NIS2: 사이버 보안에 쏟아지는 새롭고 강력한 스포트라이트

F5 에코시스템 | 2023년 9월 29일

Bart Salaets현장 최고기술책임자 | F5

새로운 EU 지침에 따라 훨씬 더 많은 기업이 보안, 가시성 및 통제 역량을 강화해야 합니다

엄격한 신규 요건을 부과하는 개정된 네트워크 및 정보 보안(NIS) 지침에 따라 훨씬 더 많은 EU 기업이 사이버 보안을 중요하게 다뤄야 합니다.

1년도 채 지나지 않아 NIS2(새 지침의 명칭)에 따라 광범위한 조직은 내부 시스템을 완벽하게 보호하고 외부 인터페이스가 공격과 데이터 탈취에 취약하지 않도록 하는 것을 법적 의무로 준수해야 합니다.

이 지침은 위험 관리, 보고 및 복구를 매우 중요하게 다루며, 미준수 시 최대 1,000만 유로 또는 연간 전 세계 매출의 2% 중 더 높은 금액이 과징금으로 부과될 수 있습니다.

하지만 이러한 벌금은 훨씬 더 큰 재정적 부담의 빙산의 일각에 불과할 수 있습니다.

NIS2는 이전 지침보다 훨씬 더 광범위한 기업에 적용되므로 그 영향이 공급망 전반으로 확산될 것입니다. 사이버 보안은 조달 과정에서 우선순위가 되며, 어떤 기업이 신규 계약을 수주할지를 좌우할 수 있습니다.

안타깝게도 대부분의 조직은 새로운 지침의 수많은 요구 사항을 관리할 수 있는 내부 역량을 갖추고 있지 않습니다. 특히 시스템이 점점 더 여러 클라우드 환경에 걸쳐 운영되고 많은 직원이 계속 재택근무를 하는 상황에서는 더욱 그렇습니다.

NIS2로 인해 완전한 가시성 확보는 필수가 되었습니다

NIS2는 직원 수가 50명을 초과하고 연간 매출액이 1,000만 유로를 넘는 모든 기업을 대상으로 하며, 통신, 식품, 폐기물 관리, 디지털 플랫폼, 공공기관 및 배송 서비스 분야에 적용됩니다. 또한 에너지, 의료, 은행, 운송 등 기존 NIS의 적용을 받는 필수 서비스에도 큰 영향을 미칠 것입니다.

EU 회원국들이 NIS2를 시행함에 따라, 적용 대상 기업은 고객 및 공급업체와의 상호작용에 사용되는 애플리케이션을 포함해 모든 외부 인터페이스가 보호되도록 해야 합니다.

침해 사고가 발생할 경우, 해당 기업은 사고를 인지한 후 24시간 이내에 조기 경보 보고서를 제출하고, 72시간 이내에 초기 평가 보고서를, 한 달 이내에 최종 보고서를 제출해야 합니다.

따라서 기업은 자사의 디지털 운영과 고객, 파트너 및 공급업체와의 디지털 접점에서 일어나는 상황을 완전히 파악할 수 있어야 합니다.

이상적인 상황이라면 규제라는 채찍은 사실 필요하지 않아야 합니다. 이제 대부분의 상거래가 온라인에서 이루어지므로, 기업 리더들은 이미 그러한 가시성을 요구하고 있어야 합니다.

그럼에도 불구하고 새 지침의 적용 대상에 포함되는 많은 중소기업은 규정 준수에 필요한 보안 운영 센터와 관련 보고 도구를 갖추고 있지 않을 수 있습니다. 게다가 이러한 도구를 자체적으로 구축하고 개발하는 데 필요한 기술과 자원을 보유하고 있을 가능성도 낮습니다.

말할 필요도 없이, NIS2 의무를 충족할 수 있는 구현이 간편한 메커니즘을 도입해야 한다는 압박이 커지고 있습니다. 또한 고객과 파트너의 경험에 부정적인 영향을 주지 않으면서 이를 실현해야 합니다.

특히 전체 애플리케이션 포트폴리오를 관리할 수 있는 중앙 집중식 콘솔이 필요합니다. 이러한 요구는 클라우드 기반 애플리케이션 보안 및 애플리케이션 전송 솔루션인 F5 Distributed Cloud Services 등을 통해 충족할 수 있습니다.

대규모 조직이라고 해서 상황이 녹록한 것은 아닙니다. 보안에 대한 규제 당국의 감시가 강화되면서 발생하는 가장 큰 과제 중 하나는 여러 클라우드와 사내 데이터 센터에 걸쳐 점점 더 확장되는 디지털 인프라를 보호하고 모니터링하는 일이 한층 더 복잡해졌다는 점입니다.

오늘날 많은 조직이 여러 환경에 걸쳐 애플리케이션과 이를 구성하는 마이크로서비스를 운영합니다. 애플리케이션의 프런트엔드는 퍼블릭 클라우드에서 실행되는 반면, 백엔드는 사내 데이터 센터에서 실행될 수 있습니다. 동시에 직원들이 자택이나 공유 오피스 등 다양한 장소에서 시스템과 애플리케이션에 로그인하는 경우도 점점 늘고 있습니다.

점점 더 복잡해지는 이 디지털 환경을 NIS2에 부합하는 방식으로 보호하려면, 많은 기업이 여러 클라우드, 컴퓨팅 및 네트워킹 환경을 아우를 수 있는 관리형 서비스를 필요로 할 것입니다. F5는 이러한 전문 역량을 갖추고 있습니다.

시간이 점점 더 촉박해지고 있지만, 아직 대응할 시간은 있습니다.

EU 회원국은 2024년 10월 18일까지 새로운 지침을 자국 법률에 반영해야 합니다. 따라서 영향을 받는 모든 조직은 벌금은 물론, 더 중요하게는 규정 준수 실패로 인한 평판 훼손을 피할 수 있도록 보안 및 모니터링 역량을 충분히 강화하기 위해 서둘러야 합니다.

다행히도 이 새로운 규제 환경에서 성공하는 데 필요한 기술은 이미 준비되어 있습니다.

향후 블로그 게시물에서는 F5가 이미 고객의 NIS2 준수를 어떻게 지원하고 있는지 자세히 살펴보겠습니다. 많은 관심 부탁드립니다!