1. 정보보호 개요
1) 정보보호의 정의
가) 일반적 정의
- 다양한 내외부 위협으로부터 기밀성, 무결성, 가용성 등이 보장될 수 있도록 관리적, 기술적, 물리적 보호조치(수단)를 마련하는 것
나) 법률적 정의
- 지능정보화 기본법 : 정보보호란 정보의 수집, 가공, 저장, 검색, 송신, 수신 중에 발생할 수 있는 정보의 훼손, 변경, 유출 등을 방지하기 위한 관리적, 기술적 수단을 마련하는 것
- 정보보호산업법 : 정보보호란 다음 활동을 위해 관리적 기술적 물리적 수단을 마련하는 것
(정보의 수집, 가공, 저장, 검색, 송신, 수신 중에 발생할 수 있는 정보의 훼손, 변조, 유출 방지 및 복구. 인증, 암호, 인식, 감시 등의 보안기술을 활용해 재난, 재해, 범죄 등에 대응하거나 관련 장비, 시설을 안전하게 운영)
(관리적 보안 : 정보보호 정책/지침/절차, 조직/인력
기술적 보안 : 보안솔루션(보안장비 + 보안 소프트웨어)
보안 설정, 개발 보안(시큐어 코딩)
물리적 보안 : 시설물/장비 보안(출입통제 등))
2) 정보보호의 목표
- 기밀성Confidentialty, 무결성Integrity, 가용성Availability을 보장 (정보보호의 3요소. CIA Triad)
기밀성Confidentiality
- 권한 있는 자 (인가된 주체, 정당한 자)만이 정보자산(객체)에 접근하여 그 내용을 알 수 있도록 보장하는 것
- 오직 인가된 주체만이 알 필요성에 근거하여 정보자산에 접근하도록 보장
- 암호학적 도구 : 대칭키(비밀키) 암호화, 비대칭키(공개키) 암호화
(접근통제 : 주체, 객체, 접근)
무결성Integrity
- 권한 있는 자(인가된 주체)만이 정보자산(객체)에 접근하여 그 내용을 생성하거나, 변경, 삭제할 수 있도록 보장
- 정당하지 않은 자에 의해 정보가 위변조되지 않도록 보장
- 암호학적 도구
1. 해시함수 : 메시지에 대한 고정길이 출력값(해시값)을 생성해 메세지 무결성을 보장 (충돌, 일방향성 특성)
2. 메시지 인증 코드 : 사전에 공유한 비밀키(인증키)와 메시지를 조합해 MAC 값을 생성하여 무결성과 인증을 보장. (단, 비밀키를 알고 있으면 누구나 만들 수 있으므로, 부인방지를 보장하지는 않음)
3. 디지털서명/전자서명 : 메시지 또는 해시값을 서명자의 개인키로 암호화(서명)하여 메시지와 함께 전송. 수신측에서 서명자의 공개키로 서명값을 복호화 비교검증하여 메시지 무결성과 인증, 부인방지를 보장한다.
가용성Availability
- 권한있는 자의 정보자산 접근 필요시, 언제든지 접근할 수 있도록 보장하는 것
- 장애, 재해가 발생해도 정상적인 서비스가 가능하도록 보장
- 가용성 확보를 위한 기법 : 장비 이중화 구성, 서버 클러스터링, 디스크 RAID, 백업, 재해복구센터 구축 등.
(디스크 RAID : 디스크를 중복으로 배열하여 일부 디스크에 장애가 발생해도 정보의 손실이 발생하지 않도록 구성하는 방법)
인증성Authenticity 또는 인증 Authentication
- 사용자 인증 : 정보자산에 접근하는 주체의 신원이 주장된 실체와 일치함을 보장. 지식기반/소유기반/존재기반으로 나뉨
- 메시지 인증 : 수신한 메시지가 올바른 상대방이 보낸 메시지임을 보장
책임성Accountability
- 정보자산에 접근하는 주체가 접근 결과에 대해 책임지도록 보장
- 책임추적성 : 주체를 고유하게 식별하여 추적할 수 있도록 보장 (감시, 로깅)
- 부인방지(부인봉쇄) : 주체가 한 행위를 나중에 부인하지 못하도록 보장
정보보안일반관리1 END --
2. 접근통제Access Control
1) 정의
- 접근통제란, 인증받은 주체가 시스템, 정보 등의 정보(객체)에 대해 어떤 유형의 접근이 가능한지를 결정하는 것
- 적절한 접근 권한을 가진 사용자만이 정보자산에 접근할 수 있도록 통제하는 것
2) 구성요소
가) 주체Subject
- 정보자산에 접근을 요청하는 사용자. 사람, 프로세스, 시스템
나) 객체Object
- 주체의 접근 대상이 되는 시스템, 정보, 프로그램 등의 자원
다) 접근
- 주체와 객체 사이의 정보흐름(접근유형). 읽기, 쓰기, 실행, 생성, 삭제, 검색 등.
