Belie

1. 관리체계 수립 및 운영

  1.1 관리체계 기반 마련

      1.1.1 경영진의 참여

          최고경영자는 정보보호 및 개인정보보호 관리체계의 수립과 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사 결정 체계를 수립하여 운영하여야 한다.

 

         ㅇ 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 등의 책임과 역할을 문서화

            - 의사결정 등의 책임과 역할 등 활동의 근거를 정보보호 및 개인정보보호 정책 또는 시행 문서에 명시

               * 정보보호 정책서에 분기별로 정보보호 현황을 경영진에게 보고하도록 명시 하였으나, 장기간 관련 보고 미수행

 

         ㅇ 경영진이 의사결정에 적극적으로 참여할 수 있는 보고, 검토 및 승인 절차를 수립. 이행

            - 정보보호 및 개인정보보호 관리체계 내 경영진이 참여하는 활동을 정의하고 그에 따른 보고체계 마련

            - 효과적으로 참여할 수 있도록 조직 규모 및 특성에 맞게 보고 및 의사결정 절차, 대상, 주기 등 결정 

            - 수립된 절차에 따라 관리체계 내 주요 사항에 대하여 보고를 받고 의사결정 참여

               * 중요 정보보호 활동을 수행하면서 관련 활동 보고, 승인 등 의사결정에 경영진 권한을 위임받은자가 참여하지

                 않았거나, 관련 증적이 확인되지 않은 경우

 

      1.1.2 최고책임자의 지정

         최고경영자는 정보보호 업무를 총괄하는 정보보호  최고책임자와 개인정보보호 업무를 총괄하는 개인정보보호 책임자를 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하여야 한다.

 

         ㅇ  최고경영자는 정보보호 및 개인정보보호 관리 업무를 총괄하는 최고책임자를 공식적으로 지정(인사발령 등)

            - 최고책임자는 인사발령 등을 통해 공식으로 임명, 당연직의 경우 정보보호 및 개인정보보호 정책서에 직위명시

 

         ㅇ  최고책임자는 예산, 인력 등 자원을 할당 할 수 있는 임원급으로 지정 및 법령에 따른 자격요건 충족

            (망법 시행령 제36조의7)

            - 정보보호 및 개인정보보호 최고책임자는 관련 지식 및 소양이 있는자로, 자원을 할당 할 수 있는 임원급으로 지정 

             * 최고책임자 지정 및 신고 의무 대상자임에도 정보보호 최고책임자를 지정 및 신고하지 않은경우

망법 제45조의3(정보보호 최고책임자의 지정 등)   ① 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당 하는 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고하여야 한다. 다만, 자산총액, 매출액 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자의 경우에는 정보보호 최고책임자를 신고하지 아니할 수 있다.   ⑦ 정보보호 최고책임자의 자격요건 등에 필요한 사항은 대통령령으로 정한다. 망법 시행령 제36조의7(정보보호 최고책임자의 지정 및 겸직금지 등)   ① 법 제45조의3제1항 본문에서 “대통령령으로 정하는 기준에 해당하는 임직원”이란 다음 각 호의 구분에 따른 사람을 말한다. <신설 2021. 12. 7.>     1. 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 사업주 또는 대표자       가. 자본금이 1억원 이하인 자       나. 「중소기업기본법」 제2조제2항에 따른 소기업       다. 「중소기업기본법」 제2조제2항에 따른 중기업으로서 다음의 어느 하나에 해당하지 않는 자         1) 「전기통신사업법」에 따른 전기통신사업자         2) 법 제47조제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자         3) 「개인정보 보호법」 제30조제2항에 따라 개인정보 처리방침을 공개해야 하는 개인정보처리자         4) 「전자상거래 등에서의 소비자보호에 관한 법률」 제12조에 따라 신고를 해야 하는 통신판매업자     2. 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 이사       가. 직전 사업연도 말 기준 자산총액이 5조원 이상인 자       나. 법 제47조제2항에 따라 정보보호관리체계 인증을 받아야 하는자 중 직전 사업연도 말 기준 자산총액 5천억원 이상     3. 제1호 및 제2호에 해당하지 않는 정보통신서비스 제공자: 다음 각 목의 어느 하나에 해당하는 사람      가. 사업주 또는 대표자      나. 이사      다. 정보보호 관련 업무를 총괄하는 부서의 장   ③ 법 제45조의3제1항 단서에 해당하는 자가 정보보호 최고책임자를 신고하지 않은 경우에는 사업주나 대표자를 정보보호 최고책임자로 지정한 것으로 본다. <신설 2021. 12. 7.>   ④ 법 제45조의3제1항 및 제7항에 따라 정보통신서비스 제공자가 지정ㆍ신고해야 하는 정보보호 최고책임자는  각 호의 어느 하나에 해당하는 자격을 갖추어야 한다. 이 경우 정보보호 또는 정보기술 분야의 학위는 「고등교육법」 제2조 각 호의 학교에서 「전자금융거래법 시행령」 별표 1 비고 제1호 각 목에 따른 학과의 과정을 이수하고 졸업하거나 그 밖의 관계법령에 따라 이와 같은 수준 이상으로 인정되는 학위를, 정보보호 또는 정보기술 분야의 업무는 같은 비고 제3호 및 제4호에 따른 업무를 말한다. <개정 2021. 12. 7.>         1. 정보보호 또는 정보기술 분야 석사학위 이상 학위를 취득한 사람         2. 정보보호 또는 정보기술 분야 학사학위를 취득한,해당 분야의 업무를 3년 이상 경력         3. 정보보호 또는 정보기술 분야 전문학사학위 취득한, 해당 분야의 업무를 5년 이상 경력         4. 정보보호 또는 정보기술 분야 업무를 10년 이상 수행한 경력         5. 법 제47조제6항제5호에 따른 정보보호 관리체계 인증심사원의 자격 취득         6. 해당 정보통신서비스 제공자의 소속인 정보보호 관련 업무를 담당하는 부서의 장으로 1년 이상 근무 경력   ⑤ 법 제45조의3제3항에서 “자산총액, 매출액 등 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자”란 정보 통신 서비스 제공자로서 제1항제2호 각 목의 어느 하나에 해당하는 자를 말한다. <개정 2021. 12. 7.>   ⑥ 제5항에 따른 정보통신서비스 제공자가 지정ㆍ신고해야 하는 정보보호 최고책임자는 제4항에 따른 자격을 갖추고 상근(常勤)하는 사람으로서 다음 각 호의 어느 하나에 해당하는 자격을 추가 필요      1. 정보보호 분야의 업무를 4년 이상 수행한 경력이 있는 사람      2. 정보보호 분야, 정보기술 분야 업무경력 합산 기간이 5년(정보보호 분야의 업무 2년 이상 경력) 이상인 사람 개보법 제32조(개인정보 보호책임자의 업무 및 지정요건 등)   ② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우, 다음 각 호의 구분에 따라 지정   1. 공공기관: 다음 각 목의 구분에 따른 기준에 해당하는 공무원 등    가. 중앙행정기관: 고위공무원단에 속하는 공무원(이하 “고위공무원”이라 한다) 또는 그에 상당    나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 또는 그에 상당    다. 가목 및 나목 외에 고위공무원, 3급 공무원(상당)을 장으로 하는 국가기관: 4급 이상 또는 그에 상당    라. 가목부터 다목까지 외의 국가기관(소속 기관을 포함한다): 개인정보 처리 관련 업무를 담당하는 부서의 장    마. 시ㆍ도 및 시ㆍ도 교육청: 3급 이상 또는 그에 상당    바. 시ㆍ군 및 자치구: 4급 또는 그에 상당    사. 제2조제5호에 따른 각급 학교: 해당 학교 행정사무 총괄하는 사람    아. 가목부터 사목까지 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장   2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람    가. 사업주 또는 대표자    나. 임원(임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장) ③ 제2항에도 불구하고 개인정보처리자가 「소상공인기본법」 제2조에 따른 소상공인에 해당하는 경우에는 별도의 지정 없이 그 사업주 또는 대표자를 개인정보 보호책임자로 지정한 것으로 본다.다만, 개인정보처리자가 별도로 개인정보보호책임자를 지정한 경우에는 그렇지 않다.

