Part 04. 정보보호 일반

접근통제 3가지

MAC (강제적 접근통제)

- 각 주체의 등급에 따라 접근권한 부여

- 접근 권한 부여는 System

- 중앙집중적, 안정적

- 대표적 모델은 벨 라파듈라, 비바, 클락 윌슨, 만리장성 등

 

DAC (임의적 접근통제)

- 각 주체의 신원에 따라 접근권한 부여 (사용자 기반, ID 기반)

- 주체가 속한 부서장이나 PM 이나 관리자 등등이 접근권한 부여 (이를 소유자라고 말함)

- MAC 보다는 유연, 구현이 용이함

 

RBAC

- 역할에 따라 접근권한을 부여

- 직무 분리 원칙을 충족시킬 수 있음

- 주체의 인사이동이 잦은 조직에 적합

 

MAC 접근통제 모델

BLP(벨 라파듈라)

- 기밀성 중심

- No Read Up : 보안수준이 낮은 주체는 보안수준이 높은 객체를 읽지 못하게 하여 기밀성 보장

- No Write Down : 보안수준이 높은 주체는 보안수준이 낮은 객체에 기록해서는 안됨

                         높은 수준의 주체가 낮은 수준의 주체에게 정보를 전달할 수 있는 경로를 차단하여 기밀성 보장

- 높은 수준에 쓸 수 있어서 무결성이 단점

 

Biba(비바 무결성 모델)

- 무결성 중심

- No Read Down

- No Write Up : 보안수준이 낮은 주체가 높은 수준의 객체에 Blind 업데이트를 하지 못하도록 차단, 무결성 보장

 

위험분석 p.603

- 기준선접근법 : 소규모 조직, 체크리스트 기반

- 세부(상세)위험분석 : 모든 위험을 식별, 많은 시간과 비용

- 복합(통합)접근법 : 고위험은 세부(상세)위험분석, 나머지는 기준선접근법

- 비정형접근법 : 개인의 전문성으로, 신속하나 주관적

 

정량적 분석

- 수학공식법 : 위협 발생빈도를 식으로 계산

- 과거자료분석법 : 과거자료를 통해 위험 발생가능성을 예측

- 확률분포법 : 미지의 사건에 대해 확률적 편차 이용

- 점수법 : 위험 발생요인에 가중치 두어 측정

- 연간예상손실 : 단일예상손실(SLE) = 자산가치 X 노출계수

                      연간예상손실(ALE) = 단일예상손실(SLE) X 연간발생률

 

정성적 분석

- 델파이법 : 전문가 그룹 이용

- 순위결정법 : 순위결정표 이용해서 위험 항목들 순위 결정

- 시나리오법 : 일정 시나리오 하에서 위협이 발생 가능한 결과를 추정

- 퍼지행렬법 : 자산 가치를 화페로 표현하여 확률을 수학적으로 계산 (이거 왜 정성적?)

 

위험 처리

위험 수용 : 위험으로 인한 잠재적 손실 감수하고 플젝 진행

위험 회피 : 위험 존재하는 플젝 포기

위험 전가 : 보험, 외주 등 제 3자에게 이전

위험 감소 : 대책을 구현해 위험 감소시킴

 

업무연속성계획(BCP) 5단계 - 장애시 업무 연속성을 위한

1. 프로젝트 범위 설정 및 기획

2. 사업영향평가(BIA)

3. 복구 전략 개발

4. 복구 계획 수립

5. 프로젝트 수행 테스트 및 유지보수

 

재난복구계획(DRP) - 재해 발생시 행동절차

- 미러사이트 : 주센터와 동일 수준, Active-Active 상태, 실시간 동시 서비스, 즉시 복구

- 핫사이트 : 주센터와 동일 수준, Active-Standby 상태, 데이터는 동기적, 실시간 미러링으로 최신상태 유지, 수시간 복구

- 웜사이트 : 중요성이 높은 자원만 재해복구센터에, 데이터는 주기적(수시간~1일)으로 백업, 수일~수주 복구

- 콜드사이트 : 데이터만 원격지에 보관, 정보자원 조달하여 복구 실시, 데이터는 주기적(수일~수주) 백업, 수주~수개월 복구

 

