사이버보안 거버넌스

ISO 27001은 정보보안 관리 시스템(ISMS) 모범 사례를 설명하는 국제 표준입니다.

ISO 27001 공인 인증을 획득했다는 것은 조직이 정보보안 모범 사례를 따르고 있음을 증명하며, 정보보안이 국제 모범 사례 및 비즈니스 목표에 따라 관리되고 있다는 독립적인 전문가 검증을 제공합니다.
Siemens 사이버보안 거버넌스는 2017년 11월부터 ISO 27001 인증을 취득했습니다.
2023년 11월부터는 새 표준인 ISO 27001:2022에 따라 인증을 취득했습니다.

• 인증서 다운로드
• 시스템 인증서 자세히 알아보기

Siemens는 견고한 아키텍처를 통해 탄력적인 데이터 기반 사이버보안을 실현하는 데 매진하고 있습니다.

이를 위해 프로젝트 내에서 사이버보안 전략을 실행하고 있으며, 새롭게 구축된 Enterprise Architecture 서비스를 활용하여 전략적 목표를 타겟 아키텍처에 매핑함으로써 모든 사이버보안 구현 노력을 가이드하고 있습니다.

이 프로젝트의 주요 목표는 자동화 및 효율성 조치를 통한 자원 활용 간소화, Siemens 전반의 사이버보안 위험에 대한 가시성 및 투명성 제고, 사후 및 사전 위험 완화 강화를 위한 데이터 기반 의사 결정에 활용하는 것 입니다.

프로젝트 구성은 다섯 가지 워크스트림으로 이루어집니다.

• 개념 및 프로세스:

  Siemens 사이버보안 내 아키텍처 프로세스를 정의하고 유지하여 전략 및 포트폴리오와 통합되도록 하는 것이 목표입니다. 또한 기능, 애플리케이션, 입력, 출력, 종속성을 포함한 데이터 기반 사이버보안 아키텍처의 구성 요소를 정의합니다.

• 거버넌스:

  사이버보안 데이터를 결합하여 자동 사이버보안 위험 식별 및 평가를 가능하게 하고, 위험 완화를 위한 의사 결정을 강화하며, 정책 준수를 높이는 방안을 정의하는 것이 목표입니다.

• 상황 인식:

  EA 프로젝트의 최전선에서 사용자 기대를 수집하고 총체적인 위험 현황을 제공하여 최종 사용자의 일상 업무를 향상시키는 것이 목표입니다.

• 보안 인텔리전스:

  의사 결정을 강화하여 Siemens 사이버보안 위험을 자동으로 식별하고 완화하는 AI 지원 및 데이터 기반 의사 결정 체계를 구현하는 것이 목표입니다.

• 데이터:

  워크스트림 데이터는 데이터 투명성 확립, 데이터 중복 방지, 팀별 데이터 전략 지침 제공을 통해 사이버보안 부문이 데이터 기반 접근 방식을 채택하도록 지원합니다.

사이버보안 정책 프레임워크는 Siemens 및 그 계열사에 적용됩니다. 특히 특정 정책, 표준, 기준에 명시된 사이버보안 요구 사항이 포함되어 있습니다.

모든 정책은 ISO 2700x 또는 IEC 62443과 같은 관련 업계 표준을 기반으로 합니다. 다른 중요한 표준을 준수하기 위해 해당 표준에 대한 참조도 관리됩니다. 관련 표준 목록에는 NIST 800-53, EBA의 ICT 및 보안 위험 관리 지침 등이 포함됩니다.

Siemens 제품, 솔루션, 서비스에는 상당한 양의 소프트웨어와 IT 관련 구성 요소가 포함되어 있으며, 이는 많은 경우 중요 인프라 환경에서 사용되어 사이버 위협에 더욱 노출될 수 있습니다. 규제 및 고객별 보안 요구 사항이 증가하고 있으며 Siemens는 이에 적극 대응해야 합니다.

경쟁력과 신뢰성을 유지하기 위해 Siemens 전사 PSS 이니셔티브가 수립되었으며, 이는 Siemens가 판매하는 제품, 솔루션, 서비스를 통해 고객이 안전한 환경에서 시설을 운영할 수 있도록 지원합니다.

이를 위해 PSS에 대한 구속력 있는 요구 사항과 구현 권장 사항이 마련되어 있습니다. 지속적인 개선과 학습은 성공적인 실현을 위한 기본 전제 조건입니다.

