정보보호 관리 및 법규 1,2

 

 

★★★
ISO/IEC 27000시리즈
- ISO/IEC 27000 : 관리 시스템에 대한 개관, 표준에서 사용된 어휘들 정의
- ISO/IEC 27001 : 정보보안 관리체계-요구사항. 요구사항 명시
- ISO/IEC 27002 : 정보보안 관리를 위한 실무 규약. 최선 실무에 대한 목록
- ISO/IEC 27003 : 관리체계 이행 가이드라인
- ISO/IEC 27004 : 측정
- ISO/IEC 27005 : 정보보안 위험 관리 프로세스 지침 (ISO 13335-3/4 대체)
- ISO/IEC 27006 : 감사 및 인증기관에 대한 요구사항 명시


+ CC는 ISO 15408를 대체한다
+ ISO 27014 : 정보보호 거버넌스
+ ISO 27017 : 클라우드 보안 통제
+ ISO 27018 : 클라우드 개인 식별 정보 통제

 

(비법노트 정리) 인증체계 1) 물리적 측면 - TCSEC : 미국형. D, C1, C2 (싱글, 임의적) / B1, B2, B3, A1 (다중레벨, 강제적) - ITSEC : 유럽형 E0~E6 - CC : 전세계 기준, EAL 1~7단계, PP(독립적), ST(구현에 종속적) 2) 관리적 측면 - BS 7799 : 파트1. ISO 27002(실무규약) / 파트2. ISO 27001 (요구사항) - ISO 27000 시리즈 : ISO 27000 ... - ISMS-P 가) 관리체계 수립 및 운영 : 관리체계 기반 마련 -> 위험관리 -> 관리체계 운영 -> 관리체계 점검 및 개선 나) 정보보호 대책 요구사항 : 12개 분야 다) 개인정보 처리 단계별 요구사항

 

 

★★★★★

ISO 27001:2013 정보보호 통제 항목

정보보호 정책 : 경영방침과 지원사항
정보보호 조직 : 보호에 대한 책임 배정
공급자 관계 : 협력업체와의 계약에 따라 정보보안 서비스 제공
자산 관리 : 자산에 대한 보호책
인적 자원 : 보안 사람에 의한 실수
물리적 환경적 보안 : 비인가된 접근, 손상 등 방지
정보 시스템/개발 : 유지보수 정보시스템 내 보안 수립
암호화 : 기밀성, 인증, 무결성 보호를 위한 암호화 사용
접근 통제 : 정보에 대한 접근통제
운영 보안 : 정보처리설비의 정확하고 안전한 운영
통신 보안 : 네트워크 및 지원 정보 처리 시설의 안전한 통신
정보보안 사고 관리 : 보안사고에 대한 대응 절차 수립 및 이행
정보보호 측면 업무 연속성 관리 : 방해요소 완화. 실패 및 재해의 영향으로부터 수요 사업 활동 보호
컴플라이언스 : 범죄 및 민사상 법률 법규 규정 또는 계약 의무 등 불일치 방지

 

 

(비법노트 정리)

ISMS-P vs ISO 27001 (주어와 서술어, 문맥이 이상한 것 위주로 문제 나옴)

