지금까지 대부분의 조직에서 정보보호를 위해서 침입차단, 침입탐지 또는 바이러스 방역 등의 개별적인 보안 정책이 이루어졌으나 최근에는 통합적인 정보보호관리 분야의 중요성이 강조되면서 ESM (Enterprise Security Management)과 같은 통합 보안 관리시스템이 등장하고 있으며, 보안관리 컨설팅 산업에 대한 수요 증가와 함께 BS7799와 같은 정보보호관리체계에 대한 중요성이 확대되고 있다.
2. 정보보호관리과정가. 정보보호관리과정 정의
정보보호관리체계 인증심사기준(정보통신망이용촉진및정보보호등에관한법률)
제 47조에 의거, 정보통신부 고시)에서 ‘정보보호관리과정’이란
정보보호관리체계를 수립·운영하기 위하여 유지·관리하여야 할 과정이라
정의하였다.
나. 정보보호관리과정 단계
정보보호관리과정은 크게 '정보보호정책 수립','정보보호관리체계 범위설정',
'위험관리', '구현' 그리고 '사후관리' 5 단계 활동으로 규정된다.
정보보호관리과정은 정보보호정책 수립, 정보보호관리체계 범위설정, 위험관리,
구현, 그리고 사후관리의 각 단계별 관리과정의 인증을 위한 요구사항이
지정되어 있다.
다. 위험관리 및 위험분석 (1) 위험관리 및 위험분석 개요
조직 내 체계적인 IT 보안관리를 위해서 가장 기본적인 것은 정보시스템의 위험을
평가하고 그에 따른 대책을 강구하는 것으로 크게 위험 평가와 위험 관리라는
두 과정을 통해 이루어진다.
o 위험 평가(Risk Assessment)는 조직이 보호해야 할 자산과 함께 위협과 조직이
가진 취약성을 분석하여 위협이 주는 위험 정도가 얼마인지를 평가하는 과정이다.
o 위험 관리(Risk Management)는 측정 및 평가된 위험을 줄이거나 제거하기 위한
과정으로 위험을 일정 수준까지 유지,관리하는 것으로써, 종종 위험 평가가
위험 관리 개념 내에 포함되기도 한다(위험 관리 = 위험 평가 + 위험 완화).
o 위험 분석(Risk Analysis)이란 위험 관리 부분에서 가장 중요한 역할을 하는
부분이다. 정보시스템과 그 자산의 기밀성, 무결성 그리고 가용성에 영향을
미칠 수 있는 다양한 위협에 대해서 정보시스템의 취약성을 인식하고,
이로 인해서 인식할 수 있는 예상손실을 분석한다.
(2) 위험관리 및 위험분석 과정
(가) 위험분석 수준 및 방법론 결정
위험 분석 방법론이란 조직 내 IT 환경의 위험을 정량적/정성적으로 측정하고
평가하기 위한 절차 및 기술을 의미한다. 이 단계에서는 현재 조직의 정보시스템에
적합한 위험 분석 수준과 함께 방법론을 결정한다.
(나) 위험 분석
o 자산 분석(평가)
자산 분석은 보호해야 할 조직의 자산을 파악·식별하고 체계적으로 분류하
여, 소유하고 있는 자산들의 가치와 중요성을 평가하는 기본 단계이다.
자산이란 조직에서 가치를 부여한 모든 것으로 하드웨어, 소프트웨어,
데이터베이스, 사용자 및 전산요원, 시스템 관련문서그리고 통신망 및
관련 장비 등의 유형 자산과 함께 기업의 이미지와 생산성과 같은 무형 자산을
포함한다.
- 자산 조사 : 조사할 IT 자산의 범위를 설정하고, IT 자산을 식별 및 분류하여
자산 목록을 작성하는 단계
- 자산 가치 산정 : 해당 자산이 손상되었을 때 조직이 받을 수 있는 영향을
측정하기 위해 IT 자산의 중요도 및 가치를 평가하는 단계
o 취약성 분석(평가)
취약성 분석은 자산 분석의 결과를 바탕으로 하여 자산이 가진 근본적인 취약성을
확인하고 해당 취약성이 미칠 수 있는 영향을 파악하는 단계이다. 여기에서
취약성이란 정보시스템에 손해를 끼치는 원인이 될 수 있는 조직, 절차 및 행정,
하드웨어와 소프트웨어의 약점 등을 의미한다.
취약성 자체가 위험이 되지는 않으며, 위협에 의해 취약성이 이용됨으로써
위험이 발생된다.
o 위협 분석(평가)
위협 분석은 IT 자산에 영향을 끼칠 수 있는 잠재적인 위협을 파악·식별하고
분류하여 발생 가능성과 손실 시 심각성을 분석하는 단계로써 자산과 취약성 관계를
파악하는 단계이다. 여기에서 위협이란 항상 일어날 수 있는 사건이나 구성 등으로
조직의 자산에 피해를 줄 수 있는 가능성 있는 잠재적인 요소를 말한다.
- 환경적 재해 위협 : 테러, 폭풍, 홍수 등
- 인적 재해 위협 : 의도적인 위협/비의도적 위협 등
o 대응책 분석(평가)
대응책 분석은 자산과 취약성, 위협과의 관계 분석을 통한 대응책을 파악하는
단계이다.
