본문 바로가기
  • (개인)정보보호/최신ICT 정보 공유 블로그

정보보호20

정보보호 공시 적용 대상 및 절차 1. 정보보호 공시 적용 대상 가. 자율 공시 -정보통신망을 통하여 정보를 제공하거나 정보의 제공을 매개하는 자 (정보보호산업법 제13조제1항) ※ 정보통신 서비스(유·무선통신 서비스, 방송 서비스 등), 쇼핑몰, 포털, 인터넷 뱅킹 등 인터넷을 통해 사업 활동을 하는 영리, 비영리 업체 모두 포함 나. 의무 공시 -사업분야, 매출액 및 서비스 이용자 수 등을 고려하여 대통령령으로 정하는 기준에 해당하는 자 (정보보호산업법 제13조제2항) 사업분야 회선설비 보유 기간통신사업자(ISP) ※ 「전기통신사업법」 제6조제1항 집적정보통신시설 사업자(IDC) ※ 「정보통신망법」 제46조 상급종합병원 ※ 「의료법」 제3조의4 클라우드컴퓨팅 서비스제공자 ※ 「클라우드컴퓨팅법」 시행령 제3조제1호 매출액 정보보호 최고.. 2022. 5. 6.
제2항 정보보호 정책, 표준, 지침 제2항 정보보호 정책, 표준, 지침 정보보호 정책은 정보보호 활동의 목적, 전략, 목표를 설정하고 책임과 권한을 부여하기 위한 최고 경영진의 의사표현이다. 기업의 전략, 목표를 달성하기 위해 구체적인 정책이 필요하며 정책이 없다면 조직 및 기업은 개인 판단 기준에 의존하여 수행하게 된다. 통제 목표를 달성하기 위해 조직 및 기업은 통제 방법을 만들어야 한다. 이런 통제 방법은 통제 목표를 달성하기 위해 세부적으로 어떻게 이행해야 하는지를 다룬다. 통제 방법이 잘 준수될 수 있도록 그리고 효과적인 모니터링을 하기 위해 정책과 절차가 만들어져야 한다. 조직 및 기업에 관련된 비즈니스 활동 수행을 위한 목표 달성을 위해 관련된 법률을 준수하면서 중요 정보자산을 보호하기 위한 목표를 설정하고, 책임과 권한을 부.. 2022. 5. 2.
제3절 정보보호 관리체계의 구성요소 제3절 정보보호 관리체계의 구성요소 정보보호 관리체계를 통해 지속적인 정보보호 수준을 제고하고 침해사고 시 피해확산 방지와 신속한 대응 등의 절차를 수립, 훈련함으로써 고객 만족도 향상, 정보자산 보호, 업무 효율성 증진 등의 효과를 얻을 수 있다. 정보보호 투자가 기업의 이익에 얼마나 직접적으로 영향을 미쳤는지는 정확하게 판단하기 어려우나 정보보호 투자를 하지 않았을 경우 조직 및 기업이 침해사고 등으로 발생되는 기업 이미지 및 주가 하락, 매출 손실, 파트너 이탈, 고객 피해보상 등의 피해규모를 통해 간접적으로 산출할 수 있다. 정보보호 관리의 주요 구성요소들은 다음과 같다. 제1항 정보보호 전략 전략의 사전적 의미는 정치, 경제 따위의 사회적 활동을 하는데 필요한 책략이라고 정의하고 있다. (네이버.. 2022. 4. 26.
정보보호 관리체계의 필요성 제2절 정보보호 관리체계의 필요성 정보보호에 대한 최고 경영층은 ‘정보보호는 완벽해야 하는 것’이라는 인식이 자리잡고 있으며, 제한된 예산과 부족한 인력으로 부분적 일회성 정보보호 활동을 수행하거나 침해사고 등에 대해 단편적인 대응에 그치고 있다. 하지만 정보보호에 대한 조직 및 기업의 사회적 책임이 중요해지면서 정보보호 컴플라이언스, 정보보호 거버넌스, 위험관리 등이 기업의 경쟁력의 중요 요소가 되고 있다. 실무자들은 완벽한 보안이 어렵다는 점을 인식하고 있지만 차마 공개적으로 얘기하기는 어려운 현실이다. 완벽에 가까운 정책을 만들고 그에 맞는 정보보호 활동을 이행해면서 사고가 발생한 경우 피해를 최소화하는 대책 수립이 최선이다. 즉 정보보호와 관련된 통합적, 체계적인 활동을 수행하고 침해사고 등에 대.. 2022. 4. 11.