사이버보안의 기본 측면에 대해 모든 직원이 공통으로 인식하고 이해하도록 하며, 사이버보안 관련 역할을 위한 전담 교육을 제공하는 것이 매우 중요합니다. 기술과 보안 측면에서 Siemens의 최첨단 제품, 솔루션, 서비스에 대한 고객의 기대에 부응하고, 사이버보안 인식을 지속적으로 높이며, 직원들이 전체 가치 사슬의 모든 활동, 단계, 프로세스에서 사이버보안을 고려할 수 있도록 다음과 같은 활동을 마련했습니다.

• 모든 직원에게 일반적이고 중요한 사이버보안 주제에 관한 정보를 제공하는 것을 목표로 하는 필수 글로벌 인식 캠페인입니다. 이 교육 세션은 웹 기반, 무장벽, 다국어로 진행됩니다. 또한 역할별 그룹을 위한 "Driver's License" 교육이 있습니다. 이 교육은 필수이며 역할별 그룹이 모든 Siemens IT/OT 보안 지침을 적용할 수 있도록 합니다. 성공적으로 이수하면 참가자들은 2년간 유효한 수료증을 받습니다.
• Siemens는 모든 직원을 위해 지속적으로 업데이트되는 다양한 교육 과정과 학습 기회를 제공합니다. 자율적으로 이용할 수 있으며, 기본 지식뿐만 아니라 제품 및 솔루션 보안과 같은 특정 전문 분야 교육도 포함됩니다.
• Siemens는 지속적인 학습이 성공의 열쇠라고 생각하며, 직원 교육과 역량 강화를 위한 새로운 방법을 지속적으로 모색합니다.

항상 전반적인 현황을 파악하십시오. 이를 지원하기 위해 Siemens는 사이버보안 데이터와 프로세스를 총체적으로 파악할 수 있는 내부 사이버보안 플랫폼 'CyberMart'를 제공합니다.

이 플랫폼은 다음을 제공함으로써 정보에 기반한 표적 비즈니스 의사 결정을 지원합니다.

• 사이버보안 관련 정보를 처리하는 보안 애플리케이션을 위한 플랫폼,
• 사이버보안 관련 데이터를 위한 보안 데이터 풀,
• 보안 프로세스(예: 자산 보호, 예외 처리)에 대한 성숙도 및 상태 보고

이 플랫폼의 일부는 사이버보안 운영 현황 및 전략적 데이터 포인트 개요를 제공하는 사이버보안 대시보드입니다. 이 정보는 Siemens 경영위원회 및 감독위원회에 대한 정기 내부 경영 보고의 기초가 됩니다.

Siemens Enterprise Risk Management(ERM)의 일부인 사이버보안 위험 관리의 주요 목표는 Siemens가 사이버보안 위험에 대한 투명성을 확보하고 이를 수용 가능한 수준으로 적절히 관리하는 것입니다.
Siemens 사이버보안 위험 관리 프레임워크는 국제 표준(ISO/IEC 27005 및 ISF IRAM2)을 기반으로 하며, 운영 단계부터 기업 단계까지 모든 수준을 고려하고 확립된 ERM 프로세스와 직무를 활용합니다..
ERM 수준까지 보고 및 관리되는 사이버보안 위험은 다음 프로세스에서 식별되고 각 도구 내에서 관리됩니다.

• 전체 사이버보안 위험 관리 프로세스
• IT, 문서 및 정보 자산에 대한 자산 분류 및 보호 프로세스
• 제품, 솔루션, 서비스에 대한 위협 및 위험 분석
• Siemens 사이버보안 프레임워크와의 일시적 편차에 대한 예외 처리 프로세스
• 사이버보안 공급업체 위험 관리

사이버보안 공급업체 위험 관리:

사이버보안 위험은 전체 공급망에 걸쳐 관리되어야 합니다. Siemens는 수평적 및 수직적 구성 요소, 제품 및 서비스 조달을 위한 IT, OT 및 PSS를 포함하여 이 주제를 총체적으로 고려합니다. 이를 위해 공급망 내 사이버보안 수준을 향상시키기 위한 주요 활동은 다음과 같습니다.

• 공급망 전반의 사이버보안 위험 노출에 관한 투명성 확보
• 공급업체에 대한 계약상 사이버보안 요구 사항을 위한 제3자 공급업체 평가 방법론, 도구 및 템플릿으로 뒷받침되는 체계적인 위험 관리 관행
• 두 번째 원칙인 "디지털 공급망 전반의 책임"을 주도하는 Charter of Trust 및 다양한 전문가 커뮤니티에의 적극적 참여
• 다양한 대상 그룹 및 사용 사례를 위한 정기 교육 및 인식 캠페인

정보 보안 사고의 정의

정보 보안 사고는 다음과 같이 정의됩니다. 분류(ISO27001 및 NIST 800-61 rev2 기준)에 따른 정보의 기밀성, 무결성 및 가용성이 직접적 또는 간접적으로 침해되는 사건입니다. 사고의 예시는 다음과 같으며 이에 국한되지 않습니다.