ISMS-P		ISO 27001
정책, 조직, 자산관리	정책, 조직 유지관리, 정보자산 관리	정보보호 정책	경영방침과 지원사항
인적 보안	직무 분리, 보안 서약, 교육훈련, 직무변경	정보보호 조직	보호에 대한 책임 배정
외부자 보안	외부자 현황 관리, 외부자 계약/만료시 보안	공급자 관계	협력업체와의 계약에 따라 정보보안 서비스 제공
물리 보안	보호구역 지정, 출입 통제	자산 관리	자산에 대한 보호책
인증 및 권한관리	사용자 계정 관리, 사용자 식별, 사용자 인증	인적 자원 보안	사람에 의한 실수
접근통제	네트워크 접근, 정보시스템 접근 등	물리적 환경적 보안	비인가된 접근, 손상 등 방지
암호화 적용	암호정책 적용	정보 시스템/개발 유지보수	정보시스템 내 보안 수립
정보시스템 도입 및 개발 보안	보안 요구사항 정의, 보안 요구사항 검토 및 시험 등	암호화	기밀성, 인증, 무결성 보호를 위한 암호화 사용
시스템 및 서비스 운영관리	변경관리, 성능 및 장애관리, 백업 및 복구관리 로그 및 접속기록 점검 등	접근 통제	정보에 대한 접근통제
시스템 및 서비스 보안관리	보안시스템 운영, 클라우드 보안, 공개서버 보안, 정보전송 보안, 보조저장매체 관리 등	운영 보안	정보처리설비의 정확하고 안전한 운영
사고예방 및 대응	사고예방 및 대응체계 구축, 취약점 점검 및 조치, 이상행위 분석 모니터링 등	통신 보안	네트워크 및 지원 정보 처리 시설의 안전한 통신
재해복구	재해재난 대비 안전조치	정보보안 사고 관리	보안사고에 대한 대응 절차 수립 및 이행
		정보보호 측면 업무 연속성 관리	방해요소 완화. 실패 및 재해의 영향으로부터 수요 사업 활동 보호
		컴플라이언스	범죄 및 민사상 법률 법규 규정 또는 계약 의무 등 불일치 방지

+ ISMS-P에는 컴플라이언스 대신, 관리체계 점검 및 개선 단계에서 비슷한 역할을 하고 있다

 

★★★

정보보호 정책, 표준, 지침, 절차

- 정책 (전략적) : 일목요연하게 기술한 지침과 규약. 문서로 기술
- 표준 : 강제적 활동, 동작, 규칙, 법. 요구사항 정의.
- 기준선 : 미래에 변경될 것에 대비하여 현재 시점 평가. 일관된 참조 포인트
- 지침 : 권장 행위와 운영적인 사항
- 절차 : 정책, 표준 등에 따르기 위해 구체적으로 어떻게 해야 하는가 단계별로 기술

 

 

조직과 직원관리

- 직무순환
- 직무분리
- 최소 권한 (알 필요성)
- 강제휴가

 

 

위험분석과 위험관리의 개념

검토행위 -> 자산식별 -> [자산가치/의존도 평가, 기존보안대책평가, 취약성 평가, 위험평가] -> 위험평가 -> 대책 선택

+ 위험 수용시 IT시스템 보안 정책 -> IT 보안 계획
위험 수용하지 않을시 다시 대책 선택

 

★★★★★

보안 위험분석 방법
- 기준 접근법 : 업계 최선 실무를 이용해 시스템에 대한 기본적이고 일반적인 보안 통제 사항 구현 (체크리스트, 갭 분석)
- 비정형화(비형식화)된 접근법 : 분석을 수행하는 개개인의 지식과 전문성 활용
- 상세한 위험 분석 : 가장 포괄적. 정형화되고 구조화된 프로세스 사용. 상세한 위험평가
- 통합된 접근법 : 고위험 영역을 식별해 상세 위험분석. 다른 영역은 기준접근법 사용

 

★★★

위험에 대한 대책
- 위험 수용 : 잠재적 손실 비용 감수
- 위험 감소 : 대책을 채택하여 구현
- 위험 회피 : 해당 프로세스나 사업 포기
- 위험 전가 : 보험, 외주등으로 제3자에게 잠재적 비용을 이전하거나 할당

 

★★★★★

정량적, 정성적 분석의 장단점

1) 정량적 분석

- 장점 : 객관적. 논리적으로 평가되고 화폐로 표현되어 납득이 더 잘 된다. 위험평가 결과가 금전적 가치 등으로 표현되어 이해가 잘 됨.

- 단점 : 계산에 대한 복잡성. 수작업의 어려움. 자동화도구 사용시 벤더에 의존

2) 정성적 분석

- 장점 : 비용/이익을 평가할 필요 없음. 계산에 대한 노력이 적다

- 단점 : 주관적. 평가과정과 측정기준이 주관적으로 사람에 따라 달라짐.
금전적 가치로 표현하기 어렵고 위험관리 성능 추적 불가.