3) 접근통제 절차 3단계
가) 식별
- 사용자가 자신이 누구인지 밝힘 (신원정보 제시)
나) 인증
- 제시된 신원정보를 확인하는 과정
- 주체의 신원정보를 검증하기 위한 증명 활동
- 비밀번호, 스마트 카드, 생체 인식 정보 등
다) 인가
- 인증된 사용자에게 특정 자원에 대한 접근을 허용하고 권한을 부여하는 과정
- 접근제어목록ACL 등
4) 접근통제를 위한 요구사항 : 접근통제의 기본원칙
가) 입력의 신뢰성
나) *직무 분리Separation of Duty
- 업무의 단계별로 직무를 분리하여 각 사용자에게 적절히 부여함으로써, 특정 사용자의 과도한 직무권한으로 인한 사고를 예방
- 업무의 발생부터 승인, 변경, 확인, 완료 등의 단계가 한 사람에 의해 처리될 수 없도록 하는 보안 원칙
- 합법적인 사용자에 의한 불법적인 수정을 방지하기 위한 원칙
다) 최소 권한 부여Least Privilege
- 사용자에게 직무 수행에 대한 최소한의 필요한 권한만을 부여하여 직무 수행과 무관한 접근에 따른 사고 예방
- 권한 남용을 최소화
사용자 인증
1) 사용자 인증 유형
Type 1 지식기반 알고 있는 지식인증 know 패스워드, 핀
Type 2 소유기반 가지고 있는 것으로 인증 have 스마트카드, otp, 인증토큰
Type 3 존재기반 고유한 생체정보 인증 are 지문, 홍채, 망막 등
Type 4 위치기반 위치정보 IP, MAC 주소
Type 5 행위기반 고유한 행위정보 서명필체, 걸음걸이 등
2) 인증 강도를 높이기 위한 다중 인증 (혼합)
가) Multi-Factor 인증 : 다중 인증
- 2가지 이상의 인증 유형을 결합해서 인증
나) 2-Factor 인증 (2FA) : 2중 인증
- 2가지 인증 유형을 결합해서 인증하는 방식
- ex 패스워드(지식기반) + 스마트카드(소유기반) 인증
(지식기반+지식기반 등 동일한 인증 유형 결합은 안됨)
접근통제 보안모델
1) 임의적 접근통제DAC (Discretionary Access Control)
개요
- 주체의 신원ID 정보와 자원(객체)에 대한 사용자의 접근 권한을 기반으로 접근통제를 수행하는 정책
- 자원의 소유자(관리자)가 해당 자원에 대한 다른 사용자의 접근 권한을 임의로 지정할 수 있음
- 다양한 운영체제의 파일시스템과 데이터베이스 시스템에 적용됨 (윈도우, 리눅스 등)
접근통제 매트릭스ACM (Access Control Matrix)
| 객체→ | 파일A | 파일B | 파일C |
| 주체-사용자1 | orwx | rw | rwx |
| 주체-사용자2 | rwx | rw | rw |
| 주체-사용자3 | --- | r | --- |
(예시)
- 접근제어 매트릭스는 비어있는 엔트리가 많이 발생하므로 실무에서는 접근제어목록ACL이나 자격/능력목록CL을 사용
- 접근통제목록ACL (객체기준)
ex 파일A : 사용자1(rwx), 사용자2(rw) ...
- 자격/능력목록CL (주체기준)
ex 사용자1 : 파일A(rwx), 파일B(rw), 파일C(r)...
장점 : 주체와 객체 각각에 대한 유연한 접근통제 가능
단점 : 중앙 집중적인 접근통제가 어렵다. 일관성 있는 접근통제 정책이 어려움.