(다) 위험 산출 및 평가
위험 분석 단계에서 얻은 정보를 바탕으로 위험을 산출, 평가하는 단계로써 위험 분
석의 최종단계이다. 분석된 결과를 바탕으로 한 가상 시나리오를 적용하여 적절한
대응책을 도출하는 과정까지 포함된다.
(라) 보안 정책 수립
위험 분석 결과를 바탕으로 하여 조직 내 정보시스템 보안 정책 및 부문별 상세 보
안 정책을 수립하는 단계이다.
(마) 대응책 구현
도출된 대응책을 보안 정책에 따라 구현·통제하는 단계이다.
(바) 결과 평가
결과를 평가한 후 재분석할 것인지 여부를 결정하는 단계이다.
※ 위험 분석 자동화 도구 :
위험 분석 시 소요되는 시간 및 비용을 줄이기 위한 도구로써, 관리자가 위험 분석
결과를 신뢰하기 위해서는 정확한 자료의 입력이 위험분석의 정확한 결과산출의
요인이 된다.
3. 정보보호관리체계
가. 정보보호관리체계 개요
디지털 사회에 접어든 오늘날 정보 기술(IT, Information Technology)은 어느 산업이
든지 불문하고 기업 경영의 근간을 이루고 있다. 정보보호는 이제 더 이상 정부기관
이나 높은 수준의 보안을 요하는 한정된 분야의 업체에서만 관심을 가지는 문제가
아니라 모든 기관과기업체에서 반드시 짚고 가야하는 문제로 인식되고 있다.
조직 내에서 전체적인 정보보호는 개별적인 정보보호 제품의 구현만으로 달성될 수
없으며 정보보호 기능을 제공하는 기술과 관리적인 보호대책이 조직 내에서
적절히 융합되어야 한다. 정보보호관리체계(ISMS, Information Security Management
System)는 조직 고유의 IT 환경과 정보보호 정책이 적절히 융합되어 구현·운영되고
있는 시스템을 말한다.
나. 정보보호관리체계 인증
정보보호관리체계 인증은 조직이 정보보호관리체계를 제대로 운영하고 있는지
객관적으로 평가하고 인증하기 위한 표준화된 방법이다.
여기에서는 대표적인 정보보호관리체계 인증 시스템인 BS7799와 KISA에서 정의한 인
증 심사 방법론에 대해서 다루고자 한다.
(1) BS7799
o BS 7799 정의 BS 7799(British Standard 7799)는 정보보호관리체계에 대한 표준
으로, 최상의 정보보호관리를 위한 포괄적인 일련의 관리 방법에 대하여 요건별로
해석해 놓은 규격이다. BS7799는 정보보호에 대한 인증이 필요한 조직들의 요청에 의
해 지난 1995년에 영국의 정보보호관리체계 인증 규격으로 제정되어 1999년에
개정되었으며, 영국 이외에 호주, 브라질, 네덜란드, 뉴질랜드 그리고 노르웨이
등에서 사용되고 있다. 1999년 10월에 ISO 표준으로 제안되어 ISO/IEC DIS 17799-1
이 되었다. 영국 정부에서는 전자정부를 향한 노력을 뒷받침하기 위하여 2001년
3월까지 대부분의 정보시스템에 대하여 BS7799 인증을 받도록 하여 국가 핵심 정보
기반구조를 보호하기 위한 수단으로 활용하고 있다.
산업계에서는 정보보안이 국제시장에서 경쟁 우위를 제공하는 경영전략이 될 수
있다고 인식하고 있으며, 유럽, 북미, 환태평양권 등 전 세계적으로 BS7799에 대한
높은 관심을 보이고 있다.
o BS 7799 구성
정보보호관리는 보안위험을 식별하고 이러한 위험을 효과적으로 관리할 수 있는 대책
을 다룬다. BS7799는 기업이 고객 정보의 기밀성, 무결성 및 가용성을 보장한다는 것
을 공개적으로 확인하는데 초점을 둔다.
BS7799는 BT, HSBC, Marks and Spencer, Shell International, Unilever 등 주요 업
체와 더불어 영국의 상무성 주관으로 "정보보호관리 실무 규칙(A Code of Practice
for Information Security Management)"이라는 제목 하에 조직의 정보보안을
구현하고 유지하는 책임을 지는 관리자들이 참조할 수 있는 보편적인 문서로 사용하
도록 개발되었으며, 조직의 보안 표준의 기반이 되도록 고안되었다.
기업들이 부딪치는 대부분의 상황에 필요한 통제를 식별하기 위한 단일한 참조점을
제공하고 중소기업은 물론 대기업까지 광범위하게 적용될 수 있도록 하여 공통적인
정보보안관리 문서를 참조함으로써 기업들 간의 네트워킹에 있어서 상호 신뢰가
가능하도록 한다. 물론 이 표준에서 제시하고 있는 통제들 모두가 모든 상황에 적용
될 수 있는 것은 아니며, 개별적인 환경적 또는 기술적 제약조건을 고려하여
선택하여야 할 것이다. 따라서 이 표준은 지침과 권고 안의 성격을 가지며, BS7799
는 크게 두 부분으로 구성된다.
제1부는 정보보호관리에 대한 표준적인 실행 지침으로 종합적인 보안 통제 목
록을 제시하며, 관리 항목은 다음 [표 1-7]과 같이 10개의 세션으로 구성된다.
