[정보보안기사 실기] [4. 정보보안 일반] 요약 본

 

정보보호 목표

※ 학습 목표
 1) 정보 보호를 통해 얻고자 하는 것을 판단한다.

구분	내용	보호 기술	시스템
기밀성 (Confidentiality)	인가된 사용자만 데이터 접근 가능 →  비인가자는 데이터 접근 불가	접근 제어 암호화	F/W 접근제어시스템 DRM 등
무결성 (Integrity)	정당한 사용자의 데이터 (생성 / 변경 / 삭제) 가능 → 정당하지 않은 사용자의 데이터 (생성 /변경 / 삭제) 불가능	Hash 바이러스 검사	백신
가용성 (Availability)	정당한 사용자의 지연없는 자원 사용 → 재해/재난 등으로부터 지체없이 자원 사용	백업 이중화 클러스터링	백업 장비 Anti-DoS
인증성 (Authentication)	객체의 자격이나 내용 검증	MAC
부인 방지성 (Non-repudiation)	데이터 송수신 사실 부인 방지	디지털 포렌식
책임 추적성 (Accountability)	활동에 대한 추적 가능	로그

 *정보보호 3원칙은 (기밀성, 무결성, 가용성)을 의미함.

---

접근 통제

※ 학습 목표
 1) 접근통제 프로세스를 이해한다.
 2) 주체 / 객체에 따라 접근통제 정책과 모델을 다르게 가져갈 수 있다.

[출처. https://m.blog.naver.com/sdug12051205/221575582613]

 

구분	항목	내용	적용 사례
접근통제 정책	강제적 접근 통제 (Mandatory Access Control)	주체와 객체의 보안등급 부여 및 비교하여 접근 통제  ※ 관리자만 정보 자원 분류 설정 가능 → 중앙 집중, 안정적, 비용↑, 성능 요구↑, 구현 복잡도↑	방화벽
	임의적 접근통제 (Discretionary Access Control)	객체의 소유자가 객체의 접근 가능한 주체를 결정 → 구현 복잡도↓, 유연함, ID도용 시 통제 불가, 트로이목마에 취약	ACL
	역할 기반 접근 제어 (Role-Based Access Control)	주체의 역할에 따른 권한 부여 → 직무 분리, 최소 권한 부여, 관리 용이, 현재 운영체제에서 실행되지 않음	HIPAA
접근통제 모델	벨라파둘라 → MAC (BLP, Bell-Lapadula)	높은 등급의 사용자가 낮은 등급으로 유출 가능성 방지  1) 읽기 권한 : 상위 레벨 X, 하위 레벨 O  2) 쓰기 권한 : 상위 레벨 O, 하위 레벨 X	군사시설
	비바 → MAC (Biba)	무결성 통제 모델(BLP + 불법 수정 방지)  1) 읽기 권한 : 상위 레벨 O, 하위 레벨 X  2) 쓰기 권한 : 상위 레벨 X, 하위 레벨 O
	클락-윌슨 (CW, Clark-wilson)	상업 환경에서 적합하도록 개발된 불법 수정 방지 모델  ※ 기밀성보다 무결성에 초점  ※ 객체는 프로그램을 통해서 접근 가능  ※ 프로그램 요청/응답 발생 → 감사(로깅) 용도	금융 자산 관리 회계
	만리장성 (BN, Brewer Nash, Chinese Wall)	상충관계에 있는 정보 접근을 통제 (무결성)  ※ 상충관계에 있는 개별 자원에 대한 접근 통제
접근통제 매커니즘	ACL (Access Control List)	객체 기준 허가받은 대상
	CL (Capability List)	주체 기준 허가받은 접근 가능 권한
	SL (Security Level)	객체에 부여된 보안속성 집합

 

---

위험관리

※ 학습 목표
 1) 위험을 분석하고 평가하여 DoA(수용 가능 수준) 범위의 대응책을 구현한다.
 2) 조직은 RoI(투자 대비 효과)가 높은 보호대책을 수립해야 한다.
 3) 위험관리 계획 수립 시 업무영향 분석(BIA)를 통해 업무의 우선순위 선정 및 보호대책을 도출한다.