 

      1.1.3 조직 구성

         최고경영자는 정보보호와 개인정보보호의 효과적 구현을 위한 실무조직, 조직 전반의 정보보호와 개인정보보호 관련 주요 사항을 검토 및 의결할 수 있는 위원회, 전사적 보호활동을 위한 부서별 정보보호와 개인정보보호담당자로  구성된 협의체를 구성하여 운영하여야 한다.

       

         ㅇ 관리체계의 지속적 운영을 위해 필요한 조직구성의 근거를 정보보호 및 개인정보보호 정책서 등에 명시하고, 전문성을 갖춘 실무조직을 구성하여 운영

            - CISO, CPO, 실무조직, 위원회 등 정보보호 조직의 구성, 운영에 대한 사항을 정책서 및 내부관리계획에 명시

            - 실무조직은 전담, 겸임으로 구성가능하나, 겸임조직을 구성하더라도 역할 및 책임이 공식적으로 부여필요

            - 실무조직의 구성원은 정보보호 및 개인정보보호 전문성과 다양한 서비스 이해와 경험이 많은 직원으로 구성

 

         ㅇ 조직전반에 중요한 정보보호 관련사항에 대하여 검토, 승인 및 의사결정을 할 수 있는 위원회를 구성, 운영 필요

           - 위원회는 경영진, CISO, CPO 등 의사결정 권한이 있는 임직원으로 구성하여 정기 또는 사안에 따라 수시개최

            -> 주요사안 : 정책, 지침의 제,개정, 위험평가 결과, 예산 및 자원 할당, 보안, 위반사고 조치, 내부감사 결과 등

           * 정보보호 및 개인정보보호 위원회를 구성하였으나, 실무부서 장으로만 구성되어 있어 주요 정보보호사항에 대해 결정할 수 없는 경우

           * 위원회를 개최하였으나, 연간 정보보호 및 개인정보보호 계획, 교육 계획, 예산인력 등 주요 사항이 검토 및 의사 결정이 되지 않은 경우

 

         ㅇ 전사적 활동을 위해 정보보호 및 개인정보보호 관련 담당자, 부서별 담당자로 구성된 실무협의체를 구성 운영필요

           - 실무 협의체에서는 정보보호 및 개인정보보호 관련사항을 실무차원에서 공유,조정,검토,개선하고, 의사결정 및 경영진 지원 필요시 위원회에 상정하여 논의

           * 내부 지침에 따라 중요 정보처리 부서 및 개인정보처리 부서장(팀장급)으로 구성된 실무협의체를 구성하였으나,  장기간 미운영

 

      1.1.4 범위 설정

        조직의 핵심 서비스와 개인정보 처리 현황 등을 고려하여 관리체계 범위를 설정하고, 관련된 서비스를 비롯하여 개인정보 처리 업무와 조직, 자산, 물리적 위치 등을 문서화 하여야 한다.

 

      ㅇ 조직의 핵심 서비스 및 개인정보 처리에 영향을 줄 수 있는 핵심자산을 관리체계 범위에 포함하여야 함

        - 관리체계 범위에는 사업(서비스)와 관련된 임직원, 정보시스템, 정보, 시설 등 유, 무형의 핵심자산을 누락없이 포함

        - 관리체계 의무대상자 경우 법적 요구사항에 따른 정보통신서비스 및 관련 정보자산 의무적으로 포함하여 범위 설정

 

      ㅇ 정의된 범위 중 예외사항이 있을 경우 명확한 사유 및 관련자 협의, 책임자승인 등 관련 근거를 기록, 관리 하여야 함

        - 정보보호 관리체계와 개인정보 관리체계의 범위가 상이한 경우 인증범위 내의 정보자산 목록(개인정보, 시스템, 네트워크 등)을 정보보호 관리체계 및 개인정보보호 관리체계 관점에서 명확하게 식별하여 정의

         - 인증범위에서 제외되는 서비스, 정보시스템 등에 대해서는 내부 협의 및 책임자 승인을 거친 후 사유 및 근거 기록 관리

      ㅇ 관리체계 범위를 명확히 할 수 있도록 관련된 내용(주요 서비스 및 업무 현황, 정보시스템 목록, 문서목록 등)이 포함된 문서를 작성하여 관리하여야 한다.

         -  주요 서비스 및 업무 현황(개인정보 처리 업무 현황 포함)

         - 서비스 제공과 관련된 조직 현황(조직도 등)

         - 정보보호 및 개인정보보호 조직 현황

         - 주요 설비 목록

         - 정보시스템 목록 및 네트워크 구성도

      1.1.5 정책 수립

      1.1.6 자원 할당

  1.2 위험 관리

      1.2.1 정보자산 식별

      1.2.2 현황 및 흐름분석

      1.2.3 위험평가

      1.2.4 보호대책 선정

  1.3 관리체계 운영

      1.3.1 보호대책 구현

      1.3.2 보호대책 공유

      1.3.3 보호대책 관리

  1.4 관리체계 점검 및 개선

      1.4.1 법적 요구사항 준수 검토

      1.4.2 관리체계 점검

      1.4.3 관리체계 개선

 

 

1. 관리체계 수립 및 운영

  1.1 관리체계 기반 마련

      1.1.1 경영진의 참여

          최고경영자는 정보보호 및 개인정보보호 관리체계의 수립과 운영활동 전반에 경영진의 참여가 이루어질 수 있도록

          보고 및 의사 결정 체계를 수립하여 운영하여야 한다.

      1.1.2 최고책임자의 지정

      1.1.3 조직 구성

      1.1.4 범위 설정

      1.1.5 정책 수립

      1.1.6 자원 할당

  1.2 위험 관리

      1.2.1 정보자산 식별

      1.2.2 현황 및 흐름분석

      1.2.3 위험평가

      1.2.4 보호대책 선정

  1.3 관리체계 운영

      1.3.1 보호대책 구현

      1.3.2 보호대책 공유

      1.3.3 보호대책 관리

  1.4 관리체계 점검 및 개선

      1.4.1 법적 요구사항 준수 검토

      1.4.2 관리체계 점검

      1.4.3 관리체계 개선

 