제2부는 정보보호관리체계에 대한 표준적인 명세로 ISMS의 구축, 문서화 등
을 위한 요구사항을 정의한 것이다.
o BS 7799 구축 및 인증 단계
다음 (그림 1-3)은 정보보호관리체계 구축 및 인증 단계에 대해 정리한 것이다.
o BS7799 인증 스킴
BS7799는 ISO9000과 유사하게 운영되는 "c:cure"라는 인증 스킴이 있다. 사실
ISO9000과 BS7799사이에는 많은 유사성이 있는데, 예를 들어 ISO9000에서의
품질 정책과 품질관리시스템 대신에 BS7799에는 정보보안 정책과 ISMS가 존재한다.
BS7799는 영국표준협회(BSI/DISC)에서 관리되고 있으며 BS7799 인증을 받기 위해서
해당 정보보호관리체계는 신뢰성 있는 제 삼자인 BS7799 평가자에 의한 감사를
받아야 한다. 평가자는 엄밀한 규칙에 의해 자격이 부여되어야 하며 평가자가
소속된 기관은 영국인증서비스(UK Accreditation Service)의 인가를 받아야 한다.
(2) 국내 정보보호관리체계 인증제도
o 정보보호관리체계 인증제도의 정의
정보보호관리체계 인증제도란 기업(조직 또는 사업장의 일부 또는 전체)이 수립하여
운영하고 있는 정보보호관리체계가 일정한 인증심사기준에 적합한지 여부를 제 3자
인 인증기관이 객관적이고 독립적으로 평가하여 기준에 대한 적합성 여부를 보증해주
는 제도를 말한다.
o 정보보호관리체계 인증제도의 법적 근거
정보통신망이용촉진및정보보호등에관한법률 제47조 규정(“정보보호관리체계의 인
증”)과 시행 규칙에 의거한 것이다.
- 정보통신망이용촉진및정보보호등에관한법률 제47조 규정
·제47조 (정보보호관리체계의 인증)
① 정보통신서비스제공자 및 정보통신서비스를 제공하기 위한 물리적 시설을 제공하
는 자는 정보통신망의 안정성 및 정보의 신뢰성을 확보하기 위하여 수립·운영하고
있는 기술적·물리적 보호조치를 포함한 종합적 관리체계(이하 〃정보보호관리체계〃
라 한다)가 당해 서비스에 적합한 지에 관하여 제52조의 규정에 의한
한국정보보호진흥원으로부터 인증을 받을 수 있다.
- 정보통신망이용촉진및정보보호등에관한법률 시행 규칙
·제6조(정보보호관리체계의 인증)
① 법 제47조 제1항의 규정에 의한 정보보호관리체계의 인증을 받고자 하는 자
는 별지 제2호 서식의 정보보호관리체계인증신청서에 다음 각 호의 서류를 첨부하여
법 제52조의 규정에 의한 한국정보보호진흥원(이하 〃보호진흥원〃이라 한다)에
제출하여야 한다.
·제7조(인증업무지침 등)
① 보호진흥원은 법 제47조제1항의 규정에 의한 인증업무를 공정하고 객관적으
로 수행하여야 한다.
② 보호진흥원의 장은 정보통신부장관의 승인을 얻어 정보보호관리체계 인증업무
의 시행에 필요한 지침(이하 〃인증업무지침〃이라 한다)을 정하고 이를 공표하여야
한다.
·제8조(인증의 사후관리)
보호진흥원은 정보보호관리체계의 인증을 받은 자에 대하여 인증업무지침에 따
라 재심사 그 밖의 사후관리를 실시하여야 한다.
·제9조(수수료)
법 제47조제1항의 규정에 의한 정보보호관리체계의 인증의 수수료는 인증업무지
침으로 정하되, 다음 각 호의 요소를 고려하여 산정하여야 한다.
1.정보보호관리체계에 포함되는 종업원의 수
2. 정보보호관리체계에 포함되는 주요정보통신설비의 규모
3. 인증심사를 수행하는 직원의 자질과 수
4. 인증심사기간
·제10조(인증표시 및 홍보)
① 법 제47조제3항의 규정에 의한 인증을 나타내는 표시는 보호진흥원의 장이 정
하되, 다음 각 호의 사항이 포함되어야 한다.
1. 인증번호
2. 인증기관명
② 정보보호관리체계의 인증을 받은 자는 법 제47조제3항의 규정에 의하여 문서
·송장·광고 등에 인증받은 내용을 홍보하는 경우에는 인증의 범위와 유효기간이
분명하게 나타나도록 하여야 한다.
o정보보호관리체계 인증 심사 절차
다음 (그림 1-5)는 정보보호관리체계 인증업무지침에 따른 인증 심사 절차이다.
다음 [표 1-8]은 각 인증 심사 절차에 대한 주요 수행 내용이다.
o 정보보호관리체계 인증 심사 기준
국내 정보보호관리체계 인증 심사 기준은 한국인정원(KAB), 한국정보보호진흥원
(KISA)에서 정의한 심사 규격이 있으며 그 중 한국정보보호진흥원에서 정의한 인증
심사 기준은 정보통신망이용촉진및정보보호등에 대한법률 제47조 규정에 의거한
것으로 [표 1-6]의 인증 심사 요소를 참고한다.
지금까지 대부분의 조직에서 정보보호를 위해서 침입차단, 침입탐지 또는 바이러스 방역 등의 개별적인 보안 정책이 이루어졌으나 최근에는 통합적인 정보보호관리 분야의 중요성이 강조되면서 ESM (Enterprise Security Management)과 같은 통합 보안 관리시스템이 등장하고 있으며, 보안관리 컨설팅 산업에 대한 수요 증가와 함께 BS7799와 같은 정보보호관리체계에 대한 중요성이 확대되고 있다.