정보보호 관리체계의 개요 제1절 정보보호 관리체계의 개요 관리체계란 조직 및 기업의 품질경영이나 환경경영 등에서 사용하는 용어로써 정보시스템과 같은 IT 시스템을 의미하는 것이 아니라 어떤 대상을 관리하기 위한 체계를 의미한다. 경영학의 대가인 피터 드러커에 따르면 관리체계는 강점을 높이고 약점을 낮추며 조직 및 기업이 공동의 성과를 올릴 수 있도록 만들어 준다. 이러한 성과를 얻기 위해 인적 물적 자원과 경영진의 적극적인 참여와 의사결정이 필수적이다. 정보보호 관리체계는 조직 및 기업의 주요 정보자산을 보호하기 위하여 조직, 인력, 설비, 정책, 목적, 제도, 절차, 문서, 기록 등 경영자원을 활용하여 체계적으로 보호대책을 수립하고 지속적으로 관리하기 위한 방법론이다. 정보보호 관리체계를 구축 운용하는 조직 및 기업은 관리체계.. 2022. 4. 11.
정보보호의 개요 제2절 정보보호의 개요 제1항 정보의 정의 지능정보화 기본법(시행 2021.06.10) 제2조(정의) 제1에서 광 또는 전자적 방식으로 처리되는 부호, 문자, 음성, 음향 및 영상 등으로 표현된 모든 종류의 자료 또는 지식이라고 정의하고 있다. ‘데이터’는 현실 세계에서 측정하고 수집한 사실이나 값이며 ‘정보’는 어떤 목적이나 의도에 맞게 데이터를 가공 처리한 것을 의미한다. 즉 주로 각종 기기 또는 시스템에서 업무를 처리하면서 생성되는 원시 자료를 데이터라 하고 생성된 데이터를 목적이나 의도에 맞게 처리, 분석하여 데이터에 의미를 부여한 정보를 이용하여 의사결정을 통한 문제를 해결한다. 예를 들어 기상청에서 각 지역에 설치된 센서를 통해 시간대별로 기온을 측정한 수치 자료는 데이터이지만 이를 처리, 분.. 2022. 3. 10.
정보보호의 필요성 제1장 정보보호란 무엇인가? (What is Security?) 제1절 정보보호의 필요성 제1항 4차 산업혁명시대의 정보화 4차 산업혁명위원회에서는 “4차 산업혁명”이란 인공지능, 빅데이터 등 디지털 기술로 촉발되는 초연결 기반의 지능화 혁명으로 정의하고 있다. 과거 우리는 증기기관, 전기, 컴퓨터/인터넷 등의 범용기술에 의해 3차례 산업혁명을 경험하였으며 현재는 AI, Block Chain, Cloud, Big Data, 3D Printer, 양자 컴퓨팅 등 다양한 ICT 기술을 통해 4차 산업혁명을 이뤄가고 있는 중이다. 4차산업혁명은 초연결, 초융합, 초지능 이렇게 3가지의 키워드로 대표할 수 있다. 1) ‘초연결’ 인간과 인간, 인간과 사물, 사물과 사물이 서로 상호작용이 가능하도록 모두 네트워크.. 2022. 3. 10.
시각화 이론 1. 시각화의 개요 가. 시각화의 정의 -로그 내용을 가공해 그림으로 만들어 내는 과정 나. 시각화의 특징 -정보 전달, 많은 양의 정보를 전달 가능 -인터펙티브한 처리, 방대한 자료에 숨겨진 관계를 파악 가능하도록 자료 이해, 분석, 시각화 과정 필요 -의사결정 지원, 방대한 자료를 기반으로 패턴과 관계에 대한 효율적 분석과 의사결정 지원 -탐색과 발견, 시각화 과정은 자료 조사 및 분석을 위한 새로운 기법 다. 정보보호 시각화 -정보보호 시각화는 새로운 분야이며 지금까지 별다른 성과가 없었음 -정보보호 솔루션에서 보고서 및 대시보드 기능은 일방적인 전달 역할 수행 -또한 탐색 기능을 미제공하거나 특정 장비에만 맞춰져 있어 한정적인 시각화 제공 2. 시각화 이론 구분 특징 설명 시지각 사전 인지 시각 .. 2022. 2. 15.
