정보보안 (2) - 정보관리

정보보호 관리

빅데이타 빅데이터 인공지능 SSL 해킹

  1) 정보보호 관리 체계

    (1) ISMS

      [1] ISMS란?

기업이 정보보호 활동을 지속적, 체계적으로 수행하기 위해 필요한 보호 조치를 체계적으로 구축하였는지를 점검

      [2] 정보보호 관리 과정

        1] 정보보호 정책 수립 및 범위 설정

        2] 경영진 책임 및 조직 구성

        3] 위험 관리

        4] 정보보호 대책 구현

        5] 사후관리

    (2) PIMS

      [1] PIMS란?

기업이 개인정보보호 활동을 지속적, 체계적으로 수행하기 위해 필요한 보호 조치를 체계적으로 구축하였는지를 점검

    (3) PIPL

      [1] PIPL

공공 기관과 민간 기업이 일정 기준 이상의 개인정보보호 수준을 갖추면 정부가 이를 인증해 주고 외부에 공개 가능

현재는 PIMS와 흡수통합되었음

  2) 위험 관리 및 분석

    (0) 용어

위험 :  예상되는 위협에 의하여 자산에 발생할 가능성이 있는 손실의 기대치

위협 : 자산에 손실을 발생시키는 원인이나 행위, 보안에 해를 끼치는 행동이나 사건

취약점 : 위협에 의하여 손실이 발생하게 되는 자산의 약점.

    (1) 위험 관리란?

조직의 자산에 대한 위험을 수용할 수 있는 수준으로 유지하기 위하여 자산에 대한 위험을 식별, 분석, 평가하고 이러한 위험으로부터 자산을

보호하기 위해 비용대비 효과적인 보호대책을 마련하는 일련의 과정을 말한다.

    (2) 위험 관리 과정

      [1] 위험 관리 전략 및 계획 수립

      [2] 위험 분석

      [3] 위험 평가

      [4] 정보보호 대책 수립

      [5] 정보보호 계획 수립

    (3) 위험 분석 방법론

      [1] 정량적 접근 위험 분석

정량적 방법은 손실 및 위험의 크기를 금액으로 나타내는 정밀한 분석이 요구되는 방법

위험에 대한 분석을 숫자나 금액 등에 따라 객관적으로 분석하는것이다.

        1] 정량적 평가를 수행하는 경우

조직의 데이터 수집, 보관 프로세스가 복잡한 경우

위험 평가 수행 직원의 경험이 많은 경우

        2] 위험 계산을 수행하는 단계

정량적 위험 분석에 대한 경영진의 승인

위험 분석팀 구성

조직 내 관련 정보 검토

노출 계수(%) 계산

SLE(Single Loss Expectancy) 계산 : SLE(Single Loss Expectancy) : 단일 손실 예측치라고 하며, 특정 위험이 1번 발생했을 때 

입게 되는 재산상 손실 예측치를 의미한다. 

SLE는 해당 자산 가치와 특정 위협으로 인해 입게 되는 손실비율을 곱으로 계산한다.

SLE = 자산가치 * 노출계수

ARO(Annualized Rate of Occurrence) 계산 : ARO(Annualized Rate of Occurrence) : 연간 위험 발생 가능성이며

  ARO는 과거의 기록에 의해 추정되는 것이 일반적이다.

ex) 10년 동안 컴퓨터 바이러스에 감염된 경우가 1번이라면, 

  1년 기간 안에 바이러스에 감염될 확률은 10%이며, ARO = 0.1 이다.

ALE(Annual Loss Expectancy) 계산 :  연간 손실 예측치라고 하며, 특정 위험으로 인해 초래되는 조직의 재산상 손실 예측치를 의미한다.