KISA - 위험관리 가이드(2004)

 
[위험 관리]
* 위험 분석에 Focus 맞추기

단계	내용
1) 자산 식별	조직의 모든 자산 List-up
2) 위험 분석 및 평가	보호대상 위험 측정 및 평가하여 자산의 우선순위 선정
3) 정보보호 대책 수립	위험 대응 전략에 따른 보호대책 수립
4) 정보보호 계획 수립	보호 대책 담당자 / 조치 일정 등 계획 수립

 
[위험 구성요소]

[위험분석 요소들 간의 관계, 출처 : KISA, 위험분석 가이드]

구분	내용
자산	조직이 사용하고 있는 모든 구성요소
위협	자산에 손실을 초래할 수 있는 원인이나 행위자
취약점	정보보호 대책의 미비
정보보호 대책	위협에 대응하기 위한 보호 대책

 
[위험 분석 접근 방법]
* 사전 위험 분석 이후 위험 분석 접근방법 선정

분석법	내용
기준선 접근법 (Base Line Approach)	표준 법령 및 가이드 등을 기준으로 최소한 기준 수준으로 위험 관리  ※ 장점 : 시간↓ 비용↓ 필요한 보호 대책 선정 가능  ※ 단점 : 조직 특성 미반영, 미달될 가능성↑
비정형 접근법 (Informal Approach)	전문가, 경험자의 지식을 바탕으로 위험분석  ※ 장점 : 시간↓ 비용↓  ※ 단점 : 보호대책 및 소요비용의 불확실성 존재
상세위험분석 (Detailed Risk Analysis)	정립된 모델에 기초하여 자산분석 ,위협분석, 취약성분석 각 단계를 수행하여 위험 평가  ※ 장점 : 조직 내 적절한 보안수준 마련 가능  ※ 단점 : 전문 지식 필요, 시간↑ 비용↑
복합적 접근법 (Combined Approach)	(상세위험분석 + 베이스라인 접근법) 복합적 사용  ※ 장점 : 비용/자원 효율적 사용, 고위험 영역 식별 가능  ※ 단점 : 위험분석 비용 낭비 가능성 존재, 부적절 대응 가능성 존

 
[위험 분석 방법론]

구분	분석법	내용
정량적 분석	과거 자료 분석	과거 자료를 통해 위험발생 가능성 예측
	수학공식법	위험 정량화하여 간결하게 표현
	확률분포법	미지 사건 추정 시 확률 편차 이용
	점수법	위험발생 요인에 가중치를 두어 위험 추
정성적 분석	델파이법	전문가 집단이 위험 분석 및 평가
	시나리오법	어떤 사건도 기대대로 발생하지 않는 다는 사실에 근거로 가능성 추론
	순위결정	비교우위 순위결정표에 위험항목들의 서술적 순위 결정
	퍼지 행렬	정성적인 언어로 표현된 값을 사용하여 기대손실 평가

 
[위험 처리 방법]

구분	내용
위험 수용	위험을 받아들이고 손실 비용 감수하는 대책
위험 감소	위험 결과와 가능성을 낮추는 대책  ※ 위험 결과↓ : 백업, 이중화 등  ※ 위험 가능성↓ : 기술적 통제(방화벽 등), 관리적 통제(교육 등)
위험 전가	제 3자에게 책임 전가(보험, 보안관제 등)하는 대책
위험 회피	위험의 존재를 알고 있으나, 수행하지 않고 포기하는 대책

 

---

비즈니스 영향 분석(BIA, Business Impact Analysis) : 업무 연속성 계획(BCP) / 재해복구 계획(DRP) 

※학습 목표
 1) 경영진의 입장에서 BIA를 바라본다.
 2) BIA vs BCP vs DRP 차이를 이해한다.
 3) 가용성을 중점으로 생각한다.

