시험
- 자산 관련 (자산 위협 취약성 ? )
- 위험평가는 안들어감
“개인”의 정보보호 = “개인”과 연관된, 개인이 생산한 중요한 정보의 보호 = 프라이버시
“기업”의 정보보호 = “기업”과 연관된, 기업이 생산한 중요한 정보의 보호 = 기업비밀
“국가”의 정보보호 = “국가”와 연관된, 국가가 생산한 중요한 정보의 보호 = 국가기밀
보안 컨설팅 프로젝트는 기업, 기관의 법률 준수 의무, 보안 사고 및 이슈, 상위기관 보안감사 등의 이유로 진행
정보보호컨설팅서비스영역> 주요정보통신기반시설취약점 분석 및 평가
- 취약점 분석 평가란, 악성코드 유포, 해킹 등 사이버 위협에 대한 주요정보통신 기반시설의 취약점을 종합적으로 분석 및 평가.개선하는 일련의 과정
컨설팅 업무 절차
고객사 환경분석, 이해관계자 파악
- 사업추진 배경 확인 – 내부사고, 지시, 법적필수
- 사업 연관 이해관계자 파악 – Keyman
- 고객사 보고 문화, 보고서 스타일 파악
- 프로젝트 주관부서와 프로젝트담당자의 내부 부서와 관계
- 주관부서, 담당자의 권한정도
- 프로젝트 결과의 공유&보고 범위 – 현업, 임원 등
정보보호관리체계 (Information Security Management System)
정보통신망의 안전성 확보를 위하여 수립·운영하고 있는 기술적·물리 적 보호조치 등 종합적인 관리체계에 대한 인증제도
정보 자산의 비밀을 유지하고 결함이 없게 하며 언제든 사용할 수 있게 한 보호 절차와 과정
시스템 및 서비스 보안관리
- 보안시스템운영 : Firewall, VPN, IPS, NAC, 서버보안, DB보안, 유해차단, APT방어, 메일보안, DRM, DLP 등
- 클라우드 보안 : Cloud 서비스에서 제공하는 보안설정 또는 서비스를 사용
- 공개서버 보안 : 홈페이지, 메일서버 등 DMZ에 공개된 서비스를 보호하도록 설정(사설IP설정, WIPS, MAIL보안 등)
- 전자거래 및 핀테크보안 : 전자거래(결제, 송금 등)에 대한 데이터 무결성 조치(데이터 변조체크, 암호화 등)
- 정보전송 보안 : 전송되는 구간에 데이터 암호화하여 전송 (서비스에 SSL 적용)
- 업무용 단말기기 보안 : 내부사용자가 개발, 서비스운영 등으로 사용하는 PC/노트북 등의 보안설정 (NAC, DRM, DLP등)
- 보조저장매체 관리 : 업무용단말기에서 USB를 사용하여 운영시스템에 접속하여 데이터를 빼내지 않도록 관리 (USB 차단, 보안USB사용)
- 악성코드 통제 : 업무용단말기, 서버 등에 백신설치 (PC백신, 서버백신, Viruswall)
위험평가
ISMS 관리체계 수립 과정의 필수 과정으로 정보자산 및 서비스 보안 측면에서 발생할 수 있는 부정적인 영향을 파악하여 효과를 최소화시키는 일련의 과정
- 베이스라인 접근법 : 모든 시스템에 대해 표준화된 보안대책의 체크리스트 형태로 점검
- 비정형 접근법 : 경험자의 지식을 사용하여 위험분석을 수행
- 상세 위험분석 : 정립된모델에 기초하여 자산분석, 위협 분석, 취약성분석의 각단계를 수행하여 위험분석을수행
- 복합 접근법 : 고위험영역을 식별하여 상세 위험 분석을 실시하고다른영역에 대해서는 베이스 라인 접근법을 사용
위험한 수준을 정량적으로 산정하기 위하여 취약점 심각수준, 자산의 중 요도, 위험의 발생가능성을 정량적으로 평가
KPI는 "Key Performance Indicator"의 약자로, 조직이나 개인의 성과를 측정하고 평가하는 데 사용되는 지표
- CI (Customer Identification):CI는 고객 식별을 위한 고유한 값으로, 주로 금융기관이나 서비스 제공자가 고객을 식별하기 위해 사용합니다. CI는 일반적으로 고객의 개인정보를 보호하기 위해 주민등록번호 대신 사용되며, 특정 알고리즘을 통해 생성된 고유한 식별자입니다.
- DI (Data Identification):DI는 데이터 식별을 위한 값으로, 특정 데이터나 정보를 식별하는 데 사용됩니다. DI는 데이터베이스에서 특정 레코드를 식별하거나, 데이터의 무결성을 유지하기 위해 사용될 수 있습니다.
Oracle 데이터베이스의 기본 포트 번호는 1521입니다.
