필기노트/정보보호론
정보보호 개념
알 수 없는 사용자
2007. 11. 15. 20:11
1. 정보보호 개요
가. 정보보호의 필요성
산업사회에서 정보화사회로 바뀌면서 오프라인에서 수행되던 일이 대부분
온라인으로 수행 가능해 지고 있다. 언제 어디에서든 온라인으로 자신에게
필요한 다양한 종류의 정보를 검색, 접근 그리고 활용 가능하면서
업무의 효율성과 함께 삶의 질이 높아졌다.
하지만 정보화의 순기능과 함께 개인정보가 노출, 악용되는 등의 사례가 증가함에
따라 사생활이 침해되거나, 조직 내 중요 정보가 오용과 악의적인 의도에 의해 유출
되는 등의 치명적인 정보화의 역기능이 발생하게 되었다.
정보화 역기능의 사례는 지속적으로 증가하고 있으며 사용되고 있는 기술도
정보기술과 함께 발달하고 있으므로, 정보보호의 필요성이 더욱 중요시되고 있다.
나. 정보보호의 정의
정보보호(Information Security)란 의도되었건 의도되지 않았건 간에,
인가받지 않은 노출, 전송, 수정 그리고 파괴로부터
정보를 보호하는 것을 말하는 것으로, 정보화촉진기본법 제2조에서는
정보의 수집·가공·저장·검색·송신·수신 중에
정보의 훼손·변조·유출 등을 방지하기 위한 관리적·기술적 수단을
강구하는 것을 말하고 있다.
2. 정보보호 목표
o 기밀성(Confidentiality)
- 정보가 허가되지 않은 사용자(조직)에게 노출되지 않는 것을 보장하는 보안 원칙
o 무결성(Integrity)
- 정보가 권한
이 없는 사용자(조직)의 악의적 또는 비악의적인 접근에 의해 변경되지 않는 것을 보
장하는 보안 원칙
o 가용성(Availability)
- 인가된 사용자(조직)가 정보시스템의 데이터 또는 자원을 필요로 할 때 부당한 지
체 없이 원하는 객체 또는 자원을 접근하고 사용할 수 있는 것을 보장하는 보안 원
칙
3. 정보보호 위협 및 대책
다음 [표 1-1]은 정보보호의 목표 사항을 위협하는 공격 유형에 대한 설명이다.
이러한 위협에 대한 정보보호 대책으로 크게 예방 통제(Preventive Controls),
탐지 통제(Detective Controls) 그리고 교정 통제(Corrective Controls)가 있다.
o 예방 통제(Preventive Controls)
- 예방 통제란 오류(errors)나 부정(irregularity)이 발생하는 것을 예방할
목적으로 행사하는 통제를 말하는 것으로, 발생 가능한 잠재적인 문제들을
식별하여 사전에 대처하는 능동적인 개념의 통제이다.
사실상 문제가 발생한 뒤에 이를 찾아내고 뒷수습하려고 하는 것보다는 사전에
예방하는 것이 더욱 경제적이다
- 예를 들어 자산에 대한 통제방법은 물리적 접근 통제와 논리적 접근 통제가 있다.
물리적 접근통제는 관계자 이외의 사람이 특정 시설이나 설비에 접근할 수 없게
하는 각종의 통제를 의미하며, 논리적 접근통제는 승인 받지 못한 사람이
정보통신망을 통하여 자산에 대한 접근을 막기 위한 통제를 의미한다.
- 또한 중요한 기업 정보를 다루는 직원들에 대한 신상 조회와 업무의 철저한 분장
을 통해 두 명 이상이 공모하지 않는 한 부정을 저지르지 못하게 하는 것도
예방 통제에 속한다.
o 탐지 통제(Detective Controls)
- 발생 가능한 모든 유형의 오류나 누락(omission) 또는 악의적 행위를 예측하고 이에 대한 예방책을 마련한다 하더라도, 예방 통제로만 완전히 막을 수는 없다. 그러므로 예방 통제를 우회하여 발생한 문제들을 찾아내기 위한 통제가 필요하다. - 예를 들어, 접근통제 보안 소프트웨어는 예방 통제의 기능과 함께 불법적으로 시도한 모든 접근들에 대한 기록을 가지고 있는데 이를 접근 위반 로그(Access Violation Log)이라고 한다. 일반적인 로그 파일들은 이러한 적발을 목적으로 사용된다. 이외에도 메시지가 정확히 전송되었는지를 판단하기 위한 에코 체크(echo check)도 탐지 통제에 해당한다.
o 교정 통제(Corrective Controls)
- 탐지 통제를 통해 발견된 문제들을 해결하기 위해서는 별도의 조치가 필요하다.
문제의 발생 원인과 영향을 분석하고 이를 교정하기 위한 조치가 취해져야 하며,
문제의 향후 발생을 최소화하기 위하여 시스템을 변경해야 할지도 모른다.
이러한 일련의 활동을 교정 통제라고 한다.
- 예를 들어, 예기치 못하였던 시스템 중단이 발생할 경우 어떻게 재실행해야 하는지
를 규정한 절차, 백업과 복구를 위한 절차 그리고 비상상태에 대한 대처 계획도
교정 통제이다.
- 특히 불법적인 접근 시도를 발견해내기 위한 접근 위반 로그는 탐지 통제에
속하지만, 데이터 파일의 복구를 위해 사용되는 트랜잭션 로그(Transaction Log)는
교정 통제에 속한다.