1. 관리체계 수립 및 운영

  1.1 관리체계 기반 마련

      1.1.1 경영진의 참여

      1.1.2 최고책임자의 지정

      1.1.3 조직 구성

      1.1.4 범위 설정

      1.1.5 정책 수립

      1.1.6 자원 할당

  1.2 위험 관리

      1.2.1 정보자산 식별

      1.2.2 현황 및 흐름분석

      1.2.3 위험평가

      1.2.4 보호대책 선정

  1.3 관리체계 운영

      1.3.1 보호대책 구현

      1.3.2 보호대책 공유

      1.3.3 보호대책 관리

  1.4 관리체계 점검 및 개선

      1.4.1 법적 요구사항 준수 검토

      1.4.2 관리체계 점검

      1.4.3 관리체계 개선

2. 보호대책 요구사항

  2.1 정책, 조직, 자산 관리

      2.1.1 정책의 유지관리

      2.1.2 조직의 유지관리

      2.1.3 정보자산 관리

  2.2 인적 보안

      2.2.1 주요 직무자 지정 및 관리

      2.2.2 직무 분리

      2.2.3 보안 서약

      2.2.4 보안 서약

      2.2.4 인식제고 및 교육 훈련

      2.2.5 퇴직 및 직무변경 관리

      2.2.6 보안 위반 시 조치

  2.3 외부자 보안

      2.3.1 외부자 현황 관리

      2.3.2 외부자 계약 시 보안

      2.3.3 외부자 보안 이행 관리

      2.3.4 외부자 계약 변경 및 만료 시 보안

  2.4 물리 보안

      2.4.1 보호구역 지정

      2.4.2 출입통제

      2.4.3 정보시스템 보호

      2.4.4 보호설비 운영

      2.4.5 보호구역 내 작업

      2.4.6 반출입 기기 통제

      2.4.7 업무환경 보안

  2.5 인증 및 권한관리

      2.5.1 사용자 계정 관리

      2.5.2 사용자 식별

      2.5.3 사용자 인증

      2.5.4 비밀번호 관리

      2.5.5 특수 계정 및 권한 관리

      2.5 6 접근권한 검토

  2.6 접근통제

      2.6.1 네트워크 접근

      2.6.2 정보시스템 접근

      2.6.3 응용프로그램 점금

      2.6.4 데이터베이스 접근

      2.6.5 무선네트워크 접근

      2.6.6 원격접근 통제

      2.6.7 인터넷 접속 통제

  2.7 암호화 적용

      2.7.1 암호정책 적용

      2.7.2 암호키 관리

  2.8 정보시스템 도입 및 개발 보안

      2.8.1 보안 요구사항 정의

      2.8.2 보안 요구사항 검토 및 시험

      2.8.3 시험과 운영 환경 분리

      2.8.4 시험 데이터 보안

      2.8.5 소스 프로그램 관리

      2.8.6 운영환경 이관

  2.9 시스템 및 서비스 운영 관리

      2.9.1 변경관리

      2.9.2 성능 및 장애관리

      2.9.3 백업 및 복구관리

      2.9.4 로그 및 접속기록 관리

      2.9.5 로그 및 접속기록 점검

      2.9.6 시간 동기화

      2.9.7 정보자산의 재사용 및 폐기

  2.10 시스템 및 서비스 보안 관리

      2.10.1 보안시스템 운영

      2.10.2 클라우드 보안

      2.10.3 공개서버 보안

      2.10.4 전자거래 및 핀테크 보안

      2.10.5 정보전송 보안

      2.10.6 업무용 단말기기 보안

      2.10.7 보조저장매체 관리

      2.10.8 패치관리

      2.10.9 악성코드 통제

  2.11 사고 예방 및 대응

      2.11.1 사고 예방 및 대응체계 구축

      2.11.2 취약점 점검 및 조치

      2.11.3 이상행위 분석 및 모니터링

      2.11.4 사고 대응 훈련 및 개선

      2.11.5 사고 대응 및 복구

  2.12 재해 복구

      2.12.1 재해, 재난 대비 안전조치

      2.12.2 재해 복구 시험 및 개선

3. 개인정보 처리 단계별 요구사항

  3.1 개인정보 수집 시 보호조치

      3.1.1 개인정보 수집 제한

      3.1.2 개인정보의 수집 동의

      3.1.3 주민등록번호 처리 제한

      3.1.4 민감정보 및 고유식별정보의 처리 제한

      3.1.5 간접수집 보호 조치

      3.1.6 영상정보처리기기 설치, 운영

      3.1.7 홍보 및 마케팅 목적 활용 시 조치

  3.2 개인정보 보유 및 이용 시 보호조치

      3.2.1 개인정보 현황관리

      3.2.2 개인정보 품질보장

      3.2.3 개인정보 표시제한 및 이용 시 보호조치

      3.2.4 이용자 단말기 접근 보호

      3.2.5 개인정보 목적 외 이용 및 제공

  3.3 개인정보 제공 시 보호조치

      3.3.1 개인정보 제3자 제공

      3.3.2 업무 위탁에 따른 정보주체 고지

      3.3.3 영업의 양수 등에 따른 개인정보의 이전

      3.3.4 개인정보의 국외 이전

  3.4 개인정보 파기 시 보호조치

      3.4.1 개인정보의 파기

      3.4.2 처리목적 달성 후 보유 시 조치

      3.4.3 휴면 이용자 관리

  3.5 정보주체 권리 보호

      3.5.1 개인정보처리방침 공개

      3.5.2 정보주체 권리 보장

      3.5.3 이용내역 통지

1.     어플리케이션 환경

1.      중앙집중식 환경(Centralized Environment)

                -         모든 정보 시스템 작업들이 한 장소에서 이루어짐

                -         HQ에서 모든 결정이 이루어짐

                -         특징 : 업무의 일관성, 관리가 편리, 효율성 저하, 보안강도가 우수

2.      비중앙집중식 환경(Decentralized Environment) - PC환경

                -         로컬 수준에서 결정이 이루어짐.

                -         다수의 컴퓨터 사이트가 상호간의 통신 없이 독립적으로 운영(효율성 증가)

3.      분산 환경(Distributed Environment)

                -         다수의 사이트 상호간에 통신

                -         관리포인트 증가, 효율적, 보안에 취약

2.     어플리케이션 이슈

1.      로컬/비 분산 환경 이슈

1)      바이러스 : hostfile감염 악성코드

2)      트로이 목마 : 개인정보유출

3)      논리 폭탄(Logic Bombs) : 특정조건 부합 시 파괴 행위를 하는 코드

4)      웜 : 시스템 간 전파 되는 악성코드

5)      백도어(Backdoor) : 접근통제(인증) 우회경로 제공(관리, 개발 목적)

6)      Rootkit : 사용자에게 식별되지 않는 악성코드(kernel)

7)      Bot : 원격자동 실행 프로그램(DoS, Spam, Phising)

Virus Worm	공통점 : 자기 복제 차이점 : 독자 실행 여부
Trojan Logic Bombs	정상 S/W로 위장 정상 S/W로 분류(특정 조건 부합 시 작동)

3.     분산 환경

1.      분산 환경의 요구사항

               -         이식성(Prtability), 상호운용성(Interoperability), 투명성(Transparency)

               -         확장성(Extensibility), 견고성과 보안(Integrity, Reliability, Security)

4.     분산 기술

1.      DCE(Distributed Computing Environment)

l  OSF에서 만든 표준, UUID를 식별자로 사용

2.      DCOM(Distributed Component Object Model)

l  마이크로소프트에서 만든 기술, GUID를 식별자로 사용

3.      CORBA(Common Ovject Request Broker Architecture)

l  이기종 플랫폼간의 호환

5.     분산환경의 위험과 통제

1.      위험 요소

1)      Agent

                         -         관리자의 개입 없이 정해진 스케줄에 따라 인터넷 상에서 정보를 수집하거나 다른 서비스를 수행

                         -         Anti-Virus, Patch management, Configuration management

2)      Mobile Code

                         -         WWW브라우저를 통해 다운로드 되어 실행 되는 작은 어플리케이션

                         -         악성코드 포함 위험

                         -         Applet, Active-X

2.      Control

                -         애플릿의 수행환경 제한(SandBox)

                -         Trusted server, 신뢰할 수 있는 Mobile Code만 다운로드

                -         사용자교육

                -         브라우저 : 애플릿 파일, 네트워크 접근 제한 사용가능

1)      브라우저 : 쿠키 방식

                         -         Persistent(지속형:파일)

                         -         Non-Persistent(휘발성:메모리)

2)      ActiveX(실행 전 보장)(대응1)

                         -         Trust-relationship

                         -         사용자 인증코드(Authenticode)라고 하는 디지털 인증서 사용, 서버가 안전하다는 것을 보장하는 디지털 인증을 통해 서버와 클라이언트간 안전한 관계 확립

3)      Java Applet(실행 중 보장) (대응2)

                         -         Sandbox : 컴퓨터나 네트워크에 받아들이기 의심스러운 코드의 격리 수단 (실시간 가상환경 제공)

6.      로컬/비분산환경 위험과 통제

1.      위험 요소

1)      바이러스(감염) : 자신을 복제, 자동 동작 할 수 없다, 바이러스를 실행 해야 한다

2)      웜(전파, 확산) : 시스템에서 시스템으로 전파, 자동 동작, 자신을 다른 곳으로 전파

3)      트로이 목마(위장, 유출) : 정상프로그램이나 데이터 메시지에 몰래 숨겨진 악성코드

4)      논리 폭탄(특정조건, 악의적인) : 특정 조건에 부합되면 파괴적,보안 위협 행동

5)      백도어 : 접근통제를 우회하는 경로, 로그를 남기지 않음.