 

 

★★★★★

위험분석 종류 및 설명

1) 정량적 위험분석
- 과거 자료 분석법 : 과거 자료를 통해 위험 발생 가능성 예측
- 수학공식 접근법 : 위협 발생 빈도를 계산하는 식 이용. 위험 계량.
- 확률 분포법 : 확률적 편차 이용, 최저 보통 최고 위험 평가 예측
- 점수법 : 위험발생요인에 가중치를 두어 위험 추정

2) 정성적 위험분석
- 델파이법 : 전문가 집단이 위험을 분석 및 평가
- 시나리오법 : 어떤 사건도 기대대로 발생하지 않는다는 사실에 근거. 일정조건하 위협에 대해 발생가능한 결과들을 추정
- 순위결정법 : 비교 우위 순위 결정표에 위험 항목들의 서술적 순위 결정.
- 퍼지 행렬법 : 위험분석 요소들을 정성적인 언어로 표현된 값을 사용해 기대손실을 평가함. 수학적 계산

 

★★★★★

재해복구 시스템 복구 수준별 유형 비교

1) 미러사이트
- 주 센터와 동일한 수준의 정보기술 원격지 구축, 운영상태
- RTO 즉시 복구
- 신속한 업무재개
- 높은 초기투자/유지비용, 업데이트가 많으면 과부하 초래

2) 핫 사이트
- 주 센터와 동일한 수준의 정보기술 원격지 구축, 대기상태
- RTO 수 시간 이내 복구
- 신속한 업무재개
- 높은 초기투자/유지비용, 보안적인 문제

3) 웜 사이트
- 중요한 정보기술 자원만 부분적으로 복구센터에 보유
- RTO 수일 ~ 수주
- 핫 사이트에 비해 저렴
- 데이터 다소 손실, 초기 복구수준 부분적

4) 콜드 사이트
- 데이터만 원격지에 보관. 정보기술 자원은 최소한만
- RTO 수주 ~ 수개월
- 가장 저렴함
- 데이터 손실 발생, 복구 시간이 매우 김

 

 

가용성 관련 용어
- MTBF(Between Failure) : 평균 고장 간격 시간 = 평균 운영 시간 + 평균 수리 시간
- MTTF(Failure) : 평균 운영 시간 = 총 운영 시간 / 총 고장건수
- MTTR(Repair) : 평균 수리 시간 = 총 수리 시간 / 총 고장건수
- 가용성 : 평균 운영 시간 / 평균 고장 간격 시간

 

총 운영 시간이 10시간이고, 고장 건수는 1건이며, 총 수리 시간은 2시간일 때 가용성 계산?

=> 평균 운영시간은 10시간. 평균 수리 시간은 2시간. 평균 고장 간격 시간은 12시간.

가용성은 10 / 12 => 약 0.83

 

 

데이터 백업 유형
- 완전 백업 : 모든 데이터가 백업됨. 완전 백업 동안 아카이브 비트는 해제됨. 백업과 복구과정에 긴 시간 소요.
- 차등 백업 : 완전 백업을 차등 백업과 같이 사용하는 방법. 가장 최근 완전백업 이후에 수정된 파일만 백업한다.
- 증분 백업 : 완전 백업을 증분 백업과 같이 사용하는 방법. 마지막 완전백업이나 증분백업 이후 변경된 파일만 백업하고 아카이브 비트를 0으로 설정. 많은 백업시간이 절감됨.