불법적인 접근이 발생하면 접근통제에 심각한 문제가 발생할 수 있다.
2) 강제적 접근통제MAC (Mandatory Access Control)
개요
- 주체에게 부여된 보안 취급인가와 자원에 부여된 보안수준을 비교하여 접근통제를 수행하는 정책
(또는 보안 수준/등급을 비교하거나, 보안 레이블을 비교하는 등 카테고리를 나누는 방식.)
- 관리자에 의해서만 사용자의 보안 취급인가와 자원의 보안수준이 설정되어 접근통제
- 주요 접근통제 모델 : BLP 모델, Biba 모델, Clark-Wilson 모델, Chinese Wall 모델
가) BLP 모델 : 벨라파둘라 모델
- 다단계 보안 정책을 구현하기 위해 개발됨
- 보안수준을 부여하고 이를 비교하여 접근통제 수행
- 기밀성Confidentiality을 보장하기 위해 정보의 흐름을 통제하는 모델
- 주체보다 보안수준이 높은 객체의 정보를 읽을 수 없다. 주체보다 보안수준이 낮은 객체에 정보를 쓸 수 없다.
No Read Up (SS-Property) No write Down (*-Property)
- 최초의 수학적 접근통제 모델
- SS-Property (Simple Security Property) : 주체보다 보안수준이 높은 객체 정보를 읽을 수 없다. 기밀성 훼손 방지
- *-Property (Star Property) : 주체보다 보안수준이 낮은 객체에 정보를 쓸 수 없다. 기밀성 훼손 방지
나) Biba 모델 : 비바 모델
- 주체와 객체에 대한 무결성 수준을 부여하고 이를 비교해 접근통제를 수행
- 무결성Integrity을 보장하기 위해 정보의 흐름을 통제
- 비인가자에 의한 정보의 위변조 방지를 해결한 모델
- 주체보다 무결성 수준이 낮은 객체의 정보를 읽을 수 없다. 주체보다 무결설 수준이 높은 객체에 정보를 쓸 수 없다.
No Read Down Simple Integrity Axiom(SI Axiom) No Write Up Star Integrity Axiom (*-Integrity Axiom)
- Integrity Axiom(SI Axiom) : 주체보다 무결성 수준이 낮은 객체의 정보를 읽으면 주체의 무결성이 훼손될 수 있다
- Star Integrity Axiom (*-Integrity Axiom) : 객체보다 무결성 수준이 낮은 주체의 쓰기에 의해 객체의 무결성이 훼손될 수 있다
다) Clark-Wilson 클락-윌슨 모델
- 상업적 응용에서 무결성의 3가지 목표를 모두 보장하기 위한 접근통제
라) Chiness Wall 만리장성 모델
- 이해관계가 충돌하는 상업적 응용에서 기밀성과 무결성을 보장하기 위한 접근통제
3) 역할기반 접근통제RBAC (Role Based Access Control)
개요
- 주체에게 부여된 역할Role과 역할이 가지는 객체(자원)에 대한 접근 권한을 기반으로 접근통제를 수행하는 정책
- 비임의적 접근통제
- 사용자가 많고 접근 권한이 자주 변경되는 환경에서 용이함 (조직내 잦은 부서 이동 등 조직의 동적 변화)
- 관리자에 의해서만 사용자의 역할이 부여된다
장점
- 관리자에 의한 일관성 있는 접근통제 정책
- 역할을 기반으로 설정하므로 직무분리와 최소권한부여가 용이
단점
- 비교적 주체와 객체 각각에 대한 접근 권한 설정의 유연성이 떨어짐
정보보안일반관리 2 END --
정보보호정책
개요
- 정보보호정책 : 조직의 내외부 환경과 업무 성격에 맞는 효과적인 정보보호 활동을 위해 무엇이 수행되어야 하는가를 기술한 지침과 규약. 조직의 정보보호 목적과 활동에 관한 사항을 정의한 최상위 문서
- 경영자의 의지 및 방향, 역할과 책임 및 대상과 범위, 관리적/기술적/물리적 정보보호 활동의 근거를 포함
구현요소
- 표준(정책) : 정보보호정책 달성을 위해 필요한 세부 요구사항을 구체적으로 정의한 규정. 강제성을 가짐.
