Chris Betz(06:30):
좋은 질문이네요. 사실 모든 회사는 각자의 방식으로 보고합니다. 비즈니스의 맥락에서 위험에 대해 이야기하는 것이 중요하기 때문입니다. 이사회와 대화할 때는 이사진이 누구인지, 어떤 유형의 리더인지, 그들의 전문 분야가 무엇인지를 이해하는 것이 매우 중요합니다.
제가 여기 AWS의 이사회와 이야기를 나눌 때는 기술의 여러 측면뿐만 아니라 비즈니스의 다양한 측면에 대한 이해가 매우 깊은 이사회 멤버들과 대화를 나눕니다. 소매업이든 다른 분야든 특정 유형의 비즈니스에 대한 전문가가 있는 이사회에서 대화할 때와는 매우 다른 접근 방식과 다른 지식으로 대화하게 됩니다.
그리고 비즈니스 리더로서 CISO에 대해 방금 나눈 대화로 돌아가서 가장 중요한 것은 비즈니스의 맥락에서 보안을 이해하는 것입니다.
Clarke Rodgers(07:32):
그리고 보고도 그런 식으로 이루어지죠.
Chris Betz(07:33):
비즈니스에 어떤 영향을 미치는지의 측면에서 보고해야 합니다. 보안 책임자는 많은 업무를 수행하지만, 저는 크게 네 가지로 생각하는 편입니다. 비즈니스에 '좋은' 것이 무엇이라고 생각하는지에 대한 기준을 설정하는 것이 경영진과 보안 책임자가 함께 수행하는 업무입니다. 위험 허용 범위는 어느 정도인가? 달성하고자 하는 목표가 무엇인가? 진실과 투명성의 원천이 되는 것이 보안 리더로서의 일입니다. '오늘 우리의 성과는 이렇습니다.' 바로 여기서부터 정량적인 대화가 시작하는 거죠.
Clarke Rodgers(08:08):
우리는 고객에게 신뢰를 얻어야 하지만, 보안 담당자는 비즈니스 파트너로부터 신뢰를 얻어야 하죠.
Chris Betz(08:11):
우리는 경영진의 신뢰를 얻어야 합니다. 여기서 가장 중요한 세 번째 요점으로 연결되는데, 우리가 그저 투명성의 원천이 되는 데서 그치면 안 된다는 것입니다. 문제만 지적해서는 안 됩니다. 보안 리더로서 우리는 비즈니스가 보안 위험을 효과적이고 효율적으로 줄일 수 있는 방법에 대한 해결책을 제시해야 하며, 이러한 해결책을 제시하고 그 방법을 고민하는 것이 우리의 임무입니다.
"문제만 지적해서는 안 됩니다. 보안 리더로서 우리는 비즈니스가 보안 위험을 효과적이고 효율적으로 줄일 수 있는 방법에 대한 해결책을 제시해야 합니다."
마지막으로 네 번째 사항은 보안에 대한 책임을 지고, 이사회에 투명성을 유지하며, 우리가 설정한 기준을 어떻게 충족하고 있는지에 대해 경영진에 책임을 지는 것도 우리의 임무라는 것입니다. 이처럼 우리의 역할은 매우 다양합니다. 이 분야에서 가장 성공적이라고 생각하는 기업의 보안 리더들은 '달성해야 할 목표와 목표 달성에 얼마나 가까워졌는지'에만 그치는 것이 아닌 정말 사려 깊은 방식으로 기업이 목표를 달성할 수 있도록 하는 데 초점을 맞춥니다.
Clarke Rodgers(09:13):
Chris, 오늘 함께 해주셔서 정말 감사합니다.
Chris Betz(09:15):
정말 좋았습니다. 불러 주셔서 감사합니다.
