4주차 강의

1. 꿈을
https://www.youtube.com/watch?feature=player_embedded&v=CmQg5QXc-R0
달려라.

2. 공격기법및IDS접근통제를우회할수있는공격기법과IDS의탐지원리에대해학습
접근통제모델(보안모델) 접근통제모델과이에기반한보안모델에대하여학습.
인증인증수단의종류와원리에대해학습.
접근통제접근통제의원리와개념에대해학습.
전주리뷰

3. 보안읽어주는남자
보안관리
SercurityplusUnion Academy

4. 목차
1. 보안관리2. 데이터등급3. 보안프로그램4. 위험관리5. 인사보안

5. 1. 보안관리

6. 보안관리란무엇일까요?
한번살펴볼게요.

7. 보안관리개요(1)
1. 보안관리(1/7)
프레임워크경영
관리체계틀

8. 보안관리는
중요한자산(정보)를하고,
보호하기위한일련의관리체계를하고
하고, 및을꾀하는것
인식
수립
수행
점검
개선
보안관리개요(2)
1. 보안관리(1/7)

9. 보안관리과정및개념(1)
1. 보안관리(2/7) 자산
나? 위협!

10. 보안관리과정및개념(2)
1. 보안관리(2/7)
통제대책
취약점
위험
자산
위협원
위협
소유자
도입
인지
경감
가치부여
최소화
경감
탐색
발생
기인
기인
손상
발생

11. 보안의기본원칙은무엇일까요?
계속살펴볼게요.

12. 보안기본원칙(1)
1. 보안관리(3/7)
자산CIA
기밀성
무결성
가용성
노출
훼손
중단

13. 보안기본원칙(2)
1. 보안관리(3/7)
NIST에서말하는핵심원칙사이의의존관계
정보보호원칙들간의관계
기밀성
무결성
기밀성
무결성
가용성
무결성
기밀성
기밀성
무결성
책임추적성

14. 지금부턴보안의목표를확인하겠습니다.
천천히살펴보죠.

15. 보안목표(1)
1. 보안관리(4/7)
Information
Assurance
Informationsecurity

16. 보안목표(2)
1. 보안관리(4/7)
1960년~
1980년~
1998년~
Computer Security
Information Security
Information Assurance
비교
컴퓨터
정보, 정보시스템
전체비즈니스
신뢰성
C, I, A
whole

17. whole 목표
기밀성, 무결성, 가용성
부인방지, 책임추적성, 유용성, 신뢰성
비용효과성, 투명성, 효율성, 감사성
보안목표(3)
1. 보안관리(4/7)

18. 보안목표(4)
1. 보안관리(4/7)
전기적
(주로) 전기적
모든타입
Computer Security
Information Security
Information Assurance
비교
기술적
기술적우세
(인간, 관리요소일부포함)
시스템적접근
컴퓨터
보안기술
기술적
(인간, 조직고려)
다각적
(기술, 인간, 법)

19. 보안목표(5)
1. 보안관리(4/7)
지원시스템
지원시스템
(비즈니스를제한)
비즈니스통합
Computer Security
Information Security
Information Assurance
비교
기술직원
전용직원
기술직원
전용직원
중간관리층
기술직원
기술직원
전용중간관리층
전직원
기술적
보안
비즈니스

20. 정보보안의목적은무엇일까요?
계속살펴보겠습니다.

21. Residual Risk
1. 보안관리(5/7)
잔여위험
보안은위험수준을0으로만들지못한다!
“ 정보보안의목적은잔여위험을
수용가능한위험수준으로맞추는것”

22. 보안관리프로세스
1. 보안관리(6/7)
기업내
중요자산
파악
자산의
위험
파악
위험에
대한
대응책
강구
보안
프로그램
시행
보안관리프로세스

23. 보고체계모델은왜필요할까요?
목적을살펴보겠습니다.