2. 정보보호관리과정가. 정보보호관리과정 정의
정보보호관리체계 인증심사기준(정보통신망이용촉진및정보보호등에관한법률)
제 47조에 의거, 정보통신부 고시)에서 ‘정보보호관리과정’이란
정보보호관리체계를 수립·운영하기 위하여 유지·관리하여야 할 과정이라
정의하였다.
나. 정보보호관리과정 단계
정보보호관리과정은 크게 '정보보호정책 수립','정보보호관리체계 범위설정',
'위험관리', '구현' 그리고 '사후관리' 5 단계 활동으로 규정된다.
정보보호관리과정은 정보보호정책 수립, 정보보호관리체계 범위설정, 위험관리,
구현, 그리고 사후관리의 각 단계별 관리과정의 인증을 위한 요구사항이
지정되어 있다.
다. 위험관리 및 위험분석 (1) 위험관리 및 위험분석 개요
조직 내 체계적인 IT 보안관리를 위해서 가장 기본적인 것은 정보시스템의 위험을
평가하고 그에 따른 대책을 강구하는 것으로 크게 위험 평가와 위험 관리라는
두 과정을 통해 이루어진다.
o 위험 평가(Risk Assessment)는 조직이 보호해야 할 자산과 함께 위협과 조직이
가진 취약성을 분석하여 위협이 주는 위험 정도가 얼마인지를 평가하는 과정이다.
o 위험 관리(Risk Management)는 측정 및 평가된 위험을 줄이거나 제거하기 위한
과정으로 위험을 일정 수준까지 유지,관리하는 것으로써, 종종 위험 평가가
위험 관리 개념 내에 포함되기도 한다(위험 관리 = 위험 평가 + 위험 완화).
o 위험 분석(Risk Analysis)이란 위험 관리 부분에서 가장 중요한 역할을 하는
부분이다. 정보시스템과 그 자산의 기밀성, 무결성 그리고 가용성에 영향을
미칠 수 있는 다양한 위협에 대해서 정보시스템의 취약성을 인식하고,
이로 인해서 인식할 수 있는 예상손실을 분석한다.
(2) 위험관리 및 위험분석 과정
(가) 위험분석 수준 및 방법론 결정
위험 분석 방법론이란 조직 내 IT 환경의 위험을 정량적/정성적으로 측정하고
평가하기 위한 절차 및 기술을 의미한다. 이 단계에서는 현재 조직의 정보시스템에
적합한 위험 분석 수준과 함께 방법론을 결정한다.
(나) 위험 분석
o 자산 분석(평가)
자산 분석은 보호해야 할 조직의 자산을 파악·식별하고 체계적으로 분류하
여, 소유하고 있는 자산들의 가치와 중요성을 평가하는 기본 단계이다.
자산이란 조직에서 가치를 부여한 모든 것으로 하드웨어, 소프트웨어,
데이터베이스, 사용자 및 전산요원, 시스템 관련문서그리고 통신망 및
관련 장비 등의 유형 자산과 함께 기업의 이미지와 생산성과 같은 무형 자산을
포함한다.
- 자산 조사 : 조사할 IT 자산의 범위를 설정하고, IT 자산을 식별 및 분류하여
자산 목록을 작성하는 단계
- 자산 가치 산정 : 해당 자산이 손상되었을 때 조직이 받을 수 있는 영향을
측정하기 위해 IT 자산의 중요도 및 가치를 평가하는 단계
o 취약성 분석(평가)
취약성 분석은 자산 분석의 결과를 바탕으로 하여 자산이 가진 근본적인 취약성을
확인하고 해당 취약성이 미칠 수 있는 영향을 파악하는 단계이다. 여기에서
취약성이란 정보시스템에 손해를 끼치는 원인이 될 수 있는 조직, 절차 및 행정,
하드웨어와 소프트웨어의 약점 등을 의미한다.
취약성 자체가 위험이 되지는 않으며, 위협에 의해 취약성이 이용됨으로써
위험이 발생된다.
o 위협 분석(평가)
위협 분석은 IT 자산에 영향을 끼칠 수 있는 잠재적인 위협을 파악·식별하고
분류하여 발생 가능성과 손실 시 심각성을 분석하는 단계로써 자산과 취약성 관계를
파악하는 단계이다. 여기에서 위협이란 항상 일어날 수 있는 사건이나 구성 등으로
조직의 자산에 피해를 줄 수 있는 가능성 있는 잠재적인 요소를 말한다.
- 환경적 재해 위협 : 테러, 폭풍, 홍수 등
- 인적 재해 위협 : 의도적인 위협/비의도적 위협 등
o 대응책 분석(평가)
대응책 분석은 자산과 취약성, 위협과의 관계 분석을 통한 대응책을 파악하는
단계이다.
(다) 위험 산출 및 평가
위험 분석 단계에서 얻은 정보를 바탕으로 위험을 산출, 평가하는 단계로써 위험 분
석의 최종단계이다. 분석된 결과를 바탕으로 한 가상 시나리오를 적용하여 적절한
대응책을 도출하는 과정까지 포함된다.
(라) 보안 정책 수립
위험 분석 결과를 바탕으로 하여 조직 내 정보시스템 보안 정책 및 부문별 상세 보
안 정책을 수립하는 단계이다.