 

★★★

재해 대응 및 복구관련 용어
RPO : 복구목표시점 (재해시점 이전)
RTO : 복구목표시간 (반드시 복구 완료되어야 하는 시간)
RP : 복구 기간. 실제 업무 기능 복구까지 걸린 시간.
MTD :  최대 허용 중단 시간. 치명적 손실 없이 조직이 운영을 중단하고 견딜 수 있는 최대 시간. RTO + WRT

 

★★★

BCP/DRP 테스트 비교
- 체크리스트 (문서 테스트, 체크리스트)
- 구조적 워크스루 (문서 테스트)
- 시뮬레이션 : 2차 사이트로 재배치까지만
- 병행 테스트 : 1,2차 사이트에서 업무 병행처리
- 완전중단 테스트 : 1차X 2차 사이트에서 업무처리

 

 

★★★

TESEC, ITSEC, CC의 비교

TESEC	ITSEC	CC
미국 내 보안표준	유럽	전세계 공통 보안표준
7등급 D 부적합	7등급 E0 부적합	7등급 EAL0 부적합
NCSC	영국, 독일, 프랑스, 네덜란드	ISO/IEC 15408

 

 

★★★

TCSEC의 단계별 보안 수준

D Minial Protection	C1 Discretionary Security Protection	C2 Controlled Access Protection	B1 Labeled Security	B2 Sturctured Protection	B3 Security Domains	A1 Verified Design
최소 보호 →	임의적 보안 보호 →	통제적 접근 보호 →	레이블 이용 보호 →	구조화된 보호 →	보안 도메인 →	검증된 설계
비정형적 검증 (~B1)				정형화된 검증
	싱글레벨보안 임의적 정책 ( ~C2)		다중레벨보안 임의적, 강제적 정책

 

 

★★★

CC의 문서 구성

- CC 소개 및 일반적 평가 모델 : 일반사항 및 모델 설명
- 보안 기능 구성요소 : 식별 및 인증, 암호지원, 보안감사, 안전한 경로/채널, 보안기능의 보호, 자원 활용, ㅍ라이버시, 보안관리 등 (제품이 갖추어야 하는 보안 기능에 대한 정의)
- 보증 기능 구성요소(EAL 단계별 요구사항) : 생명주기, 개발, 형상관리, 설명서, 배포 및 운영, 취약점 평가 등 (제품이 부합해야 하는 보안 목표에 대한 정의)

=> ISMS-P의 정보보호 대책 요구사항과 섞어서 시험문제가 나올 수 있다

 

 

★★★★★

CC의 구성요소

- 패키지 : 부분적인 보안목표를 만족하게 하기 위한 컴포넌트의 집합. 요구사항의 모음으로 재사용 가능.
- EAL : 평가. 보증 컴포넌트의 집합. 보증수준이 보증 등급을 형성.
- TOE : 평가 대상. 제품.
- PP : 보호 프로파일. 갖추어야 할 공통적 보안 요구사항. 전세계 프로파일의 종류는 10개 내외. EAL 등급별로 작성되어 발표됨.
- ST : 벤더가 직접 작성하는 보안목표 명세서. PP를 먼저 창조한 후 ST를 작성하여 제품 개발.

 

 

★★★★★

ISMS-P 관리체계 수립 및 운영

1) 관리체계 기반 마련
- 경영진의 참여
- 최고 책임자의 지정
- 조직 구성
- 범위 설정
- 정책 수립
- 자원 할당

2) 위험관리
- 정보자산 식별
- 현황 및 흐름분석
- 위험 평가
- 보호대책 선정

3) 관리체계 운영
- 보호대책 구현
- 보호대책 공유
- 운영현황 관리

4) 관리체계 점검 및 개선
- 법적 요구사항 준수 검토 (컴플라이언스와 유사)
- 관리체계 점검

 

ISMS-P 보호대책 요구사항
- 정책, 조직, 자산 관리
- 인적 보안
- 외부자 보안
- 물리 보안
- 인증 및 권한관리
- 접근통제
- 암호화 적용
- 정보시스템 도입 및 개발 보안
- 시스템 및 서비스 운영관리
- 시스템 및 서비스 보안관리

- 사고 예방 및 대응

- 재해복구

 

 

ISMS-P 개인정보 처리 단계별 요구사항

- 개인정보 수집시 보호조치 (영상정보처리기기 설치시 조치 등)
- 개인정보 보유 및 이용시 보호조치 (이용자 단말기 접근보호 등)
- 개인정보 제공시 보호조치
- 개인정보 파기시 보호조치
- 정보주체 관리보호 (개인정보처리방침 공개, 정보주체 권리보장)