구분	내용
업무 연속성 계획 (BCP,Business Comtomioty Planning)	장애 및 재해를 포괄하여 조직의 생존을 보장하기 위한 예방 및 복구활동 등을 포함하는 광범위한 계획
재해복구 계획 (DRP, DIsater Recovery Planning)	정보기술서비스기반에 대하여 재해가 발생하는 경우를 대비하여, 빠른 복구를 통해 업무에 대한 영향을 최소화하기 위한 제반 계획
차이점	BPC는 재난으로 인한 부정적인 영향이 일체 발생하지 않도록 대책을 세우는데 중점 DRP는 재난 발생 후 사업 복구와 재난으로 인한 부정적인 영향을 완화하는데 중점

 
 
[BCP 단계]

단계	내용
1. 프로젝트 범위 설정 및 기획	프로젝트 계획 수립 (범위, 조직, 시간, 인원 등 정의)
2. 사업영향평가(BIA)	사업단위가 재정적 손실의 영향도 파악 (문서작업)
3. 복구전략개발	BIA단계에서 수집된 정보를 토대로 복구 자원 추정하여 비상계획 전략 수립
4. 복구계획수립	사업을 지속하기 위한 복구계획 수립 (문서화)
5. 프로젝트 수행 및 테스트 유지보수	유지보수 활동현황을 포함하여 테스트 및 유지관리 절차 수행

 
 
[재해복구시스템 유형]

구분	내용
미러 사이트 (Mirror Site) RTO : 즉시	주 센터와 동일한 구성의 백업 센터 구축 및 실시간 동기화 (Active/Active 방식)  ※장점 : 데이터 최신성, 높은 안전성, 신속한 업무재게  ※단점 : 높은 초기투자비용, 높은 유지보수 비용, 데이터 업데이트가 많을 시 과부하
핫 사이트 (Hot Site) RTO : 수시간 이내	주 센터와 동일한 구성의 백업 센터 구축 및 동기적 or 비동기적 방식으로 실시간 미러링을 통해 데이터를 최신상태 유지 (Active/Stanby 방식)  ※장점 : 데이터 최신성, 높은 안전성, 신속한 업무재게, 높은 가용성, 주기적인 테스트와 구성의 유연성  ※단점 : 높은 초기투자비용, 높은 유지보수비용, 보안적인 문제
웜 사이트 (Warm Site) RTO : 수 시간 ~ 하루	주 센터와 동일한 수준의 정보기술 자원을 보유하지만 중요성이 높은 기술 자원만 부분적 보유하며 실시간 미러링 하지 않음  ※장점 : 핫 사이트 대비 구축 비용 저렴  ※단점 : 데이터 다소 손실 발생, 초기 복구수준 부분적
콜드 사이트 (Cold Site) RTO : 수 일 ~ 수 주	재난 발생 시 정보시스템을 설치할 수 있는 전산실을 미리 준비하지만 별다른 장비는 갖추지 않거나 최소한으로만 확보  ※장점 : 구축 및 유지보수 비용 낮음  ※단점 : 데이터 손실 발생, 복구 신뢰성 낮음, 테스트 어려움
상호 백업 협정	서로 비슷한 시스템을 갖추고 있는 기업 간에 재난 발생 시 상호 백업해 주기로 협정

 *RTO : 재해로 인하여 서비스가 중단되었을 때 서비스를 복구하는 데까지 걸리는 최대 허용시간
 

---

침해사고 대응 절차

※학습 목표
 1) 침해사고 발생 시 대응 절차를 이해한다.
 2) 침해사고 유형에 따라 각 단계별 세부 사항에 대해서 생각한다.

