Security Baseline Review란 무엇입니까?

Security Baseline Review는 기업의 시스템, 자격 증명, 접근 통제, 일상적인 보안 설정이 현재 어떻게 구성되어 있는지를 정해진 기간 안에 체계적으로 평가하는 작업입니다. 결과물은 우선순위가 매겨진 관찰 사항과 실질적인 다음 단계를 담은 서면 발견 사항 보고서입니다. 기업이 빠르게 성장했거나, 공급업체를 바꾸었거나, 시스템을 이전했거나, 단순히 보안 의사결정을 위한 더 신뢰할 수 있는 출발점을 원할 때 유용한 경우가 많습니다. 팀에게 어디서부터 시작할지 추측하게 하는 대신, 이 검토는 특정 시점에 합의된 환경의 실질적인 모습을 보여 줍니다.

무엇인가

이 검토는 귀사가 이미 갖추고 있는 통제를 살펴보고, 합의된 영역을 일관된 보안 모델과 비교합니다. 범위는 작업 시작 전에 서면으로 확정됩니다. 선택한 서비스에 따라 인증 설정, 접근 권한, 계정 복구, 데이터 처리 관행, 제3자 연동, 업데이트 상태, 범위 내 시스템을 둘러싼 기본 운영 체계 등이 포함될 수 있습니다. 이 작업은 구성과 증거를 검토하도록 설계되었으며, 운영 환경의 고객 데이터를 열람하거나 정상 운영을 방해하지 않습니다. 귀사는 관찰된 내용, 그것이 해당 맥락에서 중요한 이유, 합리적인 다음 단계를 설명하는 체계적인 보고서를 받습니다. 발견 사항은 의사결정자가 즉각적인 우선순위, 계획이 필요한 항목, 별도의 범위나 전문가 의견이 필요한 문제를 구분할 수 있도록 정리됩니다. 검토 기간 내내 환경은 귀사 팀이 구성한 그대로 유지되며, 변경 여부는 이후 귀사가 결정합니다.

누구를 위한 것인가?

Security Baseline Review는 다음과 같은 기업에 적합합니다.

디지털 제품이나 서비스를 운영하면서 아직 보안 구성에 대한 공식 검토를 받은 적이 없는 기업
최근 인력, 시스템, 호스팅 방식 또는 제3자 공급업체를 변경하여 책임과 접근 권한이 어긋나지 않았는지 확인하려는 기업
보다 상세한 보안 프로그램을 준비하면서 다음 서비스를 선택하기 전에 문서화된 출발점이 필요한 기업
감사인, 파트너, 고객, 이사회 구성원 또는 보험사의 질문에 현재 상태를 과장하지 않고 신중하게 답해야 하는 기업

무엇을 명확히 하는 데 도움이 되는지

기준선 검토는 다음 사항을 명확히 하는 데 도움이 됩니다.

합의된 통제 중 어떤 것이 갖추어진 것으로 보이며, 어디에서 증거가 불완전하거나 구성에 더 면밀한 주의가 필요한지
접근 권한, 공유 계정 또는 과거 설정이 오늘날 기업 운영 방식과 더 이상 맞지 않을 수 있는 부분
어떤 제3자 연결과 의존성에 더 명확한 담당자, 후속 질문 또는 별도의 기술 검토가 필요한지
무엇을 먼저 처리하고, 무엇을 모니터링하며, 무엇을 별도 범위의 작업으로 논의해야 하는지

포함된 내용

검토할 시스템과 증거 출처를 포함하여 작업 시작 전 범위의 서면 확정
합의된 구성 영역과 귀사 팀이 제공한 관련 정보에 대한 원격 검토
일관된 심각도 모델과 명확한 의사결정 맥락을 갖춘 체계적인 발견 사항 보고서
각 관찰 사항에 대한 알기 쉬운 개선 메모(별도의 담당자나 서비스가 필요할 수 있는 부분 포함)
설명 없는 기술 용어에 의존하지 않고 사내에 공유할 수 있는 경영진 요약
보고서, 우선순위, 합리적인 다음 단계를 논의하는 1회의 후속 대화

포함되지 않은 것

능동적 취약점 악용, 침투 테스트 또는 통제 우회 시도
규정 준수 인증, 규제 감사 의견 또는 기업이 적용 가능한 모든 요건을 충족한다는 진술
검토 기간 중 귀사 환경 내의 구성 변경, 코드 변경 또는 개선 작업
합의된 계약 종료 후의 지속적인 모니터링, 경보 대응 또는 재테스트
서면 범위에 포함되지 않은 시스템, 도메인, 애플리케이션 또는 공급업체에 대한 검토

선택해야 할 때

광범위한 프로그램에 즉시 착수하지 않고도 현재 상황을 명확하게 문서화된 형태로 파악하고 싶을 때 Security Baseline Review를 선택하십시오. 보안 현황을 추적하기가 어려워졌다고 팀이 느낄 때, 책임 범위가 바뀌었을 때, 또는 이해관계자가 아직 증거로 답할 수 없는 질문을 할 때 유용한 첫 단계가 됩니다. 출시, 이전, 공급업체 교체 또는 사내 계획 주기 전에도 도움이 될 수 있습니다. 반면 정확한 기술적 문제를 이미 알고 있고 정해진 변경을 신속하게 적용해야 하는 경우에는 집중적인 하드닝이나 전문 업무가 대개 더 적합합니다. 기준선의 가치는 다음 결정을 더 신중하게 내릴 수 있게 해 준다는 데 있습니다.

우리의 접근 방식

당사는 검토 범위를 서면으로 확정하는 것부터 시작합니다. 귀사는 무엇을 검토하는지, 무엇이 범위 밖인지, 어떤 접근 권한이나 증거가 필요한지, 인계 시 무엇을 받게 되는지를 설명하는 알기 쉬운 개요서를 받습니다. 담당 전문가는 합의된 구성을 관찰하는 데 필요한 범위로 한정된 읽기 전용 접근 권한을 사용합니다. 제공된 증거로 남는 질문이 있으면, 후속 조치할 수 있도록 보고서에 명확히 기록합니다. 발견 사항은 실무적인 관찰로 작성됩니다. 즉, 확인된 구성 상태, 그것이 중요해질 수 있는 맥락, 그리고 그에 비례하는 권고 사항이나 다음 질문을 담습니다. 보고서는 불필요한 경각심을 일으키기보다 기술 담당자와 비기술 담당자 간의 대화를 돕기 위한 것입니다. 인계 시에는 귀사와 함께 우선순위를 검토하여, 문서가 실행하기 어려운 목록이 아니라 실제로 활용되는 참고 자료가 되도록 합니다.

Security Baseline Review 서비스 페이지 보기