 

 

ISMS = 관리체계 수립 및 운영 + 정보보호 대책 요구사항
ISMS-P = 관리체계 수립 및 운영 + 정보보호 대책 요구사항 + 개인정보처리 단계별 요구사항

 

 

★★★

사이버 위기경보 단계
- 심각 : 빨강. 국가적 차원에서 네트워크 및 정보시스템 사용불가. 국가적 공동 대처
- 경계 : 주황. 복수 정보통신서비스제공자망, 기간망 장애 또는 마비. 국지적 발생.
- 주의 : 노랑. 일부 네트워크 및 정보시스템 장애. 다수기관으로 확산될 가능성 증가
- 관심 : 파랑. 해외 사이버공격 피해가 확산되어 국내유입 우려

 

 

-- 아래로 법규

 

 

개인정보보호법

 

 

행안부(행정안전부) - 총괄부서, 보호지정, 과징금 5억원 부과 주체.

정보주체/이용자
- 개인정보 열람, 정정, 삭제, 처리, 정지

개인정보처리자/정보통신서비스제공자
- 개인정보보호책임자를 지정

 

( 정보 주체 - 개인정보 처리자 대칭 / 이용자 - 정보통신서비스제공자 대칭 )

개인정보보호책임자
- 개인정보생명주기 관리

공공기관
- 개인정보영향평가
- 개인정보파일 등록

개인정보분쟁조정위원회
- 20명
- 분쟁조정
- 개인정보분쟁조정부 (5명) 운영

개인정보보호위원회
- 국무총리소속 (9명)
- 개인정보 정책 심의 의결

 

 

정보통신망법

방통위와 과기부
- 본인확인기관 지정 (I-PIN)
- 주관부서, 시책마련

이용자
- 서비스 이용자. 수집, 이용 동의

정보통신서비스제공자
- 정보보호최고책임자를 지정함.

정보보호최고책임자
- 안전성 확보

KISA
- ISMS-P 이증 처리
- 침해사고 대응

 

 

정보통신기반보호법

과기부 (국가정보원 개입)
- 주관부서, 보호대책이행여부확인
- 시설 지정 권고

정보통신기반보호위원회
- 국무총리소속 (25명)
- 제도 개선

중앙행정기관
- 실제로 시설을 지정함
- 보호조치 명령

관리기관
- 보호대책 수립
- 기술적 지원요청
- 취약점 분석평가
- 침해사고 통지

정보공유분석센터 ISAC
- 취약점, 침해사고 정보 제공
- 침해사고 분석

 

 

개인정보보호법
- 목적 : 개인정보 수집, 유출, 오용, 남용으로부터 사생활의 비밀 등을 보호함
- 주요 법률 내용 : 보호정책 수립, 처리, 안전한 관리, 정보주체 권리 보장, 개인정보 분쟁조정위원회, 단체소송
- 다른 법률과의 관계 : 
- 개인정보 보호책임자(총괄책임자)의 업무 : 정기적인 조사 및 개선, 불만의 처리 및 피해 구제
- 개인정보 수집 동의사항 : 수집, 이용 목적. 수집하는 항목, 정보 보유 및 이용 기간, 동의를 거부할 권리가 있다는 사실 및 거부에 따른 불이익이 있을시 불이익 내용
- 개인정보 제공시 정보주체의 동의사항 : 정보를 제공받는자, 제공받는자의 이용 목적, 제공하는 항목, 제공받는 자의 보유 및 이용 기간, 동의를 거부할 권리가 있다는 사실 및 거부에 따른 불이익이 있을시 불이익 내용
- OECD 개인정보 보호원칙
1) 수집제한
2) 정보 정확성
3) 목적 명확화
4) 안전성 확보
6) 처리방침 공개
7) 정보주체 참여
8) 책임

수정목안처정책

 

+)

업무 위탁자/수탁자
정보 양도자/양수자

 

 