제 6조 (개인정보암호화)
- 주민등록번호
- 여권번호
- 운전면허번호
- 외국인등록번호
- 신용카드번호
- 계좌번호
- 바이오정보 →>> 생체인식정보로 변경
정보보호산업의 진흥에 관한 법률 시행규칙
- 학사이상의 학위, 기사 또는 정보보호 관련 국내외 자격을 취득한 사람 → 초급인력으로 구분
File Detection System (파일 감지 시스템)
그룹웨어(Groupware)는 팀이나 조직 내에서 협업을 촉진하기 위해 설계된 소프트웨어
형상 관리(Configuration Management, CM)는 소프트웨어 개발 및 IT 시스템 관리에서 중요한 프로세스로, 시스템의 구성 요소와 그 변경 사항을 체계적으로 관리하는 방법
OLAP(Online Analytical Processing)는 데이터베이스 기술의 일종으로, 대량의 데이터를 신속하게 분석하고 복잡한 쿼리를 수행할 수 있도록 설계된 시스템
WAS(웹 애플리케이션 서버, Web Application Server)는 웹 애플리케이션을 실행하고 관리하는 서버 소프트웨어입니다. WAS는 클라이언트(주로 웹 브라우저)와 데이터베이스 간의 중개 역할을 하며, 웹 애플리케이션의 비즈니스 로직을 처리하고, 사용자 요청에 대한 응답을 생성합니다.
UPS(uninterruptible power supply) is a device that provides backup power to electronic equipment in case of a power outage or fluctuation.
위탁 → 수탁(위탁을 받은회사)
실습
시나리오를 참고하여 자산중요도 평가 보고서 작성
자산중요도는 confidentiality, integrity, availability 로 구분지어 평가
중요도 평가의 지표는 아래와 같다.
| 기밀성 | 자산이 유출되는 경우 회사에 막대한 금전적 손실이 발생할 수 있는 경우 | 3 | |
| 자산소유자인 해당부서 또는 담당자만이 접근 및 관리 가능한 자산 | |||
| 자산이 유출되는 경우 회사에 상당한 금전적 손실이 발생할 수 있는 경우 | 2 | ||
| 자산소유부서/담당자 이외 관련부서 등 회사 조직 내부에 국한하여 접근 및 열람이 가능한 정보를 가지고 있는 자산 | |||
| 자산(정보)이 사외로 공개되어도 관계없거나 손실이 경미한 경우 | 1 | ||
| 회사 조직 외부인이 접근 및 열람이 가능한 정보를 담고 있는 자산 | |||
| 해당 자산(장비)에 별도 정보가 기록되어 있지 않거나, 공개되어도 무방한 경우 | |||
| 무결성 | 자산(정보) 변조 시, 업무수행 또는 서비스에 막대한 장애를 유발하거나 회사에 중대한 금전적 손실을 입히는 경우 | 3 | |
| 자산(정보) 변조의 가능성이 높고, 변조 시 데이터의 무결성을 검증하기 힘든 경우 | |||
| 해당 자산 정보에 대한 실시간 백업이 이루어지지 않아, 원래의 정보를 복구하기 힘든 경우 | |||
| 자산(정보) 변조 시, 업무수행 또는 서비스에 부분적인 장애를 유발하거나 상당한 금전적 손실을 입히는 경우 | 2 | ||
| 데이터 변조의 가능성은 있으나, 데이터 변조 시 무결성 검증이 가능한 경우 | |||
| 임의의 무결성 검증 방법을 통해, 일정시간 내에 정보의 무결성을 복구 가능한 경우 | |||
| 자산이 변조되어도 업무 수행에 미치는 영향이 미흡한 경우 | 1 | ||
| 자산에 포함된 정보의 변조 가능성이 희박하고, 정보 변조 시 무결성 검증이 용이한 경우 | |||
| 가용성 | 자산(정보)의 가용성 훼손 시, 업무수행 또는 서비스에 중대한 장애를 유발하거나 회사에 막대한 금전적 손실을 입히는 경우 | 3 | |
| 해당 자산이 사용 불가능할 때, 대체(백업) 자산이 없어 장기적인 업무 중단이 발생하는 경우 | |||
| 연중 24시간 무 중단 운영되는 자산(장비)으로서, 장애발생시 3시간이내 복구되어야 하는 경우 | |||
| 해당 자산(장비)에 대한 장애 또는 침해사고 발생시 직접적인 서비스 중단을 야기하는 경우 | |||
| 해당자산이 사용 불가능할 때 대체 자산을 투입하기까지 단기적인 업무장애가 발생하는 경우 | 2 | ||
| 연중 24시간 무 중단 운영되는 자산(장비)으로서, 장애 발생 시 24시간 이내에 복구되어야 하는 경우 | |||
| 장비 장애로 인하여 서비스 중단은 발생하지 않으나 성능에 영향을 미치는 경우 | |||
| 해당 자산이 사용 불가능할 때, 대체 자산을 즉시 투입하여 업무장애 발생 가능성이 낮은 경우 | 1 | ||
| 연중 24시간 무 중단 운영되는 자산(장비)으로서, 장애 발생 시 수일 이내에 복구되어야 하는 경우 | |||
| 장비 장애 시 서비스 중단 또는 성능 저하에 직접적인 영향을 미치지 않는 경우 | |||
| 백업 장비의 경우 | |||