(마) 대응책 구현
도출된 대응책을 보안 정책에 따라 구현·통제하는 단계이다.
(바) 결과 평가
결과를 평가한 후 재분석할 것인지 여부를 결정하는 단계이다.
※ 위험 분석 자동화 도구 :
위험 분석 시 소요되는 시간 및 비용을 줄이기 위한 도구로써, 관리자가 위험 분석
결과를 신뢰하기 위해서는 정확한 자료의 입력이 위험분석의 정확한 결과산출의
요인이 된다.
3. 정보보호관리체계
가. 정보보호관리체계 개요
디지털 사회에 접어든 오늘날 정보 기술(IT, Information Technology)은 어느 산업이
든지 불문하고 기업 경영의 근간을 이루고 있다. 정보보호는 이제 더 이상 정부기관
이나 높은 수준의 보안을 요하는 한정된 분야의 업체에서만 관심을 가지는 문제가
아니라 모든 기관과기업체에서 반드시 짚고 가야하는 문제로 인식되고 있다.
조직 내에서 전체적인 정보보호는 개별적인 정보보호 제품의 구현만으로 달성될 수
없으며 정보보호 기능을 제공하는 기술과 관리적인 보호대책이 조직 내에서
적절히 융합되어야 한다. 정보보호관리체계(ISMS, Information Security Management
System)는 조직 고유의 IT 환경과 정보보호 정책이 적절히 융합되어 구현·운영되고
있는 시스템을 말한다.
나. 정보보호관리체계 인증
정보보호관리체계 인증은 조직이 정보보호관리체계를 제대로 운영하고 있는지
객관적으로 평가하고 인증하기 위한 표준화된 방법이다.
여기에서는 대표적인 정보보호관리체계 인증 시스템인 BS7799와 KISA에서 정의한 인
증 심사 방법론에 대해서 다루고자 한다.
(1) BS7799
o BS 7799 정의 BS 7799(British Standard 7799)는 정보보호관리체계에 대한 표준
으로, 최상의 정보보호관리를 위한 포괄적인 일련의 관리 방법에 대하여 요건별로
해석해 놓은 규격이다. BS7799는 정보보호에 대한 인증이 필요한 조직들의 요청에 의
해 지난 1995년에 영국의 정보보호관리체계 인증 규격으로 제정되어 1999년에
개정되었으며, 영국 이외에 호주, 브라질, 네덜란드, 뉴질랜드 그리고 노르웨이
등에서 사용되고 있다. 1999년 10월에 ISO 표준으로 제안되어 ISO/IEC DIS 17799-1
이 되었다. 영국 정부에서는 전자정부를 향한 노력을 뒷받침하기 위하여 2001년
3월까지 대부분의 정보시스템에 대하여 BS7799 인증을 받도록 하여 국가 핵심 정보
기반구조를 보호하기 위한 수단으로 활용하고 있다.
산업계에서는 정보보안이 국제시장에서 경쟁 우위를 제공하는 경영전략이 될 수
있다고 인식하고 있으며, 유럽, 북미, 환태평양권 등 전 세계적으로 BS7799에 대한
높은 관심을 보이고 있다.
o BS 7799 구성
정보보호관리는 보안위험을 식별하고 이러한 위험을 효과적으로 관리할 수 있는 대책
을 다룬다. BS7799는 기업이 고객 정보의 기밀성, 무결성 및 가용성을 보장한다는 것
을 공개적으로 확인하는데 초점을 둔다.
BS7799는 BT, HSBC, Marks and Spencer, Shell International, Unilever 등 주요 업
체와 더불어 영국의 상무성 주관으로 "정보보호관리 실무 규칙(A Code of Practice
for Information Security Management)"이라는 제목 하에 조직의 정보보안을
구현하고 유지하는 책임을 지는 관리자들이 참조할 수 있는 보편적인 문서로 사용하
도록 개발되었으며, 조직의 보안 표준의 기반이 되도록 고안되었다.
기업들이 부딪치는 대부분의 상황에 필요한 통제를 식별하기 위한 단일한 참조점을
제공하고 중소기업은 물론 대기업까지 광범위하게 적용될 수 있도록 하여 공통적인
정보보안관리 문서를 참조함으로써 기업들 간의 네트워킹에 있어서 상호 신뢰가
가능하도록 한다. 물론 이 표준에서 제시하고 있는 통제들 모두가 모든 상황에 적용
될 수 있는 것은 아니며, 개별적인 환경적 또는 기술적 제약조건을 고려하여
선택하여야 할 것이다. 따라서 이 표준은 지침과 권고 안의 성격을 가지며, BS7799
는 크게 두 부분으로 구성된다.
제1부는 정보보호관리에 대한 표준적인 실행 지침으로 종합적인 보안 통제 목
록을 제시하며, 관리 항목은 다음 [표 1-7]과 같이 10개의 세션으로 구성된다.
제2부는 정보보호관리체계에 대한 표준적인 명세로 ISMS의 구축, 문서화 등
을 위한 요구사항을 정의한 것이다.
o BS 7799 구축 및 인증 단계
다음 (그림 1-3)은 정보보호관리체계 구축 및 인증 단계에 대해 정리한 것이다.
o BS7799 인증 스킴
BS7799는 ISO9000과 유사하게 운영되는 "c:cure"라는 인증 스킴이 있다. 사실
ISO9000과 BS7799사이에는 많은 유사성이 있는데, 예를 들어 ISO9000에서의
품질 정책과 품질관리시스템 대신에 BS7799에는 정보보안 정책과 ISMS가 존재한다.
