엔지니어링 전략 수립

19장. 고객 데이터 액세스 전략

이 작품은 AI를 사용하여 번역되었습니다. 여러분의 피드백과 의견을 환영합니다: [e-mail]

스타트업의 라이프사이클 중 어느 시점에 리더가 18개월 안에 기업 공개를 준비해야 한다고 결정하면 IPO 준비 활동이 봇물처럼 쏟아져 나오기 시작합니다. 이 전략은 사용자 데이터 액세스 관리를 위한 내부 통제의 허점을 파악한 IPO 준비 중인 한 회사에 초점을 맞추고 있습니다. 이 회사는 사용자 데이터 액세스와 관련된 보안 태세를 의미 있게 개선하고자 하지만 지난 몇 년 동안 여러 차례 보안 이니셔티브에 실패한 경험이 있습니다.

이러한 이니셔티브의 대부분은 고객 지원과 같은 팀의 내부 워크플로우를 크게 저하시켜 시간이 지남에 따라 초기 진행 상황을 되돌리고 뒤집어 결국 장기적인 효과를 거의 얻지 못했기 때문에 실패했습니다. 이 전략은 이러한 과거의 과제를 인정하고 극복하는 동시에 회사의 IPO 준비 의무를 충족하고, 무엇보다도 사용자에게 올바른 조치를 취하려는 최고 정보 보안 책임자(CISO)의 시도를 나타냅니다.

이 문서 읽기

이 장에는 문서 19-1: 사용자 데이터에 대한 액세스를 어떻게 제어해야 하는가(문서 19-1: 사용자 데이터에 대한 액세스를 어떻게 제어해야 하는가?) 단 하나의 문서만 포함되어 있습니다. 보안 주제는 항상 민감한 사안이므로 이 문서는 특정 회사의 의견이 아니라 여러 회사의 경험을 종합한 것입니다.

이 문서에서 제시하는 전략을 적용할 목적으로 이 문서를 읽는다면 맨 위부터 시작하여 끝까지 읽어보세요. 반면에 그 이면에 있는 사고를 이해하는 것이 주된 목표라면 탐색부터 시작하여 진단 순으로 섹션을 역순으로 읽으세요. 11장에서는 읽기와 사고를 분리하는 이 접근 방식에 대해 설명하고 전략 문서의 일반적인 구조를 자세히 설명합니다. 제 해설은 각주에 나와 있습니다.

문서 19-1: 사용자 데이터에 대한 액세스를 어떻게 제어해야 할까요?

정책 및 운영

새로운 정책과 이를 운영하기 위한 메커니즘은 다음과 같습니다:¹

• 사용자 데이터 접근에 대한 통제는 기업공개 전에 훨씬 더 강력하게 이루어져야 합니다. 고위 경영진, 법무, 규정 준수 및 보안 부서는 상장 기업으로서 사용자 데이터 액세스 제어의 현 상태를 더 이상 용인할 수 없다고 판단했습니다. 우리는 IPO 준비 노력의 일환으로 리소스 수준 접근 제어의 품질을 의미 있게 개선해야 합니다(예: 사용자에게 테이블이 아닌 어떤 행에 대한 접근 권한이 있는지 결정하는 방법).

  보안팀은 이러한 위험을 해결하기 위한 정확한 메커니즘과 접근 방식을 책임지고 있습니다.

• 앞으로도 리소스 액세스 제어에 대한 하이브리드 솔루션을 우선순위에 둘 것입니다. 이것이 지금까지의 접근 방식이었으며 가장 빠른 방법이기도 합니다.

• 리소스 수준 액세스 로그를 사용자에게 직접 노출합니다. 사용자 데이터에 대한 모든 회사 액세스에 대해 사용자가 액세스할 수 있는 로그를 구축하여 모든 액세스를 편안하게 설명할 수 있도록 할 ...