24. 보고체계모델
1. 보안관리(7/7)

25. 보안관리의개념에
대해감이잡히나요?
이제부터, 자산분류에
대해알아봅시다.

26. 2. 데이터등급

27. 우선, 데이터등급은왜분류하는걸까요?
목적부터살펴보겠습니다.

28. 데이터등급분류의목적
2. 데이터등급(1/5)
데이터분류체계의주요목적
기밀성/ 무결성/ 가용성증진
정보에대한위협을최소화!
“한마디로, 민감한데이터를더잘보호하기위해서”

29. 데이터등급분류의기준
2. 데이터등급(2/5)
“데이터등급분류의기준은무엇일까?”
데이터등급결정의제일요소는와이다.
Lifetime(일정기간후, 자동분류해제)
피해의수준(노출, 수정, 손상발생시)
책임(접근, 관리)
장소(데이터보관)
법, 규제
가치
유용성

30. 자산의가치결정이유
2. 데이터등급(3/5)
“자산의가치는왜결정할까?”
CBA (Cost Benefit Analysis) 수행
보안대책수립
보험가입
Due care (Due diligence)를만족

31. 자산의분류
2. 데이터등급(4/5)
분류
수준/기준을정의
데이터
등급
표시
관리자,
매커니즘
보안통제
결정
문서화,
폐기방안,
교육
데이터분류과정
가능한단순하게! 분류레벨은최소화!

32. 책임의계층
2. 데이터등급(5/5)
“역할과책임을정의함으로써얻는이득은?”
혼란감소(경영진과의소통)
업무조정, 책임추적(부서간, 개인간)
법, 규정준수(법적요구사항대응)
감사대응(개선점도출, 지속적향상)
보안인식교육(식별가능)

33. 자산분류에
대해궁금한거없으세요?
이제부터, 보안프로그램에
대해살펴봅니다.

34. 5분만
쉴까요?
그전에..

35. 3. 보안프로그램

36. 정보보호거버넌스(1)
3. 보안프로그램(1/4)
“정보보호거버넌스의배경은무엇일까?”
투자목적부합(정보보호와현업부서)
정보기술의가시성(이사회, 경영진요구증대)
위험의관리감독메커니즘제공(이사회, 경영진)

37. 정보보호거버넌스(2)
3. 보안프로그램(1/4)
위험감소(적절한수준)
정보보호투자보증(적절한방향)
정보보호프로그램효과성(경영진에게제공)
I T
거버넌스
정보보호
거버넌스
기업거버넌스

38. 보안프로그램(1)
3. 보안프로그램(2/4)
정의
보안정책/표준
가이드라인/절차
보안인식교육/컴플라이언스
모두포함

39. 보안프로그램(2)
3. 보안프로그램(2/4)
Plan
And
organize
Implement
Operate
And
Maintain
Monitor
And
Evaluate
보안프로그램개발단계
경영진의승인
수립및획득
역할과책임
할당
보안정책, 표준
개발및SLA 관리
로그, 감사결과
매트릭스, SLA 리뷰

40. 보안정책
3. 보안프로그램(3/4)
“프로그램의계층적구조를한마디로표현하면?”
정책
-기밀정보가올바르게보호되어야한다.
표준
-DB의모든고객정보는AES알고리즘으로암호화되어저장되어야하며,
암호화기술을사용하여전송해야한다.
절차
-AES와IPSEC을실행하는방법을실행
지침
-전송중데이터가우연히암호가풀리거나,손상되거나,침해되었을경우처리하는방법
“무엇을보호할것인가?”
“어떻게보호할것인가?”

41. 보안인식교육(1)
3. 보안프로그램(4/4)
정의
정보보호의목표, 전략, 정책,
필요성, 관련책임, 역할등을
직원, 파트너, 공급자에게
설명하기위함

42. 보안인식교육(2)
3. 보안프로그램(4/4)
교육주제
회사의보안정책은무엇인가?
회사의보안정책은왜중요한가?
보안정책이어떻게내직무에적용되는가?
직원스스로가정보보호정책을왜준수해야하는가?
보안정책을위반함으로써얻게되는징계는무엇인가?

