Transcript 책임 추적성
제1장 정보보호 개요 (ver.2) 도경화 2009. 9. 10 [email protected] 강의에 들어가기 앞서.. 계속적으로 변화되는 환경! 지능화되고 고도화되는 침해! 그에 따른 “창과 방패”를 위한 보안 기술! 그리고!! Copyright © 2008 도경화 :: [email protected] 정보보호 정의 정보보호 정의 의도적이든 비의도적(사고)이든 부당한 정보의 열람, 유출, 변조, 파괴로부터 정보를 보호하고자 하는 것 The protection of information against unauthorized disclosure, transfer, modification, or destruction, whether accidental or intentional [Information Warfare, July 1996] 공개로부터의 보호 변조로부터의 보호 Confidentiality 보안성/비밀성 기밀성/내밀성 Integrity 무결성 Availability 가용성 파괴/지체로부터의 보호 Copyright © 2008 도경화 :: [email protected] 책 임 추 적 성 정보보안 목표 기밀성(Confidentiality) 무결성 (Integrity) Confidentiality 가용성(Availability) 인증(Authentication) Integrity 권한관리(Authorization) 책임추적성(Accuracy) 보증(Assurance) NIST 800-33(Security Objectives) Copyright © 2008 도경화 :: [email protected] Availability 정보보호 개념 변화 정보보호 범위 통신보안 (CommSec) 컴퓨터보안 (CompuSec) 네트워크보안 (NetSec) 정보보안, 정보보호 (InfoSec) • 개인정보보호의 중요성! 정보전 (Information Warfare, IW) 정보보증 (Information Assurance, IA) 변화 정보보호(Security) 정보보증(Assurance) 암호기술 및 서비스 중심에서 정보의 가용성을 중시 Copyright © 2008 도경화 :: [email protected] 정보보호 용어 정보기술 보안 주로 기밀성, 무결성, 가용성을 정의. 구현 및 유지보수와 관련된 모든 측면 자산(assert) : 조직에 가치 있는 모든 것 영향(Impact) : 예기치 않은 사건으로 인한 결과 위협(Threat) 발생시 시스템에 손상을 유발시킬 수 있는 사건이나 행동 취약성(Vulnerability) : 위협에 의해 이용 될 수 있는 자산내의 약점 위험(Risk) : 자산의 취약성으로 인해 발생되는 기대손실(확률) 위험분석(Risk Analysis) : 보안 상태를 분석하는 과정 위험 식별, 규모 결정, 대응책이 필요한 분야 식별 Copyright © 2008 도경화 :: [email protected] 위험 관리 (Risk Management) 변화하는 환경에 맞게 1)과 2)를 지속적으로 수행하는 프로세스 1) 위험 식별: 정보 자원의 취약점과 위협요소를 파악하는 것 2) 대책 마련: 정보 자원의 가치에 합당한 수준으로 위험을 감소시키는 대책을 마련하는 것 잔류위험(Residual Risk) : 안전대책이 구현된 후에도 남아 있는 위험 안전대책(Safeguard) : 위험을 감소시키는 기법 및 절차 정보기술 보안방침(IT Security Policy) : 조직이 정보기술 자원을 어떻게 관리, 보호 및 배포하는 것인지에 대한 규칙, 지침 및 규약 시스템 보안 방침(System Security Policy) : 각 시스템 별로 작성 되 는 보안방침 보안요구사항(Security Requirement) : 서비스, 기능 또는 절차 (안 전대책)의 관점에서 명시된 보안에 관한 필요성 Copyright © 2008 도경화 :: [email protected] 보안의 목표(원칙) 비밀보장(Confidentiality) 무결성(Integrity) 