사이버 위험 관리 프로그램 구축

부록. 사이버 위험 관리 프로그램 프레임워크 v1.0

디지털 혁신으로 인해 끊임없이 진화하는 환경에서 사이버 보안은 단순한 IT 문제가 아니라 비즈니스 전략과 의사 결정의 본질적인 부분임을 인식하는 것이 중요합니다. 이러한 인식에 따라 기업은 비즈니스 운영 내에서 포괄적인 사이버 위험 관리 프로그램을 운영해야 할 필요성이 대두되고 있습니다. 이 부록에서는 거버넌스에서 운영 에스컬레이션 및 공개에 이르기까지 사이버 위험 관리 프로그램(CRMP)을 총체적으로 수립하기 위해 고안된 프레임워크를 소개합니다.

목적 및 맥락

최근 사이버 위협과 사고가 급증하고 있습니다. 당국과 규제 기관은 조직이 사이버 보안 태세를 강화하고 사이버 위험에 대해 이해관계자와 효과적으로 소통해야 할 필요성을 강조하고 있습니다. 이사회와 경영진은 사이버 위험 환경에 대한 적절한 감독을 제공할 수 있어야 합니다. 기존의 많은 표준과 참고 자료는 개별적으로 볼 때 비즈니스의 요구 사항을 진정으로 충족하는 포괄적인 프로그램을 제공하기에 부족할 수 있습니다. 이러한 격차는 권위 있는 지침, 규정 및 표준을 조화시키고 해석하여 기업이 사이버 위험을 적절히 관리하고 감독할 수 있도록 보장하는 통합 프레임워크의 필요성을 강조합니다.

CRMP 프레임워크는 선도적인 사례와 표준에서 얻은 인사이트를 종합하여 CRMP에 대한 체계적이고 포괄적인 접근 방식을 제공합니다. 이 프로그램은 각 기업의 고유한 요구 사항과 규제 환경에 맞게 조정할 수 있습니다. 이 프레임워크는 사이버 위험 관리 프로그램을 운영하기 위한 가이드 역할을 하며, 기업이 정보에 기반한 위험 결정을 내리고 디지털 시대에 생존하고 번영할 수 있도록 보안 전략을 발전시킬 수 있도록 지원합니다.

사이버 위험 관리 프로그램 프레임워크의 구조

프레임워크는 네 가지 핵심 구성 요소로 구성되어 있습니다:

• Agile 거버넌스

• 위험 정보 기반 시스템

• 리스크 기반 전략 및 실행

• 위험 에스컬레이션 및 공개

이러한 각 구성 요소는 구현 시 고려해야 할 사항을 제공하는 여러 지원 원칙으로 세분화됩니다. 실제 적용과 더 깊은 이해를 돕기 위해 이러한 구성 요소의 원칙은 관련 정보 참조에 매핑되어 있습니다.

정보를 제공하는 참고 자료는 다음과 같은 기존 기관에서 가져옵니다:

2023 SEC 최종 규정: 사이버 보안 위험 관리, 전략, 거버넌스 및 인시던트 공개

2023년 SEC 최종 규칙( )은 등록자가 사이버 보안 위험 및 사고를 관리하고 보고할 때 준수해야 하는 필수 공개 요건을 설명하는 포괄적인 가이드 역할을 합니다. 여기에는 위험 관리, 거버넌스 프로토콜, 사고 공개에 중점을 둔 여러 구성 요소가 포함되어 있으며, 중대한 사이버 보안 사고 발생 시 이사회의 책임과 구체적인 보고 요건에 대한 자세한 설명이 포함되어 있습니다. 이 규정은 사이버 보안 위험 관리의 전략적 측면과 운영 측면을 모두 다룸으로써 기업 내에서 강력한 사이버 보안 프레임워크의 개발을 촉진하고 공시의 투명성과 일관성을 증진하여 정보에 입각한 투자 의사결정을 ...