2.      탐지 방법

바이러스	Vaccine(교정), Anti-Virus(예방)	무결성
웜	N-IDS	가용성
트로이목마	H-IDS	기밀성
논리폭탄	소스코드 검증	무결성
백도어	소스코드검증, H-IDS	기밀성

 

7.     Programming/Data Attacks

1.      Data Diddling ; 원본을 위,변조하여 끼워 넣거나 바꿔 치기 하는 수법

2.      Salami attack : 큰 데이터에서 적은 데이터를 덜어내는 방식

3.      Round down : 반올림의 취약성

4.      Covert channel(은닉채널) : H-IDS, Source code review,정기적 감사를 통해 적발

 

 

8.     Database & Data Warehouse

1.      DBMS(Data Base Management System)

                         -         Persistence(지속되다_ : Data base reuse(재사용)

                         -         Data sharing(공유)

                         -         Recovery(복구)

                         -         Data base language(데이터베이스 언어)

                         -         Security & integrity(보안, 무결성)

2.      DBMS Architecture

1)      계층 형 : Tree 구조

2)      네트워크 형 : 구분 없이 상호 연결 됨

3)      관계 형 : 테이블간의 관계로 정의

4)      객체지향형 : 그래픽, 오디오, 멀티미디어 등 다양한 형식의 데이터 저장에 적합

3.      용어 정의

1)      뷰 : 가상적인 관계 혹은 부분 – 어떤 데이터가 특정 사용자에게 접근 가능할지를 조절(보안성 제공 : 예방통제)

2)      Tuple, Row, Record, Cardinality(행)

3)      Attribute, Field, Column, Degree(열)

4)      Commit, rollback

5)      Checkpoint : 저장시점, 복구에 사용

6)      2phase commit

                         -         분산환경에서 사용 되며 Commit 하기 이전에 Commit해도되는지 Prepare Phase를 통해서 확인 후 Commit Phase를 통해 Commit한다

4.      Transaction의 ACID특성

1)      원자성(Atomicity)

                         -         트랜잭션 변경은 모두 성공적으로 수행되거나 전혀 수행되지 않아야 한다.

2)      일관성(Consistency)

                         -         각 트랜잭션은 실행 후 일관적이어야 한다

3)      격리성(Isolation)

                         -         각각의 트랜잭션은 단독으로 실행된 것과 같은 효과를 가져야 한다

4)      영속성(Durability)

                         -         트랜잭션이 성공적으로 수행 되면 DB에 대한 변경은 영구적이어야 한다.

5.      DBMS Security

1)      Access protection(접근 보호)

2)      User Accounts(사용자 추적)

3)      Database Audits(DB 감사)

 

6.      DB Control-View

1)      View를 이용해 특별한 권한의 테이블, 컬럼, 키를 설정 할 수 있다.

①    DAC : By specific grant to user or group by owner

②    MAC : By classification level

2)      View(예방통제) : Virtual relation : DB의 다중레벨 보안을 위해 논리적 개념의 view를 이용하여 특별한 테이블 생성 가능.

7.      DB의 보안 위협

1)      집성(Aggregation)

-       낮은 보안 등급의 정보 조각을 조합하여 높은 등급의 정보를 알아 내는 것

-       예) 각 지사의 영업 실적을 조합하여 대외비인 회사의 총 매 출액 산정

2)      추론(Inference)

-       보안 등급이 없는 일반 사용자가 보안으로 분류되지 않은 정보에 정당하게 접근하여 기밀 정보를 유추해 내는 행위

-       보안 대책 : Polyinstantiation(다중 인스턴스화?)

-       방지 대책 : Partition, cell suppression, noise, perturbation(교란)

8.      Polyinstantiation, 다향성, MAC

l  같은 이름의 Data가 여러 개 존재하는 것을 허용 java over riding 개념

1)      Mandatory Access Control

①    기본 원칙

-       Resources : Classification : Users: Clearance level 할당

-       사용자가 자원에 접근하는 rule : BLP, Bi-ba model policy

-       Polyinstantiation : 각 Clearance level에 따라 보안과 무결성 법칙을 만족하는 multiple tuple 생성

9.      Data Warehouse

l  다차원적으로 분석할 수 있도록 하는 의사결정 지원 시스템

l  데이터웨어하우징

                         -         데이터의 수집 및 처리에서 도출되는 정보의 활용에 이르는 일련의 프로세스

l  OLAP(On-Line Analytics Processing)

                         -         데이터의 다차원 분석을 통한 정보추출 프로세스

                         -         기존의 SQL과 같은 가설 확인 중심의 조회 방식

l  정규화 : DB구조 내에서 중복되는 데이터요소들을 제거, 갱신 이상을 막기 위한 목적(무결성)

l  역 정규화 : 데이터베이스 처리 효율을 증가시키기 위한 목적, 무결성에 대한 Risk 존재 (효율성)

10.    Data Mining

1)      데이터를 분석, 가공하여 유용한 정보로 추출해내는 기술(가설 발견)

①    기본 정보 : SQL

②    다차원 정보 : OLAP vs 상반되는 것 OLTP ß 오답

③    숨겨진 정보 : 데이터 마이닝

④     

2)      연관 관계(맥주와 땅콩 구매), 순차 관계(커튼 구매 후 깔개 구매), 분류, 클러스터링 예측

3)      IDS에 활용, 보험사기 탐지에 사용

11.    Knowledge-Based System

1)      지식기반 시스템

①    지식과 best-practice에 기초한 의사결정 지원

②    의사결정 트리, 규칙, 의미망

12.    Expert System

1)      전문가 시스템

①     특정 문제 해결과 관련 된 사실과 전문가의 지식을 knowledge base에 축적해 두고 추론 엔진을 통하여 해결책을 얻는데 활용하는 인공 지능 시스템

②    추론 엔진 + 지식 베이스 + 사용자 인터페이스

-       추론 엔진 : 결론 도출을 위한 방법론 제공

-       지식 베이스 : 사실과 규칙의 집합

③    IDS에 사용

④    전문가 시스템의 구성요소 : 추론엔진, 지식베이스, 사용자 인터페이스

13.    Neural Network

1)      신경망 구조 네트워크

①    인간의 신경구조를 모방한 많은 단순 프로세서의 네트워크( neuron간의 weighted-connection)(가중치 있는 연결)

②    Training rule을 통해 사례로부터 학습

③    학습을 통해 습득 된 지식을 일반화하여 활용

④    응용 분야 : 패턴 인식, 문자, 음성 인식, 진단 시스템

9.     System Development Control

1.      객체지향의 특성

l  객체지향 특징 : 캡슐화, 추상화, 다형성, 상속

1)      추상화 : 객체에 대한 추상화 작업결과가 클래스이고, 같은 상태와 행동을 공유하는 객체들의 집합

2)      캡슐화(Class) : 데이터와 오퍼레이션을 묶는 것

l  정보은닉 : 클라이언트는 인터페이스만을 통하여 메시지를 전달

l  인터페이스 : 서비스를 정의하는 오퍼레이션의 집합, 유지보수가 용의(내부 구현이 바뀌어도 영향을 받지 않는다.)

3)      다형성 : 하나의 인터페이스에 많은 다른 구현을 숨기는 것

2.      SDLC 방법론

1)      Waterfall Model(폭포수모델)

-       시스템 개발을 몇 단계로 나누어 각 단계에서의 성과를 확인, 평가 한 후 다음 단계로 진행

-       각 단계의 작업 완료 후 전 단계로 되돌아가지 못해 사양 변경에 유연한 대처 곤란

①    특징

-       어떠한 공정에서 문제가 생겨도 앞의 공정 또는 앞에 앞의 공정 등에 되돌아가는 것이 곤란(공장 컨베이어 벨트)

②    장점

-       반드시 각 공정마다 눈에 보이는 성과물이 출력

-       다음 공정의 개시 예정이 세워져 있어 일정관리가 쉽다

-       사양이 분명해서 유사한 시스템 개발 경험이 있는 경우 효율, 품질 우수

③    단점

-       앞 공정으로 돌아가서 다시 반복하는 등 많은 시스템 개발에서는 작업공정의 변경이 곤란한 경우가 많다.

-       사용자의 요구를 만족하는 지는 최종적인 성과물이 완성되어야만 판명

-       사용자와 개발자와의 오해가 생길 수 있다.