ex 정보보호정책
- 지침 : 특정 시스템, 특정 분야별로 필요하거나 도움이 되는 세부 요구사항에 관한 규정. 권고적이고 융통성 있게 적용할 수 있는 사항들.
ex 정보보호 개발보안 업무지침
- 절차 : 구체적으로 어떻게 해야 하는지를 세부적으로 상세하게 설명한 문서. 순서에 따라 단계적으로 설명함.
ex 침해사고 대응절차
(한줄정리
표준: 정보보호정책을 구현하기 위한 세부 요구사항을 정의한 강제적인 규정
지침 : 정보보호정책을 위해 시스템/업무별로 세부 요구사항을 정의한 권고적 규정
절차 : 정책/표준/지침을 준수하기 위해 순서에 따라 구체적 업무방법, 절차를 설명한 문서)
정보보호정책 수립 관련 ISMS-P 인증 항목
인증기준
[ 조직의 정보보호와 개인정보보호 방침 및 방향을 명확하게 제시해야 한다. 또 정책과 시행문서는 경영진의 승인을 받고, 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다 ]
주요 확인사항
[ 정보보호 및 개인정보보호 정책의 시행을 위하여 필요한 세부적인 방법, 절차, 주기등을 규정한 지침, 절차, 매뉴얼 등을 수립하고 있는가? 최고경영자 또는 최고 경영자로부터 권한을 위임받은 자의 승인을 받고 있는가? 등... ]
1. 정보보호 및 개인정보보호 정책/시행문서 제/개정시 다음 사항을 준수해야한다
- 이해관계자와 정책, 시행문서의 내용을 충분히 협의, 검토함
- 최고경영자 또는 권한을 위임받은 자의 승인을 받아야 한다
- 정책, 시행문서의 최신본을 임직원과 관련자에게 이해하기 쉬운 형태(책자 등)로 전달한다.
| Q. 정보보호 및 개인정보보호 정책/시행문서 제/개정시 어떤 사항을 준수하여야 하는지 세 가지를 쓰시오 A. 이해 관계자와 정책, 시행문서 내용을 충분히 협의, 검토한다. 최고경영자 또는 최고경영자의 권한을 위임받은 자의 승인을 받는다. 정책, 시행문서의 최신본을 임직원과 관련자에게 이해하기 쉬운 형태로 전달한다. |
서술형 대비 암기 필수
위험관리 Risk Management
개요
1) 정의
- 조직의 자산에 대한 위험을 수용가능한 목표 위험수준(DoA: Degree Of Assurance)으로 유지하기 위해 자산에 대한 위험을 분석하고, 자산을 보호하기 위한 비용 대비 효율적인 보호대책을 마련하는 일련의 과정
(비용 대비 효율적 : ROI (Return on Investment))
2) 위험관리 과정 : 5단계
1. 위험관리 전략 및 계약 수립 : 적합한 위험관리(분석) 방법을 선택하고 비용과 시간 등 가용자원을 고려하여 계획을 수립하는 단계
2. 위험 분석 : 자산, 위협, 취약성, 기존 보호대책 등을 분석하여 위험의 종류와 규모를 결정하는 단계
- 이를 위해 식별된 자산에 대해 CIA를 기준으로 가치 평가 함.
3. 위험 평가 : 위험분석 결과를 이용해 최종적으로 위험도를 평가하고, 조직에서 수용가능한 목표 위험수준DoA을 정하여 이를 기준으로 위험의 대응 여부와 우선순위를 결정하는 단계.
- DoA를 초과하는 위험에 대해서만 적절한 보호대책을 마련하는 것이 필요
- 수용가능한 목표 위험수준은 경영진(정보보호 최고책임자 등)의 의사결정에 의해 결정됨.
4. 정보보호 대책 선정 : 위험평가에 기초하여, 대응에 필요한 보호대책을 선정하는 단계
- DoA를 초과하는 위험을 수용 가능한 수준으로 감소시키기 위해 위험처리 전략을 설정하고, 적절한 통제사항(정보보호대책)을 선택
- 정보보호대책 명세서 : 통제사항에 대한 선택여부와 그 근거를 명시한 문서.