정보통신망 이용촉진 및 정보보호 등에 관한 법률
- 목적 : 정보통신망의 이용을 촉진하고, 정보통신서비스를 이용하는 자의 개인정보를 보호함과 아울러 정보통신망을 건전하고 안전하게 이용할 수 있는 환경 조성

- 취약점의 분석, 평가 대행 기관 : 한국 인터넷 진흥원, 정보공유/분석센터, 정보보호 서비스 전문기업, 한국전자통신연구원

 

 

정보통신기반 보호법
- 목적 : 전자적 침해행위에 대비하여 주요정보통신기반시설의 보호에 관한 대책을 수립, 시행

- 법이 열거한 주요통신기반시설
 - 도로,철도,지하철,공항,항만 등 주요 교통시설
 - 전력, 가스 등 에너지-수자원 시설
 - 방송중계, 국가지도통신망 시설
 - 원자력, 국방과학, 첨단방위산업관련 정보출연연구기관의 연구시설

- 침해사고 통지의무 대상자
 - 주요정보통신서비스 제공자
 - 집적정보통신시설 사업자
 - 그 밖의 정보통신망을 운영하는 자로서 대통령령으로 정하는 자

 - 정보보호 산업에 종사하는 자 중 컴퓨터 바이러스 백신소프트웨어 제조자

 

 