가용성(Availability) 책임 추적성(Accuracy, to the individual level) 보증(Assurance) 접근 제어(Access Control) 부인봉쇄(Non-Repudiation) 인증(Authentication) Copyright © 2008 도경화 :: [email protected] 보안의 목표 – 비밀성, 무결성 정보의 비밀성 유지 인증된 사용자만이 접근이 가능하고 제3자에게 비밀성 있어야함 정보 보호 메커니즘 • 암호화, 논리 및 물리 접근 통제, 전송 프로토콜, 통제된 트래픽 흐름 등 기밀성 보호의 수단 정보의 무결성 유지 정보의 변경, 삭제됨을 방지 해야 함 무결성 제어 메커니즘 • 해쉬 함수H(M), 메시지 인증 코드(MAC) Copyright © 2008 도경화 :: [email protected] 보안의 목표 –가용성, 책임추적성 정보의 가용성 확보 승인된 사용자의 요구하는 정보, 시스템 및 자원의 접근이 적시에 제공 자료의 백업, 이중화, 오류 수용성과 복구 등이 가용성 수단 책임 추적성(Accuracy, to the individual level) 보안사고 발생시 누구에 의해 어떤 방법으로 발생한 것인지 추측 할 수 있어야 함 주체의 신원을 증명하고 그들의 활동을 추적(trance)하는 능력 식별, 인증, 권한부여, 접근통제, 감사가 중요 기본 개념임 Copyright © 2008 도경화 :: [email protected] 보안의 목표 –접근제어 접근 제어(Access Control) 시스템에서 자원의 사용 가능 여부를 결정하는 과정 • 사용자와 시스템이 다른 시스템 및 자원과 통신하고 상호 작용하는 방법을 제어하는 보안 기능 통신 시스템과 관련된 허가되지 않은 동작들의 위협으로부터 자원을 보호 주체와 객체, 논리적 접근통제는 식별->인증->승인 Copyright © 2008 도경화 :: [email protected] 보안의 목표 – 인증기능, 부인봉쇄 인증기능제공(Authentication) 자신의 신분과 행위를 증명 하는 것 패스워드 방식, 공개키 이용, 메모리 및 스마트 카드, 생체 인식 도구 등 사용자 인증, 데이터 인증 부인봉쇄 기능 제공 메시지의 송, 수신 부인방지 방법 전자서명, 공개키 인증 기관의 인증서 발행 Copyright © 2008 도경화 :: [email protected] 정보보호 구성요소 시스템 로그 분석 요구사항 분석 대응 로그 분석 보안정책 수립 관리상황 보고 보안시스템 설계 Prepare 운영권고안 수립 Prevent 보안네트웍 구축 Audit & Report Information Security Respond & Improve Monitoring & Detect 장애 대응 침해사고 대응 시스템 분석 시스템 개선 통합보안관리 시스템 연동 취약성 분석 감시 : 장애, 침해시도, 침해사고 취약성 제거 감지 : 장애, 침해시도, 침해사고 Copyright © 2008 도경화 :: [email protected] 개선 요구사항 보고 정보보안 정책 정책(Policy) 조직 정보 보호 정책 : 무엇을 어떻게 보호?! • 목적, 범위, 책임, 준수, 경영진의 지원 선언 등 • 정보등 관련 자산들이 어떻게 관리,분배 -> 규칙, 지침, 규약 사안 별 정보 보호 정책 : 특정 부서 또는 업무에 관한 보호?! • 개인정보보호정책 시스템 정보 보호 정책 : 특정 시스템의 보호를 위한 결정 사항 • 방화벽 정책 지침(Guidelines) 보안 정책을 따르게 하기 위한 방법 제공, 설명 표준(Standard) : 특정의 보안기술이나 제품 등 규정 규칙, 방법, 문서 양식, 시스템 규격 절차(Procedure) : 정책 목표를 달성하기 위해 수행하는 단계적방법 Copyright © 2008 도경화 :: [email protected] 보안정책 형태 규제형(Regulatory) 무엇을 하여야 한다. 언제 하여야 한다. 