ALE를 산출하기 위해서는 SLE와 ARO가 먼저 산출되어야 하며, 두 요소의 곱을 통해서 ALE를 

산출할 수 있다. 조직에서는 ALE보다 낮은 보안 대책을 통해 손실을 방어해야 한다.

ex) 컴퓨터 시스템에 보관된 데이터의 자산 가치가 천만원이며, 10년동안 컴퓨터 바이러스에 

감염된 경우가 1번이다. 한번의 컴퓨터 바이러스 감염으로 손실을 입게 되는 노출계수가 25%일 때 

ALE 계산 컴퓨터 바이러스의 ALE = 2,500,000 × 0.1 = 250,000

ALE = SLE * ARO

*보안 대책을 적용하기 전의 ALE를 ALE1 이라 하고, 보안 대책이 적용된 후의 ALE를 ALE2라 하고, 보안 대책을 적용할 때 투입된 비용을 

ACS(Annual Cost of the Safeguard)라 한다. 이 때 보안 대책을 적용했을 경우의 얻을 수 있는 가치는 다음과 같다.

보안 대책(Safeguard)으로 인한 가치 = (ALE1 - ALE2) - ACS

        3] 정량적 분석 방법

과거자료 분석법, 수학공식 접근법, 확률 분포법, 점수법

      [2] 정성적 접근 위험 분석

위험에 대한 분석을 서열이나 등급 등에 따라 주관적으로 분석하는 것이다.

        1] 정성적 평가를 수행하는 경우는 다음과 같다.

위험 평가를 수행하는 직원이 정량적 위험 평가 경험이 부족할 경우

위혐 평가 수행 기간이 단기일 경우

조직이 위험 평가를 수행하는 데 필요한 충분한 데이터를 제공할 수 없는 경우

        2] 위험 평가팀

경영진, 정보보호 부서, 법무팀, 내부 감사팀, 인사팀, 현업 부서 등으로 구성

        3] 정성적 분석을 위한 위험 평가팀이 필요로 하는 문서

정보보호 프로그램

정보보호 정책/절차/지침/기준

정보보호 평가/감사

기술적 문서

응용 프로그램

업무 연속성, 재해 복구 계획

보안 사고 대응 계획

데이터 분류 기준, 정보 취급/폐기 절차

        4] 정성적 분석 방법

델파이 기법, 시나리오법, 순위 결정법, 질문서법, 브레인스토밍, 스토리보딩, 체크리스트

    (4) 위험 처리

      [1] 위험 수용(Risk acceptance)

현재의 위험을 받아들이고 잠재적 손실 비용을 감수하는 것이다.

      [2] 위험 감소(Risk reduction, mitigation)

위험을 감소시킬 수 있는 대책을 채택하여 구현하는 것이다.

      [3] 위험 회피(Risk avoidance)

위험이 존재하는 프로세스나 사업을 수행하지 않고 포기하는 것이다.

      [4] 위험 전가(Risk transfer)

보험이나 외주 등으로 잠재적 비용을 제3자에게 이전하거나 할당하는 것이다.

  3) 정보보호 대책

    (1) 정보보호 운영적 대책

정보보호 대책에서 관리적, 기술적, 물리적 통제는 기업의 자산을 보호하기 위해 공동 작업으로 이루어져야 한다.

      [1] 물리적 보안 및 환경 보안

물리적 보안 및 환경 보안대책의 주된 목적으로 컴퓨터 시스템의 임무 수행을 지연하거나 방해하는 자연재해 혹은 인위적인 공격의

위협으로부터 정보처리 시설물을 보호하는 것이다.

      [2] 정보 시스템 비상계획과 복구전략

        1] 비상대책 수립

비상대책의 목적은 자산과 자원 및 사람에 대한 손상을 최소화하고, 재구축 및 복구를 위한 환경을 마련하는 것이다.

        2] 복구전략 수립

프로세스의 서비스 중단에 대하여, 복구전략들은 빠르고 효율적인 서비스 복구의 수단을 제공한다.

RAID 기술 : Mirroring, Parity, Striping

백업 : 전체 백업(Full Backup), 증분 백업(Incremental Backup),차분 백업(Differential Backup)

      [3] 인적보안

하드웨어나 소프트웨어를 포함한 모든 컴퓨터 관련 장비 중에서 인적 요소가 가장 신뢰성이 떨어지는 구성요소이다.

위협 요소로는 내부인에 의한 위협과 외부인에 의한 위협으로 분류할 수 있다.

최근에는 내부인에 의한 피해사례가 날로 급증하고 있다.