(비법노트 정리) FTP 관련 프로토콜과 공격 유형 FTP - 능동모드 : 기본, 서버 데이터20 / 제어21 포트 사용 (평문전송) - 수동모드 : 서버 제어21 / 데이터 1024번 이상 포트 사용 (평문전송) TFTP : 브리지, 라우터 초기화. 보안X 익명 FTP : 익명, 게스트 모드 또는 이메일주소. Bounce 공격, 익명 ftp 취약점 이메일보안 MTA : SMTP  MUA : 아웃룩, 메일 클라이언트 프로그램 MDA : procmail. 메일박스에 저장해주는 역할.  MRA : 메일 조회. IMAP4, POP3 - ↓ 아래 것들만 암호화됨 PEM : 이론중심, 복잡, 중앙집중화된 키 인증 PGP : 분산화된 키 인증 (인증, 기밀성, 압축, Radx-64, 단편화) 서비스 제공 S/MIME : MIME에 서명과 암호기술 이용. CBC 모드 + SMTP : 25 TCP port. 암호화시 465 port + IMAP4 : 143 port. 암호화시 993 port + POP3 : 110 port. 암호화시 995 port 웹 보안 1) SSL/TLS 가) 계층(포트) : 전송~응용계층, 443 port (핸드셰이크, 얼랏, ChangeCipherSpec, 하트비트 / 레코드 의 2계층 구조) 나) 서비스 : 기밀성, 무결성, 상호인증(전자서명, 비대칭 알고리즘, X.509) 다) 프로토콜 - 핸드셰이크 : 암호화키 협상. 초기 협상 -> 서버인증 -> 클라이언트 인증 -> 종료. ServerHello 필수. - ChangeCipherSpec : 1바이트, 협상된 보안매개변수로 변경시 사용 - Alert : 2바이트, 경고 - 레코드 : 메시지 암호화, 통신(단편화>압축>MAC>암호화) CBC 모드. 운반자. 2) 웹공격 - SQL Injection : 입력값 검증 부재. 필터링, 에러표시 주의, 저장 프로시저 사용 - XSS : 입력값 검증 부재. 세션탈취 또는 악의적 사이트로 이동. - CSRF : 사용자 권한으로 악의적 공격 수행. get을 post로 대체할 것 - Upload : 업로드 규제가 없을시 악용. 웹쉘로 관리자 권한 획득. 파일 확장자 검증 필요 - Download : 상위 디렉터리로 탐색, 특정 파일 다운로드. 문자열 필터링 필요 - 쿠키 세션 위조 : 서버 사이트 세션 위조, 쿠키정보 암호화로 대응 DB 암호화 방식 - Plug-In 방식 : dbms 자체에 암복호화 모듈 설치. db 서버에 부하가 생김 - In-Places 방식 : db 엔진 내부에서 암복호화 기능 수행. 비교적 빠름. 별도 패키지 사용해야함. - API 방식 : 외부 애플리케이션 영역에서 암복호화. DB 내부 암호화된 데이터 처리 불가능 - 하이브리드 : 플러인 + api 방식. 투자비용이 상대적으로 높음 데이터베이스 보안위협 및 보안제어 1) 보안위협 - 집성 : 민감하지 않은 개별 소스 수집 -> 민감정보 생성 - 추론 : 비기밀 데이터 -> 기밀정보 획득. 2) 보안제어 - 추론제어 : 허용가능한 질의 제한. - 흐름제어 : 정보가 보다 낮은 보호수준의 객체로 이동하는 것을 금지 - 접근제어 : 접근권한을 논리적으로 분리함 전자지불 - 위조 불가능 - 부인방지 - 누명면제 - 무결성 - 인증 - 익명성 전자화폐 - 익명성 - 오프라인성 - 양도성 - 분할성 - 독립성 - 복사 및 위조 방지 - 익명성 취소 기능 전자투표 - 완전성 - 익명성 - 건전성 - 이중투표방지 - 정당성 - 적임성 - 검증 기능 전자입찰 - 독립성 - 비밀성 - 무결성 - 공평성 - 안전성 침해사고 대응과 포렌식 원칙 1) 사고대응 7단계 사고 전 준비 과정 -> 사고 탐지 -> 초기 대응 -> 대응 전략 체계화 -> 사고 조사 -> 보고서 작성 -> 해결 2) 포렌식 기본원칙 - 정당성, 재현성, 신속성, 연계보관성, 무결성 ISO 27000 시리즈, 보안정책, 인적자원 보안 1) ISO 27000 시리즈 - 27001 요구사항 - 27002 실무규약 - 27004 통제 효율성 측정 - 27005 정보보안 위험 관리 - 27014 정보보호 거버넌스 2) UISO 27001:2013 - Process Approach : P조직 D지원, 운영 C성과평가 A개선 3) 보안정책 - 정책 : 지침과 규약 - 표준 : 요구사항 정의, 강제적 - 지침 : 권장 행위 - 절차 : 단계적 행동 상세 - 기준선 : 일관되게 참조할 포인트 4) 인적자원보안 - 고용과정 : 고용협정, 레퍼런스 체크 등 - 고용기간 동안 : 직무순환, 직무분리, 강제휴가 - 고용종료 : 퇴직시 권한 삭제 위험관리 1) 위험분석 방법 - 기준 접근법 (업계최선실무, 체크리스트) - 비정형화된 접근법 (개개인의 지식) - 상세 위험 분석 (모든 중요 위험 식별, 대규모) - 통합된 접근법 (고위험 영역과 그외로 나누어 별도 적용) 2) 위험처리 전략 - 위험 수용 - 위험 회피 - 위험 전가 (보험, 외주) - 위험 감소 3) 정량적 분석 - ALE (ARO * SLE = 자산가치 * 노출계수) - 과거 자료 분석 (과거 자료) - 수학 공식 접근법 (빈도를 계산하는 식) - 점수법 (가중치를 두어 추정) - 확률 분포법 (확률적 편차) 4) 정성적 분석 - 델파이법 (전문가 집단) - 시나리오법 (발생가능한 결과 추정) - 순위결정법 (비교 우위 순위 결정표, 서술적 순위 결정) BCP/DRP 가) BCP 단계별 접근법 5단계 기준 1. 프로젝트 범위 설정 및 기획 2. 사업영향평가BIA 3. 복구전략개발 4. 복구계획수립 5. 프로젝트 수행테스트 및 유지보수 ( 4단계에서는 복구 관련이 빠짐 ) ( 6단계에서는 재난 대책에 대한 내용 추가 ) 나) 2차 사이트 - 미러사이트 - 핫사이트 - 웜사이트 - 콜드사이트 - 상호지원계약 : 상호협정 체결. 두 개 이상의 기업간 계약에 따라 재난시 대응.