1. 시스템 또는 데이터에 대한 무단 액세스 시도 성공
2. 서비스 중단 또는 거부
3. 데이터 처리 또는 저장을 위한 시스템 무단 사용
4. 소유자의 인지, 지시 또는 동의 없는 시스템 하드웨어, 펌웨어 또는 소프트웨어 특성 변경

사고 대응

Siemens는 사이버보안 사고에 대한 심층 분석을 수행합니다. 이를 위해 비즈니스 담당자, 내부 및 외부 사고 보고자, 이해 관계자와 협력하여 대응 활동을 조정하고, 적절한 억제 및 복구 작업의 개시를 보장합니다. 또한 심각하고 복잡한 사고에 대해 조직 및 커뮤니케이션 측면을 지원하는 사고 프로젝트 관리자를 배정합니다.

사고 처리 프로세스

• 감지

  정보의 기밀성, 무결성 및 가용성 침해 식별

• 대응

  공격 분석 및 대응 조치 개시

• 조치

  억제: 악성 활동 제한, 완화: 추가 피해 방지, 복구: 수정 및 재발 방지

• 복구

  영향을 받은 시스템의 무결성을 정상 작동 상태로 복원

산업계의 조치가 필요한 보안 위협

전체 가치 사슬을 조작할 수 있는 사이버 범죄자의 공격은 생산 중단뿐만 아니라 기업 이미지에도 상당한 손상을 입힐 수 있습니다. 운영 기술(OT)을 최선의 방법으로 보호하려면 자산의 위험 노출에 대한 투명성을 확보해야 합니다. 이를 통해 사이버보안 위협이 심각한 피해를 입히기 전에 식별하고 제거할 수 있습니다. Siemens는 제조 공정에 강화된 사이버보안을 제공합니다. Siemens의 총체적인 접근 방식은 악의적인 행위자가 악용하기 전에 절차적 보안 격차와 기술적 취약성을 식별하도록 설계되었습니다.

자세히 알아보기

AI는 Siemens의 사이버보안 노력에서 중요한 역할을 수행합니다. 네트워크와 시스템 내의 이상 징후를 탐지하여 보안 위협을 동적으로 식별하고 대응합니다. 보안 침해에 대한 이러한 즉각적인 조치는 잠재적인 피해를 줄이는 데 도움이 됩니다.

또한 AI는 일상적인 작업을 자동화하여 사이버보안 절차의 효율성을 높입니다. 이러한 자동화를 통해 보안 팀은 더 복잡하고 시급한 사안에 집중할 수 있습니다. 아울러 AI는 사용자 행동 분석을 기반으로 맞춤형 보안 프로토콜을 설정하여 Siemens 내 각 부서에 정밀한 보안 전략을 추진할 수 있도록 지원합니다.

이러한 장점에도 불구하고 AI가 사이버 공격자의 도구가 되어 악의적인 활동의 복잡성을 강화할 수 있다는 점에 유의해야 합니다. 공격자는 AI를 활용하여 공격을 자동화하거나, 기존 보안 시스템을 회피하거나, 탐지를 피하기 위해 인간의 행동을 모방할 수도 있습니다.

그럼에도 불구하고 Siemens는 이러한 복잡한 시나리오에 충분히 대비하고 있습니다. Siemens는 AI의 안전하고 책임 있는 활용을 보장하기 위해 엄격한 보안 프로토콜을 수립했습니다. Siemens의 미래 지향적인 접근 방식은 시스템의 무결성을 유지하고 잠재적인 위험으로부터 보호하는 데 도움이 되며, 이를 통해 사이버보안 운영에서 AI의 이점을 적극 활용할 수 있습니다.

Siemens가 AI를 통해 얻는 이점은 관련 위험보다 훨씬 큽니다. 세심한 구현과 지속적인 모니터링을 통해 이러한 위험을 최소화하고 AI의 이점을 극대화하고 있습니다. 결과적으로 AI는 보안 위협을 방어하는 역량을 실질적으로 강화하는 매우 가치 있는 도구로 자리 잡고 있습니다.