BS7799는 영국표준협회(BSI/DISC)에서 관리되고 있으며 BS7799 인증을 받기 위해서
해당 정보보호관리체계는 신뢰성 있는 제 삼자인 BS7799 평가자에 의한 감사를
받아야 한다. 평가자는 엄밀한 규칙에 의해 자격이 부여되어야 하며 평가자가
소속된 기관은 영국인증서비스(UK Accreditation Service)의 인가를 받아야 한다.
(2) 국내 정보보호관리체계 인증제도
o 정보보호관리체계 인증제도의 정의
정보보호관리체계 인증제도란 기업(조직 또는 사업장의 일부 또는 전체)이 수립하여
운영하고 있는 정보보호관리체계가 일정한 인증심사기준에 적합한지 여부를 제 3자
인 인증기관이 객관적이고 독립적으로 평가하여 기준에 대한 적합성 여부를 보증해주
는 제도를 말한다.
o 정보보호관리체계 인증제도의 법적 근거
정보통신망이용촉진및정보보호등에관한법률 제47조 규정(“정보보호관리체계의 인
증”)과 시행 규칙에 의거한 것이다.
- 정보통신망이용촉진및정보보호등에관한법률 제47조 규정
·제47조 (정보보호관리체계의 인증)
① 정보통신서비스제공자 및 정보통신서비스를 제공하기 위한 물리적 시설을 제공하
는 자는 정보통신망의 안정성 및 정보의 신뢰성을 확보하기 위하여 수립·운영하고
있는 기술적·물리적 보호조치를 포함한 종합적 관리체계(이하 〃정보보호관리체계〃
라 한다)가 당해 서비스에 적합한 지에 관하여 제52조의 규정에 의한
한국정보보호진흥원으로부터 인증을 받을 수 있다.
- 정보통신망이용촉진및정보보호등에관한법률 시행 규칙
·제6조(정보보호관리체계의 인증)
① 법 제47조 제1항의 규정에 의한 정보보호관리체계의 인증을 받고자 하는 자
는 별지 제2호 서식의 정보보호관리체계인증신청서에 다음 각 호의 서류를 첨부하여
법 제52조의 규정에 의한 한국정보보호진흥원(이하 〃보호진흥원〃이라 한다)에
제출하여야 한다.
·제7조(인증업무지침 등)
① 보호진흥원은 법 제47조제1항의 규정에 의한 인증업무를 공정하고 객관적으
로 수행하여야 한다.
② 보호진흥원의 장은 정보통신부장관의 승인을 얻어 정보보호관리체계 인증업무
의 시행에 필요한 지침(이하 〃인증업무지침〃이라 한다)을 정하고 이를 공표하여야
한다.
·제8조(인증의 사후관리)
보호진흥원은 정보보호관리체계의 인증을 받은 자에 대하여 인증업무지침에 따
라 재심사 그 밖의 사후관리를 실시하여야 한다.
·제9조(수수료)
법 제47조제1항의 규정에 의한 정보보호관리체계의 인증의 수수료는 인증업무지
침으로 정하되, 다음 각 호의 요소를 고려하여 산정하여야 한다.
1.정보보호관리체계에 포함되는 종업원의 수
2. 정보보호관리체계에 포함되는 주요정보통신설비의 규모
3. 인증심사를 수행하는 직원의 자질과 수
4. 인증심사기간
·제10조(인증표시 및 홍보)
① 법 제47조제3항의 규정에 의한 인증을 나타내는 표시는 보호진흥원의 장이 정
하되, 다음 각 호의 사항이 포함되어야 한다.
1. 인증번호
2. 인증기관명
② 정보보호관리체계의 인증을 받은 자는 법 제47조제3항의 규정에 의하여 문서
·송장·광고 등에 인증받은 내용을 홍보하는 경우에는 인증의 범위와 유효기간이
분명하게 나타나도록 하여야 한다.
o정보보호관리체계 인증 심사 절차
다음 (그림 1-5)는 정보보호관리체계 인증업무지침에 따른 인증 심사 절차이다.
다음 [표 1-8]은 각 인증 심사 절차에 대한 주요 수행 내용이다.
o 정보보호관리체계 인증 심사 기준
국내 정보보호관리체계 인증 심사 기준은 한국인정원(KAB), 한국정보보호진흥원
(KISA)에서 정의한 심사 규격이 있으며 그 중 한국정보보호진흥원에서 정의한 인증
심사 기준은 정보통신망이용촉진및정보보호등에 대한법률 제47조 규정에 의거한
것으로 [표 1-6]의 인증 심사 요소를 참고한다.
가. 정보보호의 필요성 산업사회에서 정보화사회로 바뀌면서 오프라인에서 수행되던 일이 대부분 온라인으로 수행 가능해 지고 있다. 언제 어디에서든 온라인으로 자신에게 필요한 다양한 종류의 정보를 검색, 접근 그리고 활용 가능하면서 업무의 효율성과 함께 삶의 질이 높아졌다.
하지만 정보화의 순기능과 함께 개인정보가 노출, 악용되는 등의 사례가 증가함에 따라 사생활이 침해되거나, 조직 내 중요 정보가 오용과 악의적인 의도에 의해 유출 되는 등의 치명적인 정보화의 역기능이 발생하게 되었다.