    2) 정보보호 대책 기법

      [1] 관리적 정보보호 대책

조직의 구성과 관리방법을 이용하는 대책이다.

보안전담조직 구성, 소속원에 대한 보안의식 교육 및 홍보, 정보보호 정책/지침/절차 의 개발 및 준수

      [2] 기술적 정보보호 대책

다양한 기술을 이용한 대책이다.

암호화, 프로토콜, 방화벽

      [3] 물리적 정보보호 대책

물리적 장치를 이용한 대책이다.

물리적 잠금장치, 경비원, CCTV, 데이터 백업

    3) 업무연속성 관리

업무연속성 관리는 재해상황이라는 극한 상황에 초점을 두어 정보 서비스의 가용성을 보장하기 위한 관리활동이라고 할 수 있다.

업무연속성 관리는 업무연속성계획(BCP), 업무연속성관리(BCM), 재난복구계획(DRP) 가 있다.

      [1] 재난 복구 계획

        1] Checklist

재난복구계획(DRP)의 계획서 및 절차서를 각 업무단위의 담당자에게 나누어 주고 계획의 절차나 오류를 점검하는 테스트 계획이다.

        2] Structured Walk-Through

사업 단위 관리자들이 계획이 복구능력을 제공하는지 검토하고 확인하는것이다.

        3] Simulation

실제 비상사태가 발생했다는 가정 하에서 시스템 운영 관련 주요 관리자와 직원들이 비상모임을 갖고 복구절차를 모의 테스트하는 단계이다. 

실제 백업장소에서 실시하는 것이 아니라는 것이 아래의 Parallel Test와 다른 점이다.

        4] Parallel Test

재난복구절차의 전체적인 테스트로 관련된 전 직원이 동원되며 실제 백업대체 장소에 가서 복구절차에 따라 움직인다. 

그러나 실제 데이터로 하는 것이 아니라, 운영시스템 및 데이터와는 별로도 미리 준비된 가상의 데이터와 시스템으로 하는 것이 

다음 단계의 Full-Interruption Test와 다른 점이다.

        5] Full-Interruption Test

실제로 재난이 발생할 때와 동일한 운영시스템과 데이터로 Test를 수행한다. 가장 정확한 방법이지만 거의 사용되지 않는다. 

이 방법은 테스트 자체가 재난이 될 수도 있다.

      [1] BCP(Business Continuity Planning, 업무 연속성 계획)

재난 발생 시 비즈니스의 연속성을 유지하기 위한 계획이며, 사고나 비상사태로 업무가 중단되거나 일부가 마비되었을 때 정해진

절차에 따라 이전의 업무로 복귀할 수 있는 효과적이고 체계적인 과정이다.

BCP를 위해서는 기업이 운영하고 있는 시스템의 파악과 함께 BIA가 선행되어야 한다.

        1] BIA(Business Impact Analysis, 업무영향분석)

재해발생으로부터 정상적인 업무가 중단된 경우에 조직 및 기업에 잠재적으로 미치는 영향 및 정량적 피해 규모를 규명한다.

현재 Business 측면에서 재해의 위험에 노출되어 있는 정보를 분석한다.

BIA 관련지표

  RTO(Recovery Time Objective; 목표복구시간) : 목표로 하는 업무별 복구시간으로 영향받은 업무의 중요도에 따라 결정된다.

  RSO(Recovery Scope Objective; 목표복구범위) : 재난복구에 적용된 업무 범위이다.

        2] BCP 계획 수립 절차

비즈니스 분석 - 위험 평가 - 비즈니스 연속 전략 개발 - 비즈니스 연속 계획 개발 - 계획 연습

        3] 재해복구시스템 복구수준별 유형

미러 사이트 : 이중화를 시킬 때 두 시스템 모두 Active 동작

핫 사이트 : 이중화를 시킬 때 두 시스템 중 하나는 Active 동작, 하나는 Standby

웜 사이트 : 이중화를 시킬 때 중요한 시스템만 이중화

콜드 사이트 : 데이터만 원격지에 백업

공감(♥) 과 댓글은 필자에게 큰 힘이 됩니다. 잠시 1초만 내주시면 안될까요? ~~ 로그인 없이도 가능합니당