환경의 취약점을 관리하는 방법
어떤 위험이 있다는 것을 아는 것과 그에 대한 조치를 취하는 것은 완전히 다른 문제입니다. 이전 블로그(예: '새로운 차원의 위험 관리', '디바이스 위험의 정확한 평가')에서도 언급했듯이 환경 내에서 어떤 위험이 있는지 파악하는 것은 결코 간단한 일이 아닙니다. 임상 네트워크에서만 볼 수 있는 모든 의료 및 IoMT 디바이스에서 사용되는 수많은 독점 운영 체제, 프로토콜, 워크플로는 운영 및 환자 치료의 무결성과 가용성을 보호하려는 모든 의료 서비스 제공 조직에 여러 가지 과제를 안겨줍니다. 하지만 관련 사이버 보안과 의료 전문 지식을 결합하여 환경에 존재하는 위험을 파악할 수 있는 Medigate와 같은 플랫폼이 있다고 가정하면, 그 다음에는 이러한 위험에 대해 무엇을 해야 할지 파악해야 합니다.
모든 조직은 어느 정도의 위험을 감수합니다. 핵심은 허용 가능한 것과 허용되지 않는 것을 파악하는 것입니다. 이를 위해서는 사이버 보안, IT/네트워크, 생의학/임상 공학, 비즈니스 팀이 함께 모여 환경에 필요한 것과 필요하지 않은 것(즉, 감내할 수 있는 것과 감당할 수 없는 것)에 대해 합의해야 합니다. 목표는 네트워크에서 발견된 취약성과 위협을 어떻게 관리할 것인지에 대한 프레임워크를 만드는 것입니다.
일반적인 IT 네트워크에서는 위험으로 간주될 수 있는 것이 임상 네트워크에서는 허용되는 것으로 간주될 수 있으며, 특히 해당 디바이스가 치료를 제공하는 데 의존하는 경우에는 더욱 그렇습니다. 예를 들어, 대부분의 회사는 지원되지 않는 운영 체제(OS)를 사용하는 디바이스를 일반 IT 네트워크에 연결하는 것을 허용하지 않습니다. 당연하죠. 그러나 HDO는 해당 의료 기기(예: CAT 스캐너, MRI, 로봇 수술기 등)의 중요성, 자본 비용, 교체가 사소하지 않은 성격에 따라 이 규칙에 대한 예외를 얼마든지 만들 수 있습니다.
임상 환경의 고유한 특성으로 인해 일부 위험에 대한 적절한 대응은 적어도 현재로서는 아무것도 하지 않는 것일 가능성이 높습니다. 예를 들어, 자체 네트워크에 격리되어 있고 소수의 의료진만 액세스할 수 있는 MRI 기계의 콘솔에 있는 새로운 낮은 수준의 취약성은 기계가 정기 유지보수를 받을 때 해결할 수 있는 것으로 간주하고 방치할 수 있습니다.
다른 위험의 경우 보다 신속한 대응과 즉각적인 해결이 요구될 수 있습니다. 예를 들어 제조업체에서 고품질 의료 서비스를 제공하는 데 영향을 미칠 수 있는 기기에 대한 중요 경고(및 패치)를 발행하면 수정 사항 적용의 긴급성을 높여야 할 것입니다. 중요한 것은 위험의 심각성에 따라 대응 방식이 달라진다는 것입니다.
이러한 위험에 대한 관리가 합의되고, 문서화되고, 준수되는 한 환경에서 허용 가능한 수준으로 위험을 유지할 수 있어야 합니다. 핵심은 그렇게 할 수 있어야 한다는 것입니다:
인벤토리 전반의 위험 (취약성)을 효율적으로 매핑하여 잠재적으로 영향을 받을 수 있는 모든 디바이스를 정확히 찾아내세요. 이를 위해서는 모든 디바이스의 제조사, 모델, OS, 프로토콜, 임베디드 소프트웨어 등에 대한 인사이트를 제공할 수 있는 실시간 세분화된 가시성이 필요합니다.
업데이트/패치를 적용하는 것이 안전한 시기를 결정합니다. 이를 위해서는 디바이스의 지속적인 연결 상태를 모니터링하여 디바이스가 사용 중이 아니거나 치료 제공에 영향을 줄 수 있는 어떤 것에 연결되지 않은 시기를 식별할 수 있어야 합니다. (이 기능은 처음에 취약점을 스캔하는 것이 안전한 시기를 파악하는 데도 도움이 될 수 있습니다. 이에 대한 자세한 내용은 취약점 관리를 위해 Rapid7과 어떻게 협력하고 있는지 확인하실 수 있습니다.)
업데이트/패치를 적용할 사람을 파악합니다. 이를 위해서는 영향을 받는 디바이스의 조직 소유자를 파악하고 조율해야 하는데, 이들은 대개 위험 해결에 대한 책임을 져야 하는 사람들입니다. 때로는 장치 제조업체와 협력하여 운영에 영향을 미치거나 보증을 무효화하지 않고 안전하게 적용할 수 있는지 확인하는 작업도 포함됩니다.
모든 디바이스의 위치를 신속하게 파악하여 수정 사항을 적용해야 할 때 아무도 디바이스를 찾기 위해 복도를 돌아다니며 귀중한 시간을 낭비하지 않도록 하세요. 이를 위해서는 디바이스가 연결 중인 VLAN 또는 RFID 기술을 통해 디바이스를 특정 위치에 연결할 수 있어야 합니다.
특히 근본 원인을 해결할 수 없는 경우(예: 패치를 사용할 수 없거나 적용할 수 없거나 프로토콜 사용을 금지할 수 없는 경우) 위험을 관리하는 가장 좋은 방법은 익스플로잇 성공이 조직에 미칠 수 있는 영향을 최소화하는 조치를 취하는 것입니다. 하지만 보안 시스템의 문제는 완화 조치를 아무 곳에서나 취할 수 없다는 것입니다.
누구도 득보다 실이 많은 일을 하고 싶지는 않겠지만, 임상 네트워크 내에서 이는 매우 현실적인 가능성입니다. 따라서 의료 서비스 제공 조직은 완화 전략을 수립할 때 모든 보상 통제 수단을 검토하고 각 시나리오에 가장 적합한 수단을 선택해야 합니다. 제어는 디바이스의 중요도와 위협의 심각도에 따라 에어 갭 및 세분화에서 격리 및 차단에 이르기까지 다양할 수 있습니다. 목표는 조직의 관리 및 운영을 방해하거나 방해하지 않는 방식으로 환경 전반의 취약성을 해결하고 위험을 줄이는 것입니다.
위험 허용 범위에 맞는 종합적인 취약성 관리 전략을 수립하는 방법에 대한 자세한 내용은 Dropbox 백서 및 이 Rapid7 통합 문서를 참조하세요.
