[정보보안기사]Section01.정보보호관리의 개념

1.정보화 사회의 정보보호

(1) 정보화 사회의 특성과 정보화 역기능

1) 정보 사회의 특성(사이버 환경의 특징)

• 비대면성
• 익명성
• 시간 및 공간적 운영의 무제한성
• 미래의 범죄 및 전쟁 공간

2) 정보화 역기능

• 사회 문제 야기, 국가 안위 위협을 줌
• 해커&바이러스 기승
• 불법 위·변조 통한 각종 범죄행위
• 정보시스템 파괴에 의한 사회마비 등
• 모바일 환경에서 정보보호 화두▲
• 중요정보 노출, 프라이버시 침해

3)사이버 공격의 특징

• 공격 기술의 지능화 및 고도화
• 사이버 공격 전파경로의 다원화
• 사이버 공격의 초고속화 및 초단기화
• 사이버 공격의 분산화 및 에이전트화

(2) 정보보호(Information Security)

1) 정의

• ① 정보의 수집, 가공, 저장, 검색, 송신, 수신 중에 발생하는 정보의 훼손, 변조, 유출 등을 방지하기 위한 관리적, 기술적 수단, 그러한 수단으로 이루어 지는 행위
• ② 기밀성, 무결성, 가용성, 인증성 및 부인방지를 보장하기 위하여 기술적, 물리적, 관리적 보호대책을 강구하는 것

2) 정보의 가용성과 안정성(보안성)

• ① 정보의 활용과 정보의 통계 사이에서 균형감각을 갖는 행위
• ② 필요로 하는 사용 가능한 자원을 쉽게 얻으면서도, 정보에 위협이 되는 요소 최소화 하는 균형점 찾는 것
• ③ 정보의 활용 = 정보의 가용성을 극대화 하자, 정보의 통제 = 위협 요소를 줄이고 안정성 확보를 위한 통제를 하자

3) 정보보호의 목표

(가) 기밀성(Confidenitialify)

• ① Only 인가된 사람, 프로세스, 시스템만이 알 필요성(Need-to-know)에 근거하여 시스템에 접근해야 한다는 원칙
• ② 기밀성 : 데이터 처리의 모든 접속점에서 필요한 수준의 비밀엄수가 강제되도록 하고, 허가받지 않은 정보 유출 예방 하는 것을 보장한다. (데이터 보관~전송 될 때~목적지 도달 이후 쭉)
• ③ 기밀성 보장위한 보안 기술 : 접근 제어, 암호화 등

(나) 무결성(Integrity)

• ① 네크워크를 통하여 송수신되는 정보의 내용이 불법적으로 생성or변경or삭제 되지 않도록 보호해야 하는 성질
• ② 무결성 왜곡이 항상 악의적인 행동의 결과로 나타나는 것은 아님. 전력차단과 같은 시스템 중단이 정보에 예상치 못한 변형 일으킬 수 있다.
• ③ 무결성 보장 위한 보안 기술 : 접근 제어, 메시지 인증 등
• ④ 이미 변경 되었거나 변경 위험 있을 때 : 침입 탐지, 백업 등

(다) 가용성(Availability)

• ① 시스템이 지체 없이 동작하도록 하고, 합법적 사용자가 서비스 사용을 거절당하지 않도록 하는 것
• ② 정보는 지속적으로 변화하고, 인가된 자가 접근 할 수 있어야 함을 의미. 정보의 비가용성은 조직에 있어 기밀성이나 무결성의 부족만큼이나 해로움.
• ③ 가용성 확보 위한 보안 기술 : 데이터 백업, 중복성의 유지, 물리적 위협요소로 부터의 보호 

(라) 인증성(Authentication)

• ① 진짜라는 성질을 확인할 수 있고, 확인 및 신뢰할 수 있다는 것을 의미. 전송 메시지, 메시지 출처 유효성에 대한 확신.
• ② 사용자가 정말 그 사용자인지와 시스템에 도착한 자료가 정말 신뢰할 수 있는 출처에서 온 것인지 확인 할수 있는 것을 의미

(마) 책임추적성(책임성, Accountability)

• ① 보안 목적에는 개체의 행동을 유일하게 추적해서 찾아낼 수 있어야 한다는 사항이 포함되어 있어야 한다.
• - 부인 봉쇄, 억제, 결함 분리, 침입탐지 예방, 사후 복구와 법적인 조치 등
• ② 진정으로 안전한 시스템 만드는 것은 불가능, 보안 침해에 대한 책임이 있는 곳 까지 추적 할 수 있어야만 함.
• ③ 시스템은 반드시 이들의 활동 상황을 기록하고, 나중에 포렌식(forensic) 분석을 하여 보안 침해를 추적할 수 있거나, 전송과 관련된 분쟁 해결할 수 있도록 해야함.

부인 봉쇄(부인 방지)

메시지의 송수신이나 교환 후, 또는 통신이나 처리가 실행 된 후에 그 사실을 사후에 증명함으로써 사실 부인을 방지하는 보안 기술

2.정보보호 관리

1) 정보보호 관리(Information Security Management)의 개념

• 정보는 기업이나 공공기관의 중요한 자산 중 하나로서, 기업이나 조직의 전략이나 목적을 달성하는데 필수불가결한 요소이다.
• 정보가 의도하지 않은 비인가자에게 노출되거나 갈취당하게 되면 위험을 초래할 수 있다. 

정보보호와 정보보호 관리 시스템

① 정보보호 : 정보의 수집/가공/저장/검색/송신/수신 중 발생하는 정보의 훼손/변조/유출 등을 방지하기 위한 관리적/기술적 수단, 그러한 수단으로 이루어지는 행위

② 정보보호 관리 시스템(ISMS) : 정보통신 서비스 제공자가 정보통신망의 안정성 및 신뢰성을 확보하여 정보자산의 기밀성/무결성/가용성을 실현하기 위한 관리적·기술적 수단과 절차 및 과정을 체계적으로 관리, 운영하는 체계.

★ 2010년부터 행정기관은 정보보호관리 시스템 인증을 의무적으로 받아야 한다.