누가하여야 한다 일관성 있고, 모순 없는 절차 확립, 기술적으로 미숙한 사람들 대상 예) 은행은 인터넷뱅킹을 이용하는 가입자의 정보의 보호 및 금융 사고의 방지를 위해 이중암호화 해야한다. 권고형(Advisory) 잘 모르는 사람들에게 가르쳐주며 정책에 따르게 하는 방법 어떤 기능을 완수하기 위해서는 어떤 조치를 취하여야 한다는 권고형 예) 은행은 인터넷뱅킹 사용자에 대하여 공인인증 기반의 사용자 인증을 제공하면 좋다. Copyright © 2008 도경화 :: [email protected] 고지형(Informative) 임직원들에게 특정 주제에 관련된 정보를 제시하는 정책 어떤 행동을 묵시적으로 기대하거나 벌칙이 없으며, 특별히 준수 되어야 할 필요 없음 예) 패스워드는 표준에 따라 변경한다. 자세한 정보는 부서의 패 스워드 정책을 보라. Copyright © 2008 도경화 :: [email protected] 정보보안실행과정 1단계 IT 보안목적, 전략, 방침 정의 2단계 IT 보안요구사항 및 범위 결정 위험분석 -자산 - 취약성 - 영향 - 위험 6단계 보고서 작성 보안감사 및 사후관리 구현 인식과 교육 Copyright © 2008 도경화 :: [email protected] 4단계 위험관리 3단계 위험 평가 5단계 IT 보안계획 : 통제 목적 및 구현될 통제 선정 BS7799 국제보안표준 BS7799 도입배경 –ISMS(정보보호관리시스템) 품질표준(ISO 9000) , 환경표준(ISO 14000)에 이어 대두되는 보안 국제 표준 Security Round(ISO/IEC JTC1 SC27)에서 국제 표준화 작업 2000년 10월, BS7799 Part1이 ISO 17799 Part1으로 이전됨. 2002년 7월 31일, 산업자원부에서 KS-X ISO/IEC 17799로 표준화 완료 2006년 2006년 BS7799 Part2도 ISO 27001로 이전 예정임. (현재 국제표준화 최종단계) BS7799 의 장점 BS7799 체계 정보보안 대상의 범위 정의 GAP 분석 위험평가의 수행 (모의해킹, 스캐닝, 위험분석) 정보보안을 10개의 영역, 127개 통제 항목으로 구분하여 제시함 조직의 정보보안 관리 체계(Information Security Management System) 의 수립과 실행에 대한 가이드를 제시함 BS7799 인증 後 대외적인 신뢰도와 경쟁력을 확보할 수 있음 BS7799 를 표준으로 채택한 국가 영국, 일본, 호주, 뉴질랜드, 스웨덴, 브라질, 덴마크, 태국, 아일랜드, 네덜란드, 노르웨이, 남아프리카공화국 등에서 표준으로 채택하였으며, 미국과 유럽의 대부분의 국가에서 사용되고 있다. 2000년 12월, 일본 통산성은 BS7799 를 국가표준으로 채택하여 일본 공업 규격화 하고 정보보안 관리체계(ISMS) 인증 제도를 시행하고 있음 Copyright © 2008 도경화 :: [email protected] 관리할 위험 영역의 도출 BS7799 통제항목의 선택 및 수행과제 선정 보안 문서 및 절차, 정책의 작성 BS7799 감사 및 인증 지속적인 관리 수행 및 점검 표준 규격- BS7799 항 제목 내용 1 보안 방침 정보보안에 대한 경영방침과 지원사항을 제공 2 보안 조직 조직내 보안을 효과적으로 관리하기 위한 보안에 대한 책임 배정 3 자산분류 및 관리 조직에 대한 적절한 보호책 유지 4 직원의 보안 사람에 의한 실수, 절대, 부정수단이나 설비의 잘못된 사용으로 인한 위험 감소 5 물리적 및 주변환경에 대한 보안 비인가된 접근, 손상과 사업장과 정보에 대한 영향 방지 6 의사소통 및 운영관리 정보처리 설비의 정확하고 안전한 운영을 보장 7 접근 통제 정보에 대한 접근통제 8 시스템 개발 및 유지 정보 시스템 내에 보안이 수립되었음을 보장 9 사업 지속성 관리 사업활동에 대한 방해요소를 완화시키며 주요 실패 및 재해의 영향으로부터 주요 사업활동을 보호 10 부합성 범죄 및 민사상의 범률, 법규, 규정 또는 계약 의무사항 및 보안 요구사항의 일치 Copyright © 2008 도경화 :: [email protected]