시각적 보안분석 1. 리포팅 (보고서) - 자료 전달을 위한 보편적인 방법 - 바 차트, 선 차트, 링크 그래프, 트리맵, 평행좌표, 3차원 그래프 등 - 리포팅 툴 (SIEM, 보고서 생성 툴, 프로그램 라이브러리) 2. 이력분석 - 수집된 자료 분석 방법 가. 시계열 시각화 - 시간이 지나는 동안 모은 자료 - 예측 모델 개발 - 특정 시간 분포, 편차 등 분석 - 타임 테이블, 다중 그래프, 경향선, 이동 평균 차트, 단순/고급 이동 평균, 섹터 그래프 나. 상관관계 그래프 - 두가지 연속형 자료의 상관 관계 - 자산 중요도 - 패킷/바이트 전송량, 이벤트 심각도, 이벤트 중요도, 파일 크기 등 비교 - 취약점 숫자 & 취약점 제거 비용 다. 인터랙티브 시각화 - 정보탐색 만트라 (전체를 본 후 확대/필터링하여 원.. 2022. 2. 8.
정보 보호 시각화 보통 CMMi에서는 성숙도 레벨을 5단계로 나누고 있는데 이를 정보보호 관리체계의 성숙도 레벨로 변환하여 살펴본다면 다음과 같다고 볼 수 있다. 대부분의 기업들이 ISMS-P 등 인증을 획득하고 업무에 적용한 경우 보통 레벨 2~3 수준에 있다고 볼 수 있는데 국내에 ISMS-P 인증제도가 도입된 2002년 이후로 아직 레벨 2~3 수준에 머물러 있는 기업들이 많다. 이유는 아마도 -지금도 별다른 문제가 없는데 왜?, 뭘 더해? -이렇게 많은 비용을 정보보호에 쏟고있는 상황에서 또 뭔가를 더 투자해야 하나? -뭘 더해야 하지? 이정도면 잘하고 있는 것 아닌가? 등이 있을 수 있다고 생각된다. 기왕에 시작한 활동을 좀더 체계적이고 제한된 예산을 효율적으로 사용하기 위해서는 정보보호 시각화가 필요하다. 요즘.. 2022. 2. 7.
(ISMS-P) 정보보호 공시제도 1. 정보보호 공시제도의 개요 가. 정보보호 공시제도의 정의 -이용자의 안전한 인터넷 이용과 기업의 정보보호 투자 활성화를 위해 기업의 정보보호 투자 인력활동 등에 관한 정보를 공개하도록 하는 제도 나. 정보보호 공시제도의 특징 -디지털 전환으로 사이버 침해사고 발생 시 기업 경영에 직접 영향 -기업의 위험관리 정보가 투명하게 공개되지 않음 -이해관계자들의 알권리 보장 -기업의 자발적인 정보보호 투자 촉진 -공시대상연도에 처리하거나 발생한 회계 및 인증 내용을 기준으로 정보보호현황을 작성하여 공시 -처벌규정 신설, 위반시 1천만원 이하의 과태료 부과 근거 조항 신설 (정보보호산업법 개정안 제41조 제1항 제1호) 2. 정보보호 공시 의무대상 기준 및 공시 내용 가. 정보보호 공시 의무대상 기준 의무대상 .. 2022. 1. 10.
(ISMS-P) 2.2.2. 직무 분리 (항목) 2.2.2. 직무 분리 (내용) 권한 오·남용 등으로 인한 잠재적인 피해 예방을 위하여 직무 분리 기준을 수립하고 적용하여야 한다. 다만 불가피하게 직무 분리가 어려운 경우 별도의 보완대책을 마련하여 이행하여야 한다. 2021. 11. 3.
(ISMS-P) 1.1.3. 조직 구성 (항목) 1.1.3. 조직 구성 (내용) 최고경영자는 정보보호와 개인정보보호의 효과적 구현을 위한 실무조직, 조직 전반의 정보보호와 개인정보보호 관련 주요 사항을 검토 및 의결할 수 있는 위원회, 전사적 보호활동을 위한 부서별 정보보호와 개인정보보호 담당자로 구성된 협의체를 구성하여 운영하여야 한다. 2021. 10. 13.
(ISMS-P) (개인) 정보보호 조직 구성의 주요 부적합 사항 및 개선 방안 (현황) -홍길동/상무는 서비스 본부의 본부장으로써 CISO와 CPO 업무를 겸직 수행하고 있음 -김유신/팀장은 서비스 사업팀의 팀장 -이순신/팀장은 서비스 운영팀의 팀장으로써 서비스 사업팀장과 동등한 직무레벨 -유관순/과장, 강감찬/과장은 서비스 운영팀 내에서 정보시스템 및 정보보호시스템 등 운영 관리 (부적합 사항) -홍길동/상무는 내부 업무 수행 현황에 따르면 정보보호 최고책임자와 개인정보 보호책임자 직무를 수행하고 있으나 각종 문서 상에서는 내용이 일치하지 않음 -개인정보보호법률에 따르면 개인정보 보호책임자를 지정해야 하나 각종 문서상에서는 개인정보 관리책임자, 개인정보 보호책임자 등 다양한 직무명을 사용하고 있음 -결재 시에 정보보호 관리자의 검토, 승인이 존재하지 않음 (실제 업무수행 시 동등.. 2021. 5. 2.