침해사고대응 7단계

1. 사고전 준비 : CERT 구성, 조직적 대응 준비

2. 사고탐지 : 이상징후 탐지

3. 초기대응 : 초기 조사 수행, 확산방지 중점

4. 대응전략체계화 : 수사기관 공조 여부 판단

5. 사고조사 : 데이터 수집 분석, 피해확산 재발방지 방법 결정

6. 보고서 작성 : 의사결정자를 위한 보고서 작성

7. 해결 : 차후 예방을 위한 정책 수립

 

사이버위기 경보 단계

심각 - 국가적 차원에서 네트워크 및 정보시스템 사용 불가능, 전국적으로 침해사고 발생

경계 - ISP망 마비, 다수 기관에서 침해사고 발생, 대규모 피해 가능성

주의 - 일부 네트워크 및 정보시스템 장애, 일부 기관에서 침해사고 발생

관심 - 해외 사이버 공격 국내 유입우려, 사이버위협 징후 탐지활동 강화 필요

정상 - 위험도 낮은 웜, 바이러스 

 

CC 보안제품 평가기준

미국 TCSEC + 유럽 ITSEC --> ISO-15504 국제 표준

 

평가기관 : KISA

인증서발생 : 국가정보원

--> 공공기관은 CC인증 받은 보안솔루션 도입해야

 

EAL1 ~ EAL7 단계 (EAL0 은 부적합)

 

PP : 사용자나 개발자의 요구사항, 보안솔루션 기능 및 보증과 관련된 공통 요구사항

ST : 개발자가 제품평가를 위한 상세 기능을 정의, 기능명세서

TOE : 평가대상이 되는 제품

 

ISMS-P 

관리체계 수립 및 운영 16개

1.1.1. 경영진의 참여 : 최고경영자는 정보보호 및 개인정보보호 관리체계의 수립과 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 체계를 수립하여 운영하여야 한다

1.1.2. 최고책임자의 지정 : 최고경영자는 정보보호 업무를 총괄하는 정보보호 최고책임자와 개인정보보호 업무를 총괄하는 개인정보보호 책임자를 예산/인력 등 자원을 할당할 수 있는 임원급으로 지정하여야 한다

1.1.3. 조직 구성 : 최고경영자는 정보보호와 개인정보보호의 효과적 구현을 위한 실무조직, 조직 전반의 정보보호와 개인정보보호 관련 주요 사항을 검토 및 의결할 수 있는 위원회, 전사적 보호활동을 위한 부서별 정보보호와 개인정보보호 담당자로 구성된 협의체를 구성하여 운영하여야 한다

1.1.4. 범위 설정 : 조직의 핵심 서비스와 개인정보 처리 현황 등을 고려하여 관리체계 범위를 설정하고, 관련된 서비스를 비롯하여 개인정보 처리 업무와 조직, 자산, 물리적 위치 등을 문서화하여야 한다

1.1.5. 정책 수립 : 정보보호와 개인정보보호 정책 및 시행문서를 수립/작성하며 이때 조직의 정보보호와 개인정보보호 방침 및 방향을 명확하게 제시하여야 한다 또한 정책과 시행문서는 경영진 승인을 받고 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다

1.1.6 자원 할당 : 최고경영자는 정보보호와 개인정보보호 분야별 전문성을 갖춘 인력을 확보하고 관리체계의 효과적 구현과 지속적 운영을 위한 예산 및 자원을 할당하여야 한다

1.2.1. 정보자산 식별 : 조직의 업무특성에 따라 정보자산 분류기준을 수립하여 관리체계 범위 내 모든 정보자산을 식별/분류하고 중요도를 산정한 후 그 목록을 최신으로 관리하여야 한다

1.2.2. 현황 및 흐름분석 : 관리체계 전 영역에 대한 정보서비스 및 개인정보 처리 현황을 분석하고 업무 절차와 흐름을 파악하여 문서화하며 이를 주기적으로 검토하여 최신성을 유지하여야 한다

1.2.3. 위험 평가 : 조직의 대내외 환경분석을 통해 유형별 위협정보를 수집하고 조직에 적합한 위험 평가 방법을 선정하여 관리체계 전 영역에 대하여 연 1회 이상 위험을 평가하며 수용할 수 있는 위험은 경영진의 승인을 받아 관리하여야 한다

1.2.4. 보호대책 선정 : 위험 평가 결과에 따라 식별된 위험을 처리하기 위하여 조직에 적합한 보호대책을 선정하고 보호대책의 우선순위와 일정, 담당자, 예산 등을 포함한 이행계획을 수립하여 경영진의 승인을 받아야 한다

