정보 보안이란?
대개 InfoSec라는 약어로 지칭되는 경우가 많은 정보 보안은 민감한 비즈니스 정보가 수정, 전송 중단, 삭제 및 검사되지 않도록 보호하기 위해 설계되어 구축되는 프로세스와 툴을 지칭합니다.
사이버 보안과 정보 보안의 차이점
정보 보안과 사이버 보안을 같은 의미로 혼동하는 경우가 많습니다. 정보 보안(InfoSec)은 사이버 보안의 중요한 한 가지 요소이기는 하지만, 정확하게는 데이터 보안 유지 전용 프로세스를 지칭합니다. 반면 사이버 보안은 InfoSec를 포함하는 더 일반적인 용어입니다.
ISMS(정보 보안 관리 시스템)의 정의
ISMS는 데이터 보안 침해 시나리오에서 조직을 지원하기 위해 작성된 지침과 프로세스 집합입니다. 이처럼 공식적인 지침 집합이 있기 때문에 기업은 위험을 최소화할 수 있으며 담당자 변경 시에도 업무를 계속 처리할 수 있습니다. 널리 알려진 기업용 ISMS 지정 사항으로는 ISO 27001 등이 있습니다.
GDPR(일반 데이터 보호 규정)의 정의
유럽 의회와 이사회는 2016년에 일반 데이터 보호 규정 제정에 합의했습니다. 그리고 2018년 봄에 GDPR이 발효되어, 기업은 다음 요건을 충족해야 하게 되었습니다.
- 데이터 보안 침해 알림 제공
- 데이터 보호 책임자 지정
- 사용자가 동의하는 경우에만 데이터 처리 가능
- 프라이버시 보호를 위해 데이터 익명화
EU 내에서 사업을 운영하는 모든 기업은 이러한 표준을 준수해야 합니다.
사이버 보안 관련 작업을 수행하려면 필요한 인증
사이버 보안 관련 작업 수행에 필요한 인증은 상황별로 다를 수 있습니다. 최고 정보 보안 책임자(CISO) 또는 공인 정보 보안 매니저(CISM)가 벤더별 교육을 요청하는 기업도 있습니다.
일반적으로는 International Information Systems Security Certification Consortium 등의 비영리 조직이 널리 인정을 받는 보안 인증을 제공하고 있습니다. 이러한 인증으로는 CompTIA Security+, Certified Information Systems Security Professional(CISSP) 등이 있습니다.
InfoSec의 유형
애플리케이션 보안
애플리케이션 보안은 웹/모바일 애플리케이션과 애플리케이션 프로그래밍 인터페이스(API)의 소프트웨어 취약점을 포함하는 광범위한 주제입니다. 사용자 인증 또는 권한 부여, 코드와 구성의 무결성, 완성된 정책과 절차 등에서 이러한 취약점이 나타날 수 있습니다. 애플리케이션에 취약점이 있으면 중요한 InfoSec 보안 침해를 유발하는 엔트리 포인트가 발생할 수 있습니다. 따라서 애플리케이션 보안은 InfoSec 경계 방어에 중요한 요소라 할 수 있습니다.
클라우드 보안
클라우드 보안에서는 클라우드 환경에서 보안 애플리케이션을 빌드/호스트하고 타사 클라우드 애플리케이션을 안전하게 사용하는 방법을 중점적으로 제시합니다. 여기서 "클라우드"란 애플리케이션이 공유 환경에서 실행된다는 의미입니다. 기업은 공유 환경에서 실행되는 프로세스가 적절하게 격리되는지를 확인해야 합니다.
암호화
전송 중인 데이터와 미사용 데이터를 암호화하면 데이터의 기밀성과 무결성을 유지할 수 있습니다. 암호화에서는 보통 디지털 서명을 사용해 데이터의 진위를 검증합니다. 오늘날에는 암호화의 중요성이 갈수록 높아지고 있습니다. 암호화를 사용하는 대표적인 예로는 Advanced Encryption Standard(AES)가 있습니다. AES는 정부의 기밀 정보를 보호하는 데 사용되는 대칭 키 알고리즘입니다.
인프라 보안
인프라 보안은 내부 및 엑스트라넷 네트워크, 실험실, 데이터 센터, 서버, 데스크톱, 모바일 장치 보호와 관련된 작업입니다.
사고 대응
사고 대응은 악의적일 수 있는 행동을 모니터링하고 조사하는 기능입니다.
IT 담당자는 보안 침해에 대비하여 위협을 억제하고 네트워크를 복원하는 사고 대응 계획을 마련해야 합니다. 그리고 이 계획에 따라 포렌식 분석 및 기소 가능 사안 관련 증거를 보존하는 시스템을 제작해야 합니다. 이 데이터가 있으면 추가 보안 침해를 방지할 수 있으며 담당자가 공격자를 쉽게 찾아낼 수 있습니다.
취약점 관리
취약점 관리는 패치되지 않은 소프트웨어와 같은 환경 내의 약점을 검사하고 위험을 기준으로 하여 치료 우선 순위를 지정하는 프로세스입니다.
대다수 네트워크에서는 기업이 애플리케이션, 사용자, 인프라 등을 계속 추가하고 있습니다. 그러므로 네트워크에서 잠재적 취약점을 계속 검사해야 합니다. 취약점을 미리 찾아내는 기업은 보안 침해와 관련하여 발생하는 거액의 비용을 줄일 수 있습니다.