정보화 역기능의 사례는 지속적으로 증가하고 있으며 사용되고 있는 기술도 정보기술과 함께 발달하고 있으므로, 정보보호의 필요성이 더욱 중요시되고 있다.
나. 정보보호의 정의 정보보호(Information Security)란 의도되었건 의도되지 않았건 간에, 인가받지 않은 노출, 전송, 수정 그리고 파괴로부터 정보를 보호하는 것을 말하는 것으로, 정보화촉진기본법 제2조에서는 정보의 수집·가공·저장·검색·송신·수신 중에 정보의 훼손·변조·유출 등을 방지하기 위한 관리적·기술적 수단을 강구하는 것을 말하고 있다.
2. 정보보호 목표
o 기밀성(Confidentiality) - 정보가 허가되지 않은 사용자(조직)에게 노출되지 않는 것을 보장하는 보안 원칙
o 무결성(Integrity) - 정보가 권한 이 없는 사용자(조직)의 악의적 또는 비악의적인 접근에 의해 변경되지 않는 것을 보 장하는 보안 원칙
o 가용성(Availability) - 인가된 사용자(조직)가 정보시스템의 데이터 또는 자원을 필요로 할 때 부당한 지 체 없이 원하는 객체 또는 자원을 접근하고 사용할 수 있는 것을 보장하는 보안 원 칙
3. 정보보호 위협 및 대책
다음 [표 1-1]은 정보보호의 목표 사항을 위협하는 공격 유형에 대한 설명이다.
이러한 위협에 대한 정보보호 대책으로 크게 예방 통제(Preventive Controls), 탐지 통제(Detective Controls) 그리고 교정 통제(Corrective Controls)가 있다.
o 예방 통제(Preventive Controls) - 예방 통제란 오류(errors)나 부정(irregularity)이 발생하는 것을 예방할 목적으로 행사하는 통제를 말하는 것으로, 발생 가능한 잠재적인 문제들을 식별하여 사전에 대처하는 능동적인 개념의 통제이다. 사실상 문제가 발생한 뒤에 이를 찾아내고 뒷수습하려고 하는 것보다는 사전에 예방하는 것이 더욱 경제적이다 - 예를 들어 자산에 대한 통제방법은 물리적 접근 통제와 논리적 접근 통제가 있다. 물리적 접근통제는 관계자 이외의 사람이 특정 시설이나 설비에 접근할 수 없게 하는 각종의 통제를 의미하며, 논리적 접근통제는 승인 받지 못한 사람이 정보통신망을 통하여 자산에 대한 접근을 막기 위한 통제를 의미한다.
- 또한 중요한 기업 정보를 다루는 직원들에 대한 신상 조회와 업무의 철저한 분장 을 통해 두 명 이상이 공모하지 않는 한 부정을 저지르지 못하게 하는 것도 예방 통제에 속한다.
o 탐지 통제(Detective Controls)
- 발생 가능한 모든 유형의 오류나 누락(omission) 또는 악의적 행위를 예측하고
이에 대한 예방책을 마련한다 하더라도, 예방 통제로만 완전히 막을 수는 없다.
그러므로 예방 통제를 우회하여 발생한 문제들을 찾아내기 위한 통제가 필요하다.
- 예를 들어, 접근통제 보안 소프트웨어는 예방 통제의 기능과 함께 불법적으로
시도한 모든 접근들에 대한 기록을 가지고 있는데 이를 접근 위반 로그(Access Violation Log)이라고 한다.
일반적인 로그 파일들은 이러한 적발을 목적으로 사용된다. 이외에도 메시지가 정확히 전송되었는지를 판단하기 위한
에코 체크(echo check)도 탐지 통제에 해당한다.
o 교정 통제(Corrective Controls) - 탐지 통제를 통해 발견된 문제들을 해결하기 위해서는 별도의 조치가 필요하다. 문제의 발생 원인과 영향을 분석하고 이를 교정하기 위한 조치가 취해져야 하며, 문제의 향후 발생을 최소화하기 위하여 시스템을 변경해야 할지도 모른다. 이러한 일련의 활동을 교정 통제라고 한다.
- 예를 들어, 예기치 못하였던 시스템 중단이 발생할 경우 어떻게 재실행해야 하는지 를 규정한 절차, 백업과 복구를 위한 절차 그리고 비상상태에 대한 대처 계획도 교정 통제이다.
- 특히 불법적인 접근 시도를 발견해내기 위한 접근 위반 로그는 탐지 통제에 속하지만, 데이터 파일의 복구를 위해 사용되는 트랜잭션 로그(Transaction Log)는 교정 통제에 속한다.
4. 정보보호 시스템 평가 기준 및 제도
가. TCSEC
미국은 국방부, NBS(National Bureau of Standards, NIST의 전신) 및 MITRE 등을 중심으로 안전한 컴퓨터시스템의 구축과 평가 등에 관한 지속적인 연구 결과로 1983년에 소위 ‘Orange Book’으로 불리는 안전한 컴퓨터시스템 평가기준인 TCSEC(Trusted Computer System Evaluation Criteria) 초안을 제정하였다. TCSEC은 1985년에 미 국방부 표준(DoD 5200.28-STD)으로 채택되었다.
미 국방부는 안전·신뢰성이 입증된 컴퓨터시스템을 국방부 및 정부기관에 보급하기 위하여 TCSEC을 7가지 등급(D1, C1, C2, B1, B2, B3, A1)으로 분류하여 각 기관별 특성에 맞는 컴퓨터시스템을 도입·운영하도록 권고하고 있다.