43. 보안인식교육(3)
3. 보안프로그램(4/4)
경영진을자극할수있는Motivator
FUD: Fear, Uncertainty, Doubt (의구심)
Due care : 법적책임강조
Productivity: 생산성에대한이슈
Team up : 실무자및법무팀과동행

44. 보안인식교육(4)
3. 보안프로그램(4/4)
항목
보안인식활동
보안훈련
보안교육
관점
무엇을WHAT
어떻게HOW
왜WHY
교육수준
정보제공
지식제공
통찰력제공
교육목적
인지
기술
이해
교육방법
매체이용
(비디오,뉴스레터)
실질적교육
(강의, 워크샵)
이론적교육
(토론, 세미나)
평가척도
배운내용확인
배운내용응용
배운내용설명
교육영향
단기
중기
장기
교육?
훈련?
“사람안에있는것을끄집어내는것”
“주입반복을통해그사람에게입력시키는것”

45. 보안프로그램별로어렵지않죠?

46. 4. 위험관리
46

47. 위험관리개요
4. 위험관리(1/5)
위험관리의목표
위험을수용가능한수준으로감소시키는것
위험식별
정성적분석
정량적분석
위험대응
계획
위험모니터
및보고

48. 위험분석(1)
4. 위험관리(2/5)
위험분석의목표
1. IT 자산에대한위험을측정하고,
측정된위험이허용가능한수준인지아닌지
판단할수있는근거를제공하는것
2. 잠재적위협의영향을계량화
3. 위협에대한보호를위한통제의연간비용과
예상되는손실에대한비용을비교한비용/이익비교를제공
4. 위험의영향과통제비용의경제적균형을제공

49. 위험분석(2)
4. 위험관리(2/5)
정성적위험분석
위험의구성요소와손실에대하여정확한숫자나화폐적가치를부여하지않고,
위험가능성시나리오에자산의중요성, 위협, 취약성의심각성을등급또는
순위에의해상대적으로비교하는방법
자산가치를나타내기위해high, medium, low등의Rate로표현(판단, 직관포함)
장점
a.계산이단순
b.계산과정과보고가유연함
단점
a. 숫자값으로표현하지않음(경영진에게신뢰성있는데이터를제공하지못함)

50. 위험분석(3)
4. 위험관리(2/5)
정량적위험분석
정보시스템및관련자산에대한위협발생확률과잠재적손실크기를
곱해서이를화폐가치로환산하여위험의정도를측정하는방법
공식적인CBA(Cost Benefit Analysis) 제공
장점
a.의미있는통계적분석이지원되며, 정보의가치를이해하기쉽게표현함
b.객관성있는데이터제공-> 경영진설득이용이
단점
a. 계산이복잡하며, 자동화툴이없으면매우힘듦
b. 정성적인item을정량화하기어려우며, 주관적판단이들어가서정확성떨어짐

51. 위험분석(4)
4. 위험관리(2/5)
정량적위험분석단계
자산에
가치
부여
잠재적
손실
계산
1년ARO
개별ALE
계산
위험
완화전략
채택
위험분석단계

52. 위험분석(5)
4. 위험관리(2/5)
정성적, 정량적위험분석비교
특징
정성적
정량적
복잡한계산
X
○
Cost/Benefit 분석
X
○
추측작업요구
○
X
자동화지원(Tool)
X
○
대량의정보와관계됨
X
○
객관적Metrics
X
○
주관적의견사용
○
X
상당한시간과노력을요구
X
○