2)      Modified Waterfall(보완 폭포수 모델)

-       폭포수 모델을 보완한 모델로 전 단계로 올라갈 수 있다

3)      Spiral Model(진화적 모형, 나선형)

4)      Prototyping

-       본격적인 시스템 개발 전에 사용자에게 최종 시스템의 형태를 미리 보여주는 과정

-       신속한 요구사항 파악이 가능하며 개발 기간과 비용 절감

-       변경 관리 곤란

①    특징

-       시스템 개발 시 고객이 목표를 정의하였으나 요구되는 속성을 어떻게 만족시킬 수 있을지 모르는 경우

-       이런 경우를 대비해 간단한 시제품(prototype)을 만들어 보여주는 것

-       원형 패러다임은 폭포수 모델의 단점을 보완하기 위해 점진적으로 시스템을 개발 하여 나가는 접근 방법

-       고객의 요구사항을 식별하기 위해 만든 실제 실행이 되는 시스템

-       성능, 보안, 견고함 및 신뢰도와 같은 소프트웨어 특성을 무시(보안 취약)

②    장점

-       시스템의 기능이 사용자에게 보여짐으로써 개발자와 사용자의 오해가 규명

-       완전하지 못하지만 작동하는 시스템을 만들어 가능성과 유용성을 관리자에게 보여줄 수 있다.

③    단점

-       재사용 어려움

-       변경관리의 어려움

 

1.     보안관리 개념 및 원칙

1.      (isc)2 Survey 보안이슈

1)      경영진의 지원이 없다면? ( 경영진의 지원과 의지)

-       자원은 할당되지 않을 것이며, 정책은 실행되지 않을 것이다.

-       정보보안 프로그램과 정책은 단지 ‘paper’에 불과하다

-       효과적인 정보보안 프로그램은 불가능하다.

-       조직의 지원과 예산을 배정할 수 없다.

2.      Security Triad

1)      기밀성(Confidentiality) : 데이터, 객체, 혹은 리소스가 허가 받지 않은 주체에 의해서 노출되지 않는 높은 수준의 확신을 제공한다.

①     기밀성을 보장하기 위한 대책 : 암호화, 트래픽 패딩, 접근통제, 데이터 분류

②     연관 : 민감성, 분별, 중대성, 은닉, 비밀, 사적보호, 격리

2)      무결성(integrity) : 객체가 그것의 진실성을 유지하고 오직 권한부여 된 주체에 의해서만 의도적으로 수정되는 원칙

①     무결성을 보장하기 위한 대책 : 접근통제, 인증, IDS, 암호화, hash검증 등

②     연관 : 정확성, 진실성, 확실성, 유효성, 부인 봉쇄, 책임추궁성, 책임, 완전성

3)      가용성(Availability):권한부여된 주체가 객체에 대하여 시기적절하고 방해받지 않는 접근이 허가 되는 원칙

①     가용성을 보장하기 위한 대책 : 성능 및 네트워크 모니터링, FW, 백업 등

②     연관 : 유용성, 접근가능성, 시기 적절함

3.      보안 목표

	위협요소	대응책
기밀성 Confidentiality	스니핑, 도청 Shoulder surfing	암호화 VPN
무결성 Integrity	중간자 공격 트로이 목마	접근통제/인증 직무분리
가용성 Availability	도스 공격 버퍼 오버 플로우	백업 Fault Tolerant(이중화)
책임추적성 Accountability	로그 삭제 및 파괴 해커	감사증적 식별, 인증, 권한부여(접근통제)

4.      Accountability,Traceability

l  보안사고 발생시 누구에 의해 어떤방법으로 발생한 것인지 추측할 수 있어야 함

l  주체의 신원을 증명(인증)하고 그들의 활동을 추적(Trace)하는 능력에 의존

l  식별, 인증 권한부여, 접근통제, 감사의 개념 위에 세워진다.

l  Auditability와 동일한의미

l  시스템 로그와 데이터베이스 저널(database journals), auditing에 의해 수행

1)      Audit trail(trace) 거래 증빙 문서

5.      보안 목적 : “Inter-dependencies”(상호의존적) :

1)      기밀성과 무결성은 서로에게 의존 : 객체 무결성이 없다면, 기밀성은 유지 될 수 없다.

2)      가용성은 무결성과 기밀성 모두에게 의존한다.

6.      Residual Risk

1)      Total Risk = Vulnerability * Asset value * Threat

2)      잔여위험(Residual Risk) : 위험을 감소 하기 위해 노력 이후 남는 위험

-       위험 식별 후 감소 시킬 수는 있으나 완전히 없앨 수는 없다.

 

7.      Reporting Model(보고체계 모델)

1)      보안에 대한 경영진의 관심을 유도해 낼 수 있으며, 적절한 예산과 자원을 확보할 수 있기 때문에 가능한 조직에서 높은 지위에게 보고를 해야한다.

2)      적절한 리포팅 관계는 부서간 이익의 충돌을 최소화 할 수 있으며, 전시 효과를 증가 시키고, 적절하게 펀딩을 할당하고, 소통을 효과적으로 할 수 있게 한다.

 

2.     데이터 등급 분류

1.      데이터 분류의 목적

1)      기밀성, 무결성, 가용성을 증진시키고 정보에 대한 위험을 최소화

2)      Cost-to-benefit ratio의 수립

3)      Maintain competitive edge

4)      Classification의 기본적인 목적은 자산들을 그룹핑하여 적절한 Class로 할당하는 것임

2.      Classification Criterial(분류기준):

1)      부여된 중요성과 민감성 Label에 기반하여 데이터를 보호하는 과정을 정형화 하고 계층화 하는 것

①     가치 및 유용성(value&Usefulness):데이터 등급 결정의 가장 중요한 요소

②     Lifetime:classified된 데이터는 일정 기간이 지나면 자동으로 분류 해제

③     데이터가 노출되었을 경우에 발생할 수 있는 피해의 수준

④     데이터가 수정되거나 손상이 되었을 경우에 발생할 수 있는 피해의 수준

⑤     데이터 보호에 관한 법, 규제, 혹은 책임

 

3.      자산의 가치 결정 이유

1)      CBA(Cost Benefit Analysis) 수행

2)      Safeguard selection 선택

3)      보험가입

4)      “Due Care”를 만족시키기 위해서

l  데이터는 가능한 한 단순하게, 분류레벨도 최소화하여 분류

4.      자산 분류의 원칙

1)      자원을 분류하기 위해서 Risk-based approach를 고려

2)      가능한 단순하게 하고, 분류 레벨도 최소화

3)      데이터를 분류하는 이유는 “민감한 데이터를 더 잘 보호하기 위해서”

4)      Label=Lever * Category

5.      데이터 분류 과정

1)      분류 수준(Classification Level)을 정의한다. ( 보안관리자 )

2)      데이터 분류의 결정 기준을 정의한다 ( 보안관리자 )

3)      데이터 소유자가 책임지고 데이터의 등급을 표시한다 (주관 부서장 주제, 등급 )

4)      분류된 수준에 따라 데이터를 책임지고 유지할 관리인(Custodian)을 지정 한다.

5)      각각의 분류 수준에 따르는 보안 통제, 보호 메커니즘을 결정한다.

6)      정보 분류 이슈들에 대한 모든 예외 사항들을 문서화 한다.

7)      보관 중인 정보를 다른 데이터 소유자에게 전송하는 방법에 대해 명시한다.

8)      주기적으로 데이터 분류와 소유권을 검토하는 절차를 만든다.

9)      데이터 declassify에 대한 절차를 명시한다.

10)   보안인식 프로그램에 통합하여 모든 직원들이 데이터를 다루는 방법을 이해 할 수 있게 한다.

l  Classification Control

-       중요 데이터와 응용프로그램에 대한 강력하고 세분화된 접근 통제

-       데이터 저장 및 전송 중의 암호화

-       감사와 모니터링

-       직무 분리

-       주기적 검토

-       백업 및 복구 절차

-       변경통제 절차

6.      책임의 계층

1)      End User : 회사직원, 고객 등

①     업무와 관련된 작업을 위해 데이터를 일상적으로 사용하는 개인

②     데이터의 기밀성, 무결성, 가용성을 보장하기 위한 운영적인 보안절차를 따름( 준수 책임 )