5. 정보보호 계획 수립 : 선정한 보호대책을 구현하기 위한 계획을 수립하는 단계
- 정보보호대책 및 구현의 우선순위, 일정계획, 예산 등을 포함한 이행계획 수립
* 위험관리과정
위험관리 전략 및 계약 수립 -> 위험 분석 -> 위험 평가 -> 정보보호 대책 선정 -> 정보보호 계획 수립
위험의 구성요소
1) 개요
- 위험Risk : 자산Asset의 취약성Vulnerability을 이용한 위협Threat에 의해, 자산에 손실을 미칠 가능성
- 정보보호대책을 구현한 후 남아있는 위험을 잔여 위험Residual Risk이라 함
- 위험 구성요소 예시
1. 자산Asset : 고객 관리 시스템, 개인정보 db 등
2. 취약성Vulnerability : 취약한 비밀번호 설정, 사용하지 않는 서비스 포트 활성화 등
3. 위협Threat : 공격자의 해킹
4. 원하지 않는 사건 : 고객 개인정보 유출
5. 손실 : 법적 과징금, 고객 손해배상, 기업 이미지 하락 등
(위험Risk의 3대 구성요소
자산Asset, 취약성Vulnerability, 위협Threat)
위험Risk = F(A, T, V) 함수적 관계
+ 자산Asset : 조직이 보호해야 할 유무형의 대상
+ 위협Threat : 자산의 손실을 초래할 수 있는 원하지 않는 사건의 잠재적 원인 또는 행위자
+ 취약성Vulnerability : 위협의 이용대상이 되는 자산의 잠재적 속성 또는 약점 (=정보보호대책의 미비)
(위협이 발생한다고 해서 반드시 자산에 손실이 발생하는 것은 아님)
+ 보호대책SafeGuard : 조직의 자산을 위험으로부터 보호하기 위한 안전대책 혹은 통제 혹은 위협을 감소시키기 위한 정보보호 조치
보호대책 유형에 따른 구분
1) 기술적 보호대책
2) 관리적 보호대책
3) 물리적 보호대책
보호대책 적용 시점에 따른 구분
1) 예방통제 : 위험을 식별하여 사전에 대처하는 능동적 개념. 물리적 접근 통제(시설, 설비 등), 논리적 접근통제(방화벽, 백신 등)
2) 탐지통제 : 예방통제를 우회하여 발생하는 각종 위험을 탐지하는 통제 (보안 감사 등)
3) 교정통제 : 탐지된 위험에 대처하거나 감소시키는 통제 (백업, 복구 등)
* 보호대책 유형 : 기술적, 관리적, 물리적
* 보호대책 적용 시점 : 예방/탐지/교정 통제
위험 구성 요소 간의 관계 (그림대로 암기할 것)
- 위협은 취약성을 이용하여 공격하고Exploit, 취약성은 자산을 위협에 노출시킨다expose
- 위협, 취약성, 자산의 가치는 위험을 증가시킨다
- 위험은 보안 요구사항을 나타내 보여준다(현시)
- 보안대책은 보안 요구사항을 충족시키고, 위험을 감소시키며, 위협을 방어한다.
3 END --
위험관리 전략 및 계획 수립
- 적절한 위험분석 접근방법을 선정
- 기준선 접근법, 비정형 접근법, 상세 위험분석, 복합 접근법 등.
가) 기준선 접근법 = 베이스라인 접근법
1. 체크리스트 형식의 표준화된 보호대책을 이용하여 보호의 기본수준을 정하고 위험분석을 수행
2. 장점 : 시간과 비용이 많이 들지 않고, 기본적으로 필요한 보호 대책 선택 가능
3. 단점 : 조직의 특성을 고려하지 않기 때문에 과보호 또는 부족한 보호가 될 수 있음. 지속적으로 갱신하지 않으면 보안환경 변화를 적절히 반영하기 어려움
나) 비정형 접근법
1. 경험자(내외부 전문가)의 지식을 기반으로 위험분석 수행
2. 장점 : 작은 규모의 조직에 비용 대비 효과적
3. 단점 : 경험에 따라 중요위험중심으로 분석하므로 경험이 부족한 영역은 놓칠 수 있다.