1.3.1. 보호대책 구현 : 선정한 보호대책은 이행계획에 따라 효과적으로 구현하고 경영진은 이행결과의 정확성과 효과성 여부를 확인하여야 한다

1.3.2. 보호대책 공유 : 보호대책의 실제 운영 또는 시행할 부서 및 담당자를 파악하여 관련 내용을 공유하고 교육하여 지속적으로 운영되도록 하여야 한다

1.3.3. 조직이 수립한 관리체계에 따라 상시적 또는 주기적으로 수행하여야 하는 운영활동 및 수행 내역은 식별 및 추적이 가능하도록 기록하여 관리하고 경영진은 주기적으로 운영활동의 효과성을 확인하여 관리하여야 한다

1.4.1. 법적 요구사항 준수 검토 : 조직이 준수하여야 할 정보보호 및 개인정보보호 관련 법적 요구사항을 주기적으로 파악하여 규정에 반영하고 준수 여부를 지속적으로 검토하여야 한다

1.4.2. 관리체계 점검 : 관리체계가 내부 정책 및 법적 요구사항에 따라 효과적으로 운영되고 있는지 독립성과 전문성이 확보된 인력을 구성하여 연 1회 이상 점검하고 발견된 문제점을 경영진에게 보고하여야 한다

1.4.3. 관리체계 개선 : 법적 요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계상의 문제점에 대한 원인을 분석하고 재발방지 대책을 수립/이행하여야 하며 경영진은 개선 결과의 정확성과 효과성 여부를 확인하여야 한다

 

 

ISMS

정보보호관리과정

1. 정보보호 정책 수립 및 범위 설정

2. 경영진 책임 및 조직 구성

3. 위험관리

4. 정보보호대책구현

5. 사후관리

 

 

 

정보통신망법 (정보통신망 이용 촉진 및 정보보호 등에 관한 법률)

 

위치정보법 (위치정보의 이용 및 보호 등에 관한 법률)

 

정보통신기반보호법

- 주요 정보통신기반시설에 관한 법률

- 과학기술정보통신부 주관

 

법률

- 관리기관의 장은 정기적으로 주요정보통신기반시설의 취약점을 분석/평가 해야 한다

- 관리기관의 장은 취약점을 분석/평가하는 전담반을 구성해야 한다

- 아래 기관에 취약점 분석/평가 요청, 이때는 전담반 구성 안해도 된다

  1) 한국인터넷진흥원

  2) 정보공유'분석센터

  3) 정보보호 전문서비스 기업

  4) 한국전자통신연구원

 

시행령

- 전담반 구성할 때 적정인력을 고려하여 취약점 분석/평가의 객관성과 실효성을 확보할 수 있도록 해야 한다

- 전담반 말고 위에 기관에서 취약점 분석/평가 할때는 비밀정보가 외부에 유출되지 않도록 적정한 조치를 취해야 한다

- 위에 기관에서 취약점 분석/평가 할때는 해당 업무를 위탁받은 기관이 이를 직접 수행하도록 해야 한다 (당연한 소리?)

 

전자서명법

- 전자문서의 안전성 신뢰성 관련 법률

 

16조 공인인증서의 효력의 소멸

- 공인인증서 효력 소멸 사유

  1) 유효기간이 경과한 경우

  2) 공인인증기관의 지정이 취소된 경우

  3) 공인인증서 효력이 정지된 경우

  4) 공인인증서가 폐지된 경우

 

17조 공인인증서의 효력 정지

- 공인인증기관은 신청이 들어올 경우 공인인증서 효력 정지하거나 정지된 효력 회복해야 한다

- 효력회복의 신청은 공인인증서 효력이 정지된 날부터 6개월 이내에 해야 한다

 

18조 공인인증서의 폐지

- 공인인증기관은 아래 사유가 발생한 경우 공인인증서를 폐지해야 한다

  1) 가입자 또는 대리인이 공인인증서 폐지 신청한 경우

  2) 가입자가 부정한 방법으로 공인인증서 발급받은 경우

  3) 가입자가 사망'실종 또는 해산된 경우

  4) 가입자의 전자서명생성정보가 분실'훼손 또는 도난'유출된 경우

- 공인인증기관은 공인인증서를 폐지한 경우에 그 사실을 항상 확인할 수 있도록 지체없이 필요한 조치를 취해야 한다