③     조직의 일선에서의 눈과 귀의 역할을 하며 보안 사고를 보고

2)      정보보안 관리자

①     보안 위험에 대해 경영진과 Communication 수행

②     보안 표준, 절차, 가이드라인의 개발

③     보안 인식 프로그램의 개발과 제공

④     보안 컴플라이언스 프로그램의 개발

⑤     내/외부 감사인 지원

⑥     보안 사고 및 대응을 평가/측정

3)      Biz/Data Owner

①     최고 경영진의 구성원으로서 데이터 보호와 사용에 궁극적인 책임

②     데이터 분류 결정, 데이터에 대한 관리(유지, 보안, 백업) 권한을 Custodian에게 위임

③     자신이 책임지고 있는 데이터에 대한 보안사고에 대해서 처리할 책임

4)      경영진

①     정보자산 보호에 대한 궁극적인 책임

②     조직이 받아들일 수 있는 위험 수준을 인지

5)      Data Custodian

6)      Librarian

①     메인 프레임 환경(실시간이 아닌 일괄 처리 환경)에서 수립된 직무로 시스템 어드민 또는 운영자의 직무 기능으로 통합

②     Removable media(테이프, 디스크 등)을 다루는 책임

③     백업 매체의 오프 사이트로 이동

④     프로그램을 생산환경으로 이동 예)프로그램 백업 카피 준비( 개발자가 하면 안됨)

⑤     소스코드 통제

7)      IS감사인

①     보안 목적의 적절성에 대해 경영진에게 독립적인 보증을 제공

②     경영진에게 통제의 효과성에 대해 독립적인 견해를 제공

③     외부감사인의 감사는 객관성을 제공

8)      System Admin(운영자)

①     소프트웨어 배포 시스템 운영 예) 업데이트, 패치

②     주기적으로 취약점 분선 툴을 사용하여 취약점 fix를 위한 업그레이드 및 패치

9)      IS 보안 운영 위원회

①     전술적, 전략적인 보안 이슈에 대한 결정을 책임

②     CEO가 Head이며, CFO, CIO 부서 매니저, 감사인이 참여

③     조직의 수용가능한 위험을 정의

④     보안 목적과 전략을 개발

⑤     이니셔티브의 우선권 결정

 

3.     보안 프로그램

1.      보안프로그램(보안 관리시스템)

l  보안정책,

l  표준/가이드라인,

l  절차/사고처리+(대책/솔루션),

l  보안인식교육

1)     프로그램의 계층적 구조

 

2)     정책 : 조직의 보안 필요에 대한 개요 혹은 일반화, 보안이 중요한 이유와 어떤 자산이 가치가 있는지를 명확하게 정의

3)     표준 : 하드웨어, 소프트웨어, 기술, 그리고 보안통제의 균일한 사용을 위한 강제적인 요구사항 정의

4)     절차 : 특정 보안 메커니즘, 통제 등을 구현하기 위해 필요한 정확한 실행을 설명하는 상세한, 단계별 how-to 문서이다.

5)     지침 : 표준과 기준이 구현되는 방법에 대한 권장 사항을 제공

2.      보안 프로그램(거버넌스)

1)     Corporate Governance

-       기업이 지시되고 통제되는 시스템

-       전략적 방향을 제공하기 위해 조직 경영진이 사용하는 책임과 업무의 집합으로서, 이를 통해 조직 목표가 달성가능하고, 위험이 적절히 대응되며, 조직의 자원이 적절히 사용되도록 보장

2)     Information Security Governance

-       보안에 거버넌스가 적용 될 경우 보안 목표와 기업의 목표를 연계하는 것을 도와준다.

-       책임 : 이사회와 경영진

3.      보안 프로그램(보안정책)

1)      보안 정책 개요

①     보안정책의 정의

-       반드시 충족 해야 할 특정 요구사항 또는 규칙에 대한 윤곽을 명시한 문서(포괄적)

-       Senior management(고위경영진)에 의해 생성 된 high level statement

-       Borad(포괄적),General(일반적),Overview(개괄적)

-       정책은 문서화되어야 하고 교육을 잘 시킨 상태라야 법적보호를 받게 된다.

                                                    i.         공식적으로 문서화 시켜 놓지 않는다면 법률상의 문제 발생시 법정에서 법적 인정을 받지 못함. (Due Care, Due Diligence 준수)

-       새로운 비즈니스 모델을 도입했거나 다른 회사와 합병했거나, 소유주가 변경 되는 등의 기업환경이 변화하면 반드시 수정되고 재검토 되어야한다.

②     보안정책 서술 기법

-       명료(clear)& 간략(concise)하고 포괄적인 용어로 작성 되야 함

③     정책 수립 시 고려요소

-       Meet Business objectives : 경영 목적 반영

④     정보보호 정책 수립 시 중요성

-       정책은 조직 문화의 방향을 제시한다

-       무엇을 보호하고 왜 보호 해야하는 가가 기술 되어 있다.

-       정책은 무엇을 제일 우선적으로 보호해야 하며 비용은 얼마를 투자해야 하는가에 대한 우선순위를 정한다.

-       보안 정책을 마련하는 것은 사용자의 네트워크를 보호하고 지키기 위한 필수적인 첫번째 단계이다. 보안정책은 자신의 회사와 네트워크 내에서 허용되는 행위로 적합한 행위가 무엇인지 정의하는 기준이 된다. 보안정책 수립은 가장 기본적인 단계이며, 다른 모든 것을 판단하는 ‘법률의 규칙’이 된다.

⑤     정책 선언문에 포함 되어야 할 사항

-       조직의 보안목표

-       책임은 누구에게 있는가

-       보안에 대한 기관의 실행의지

⑥     보안 정책 “MUST”

-       Be based on Risk and Cost (기본적인 위험과 가격 감안)

-       Are Enforceable (현실성, 처벌규정)

-       Communicate Policy

-       Track Exceptions (예외 사항)

2)      보안 정책의 종류

①     Acceptable Use Policy(허가된 사용에 대한 정책): 회사자원의 적절한 사용

-       회사 컴퓨팅 자원의 적절한 사용을 정의

-       조직 자원의 사용에 대해 acceptable/unacceptable에 대한 정의

-       많은 회사들이 첫 번째 고용 시 계정을 부여하기 전에 읽고 사인 요구

②     Unacceptable Use(금지된 사용에 대한 정책)

-       해적판 소프트웨어,라이선스를 가지지 않은 소프트웨어를 설치하거나 배포하는 등, 지적재산권 침해행위

-       다른사람에게 자신의 계정과 패스워드를 알려주거나 다른 사람이 자신의 계정을 사용하도록 허락하는 행위 (책임추적성 손상)

-       회사 보안팀이 사전에 공지하지 않은 포트 스캐닝이나, 네트워크에 대한 감시를 하는 모든 행위

③     User Account(계정정책)

-       시스템이 사용자들을 식별 하기 위해서 필요(개인별 계정부여)

-       사용자들이 비인가 된 자원의 접근을 얻기 위한 시도가 허가되지 않아야 한다.

④     Remote Account(원격 접속에 대한 정책)(내부 직원)

-       회사직원, 계약자, 벤더에게 모두 적용

-       Dial-in modems, frame relay, ISDN, DSL, VPN,.SSH and cable modems, etc

⑤     엑스트라넷 연결정책 (외부 업체)

-       자신의 조직과 관련 없는(외부 업체)  사람들이 네트워크에 있는 자원에 연결하거나 접근 하려 할 때 이를 “처리하는 방법”과 “요구사항들”을 다룬다.

-       요청하는 사람들 : 회사와 합법적으로 일하려 하는 계약자, 사업 파트너, 특별한 주의를 요하는 큰 규모의 고객 집단

3)      Security Policy Type

①     Organizational /program Security Policy(조직 전반적인 정책)

-       Senior level management(고위경영진 선언문)

-       개괄적, 별로 수정을 요하지 않음

-       보안을 위한 조직의 전략적 방향을 제시하고 그 이행을 위한 자원할당

-       조직 내 프로그램의 목적과 그 범위를 규정, 프로그램 이행을 위한 책임을 할당, 직원들이 준수해야 될 사항들을 설명

②     Issue-Specific Security Policies(ISSP)(사안별 보안 정책)

-       그때그때 상황에 맞는 적절성과 조직의 관심사항 등에 초점, 잦은 개정(업데이트)이 요구 됨.