53. 위험에대한대책
4. 위험관리(3/5)
“위험분석을한후에파악된Risk에대하여
가장효율적인보안대책을수립”
위험회피
-자산매각이나설계변경등다른대안을선택하여해당위험이실현되지않도록하는것
위험전가
-위험을보험회사와같이다른개체에전이하는것으로위험전이는비용을동반
위험완화
-화재진압시스템,방화벽등을통하여위험수준을제거하거나감소시키는것
위험수용
-비용대비효과를고려하여비즈니스목적상위험을그대로수용하는것

54. 비용대비투자효과분석
4. 위험관리(4/5)
CBA(cost-benefit analysis) ‘비용편익분석’
투입되는비용과산출량의상관관계를고려하여편익이큰것을
기준으로대안선택여부혹은우선순위를명백히하는것을의미
EF(Exposure Factor : 노출계수)
= 자산의가치에대한손실이나영향의크기를측정한값, 손실율(%)
SLE(Single Loss Expectancy : 단일손실예상액)
= 자산x EF
ARO(Annualized rate of occurrence : 연간발생빈도)
= 매년위험이발생할가능성에대한빈도수
ALE(Annualized Loss Expectancy : 연간예상손실액)
= SLE x ARO

55. 보안투자수익율
4. 위험관리(5/5)
ROSI(Return on Security Investment)의필요성
SROI(SoftReturn On Investment) : 정성적답을제공
HROI(HardReturn On Investment) : 정량적답을제공
경영진은위험을정량화하길원하고,
사고발생전에보안투자를받기는쉽지않으므로
보안통제가없을경우의재정적피해를예측해서
보안투자를받기위함.

56. 위험관리는
조금어려울수있지만,
중요한부분이에요.
조금만더힘내서, 인사보안에
대해알아봅시다.

57. 5. 인사보안
57

58. 인적관리
5. 인사보안(1/4)
정의
기업의정보시스템과관련된
모든직원들과외주직원, 퇴직자들은
직무상알게되었던정보시스템관련
비밀을지킬의무가있음을주지시키고,
그내용을담고있는서약서에서명하도록함.

59. 고용실무
5. 인사보안(2/4)
“인사보안을위한고용실무”
직무기술서
-직무의책임,직무에필요한교육,경험에대한내용을포함
고용계약서
-직원이재직및퇴직시직원의비윤리적행동으로인한소송으로부터조직을보호
기밀유지협약서
-조직의영업비밀,지적재산권보호의내용을담고있음
배경조사
-위험완화,충분한능력을갖춘직원에대한확신,고용비용감소,이직률감소효과

60. 인사통제
5. 인사보안(3/4)
“인사통제를위한보안원칙”
직무분리
-조직의어느누구도시스템보안전반에걸친절대적인권한소유불가
(의도적인시스템과자원의남용위험을감소)
직무순환
-지식에대한백업,부정적발,동료간감사기능
강제휴가
-1~2주정도직원의업무와특권을감사,횡령예방효과
“공모”는직무분리를우회한다.
직무순환은“공모”를적발한다.

61. 사회공학(1)
5. 인사보안(4/4)
정의
사람을속여서민감한정보를유출하게
하는기술로서설득과감언이설을통해
자신의신분을속이거나사람들을
교묘히조종하는것
주요공격대상은보안사슬에서
가장약한연결고리인사람

62. 사회공학(2)
5. 인사보안(4/4)
주요위협원
외부위협: 경쟁사, 호기심많은해커나개인
신뢰위협: 협력사, 컨설턴트
내부위협: 정직원, 계약직사원
공격의예: 어깨넘어훔쳐보기(Shoulder Surfing)
협박메일(Block Mail),
따라들어가기(Piggybacking, Tailgating)

63. 인사보안사람에대한고용과사회공학에서의위협을학습.
위험관리위험분석의목표와정량적, 정성적분석방법및대책을학습.
보안프로그램보안정책, 보안인식교육의목적과방법을학습.
데이터등급자산분류를위한데이터등급분류의목적과방법을학습.
최종요약

64. 암
호
학