CISA Domain 5 정보보안, 데이터의 분류, 생체 인증, BYOD

 

정보보안의 목적

• 기밀성, 무결성, 가용성 확보
• 사업 요구 충족
• 비용 절감(노출, 변경, 파괴로 인한 손실 예방

조직의 사업 요구사항을 달성하기 위한 보안 목표(ISO 27001)

• 기밀성 <> 노출
  • 인가된 사용자만 접근
  • 위협 : 스니핑, 숄더 서핑
  • 통제 : VPN, 암호화
• 무결성 <> 변경
  • 인가된 사용자만 변경(정확성, 완전성)
  • 위협 : 해커, 트로이, 바이러스, 백도어
  • 통제 : 직무 분리(혼자 다하지 않게), 접근 통제, 동시성 통제
• 가용성 <> 파괴
  • 자산이 적절한 시기에 인가된 사용자에게 접근
  • 위협 : 도스, 통신 방해
  • 통제 : 백업, 클러스터링, Fault Tolerant
• 책임 추적성
  • 시스템 거래에 대한 책임 소재와 책임 부여

 

감사인의 인지사항

• 보안 목적과 사업 목적 일치하는지
• 보안 관련 사항은 고위급 경영진 레벨에서 결정했는지
• 자산에 대한 명확한 책임 소재 파악
• 위험 관리 과정을 반드시 진행

경영진의 참여와 지원

• 성공적인 보안관리를 위해서는 하향식(Top-down) 원칙을 지켜야 한다.

조직의 역할과 책임 (모든 책임은 정의되고 문서화 되어야 하며 모든 인원에게 전파되어야 함)

• CEO/경영진
  • 정보자산의 전반적, 궁극적, 최종적 책임
  • 보안 정책 변경 최종 결정
  • 보안프로그램 승인 지원
• IS 보안운영위원회
  • 보안지침, 정책, 절차 협의 및 수립
  • 우선순위 결정
  • 현업 사용자, 경영진, 보안관리자 등 구성
    • 보안업무 현안, 업무수행 방법 개발
  • 정기적인 회의록 보유
• 담당 부서 관리자
  • 보안 정책 개발을 감독
• 데이터 소유자
  • 데이터 등급 결정/분류
  • 접근 권한 승인에 대한 책임
  • 접근 검토 책임
  • 데이터 관리에 대한 권한은 정보관리인(Custodian)에게 위임
• IS 감사인
  • 보안프로그램의 효과성 주기적 평가
  • 보안 대책 검증
  • 통제의 적절성/효과성 확인

---

데이터의 분류(자산의 분류)

• 데이터 분류의 중요한 첫 단계는 위험 평가(민감도, 중요도) 및 목록화
• 장점
  • 민감성/중요성에 따라 부여해 비용 효과적인 방법으로 보호 가능
  • 테스트 데이터와 실행 데이터에 분류 접근할 때 중요
  • 과보호로 인한 위험과 비용 줄임

피기백킹(Piggybacking) : 비인가자가 인가자를 따라 접근

  > 대안 : CCTV, Double Door(Deadman door), Revolving Door, Turnstile

Dumpster Diving : 쓰레기통 뒤져 기밀문서 확보

Data Leakage : 디스크정보의 종이덤프, 보고서 절취로 정보 밖으로 유출

War Driving : 노트북으로 무선 데이터 수신해 도청

 

사고처리 대응 프로세스

1. 로그 유지 : 로그는 정확/완벽해야 함, 무결성 유지
2. 담당자 통보
3. 정보의 공개 : 모든 정보는 공표하지 않고 정확한 정보만 공표
4. 결과 분석 : 결과보고서 작성 후 보안정책과 관련된 모든 사람에게 배포

PIA(Privacy Impact Assessment) = DPIA(Data Protection Impact Assessment)

• 신규 개발되는 정보 시스템 등이 기본적인 프라이버시 요구를 만족시킬 수 있도록 도와주는 프로세스
• 목표
  • 업무 프로세스와 관련된 개인 신상정보의 성격 식별
  • 프라이버시에 대한 책임성 포함
  • 불필요한 개인정보 삭제
• 감사인의 역할
  • 경영진이 수행한 PIA 검토
  • 법/규정, 계약 협정으로부터 프라이버시에 대한 법적 요구사항을 식별, 이해가 필요

---

스파이웨어

• 무료 배포 SW에 포함된 일종의 프로그램
• 이름, IP, 웹사이트 목록 등 개인정보 유출 목적

트로이 목마

• 인가된 프로그램에 악성코드를 숨김
• 목적 : 정보의 유출, 좀비 PC

웜

• 컴퓨터 메모리, 네트워크 자원을 소모시키는 프로그램
• 자기 복제 가능
• SNS를 통한 감염

---

생체 인증 정확도 척도

False Acceptance Rate (FAR, F(+))

• 민감도를 낮췄을 때, 비인가자가 허용될 확률(오류의 증가)
• F(+)수치가 낮을수록 보안의 강도 증가됨

False Rejection Rate (FRR, F(-))

• 민감도를 높혔을 때, 인가자가 거절될 확률 (오류의 증가)
• F(-)수치가 낮을수록 보안 강도가 낮아짐(편의성 증가)

싱글 사인 온

• 로그인 시 한번만 ID/PW입력하여 다른 시스템에 편리하게 접속
• 장점
  • 편리함과 생산성 증가
  • 로그인 관리가 간소화되어 보안 수준도 향상됨
    • 강한 패스워드
• 단점
  • 하나의 SSO 서버 사용 시 네트워크 장애 유일점
  • 패스워드 유출 시 모든 접근 가능

BYOD(Bring Your Own Device)

• 직원들이 개인용 스마트폰, 태블릿, 노트북 및 웨어러블 기기를 사용하여 어디서든 기업 데이터에 액세스할 수 있도록 권한을 부여
• 필요 사항
  • AUP(Acceptable Use Policy, 사용자 동의 정책) 필요(개인 단말기 사용 시 책임 소재 명확해야함)
  • 원격 삭제 소프트웨어 및 잠금 기능
  • 역할 기반 접근 통제
  • 위치 추적 기능
  • 역할 기반 접근 통제