-       새로운 기술과 새로운 위협이 새로이 생성 될 때 개별 쟁점 정책 필요

-       관련 토픽 : APT(Advanced Persistent Threat), 사용자의 보안의식, 건전한 습관( 주기적 백업, PW교체 등)

③     System-Specific Policy(SysSP) (시스템 별 정책)

-       접근통제 목록을 작성 하거나 사용자들에게 허용되는 행위 등에 대한 교육을 실시할 때 필요한 일반적인 정보나 방침을 제공

-       개별 시스템(컴퓨터, 네트워크)에 대한 보안 목적을 정의

4)      보안 프로그램(보안 표준, 가이드라인, 절차, 베이스라인)

①     Standard(필수)

-       조직 내의 의무적 사항으로 특정한 기술/ 파라미터, 절차의 공통된 사용을 규정

-       여러 당사자들 사이에 동일하고 효과적인 운영을 위해 합의된 협정들

-       정책을 준수하는 Uniform, Consistent Method 도달해야 할 기대 수준

②     Guideline(필수)

-       조직 내에서의 의무적인 사항이 아니라 제안적인(suggestive)사항

-       System-specific standard procedures를 개발하는 데 도움을 줌

-       특정 표준이 적용되지 않는 사람들에 대한 권고 행위와 운영적인 사항

③     Procedure(선택)

-       특정 task를 달성하기 위해 상세히 설계

-       특정 업무를 수행하기 위한 사용자나 시스템 운영자가 적용되고 있는 보안정책, 표준, 가이드라인을 수행하는데 필요한 자세한 단계를 기술

-       보안정책, 표준, 지침을 잘 적용 할 수 있도록 도와준다

-       Step-by-Step Procedure(단계별)

④     Baseline(선택)

-        필요한 최소 보호 수준을 정의

⑤     표준, 지침, 베이스라인은 각자 개별화 하고 모듈화 해야 한다.

5)      보안 프로그램(보안 관리 계획)

l  보안 관리 계획은 장기-> 중기-> 단기 순으로 Top Down방식

6)      보안 프로그램(보안 인식교육)

①     보안인식교육의 목적 및 이점

-       보안 인식은 IT보안의 핵심적인 요소

-       행동의 변화와 좋은 보안정책의 실행을 강화

-       좋은 정보보호 습관을 강화하기 위한 것

-       Top-down(tone from the top)방식으로 유도되어야 함

-       Fraud 및 비 인가된 행동 감소, 회사자원의 개인적 사용감소

②     보안인식을 전달하는 기술

-       WBT(Web-Base Training), CBT(Computer-Base Training)

-       원격 컨퍼런스 기반 세션, Webinar(Web+Seminar)

-       보상프로그램 및 컴퓨터 정보보호의 날

③     보안인식 교육 주제(Topic)

-       보안정책

-       패스워드 정책

-       악성코드

-       사회공학

④     보안인식교육의 효과적인 방법은 개인화/맞춤화 해야한다.

⑤     보안 교육의 종류

	인식	훈련	교육
특성	무엇을	어떻게	왜
단계	정보	지식	통찰력
목적	태도/인지(습관변화)	기술	이해
교육 방법	매체	실질적인 교육	이론적인 교육
	비디오	강의	토론 세미나
	뉴스레터	사례연구 워크샵	배경지식 일기
	포스트 등등	실습
평가 척도	참/거짓	문제 해결	단편의 글
	사지선다형 문제	배운 것의 응용	배운 내용 기술
	배운 내용 확인
영향을 미치는 기간	단기간	중간	장기간

⑥     Education

-       Awareness : 태도/ 인식/ 습관

-       Training : 기술/실무

-       Education : 이해/이론/지식/통찰력

⑦     보안인식 교육이 효과적이고 기억에 오래 남게 하는 법

-       Role Play : Piggyback(Tailgating), pw reset

-       Analogies 사용 : 복잡한 상황을 비유하여 설명

-       명백하고 이해하기 쉬운 형태로 토픽의 중요성(취지나 동기) 설명

⑧     보안인식 교육의 효과 측정법

-       보안 위반 신고 건수 증가, 보안 위반 건수 감소

-       보안 관련 헬프 데스크 문의 건수

-       직접 질문, 설문지 배포

⑨     보안인식 프로그램의 필수 요소

-       단순하고 직설적으로.

-       Top-Down 접근법( 최고 경영진의 지원과 모범)

 

4.     위험 관리

 

 

1.      위험관리 개요

1)      목적

①     위험을 수용 가능 한 수준으로 감소 시키는 것

②     조직의 정보에 대하여 더 나은 보안을 제공, 지출을 위한 최고경영자 설득 시 데이터 제공과 위험관리를 통해 나온 결과를 기반으로 관리자가 IT시스템에 대하여 최종 운용을 허가하도록 지원 해 줌

2)      성공적인 위험관리의 핵심

①     경영진의 지원

②     지속적인 위험평가와 위험관리

③     모든 종사원들의 Awreness 및 협력

 

 

2.      Risk Mitigation(위험완화) : 위험 분석을 통한 Risk에 대하여 Cost-benefit analysis(CBA)를 통하여 가장 효율적인 보안 대책이나 대응방안을 수립 하는 것

1)      Risk Mitigation option

 

3.      비용대비 투자효과 분석

1)      기본용어

①     Single Loss Expectancy(단일 손실 예상액)

-       1회 손실액(SLE) = 자산가치(AV) X 노출계수(EF)

②     Annualized Rate of Occurrence(년간 위협 발생 빈도수)

-       특정 위협이 1년에 발생할 예상 빈도

③     Annualized Loss Expectancy(년간 손실 예상액)

-       ALE = SLE * ARO = 자산가치(AV)*노출계수(EF)*위협주기(ARO)

2)      ROSI(Return on Security Investment)

①     ROSI의 필요성

-       보안통제가 없다면 재정적 피해를 얼마나 받을 수 있는지 알기 위해서

②     Soft Return On Investment(SORI) : 주관적

-       많은 보안관리자들은 여기에 의존

③     Hard Return On Investment(HROI)

-       보안사용을 정당화하는데 도움을 주는 정량적인 답을 제공

-       ALE=SLE*ARO

EX ) 네트워크를 통합 불법적 접근으로 인한 ALE는 10억원. 특정 방화벽 제품을 도입하면 불법접근의 80%를 예방 가능 이 제품의 연간 비용 3억 이 방화벽의 가치는? 5억원

3)      CBA-Cost Benefit Analysis

①     TCO

-       가용기간 전체에 걸쳐 소요되는 총비용(라이프사이클 비용)

-       도입부터 폐기까지 들어가는 총 비용

-       비용 사례

                                                    i.         하드웨어/프로그램 : 도입비, 설치비, 업그레이드 비용

                                                   ii.         운영비 : 테스트 비용, 전기, 보안 비용, 백업비용 ,감사, 보험비용

                                                  iii.         장기적인 비용 : 교체비, 폐기 비용 등

-       Life Cycle: 계획 -> 구축 -> 유지관리 -> 변경/개선 -> 폐기

4.      위험 관리(위험분석)

1)      위험분석(Risk Analysis) 개요

l  보안관리를 수행하기 위해서 시스템의 위험을 평가하고, 비용 효과적인 대응책을 제시하여 시스템 보안 정책과 보안 대응책 구현 계획을 수립하는 위험관리의 핵심이 되는 역할을 담당

l  어떤 위험이 완화되고 전가되어야 하는지, 수용되어야 하는지를 결정하기 위해 필요한 내역을 경영진에게 제공

l  성공적인 수행을 위해 top management의 직접적인 지원 필요

①     위험분석의 주요 목표

-       IT자산에 대한 위험을 측정

-       잠재적 위협의 영향을 질량화(quantify)

-       비용/이익 비교를 제공

②     위험분석의 결과(output)

-       중요한 자산에 대한 가치화(평가)

-       Safeguard나 countermeasure에 대한 추천

③     위험분석 시기(1년에 1번씩)

-       지속적 프로세스

-       조직의 사이즈와 activity 변경 시 (인수합병)

-       복잡하고 큰 컴퓨터 시스템 도입 시

-       조직 내 외부에 위협이 되는 것이 생겼을 때

④     위험분석에는 다음과 같은 것이 포함된다.

