KPI가 사고를 일으킨다!!! - 잘못된 지표는 잘못된 결과를 낳는다. 오래전 메일을 뒤적이다가, 내가 너무 진지하게 보낸 메일에 대한 후배의 답변을 확인했다. 매니저님의 메일을 받고, 깊이 고민하지 않고 지시대로만 일을 수행하고 있음을 깨달았다. 어떤 업무 지시를 받든 해당 업무에 윤리적 이슈가 없는지, 그리고 그대로 수행하는 것이 맞는지 확실히 생각해보고 내 의지대로 진행해야겠다고 다짐했다. 메일을 자세히 살펴보니, 그 후배는 취약점 현황 시스템을 관리하던 사람이었고, 팀장의 명령으로 고위험 취약점의 위험도를 일괄 낮추도록 조치한 뒤, 내가 윤리적 문제를 제기한 메일에 대해 답변한 것이었다. (오랜 시간이 지난 지금은 상황이 달라졌지만, 당시에는 참 착한 후배였다…) ...
보안진단 담당자의 흔한 착각 비효율적인 취약점 평가 구조와 대응 방법 서론 사이버 보안 환경이 끊임없이 변화하면서 보안 취약점 평가는 잠재적인 보안 침해에 대한 주요 방어수단으로 자리잡고 있습니다. 그러나 이에 대한 일반적인 오해로 인해 평가의 실효성이 저하되는 경우가 많습니다. 본 글에서는 보안 취약점 평가에 대한 잘못된 인식을 살펴보고, 이를 극복할 수 있는 효과적인 전략을 제시함으로써 조직의 보안 수준 향상을 지원하고자 합니다. 보안 취약점 평가에 대한 잘못된 인식 1. 모든 취약점을 반드시 찾아내야 한다는 믿음 보안 취약점 평가 담당자들 사이에는 모든 취약점을 반드시 찾아내야 한다는 생각이 팽배합니다. 이는 인간 평가자의 한계를 이해하지 못한 것입니다. Tyma 등(2019)[1]의 연구에 따르면, 광범위한 노력에도 불구하고 일부 취약점만이 발견되었다고 합니다. 또한 회사의 승인 없이 취약점을 분석한 외부인에 대해 배타적인 자세를 보이는 경우도 있습니다. 이러한 인식의 한계는 평가 담당자들에게 좌절감과 불만을 야기할 수 있습니다. ...