다) 상세 위험분석
1. 정형화되고 구조화된 위험분석 방법론에 따라 자산분석, 위협분석, 취약성 분석 등의 각 단계를 통해 조직의 위험들을 모두 상세하게 분석함
2. 장점 : 조직에 가장 적절한 보호대책을 수립할 수 있고 보안환경의 변화에 유연하게 대처 가능
3. 단점 : 전문적인 지식, 많은 시간과 노력이 필요
라) 복합 접근법
1. 고위험 영역을 식별하여 상세 위험분석을 수행하고, 그 외엔 기준선 접근법을 사용
2. 장점 : 비용과 자원을 효과적으로 사용할 수 있고, 고위험 영역을 빠르게 식별하고 적절히 처리할 수 있다
3. 단점 : 고위험 영역이 잘못 식별되었을 경우 비용과 자원이 낭비되거나 부적절한 대응이 될 수 있다
* 위험 분석 접근 방법
기준선 접근법 (체크리스트, 표준화), 비정형 접근법 (전문가의 경험), 상세 위험분석 (위험분석 방법론 단계를 통해 상세분석), 복합 접근법 (고위험-상세위험분석, 그 외 기준선)
위험분석Risk Analysis
- 위험의 종류와 규모를 결정하는 것
- 절차 : 자산분석, 위협평가, 취약성 평가, 기존 보안대책 평가, 위험평가
- 분석 방식에 따라 정량적 위험분석 방식(금전적), 정성적 위험분석 방식으로 구분
위험분석(상세 위험분석) 절차
사전작업 - 범위 결정 : 위험분석을 수행할 서비스를 결정함
1) 자산 분석(식별 -> 가치평가)
- 자산 식별 : 보호해야 할 자산을 식별하여 자산 목록을 작성함. 중복이나 누락된 자산이 없어야 한다.
- 자산 가치평가 : 자산별 기밀성, 무결성, 가용성 측면에서 중요도를 산정한다.
(자산의 중요도를 산정하는 이유 : 식별된 자산에 위험 발생시의 영향을 기밀성, 무결성, 가용성 측면에서 파악하여 가치를 평가하기 위해)
- 자산 그룹핑 : 가치가 결정되면 유형, 중요도, 사용용도, 위험 등이 유사한 자산들을 하나의 그룹으로 분류한다.
이유 : 유사한 자산을 그룹핑하여 동일한 위험분석 및 평가 작업을 반복하지 않아 시간과 비용을 최소화함
2) 위협 평가
- 위협 식별 : 기존에 이미 발생한 위협과 발생할 수 있는 위협을 담당자와 협의 또는 실사하여 목록화함
- 위협 평가 : 식별된 위협이 자산에 미치는 영향, 위협 발생 가능성을 평가함
3) 취약성 평가
- 취약성 식별 : 식별된 위협에 대해 자산이 어느정도 취약한지를 담당자와 협의 또는 실사하여 목록화함
- 취약성 평가 : 식별된 취약성이 자산에 미치는 영향을 평가함
- 우려사항concern 평가 : 우려사항은 위협과 취약성을 통합하여 정의한 항목이다. (위협과 취약성이 밀접하고 구분하기 어려운 경우 우려사항으로 통합하여 평가)
4) 기존 보안대책 평가
- 분석한 자신의 위협과 취약성에 이미 적용된 보안대책을 평가하여 위협의 규모와 취약성의 영향도를 조정
5) 위험 평가
- 위험도 평가 : 최종적으로 자산의 위험도(위험 수준, 잠재적 손실 규모)를 평가
- 수용 가능한 목표 위험수준DoA 결정 : 정보보호 최고 책임자 등 경영진의 의사결정에 의하여 결정됨. 모든 위험에 대응하거나 완전히 제거하는 것은 불가능하므로, DoA를 초과하는 위험에 대해서만 적절한 대책을 마련하는 것이 필요함. DoA를 기준으로 위험의 대응 여부와 우선순위를 결정한다.
* 위험분석 절차
자산분석(식별, 가치평가) → 위협평가 → 취약성 평가 (우려사항) → 기존 보안대책 평가 → 위험 평가 (수용 가능한 목표 위험수준DoA)
4 END --
'(실기) 정보보안기사&산업기사' 카테고리의 다른 글
| 정보보안 법규 1~3 (0) | 2024.04.18 |
|---|---|
| 정보보안일반관리 5~8 (0) | 2024.04.17 |
| 주요 취약점 1~4 (0) | 2024.04.15 |
| 침해사고 유형별 시나리오 11, 12 (0) | 2024.04.12 |
| 침해사고 유형별 시나리오 6~10 (0) | 2024.04.10 |