-       위험의 원천에 대한 철저한 조사

-       위험의 긍정적 및 부정적 결과

-       이러한 결과의 발생 가능성과 여기에 영향을 미치는 요인

2)      자산에 대하여 가치를 부여할 때 고려요소

l  기꺼이 비용을 지불할 만한 가치

l  투자된 초기 구매, 개발, 지원 및 보호 비용(역사적 원가)

l  지적 자산과 시장에서 형성된 가치(처분 가치)

l  분실 시 대처 비용을 포함 한 자산 불용 시 운용이나 생산성에 끼치는 영향, 그리고 그 자산의 피해로 인한 조직의 생산활동과 향후 기업 활동에 끼치는 영향 = 대체비용 + 기타 손실비용

①     자산가치 산정 시 정량적, 정성적 방법을 적용할 때 기준

정량적 기준	정성적 기준
자산 도입 비용 기준	업무 처리에 대한 자산의 기여도
자산 복구 비용 기준	자산이 영향을 미치는 조직과 작업의 수
자산교체 비용 기준	복구시간
기타	기타(조직의 특성에 맞는 요소들)

②     자산 복구 비용 기준의 예(Time Factor를 이용)

-       시스템 관리자 : 시스템 관리자(직급) 수당/hr X 복구 시간(hr) = Value

-       데이터 : 복구 시간(hr) X 복구 인력 수당 / hr = 데이터(중요도) Value

-       장비 : 장비대수 X 장비 당 평균 복구 시간(hr) X 시간당 복구 비용

3)      정량적 위험 분석

①     정량적(Quantitative)위험 분석

-       자산가치, 위협 빈도, 취약의 심각성 등의 항목이 수량화 되어 전체적 위험과 잔여 위험을 결정하기 위해 방정식(숫자값)에 입력 된다.

-       Numeric value로 표현하는 분석 방법 예)ALE

-       Hard dollars, Straightforward approach

-       공식적인 cost/Benefit Analysis 제공

②     정량적 분석 – 장정

-       의미 있는 통계적 분석이 지원

-       정보의 가치가 이해가 쉽게 표현

-       경영진을 설득시키기에 용이(객관성 있는 데이터 제공)

③     정량적 분석 – 단점

-       계산이 복잡

-       환경에 대한 자세한 정보의 수집이 필요

-       자동화 툴이 없으면 작업량이 너무 많다.

4)      정성적 위험 분석

①     정성적(Qualitative)위험 분석

-       위험의 구성요소와 손실에 대하여 정확한 숫자나 화폐적 가치를 부여하지 않고, 위험가능성의 시나리오에 자산의 중요성, 위협, 취약성의 심각성을 등급 또는 순위에 의해 상대적으로 비교하는 방법

-       자산의 가치를 나타내기 위해 high, medium, low 등의 rate로 표현 하며, 판단, 직관, 경험을 포함한다.

-       Very Subjective in nature (매우 주관적이다)

-       계산이 단순하다

②     Methods

-       Delphi Technique : 위협과 취약점에 대해 다양한 관련 전문가들이 토론하여 우선 순위를 결정하는 방법 비용을 절감 할 수 있다는 장점

5)      정량적 위험 분석 vs 정성적 위험 분석

특징	정성적	정량적
Cost/benefit analysis	X	O
추측작업 요구	O	X
자동화 지원	X	O
객관적	X	O
많은 시간과 노력을 요구	X	O

 

5.     인사 보안

1.      인적 관리의 개요

l  모든 직원들, 외주직원, 퇴직자들은 직무상 알게 된 비밀을 지킬 의무가 있음을 주지 시키고 서약서에 서명하도록 함

l  작업 마무리 시 기업의 소유물을 반환해야 함

l  내부자의 실수나 무지에 의한 보안사고는 보안인식프로그램을 통해 예방, 고의에 의한 부정과 사기를 예방하기 위해선 직원의 채용, 고용 및 퇴사 과정을 통제

2.      고용 실무

1)      직위 정의 : 직무분리, 최소권한 원칙

2)      직위의 보안체크를 통한 민감도 결정

3)      Security Check

①     Identity Check(신원확인)

②     Education & Credential Check(교육이력 확인)

③     Criminal Court History(범죄경력)

④     Previous Employment Verification(이전 직장에서의 평가)

⑤     Motor Vehicle Records(음주사고)

⑥     Drug History(불법약물 사용여부, 소변검사)

⑦     Polygraph(거짓말 탐지기)

3.      인사 통제

1)      직무분리(예방)

①     Split Knowledge(찢어진 지식 = 직무분리)

②     중요 업무를 한 직원이 수행하지 않고, 2인 이상의 직원이 나누어서 수행

③     의도적인 시스템과 자원의 남용위험을 감소시킴

2)      직무순환(예방)

①     부정 적발

②     동료 간 감시 기능 : 유사직위를 가진 직원들 사이의 상호 감사 중요 업무를 한 직원이 수행하지 않고, 2인 이상의 직원이 나누어서 수행

3)      강제휴가(적발)

①     1~2주 정도 직원의 업무와 특권을 감사

②     횡령 예방 효과

③     이 기간 동안에 해당직원의 직무 수행결과를 검토하여 부정을 발견

4.      퇴사(Termination)

l  조직의 시스템에 대한 접근 권한을 disable

l  비자발적 퇴사 시 회사 밖까지 Escort

l  기밀 유지 동의서(NDA)의 검토

n  직원이 어떤 상황에서든 불만을 가지고 있거나 강제적으로 퇴직을 당했다면, 해당사용자의 계정을 반드시 곧바로 사용할 수 없게 해야 하고 모든 시스템의 패스워드를 변경

5.      퇴직 면담

l  퇴직 직원의 매니저와 간단히 인터뷰 : 퇴직 직원이 개인 파일, 실적 검토 등

l  회사의 자산과 물건들이 반환되었는지 검토

6.     사회공학

1.      Social Engineering?

l  사람을 속여서 민감한 정보를 유출하게 하는 기술

2.      사회공학의 도구

l  Shoulder surfing(어깨너머 훔쳐보기)

l  Dumpster Diving(쓰레기통 뒤지기)

l  Blackmail(협박)

l  도청 등

3.      Reverse Social Engineering(RSE)

l  Advanced method of social engineering

l  공격자가 공격대상이 모르게 미리 특정한 문제를 유발시킨 후 공격 대상이 자발적으로 공격자에게 도움을 요청하도록 만드는 기법

4.      Phishing(Email)

1)      Phishing : 신뢰할 수 있는 객체로 가장하여 민감한 정보를 얻기 위해 시도

①     불특정인 대상

②     기법 : 사회 공학, 링크 조작, 가짜 웹사이트

2)      Spear Phishing:특정 회사나 조직에 침투하기 위해 그 일부의 사람들에 대한 정밀한 공격

①     EX) IRS라는 명칭이 시험에 나오면 미국국세청을 지칭함

5.      Pharming

l  희생자 컴퓨터의 있는 호스트 파일을 변경하거나 DNS서버 S/W의 취약점 악용

l  DNS의 무결성을 깨려고 시도하는 피싱 공격자들이 종종 사용하는 공격 유형

l  전자 상거래를 호스팅하는 비즈니스와 온라인 뱅킹 웹사이트의 주요 관심사

l  백신과 스파이웨어 제거 소프트웨어로 방어 불가

 

 

(1)   새로운 직원 고용 시

A.     NDA서명, 신원조회, 이전 직장 평가, 도핑 테스트, 거짓말 탐지기, 음주 운전, 교육이력확인

(2)   임무 분할

A.     민감한 업무가 한 사람에 의해 처리되지 않도록 하기 위함. 한 사람에 의해 처리 되는 경우 기업 자산에 대한 부정사용, 보안 메커니즘 훼손 우려

(3)   최소 권한의 원칙

A.     한 사람이 어떤 업무를 처리, 완료함에 있어 최소한의 권한 만을 주는 것

(4)   직무순환과 강제 휴가가 필요한 이유?

A.     직무순환 : 한 사람이 유착되는 경우 부정부패가 증가 할 수 있다, 상호 감사 목적

B.      강제휴가 : 강제 휴가를 보낸 뒤 감사(남용, 사기, 태만)

(5)   퇴직 절차 시

A.     퇴직 한 뒤 모든 권한을 disable 시킬 것, 출입구 밖까지 동행, NDA(비밀유지서약서), 기업 내 자산 반환

(6)   보안 역할

A.     감사인, 시스템관리자, 최종사용자, 경영진, 상위 관리층, 보안전문가, 데이터소유자,데이터 관리자