(CSAP) 시점별 통제활동 수행을 위한 관리자 역할 앞서 시점별 활동 예방, 탐지, 교정/복구에 대해 정리해 봤습니다. 이런 시점별 활동을 수행하기 위해 정보보호 관리자는 어떤 역할을 수행해야 할까요. 시점별 통제활동 관리자 역할 예방 -주요 시스템들의 위협 및 취약점 정보, 위험평가 결과를 보고 받고 위험 수용 수준 결정 -위험이 적절한 수준 이하로 관리되도록 예산과 인력 등 자원을 할당 -임직원의 정보보호 인식 수준 향상을 위한 활동 계획 수립 -정보보호 및 주요 직무자의 정보보호 역량 강화을 위한 활동 계획 수립 -주기적 또는 상시 정보보호 활동 상황 검토 (선정된 정보보호 대책의 적정성 검토) -협력사 주기적인 정보보호 상태 확인 -주요 법률 제개정 현황을 모니터링 및 정책/지침 반영 탐지 -다양한 경로를 통해서 수집된 이벤트에 대한 보고 받기 (.. 2021. 4. 18.
(CSAP) 체계적인 대응을 위한 시점별 통제활동 유형 정보보호 활동은 단순히 정보보호 솔루션을 설치하는 것만으로 모든 것이 끝나지 않스빈다. 관리적/물리적/기술적 보호대책이 존재하는 것과 같이 시점별 다양한 통제활동을 수행해야 합니다. 시점별 통제활동은 1) 예방 통제, 2) 탐지 통제, 3) 교정/복구 통제 등으로 구분 가능합니다. 1. 예방 통제 -발생 가능한 사건/침입 등을 사전에 식별하고 통제하는 활동 가. 위험관리 -정보자산 분류 -위협 발생 시나리오 작성 (위협 정의) -취약점 평가 -발생 가능성과 피해 규모 산정 나. 보안관제 -침해사고에 대한 사전 예방 활동 -모니터링, 사전대응, 정책 적용 등 -사고 위협 요소 감소 -보안 패치, 취약점 점검, 정책 관리 다. 정보보호 인식 제고 -임직원에 대한 보안정책 인식 -보안규정 등 준수, 실천 교육.. 2021. 4. 11.
(CSAP) 까칠 또는 타협, 양보 앞서 까칠한 담당자를 지양해야 한다고 이야기를 했습니다. 그렇다면 까칠이라는 것은 어떤 것을 말할까요 외부심사를 나간 적이 있었는데 신청기관으로부터 컴플레인이 있었는데 다른 위원님이 너무 취조하는 느낌으로 인터뷰를 한다는 것이었습니다. "신분증을 받는 목적이 무엇인가요", "왜 안내판 등은 없나요" 등등의 질문에 심사 대응 담당자의 표정에서 매우 당황해 함을 느낄 수 있었습니다. 마찬가지로 정보보호 담당자가 현업 담당자에게도 유사한 형태로 대화를 하는 경우가 간혹 있습니다. 신청 부서에서 검토 요청을 하면 정보보호 부서에서는 "~그렇게 하면 안돼요.", "~법률/정책 위반입니다."라는 형태로 먼저 부정적인 답변을 하는 경우가 많습니다. 이런 형태의 대화가 되는 이유는 대화의 초점이 법률, 정책 준수 여부.. 2021. 3. 29.
(CSAP) 고집불통 정보보호 담당 1. 커뮤니케이션의 중요 일반적으로 조직 내에서 정보보호 담당자에 대한 인식이 좋은 편이 아닙니다. 다양한 매체에서 정보보호 담당자에 대한 인식 설문조사 등을 수행한 결과 다음과 같이 1) 독단적이고 권위적이다. 2) 커뮤니케이션이 잘되지 않는다. 3) 까칠하다. 4) 깐깐하다. 등의 의견이 대부분입니다. 이처럼 고집 세고, 대화가 잘되지 않는다는 인식이 많고, 개발 및 인프라 운영부서 등과는 거의 앙숙에 가까운 관계가 형성되어 있는 경우가 대부분이죠. 이렇게 된 이유는 1) 대부분 정책, 지침, 가이드, 법률 등을 기반으로 한 Negative 활동과 2) ISMS 등 다양한 인증을 지원하면서 발생되는 이슈에 대한 지원 업무특성(부적합 보고서)과 대화방식이 주 원인인 듯합니다. 정보보호 담당자와 인프라 .. 2021. 3. 28.