단계	내용
1. 사고전 준비 과정	사고 발생 전, 침해사고 대응팀과 조직적인 대응 준비
2. 초기 탐지(사고 탐지)	정보보호 및 네트워크 장비에 의한 이상 징후 탐지 관리자에 의한 침해사고 식별
3. 초기 대응	초기 조사 수행 및 사고정황에 대한 세부조사 기록 사고 대응팀 신고 및 소집과 침해사고 관련 부서 통지
4. 대응 전략 체계화	최적의 전략 결정 및 관리자 승인 획득 수사기관 공조 필요 사항 확인
5. 사고 조사	데이터 수집 및 분석 수행 6하원칙 기반 피해 확산 및 사고 재발 대응 계획 수립
6. 보고서 작성	의사 결정자가 쉽게 이해할 수 있도록 보고서 작성
7. 복구 및 해결	유사 공격 식별 및 예방하기 위한 보안 계획 수립  - 절차 변경, 사건의 기록, 장기 보안 정책 수립, 기술 수정 계획 수립

 

---

디지털 포렌식 5대 원칙

※ 학습 목표
 1) 각 원칙들이 어떤 의미를 가지고 있는지 이해한다.

원칙	내용
정당성의 원칙	획득한 증거 자료가 적법한 절차를 준수 (위법한 방법으로 숮비된 증거는 법적 효력 상실) - 독수독과 이론
재현의 원칙	현장 검증 실사 및 재판이나 법정의 검증과정에서 동일한 결과 재현
신속성의 원칙	휘발성 증거의 수집 여부는 신속한 조치에 결정되므로 모든 과정은 지체 없이 진행
연계 보관성의 원칙	증거물 획득, 이송, 분석, 보관, 법정 제출의 각 단계에서 담당자 및 책임자 명확히 지정 일련의 과정이 명확해야하며 추적이 가능
무결성의 원칙	수집한 증거가 위/변조 되지 않았음을 증명할 수 있어야함 (HASH 값 확인)

 

---

공통평가기준(CC, Common Criteria)

※ 학습 목표
 1) CC 인증 제품들이 어떤 의미를 가지고 있는지 판단한다.

구분	내용
국제상호인정협정 (CCRA, Common Criteria Recognition Arrangement)	공통평가기준에 따른 평가와 인증 결과를 회원국간에 상호인정하는 협정
보호프로파일 (PP, Protection Profile)	보안 IT제품이 갖춰야할 보안 요구사항 정의 문서
보안목표명세서 (ST, Security Target)	개발자가 PP를 참고하여 IT제품의 보안기능을 표현하기 위한 자료 제품 평가를 위한 기초자료로 사용됨
TOE (Target of Evaluation)	평가대상명 (S/W, H/W, 펌웨어 등)

 *평가보증등급(EAL, evaluation Assurance Level) : EAL1 ~ EAL7 등급으로 구분 / 2년동안 검증 / 5년 유지 

---

ISMS-P

※ 학습목표
 1) 인증 심사 기준을 이해한다.

개인정보보호위원회 - 인증제도(ISMS-P)

구분		통합 인증	분야(인증기준 개수)
ISMS-P	ISMS	1. 관리체계 수립 및 운영(16)	1.1 관리체계 기반 마련(6) 1.2 위험관리(4) 1.3 관리체계 운영(3) 1.4 관리체계 점검 및 개선(3)
		2. 보호대책 요구사항(64)	2.1 정책, 조직, 자산 관리(3) 2.2 인적 보안(6) 2.3 외부자 보안(4) 2.4 물리보안(7) 2.5 인증 및 권한 관리(6) 2.6 접근 통제(7) 2.7 암호화 적용(2) 2.8 정보시스템 도입 및 개발 보안(6) 2.9 시스템 및 서비스 운영관리(7) 2.10 시스템 및 서비스 보안관리(9) 2.11 사고 예방 및 대응(5) 2.12 재해복구(2)
	-	3. 개인정보 처리단계별 요구사항(22)	3.1 개인정보 수집 시 보호조치(7) 3.2 개인정보 보유 및 이용 시 보호조치(5) 3.3 개인정보 제공 시 보호조치(3) 3.4 개인정보 파기 시 보호조치(4) 3.5 정보주체 관리보호(3)