TCSEC은 보안정책, 표시, 신분확인, 감사기록, 보증 그리고 컴퓨터를 지속적으로 보호하기 위한 보안 기본 요구사항으로 제시하고 하고 있다. TCSEC은 컴퓨터시스템이 제공해야 하는 기능을 보안정책, 보안정책을 지원하는 책임추적성(Accountability), 보증 그리고 문서부분으로 나누어서 각 등급별 요구사항을 정의해 놓고 있다. (그림 1-1) 각 등급별 중요 요구사항 및 특성
다음 [표 1-3]은 TCSEC 평가 등급에 대한 설명이다.
나. ITSEC ITSEC은 영국, 독일, 프랑스 및 네덜란드 등 자국의 정보보호시스템 평가기준을 제정하여 시행하던 4개국이 평가제품의 상호 인정 및 평가기준이 상이함에 따른 정보보호 제품의 평가에 소요되는 시간, 인력 및 소요 비용을 절감하기 위하여 1991년에 ITSEC v1.2를 제정하였다. ITSEC은 단일 기준으로 모든 정보보호제품을 평가하고, 평가 등급은 E1(최저), E2, E3, E4, E5 및 E6(최고)의 6등급으로 나누어진다. E0 등급은 부적합 판정을 의미한다.
다. CC(Common Criteria) : 국제 공통 평가 기준 정보보호시스템을 평가하기 위한 평가기준 개발 역사는 1983년 일명 "Orange book"으로 불리는 미국의 국방성(DoD)표준인 TCSEC에서 찾을 수 있다. 1990년에는 영국, 독일, 프랑스 그리고 네덜란드 등 유럽 4개국의 ITSEC 버전 1.0이 개발되었고 1993년에 캐나다의 CTCPEC 버전 V3.0 이 개발되었다.
이러한 평가기준의 개발 노력은 정보보호시스템을 직접 평가하기 위한 사전단계로서 그 의미를 가지고 있는 반면에 각국의 서로 다른 평가기준의 시행은 비용과 시간의 과다 소모 등의 문제점이 야기되었다. 이를 타개하기 위한 노력의 일환으로 1993년 6월 선진 6개국을 중심으로 국제공통평가기준(CC) 개발을 시작하여 1998년 5월에 CC 버전 2.0이 제정되었다. 이후 개정 작업이 계속되어 1999년 6월 8일 CC 버전 2.1이 ISO/IEC 15408 국제표준으로 채택되었다.
이 과정에서 기존의 CC 버전 2.0의 체계가 서론 및 일반모델(Introduction and general model), 보안기능 요구사항(Security functional requirements), 보증요구사항(Security assurance requirements) 그리고 부록(Annexes) 등 네 파트에서 서론 및 일반모델(Introduction and general model), 보안기능 요구사항(Security functional requirements), 보안보증 요구사항 (Security assurance requirements) 등 세 부분으로 변경되어 현재의 CC 버전 2.1로 모습을 바꾸었다. 내용상 CC 버전 2.1과 CC 버전 2.0의 차이점은 거의 없으나, ISO/IEC 15408 획득 과정에서 표준문서로의 수정이 가해져 국제표준으로 채택되게 이르렀다.
이러한 개발과정을 통해 완성된 국제공통평가기준(CC) 버전 2.1은 2000년 5월 새롭게 출범한 CCRA 체제에서의 평가기준으로서 뿐만 아니라, 현재의 정보보호 시스템 평가를 위한 국제기준으로서 역할을 담당하고 있다. 공통평가기준의 등급체계를 이루는 요소는 ITSEC에서와 같은 보안보증 요구사항이다.
공통평가기준의 평가보증등급(EAL: Evaluation Assurance Level)은 보증을 얻기 위한 비용과 이를 통해 얻을 수 있는 보증 수준간의 균형을 이루는 단계적인 등급을 제공한다. 공통평가기준(CC)에서는 평가 종료 시의 TOE에 대한 보증과 TOE 운영 중에 유지되는 보증의 개념을 구분한다.
공통평가기준 평가보증등급은 7등급(EAL1, EAL2, EAL3, EAL4, EAL5, EAL6, EAL7)으 로 구분되며 등급이 높아질수록 보안보증 요구사항이 강화된다. 공통평가기준은 TCSEC처럼 한 등급에 대하여 기능과 보안보증 요구사항이 규정되어 있는 것이 아니라 기능은 다양한 기능에 필요한 요구사항을 분류하여 기준으로 제시 하고 있지만 이들은 부품처럼 필요한 기능만 선택하여 쓸 수 있도록 하고 가정된 위협에 대처하기 위해 필요한 기능을 모아 놓은 정보보호제품을 평가보증등급(EAL)에 따라 평가한다.
IT 보안 평가를 위한 CC는 ISO/IEC 15408: "Evaluation criteria for information technology security"에 표준 문서로 명시되어 있으며, 모든 정보보호시스템 유형을 포괄할 수 있는 보안 평가 기준을 제시하고 있다. 현재 국내에서도 CC기준의 보안평가 기준을 마련하여 정보보호 제품을 평가하고 있다.
다음 [표 1-4]는 CC와 국가별로 구분된 정보보호시스템 평가 기준과의 관계이다.
o CC(공통평가기준)의 활용 공통평가기준은 소비자, 개발자, 평가자의 세 가지 측면에서 활용 가능하며
