해결을 촉진합니다.
F5와 함께라면 다음 감사 과정에서도 혼자가 아닙니다. 다음 감사인과의 회의에서 어떤 결과가 나오더라도 규정 준수 사안을 더욱 심도 있게 다룰 수 있도록 F5 전문가에게 도움을 요청하세요.
F5가 도와드리겠습니다:
- 암호화된 위협 탐지
- 권한 있는 사용자의 액세스를 더욱 효과적으로 관리할 수 있도록 액세스 제어에 대한 세부 정보를 제공합니다
- 특정 감사 요구 사항에 맞게 내보낼 수 있는 보고서를 사용자 지정
- 보안 통제와 관련된 주의사항 제공
결론
감사 절차는 많은 시간이 소요되고 스트레스를 유발할 수 있습니다. 금융 서비스 업계 종사자들은 다음 감사가 언제 시작될지 알 수 없으며, 관련 업무에는 대개 전담 인력이 필요하지만 이를 위한 예산이 배정되는 경우는 드뭅니다. 적절한 솔루션과 지원 체계가 마련되어 있지 않으면 감사가 최대 6개월까지 이어질 수 있으며, 이후 시정 조치와 재감사로 이어질 수 있습니다.
F5는 금융 서비스 기관의 감사 프로세스를 간소화해 온 검증된 실적을 보유하고 있습니다. F5의 솔루션은 감사로 인한 마찰과 스트레스를 최소화하도록 특별히 설계되었습니다.
자세한 내용을 알아보려면 F5 은행 및 금융 서비스 솔루션을 살펴보거나 F5 담당자에게 문의하세요.