4. 정보보호 시스템 평가 기준 및 제도
가. TCSEC
미국은 국방부, NBS(National Bureau of Standards, NIST의 전신) 및 MITRE 등을
중심으로 안전한 컴퓨터시스템의 구축과 평가 등에 관한 지속적인 연구 결과로
1983년에 소위 ‘Orange Book’으로 불리는 안전한 컴퓨터시스템 평가기준인
TCSEC(Trusted Computer System Evaluation Criteria) 초안을 제정하였다.
TCSEC은 1985년에 미 국방부 표준(DoD 5200.28-STD)으로 채택되었다.
미 국방부는 안전·신뢰성이 입증된 컴퓨터시스템을 국방부 및 정부기관에
보급하기 위하여 TCSEC을 7가지 등급(D1, C1, C2, B1, B2, B3, A1)으로 분류하여
각 기관별 특성에 맞는 컴퓨터시스템을 도입·운영하도록 권고하고 있다.
TCSEC은 보안정책, 표시, 신분확인, 감사기록, 보증 그리고 컴퓨터를
지속적으로 보호하기 위한 보안 기본 요구사항으로 제시하고 하고 있다.
TCSEC은 컴퓨터시스템이 제공해야 하는 기능을 보안정책, 보안정책을 지원하는
책임추적성(Accountability), 보증 그리고 문서부분으로
나누어서 각 등급별 요구사항을 정의해 놓고 있다.
(그림 1-1) 각 등급별 중요 요구사항 및 특성
다음 [표 1-3]은 TCSEC 평가 등급에 대한 설명이다.
나. ITSEC
ITSEC은 영국, 독일, 프랑스 및 네덜란드 등 자국의 정보보호시스템 평가기준을
제정하여 시행하던 4개국이 평가제품의 상호 인정 및 평가기준이 상이함에 따른
정보보호 제품의 평가에 소요되는 시간, 인력 및 소요 비용을 절감하기 위하여
1991년에 ITSEC v1.2를 제정하였다.
ITSEC은 단일 기준으로 모든 정보보호제품을 평가하고, 평가 등급은 E1(최저),
E2, E3, E4, E5 및 E6(최고)의 6등급으로 나누어진다. E0 등급은 부적합 판정을
의미한다.
다. CC(Common Criteria) : 국제 공통 평가 기준
정보보호시스템을 평가하기 위한 평가기준 개발 역사는
1983년 일명 "Orange book"으로 불리는 미국의 국방성(DoD)표준인 TCSEC에서
찾을 수 있다. 1990년에는 영국, 독일, 프랑스 그리고 네덜란드 등 유럽 4개국의
ITSEC 버전 1.0이 개발되었고 1993년에 캐나다의 CTCPEC 버전 V3.0 이 개발되었다.
이러한 평가기준의 개발 노력은 정보보호시스템을 직접 평가하기 위한
사전단계로서 그 의미를 가지고 있는 반면에 각국의 서로 다른 평가기준의 시행은
비용과 시간의 과다 소모 등의 문제점이 야기되었다.
이를 타개하기 위한 노력의 일환으로 1993년 6월 선진 6개국을 중심으로
국제공통평가기준(CC) 개발을 시작하여 1998년 5월에 CC 버전 2.0이 제정되었다.
이후 개정 작업이 계속되어 1999년 6월 8일 CC 버전 2.1이 ISO/IEC 15408
국제표준으로 채택되었다.
이 과정에서 기존의 CC 버전 2.0의 체계가
서론 및 일반모델(Introduction and general model),
보안기능 요구사항(Security functional requirements),
보증요구사항(Security assurance requirements) 그리고
부록(Annexes) 등 네 파트에서 서론 및 일반모델(Introduction and general model),
보안기능 요구사항(Security functional requirements), 보안보증 요구사항
(Security assurance requirements) 등 세 부분으로 변경되어 현재의 CC 버전 2.1로
모습을 바꾸었다. 내용상 CC 버전 2.1과 CC 버전 2.0의 차이점은 거의 없으나,
ISO/IEC 15408 획득 과정에서 표준문서로의 수정이 가해져 국제표준으로 채택되게
이르렀다.
이러한 개발과정을 통해 완성된 국제공통평가기준(CC) 버전 2.1은 2000년 5월
새롭게 출범한 CCRA 체제에서의 평가기준으로서 뿐만 아니라, 현재의 정보보호
시스템 평가를 위한 국제기준으로서 역할을 담당하고 있다.
공통평가기준의 등급체계를 이루는 요소는 ITSEC에서와 같은 보안보증
요구사항이다.
공통평가기준의 평가보증등급(EAL: Evaluation Assurance Level)은 보증을 얻기
위한 비용과 이를 통해 얻을 수 있는 보증 수준간의 균형을 이루는 단계적인 등급을
제공한다. 공통평가기준(CC)에서는 평가 종료 시의 TOE에 대한 보증과
TOE 운영 중에 유지되는 보증의 개념을 구분한다.
공통평가기준 평가보증등급은 7등급(EAL1, EAL2, EAL3, EAL4, EAL5, EAL6, EAL7)으
로 구분되며 등급이 높아질수록 보안보증 요구사항이 강화된다.
공통평가기준은 TCSEC처럼 한 등급에 대하여 기능과 보안보증 요구사항이 규정되어
있는 것이 아니라 기능은 다양한 기능에 필요한 요구사항을 분류하여 기준으로 제시
하고 있지만 이들은 부품처럼 필요한 기능만 선택하여 쓸 수 있도록 하고
가정된 위협에 대처하기 위해 필요한 기능을 모아 놓은 정보보호제품을
평가보증등급(EAL)에 따라 평가한다.
IT 보안 평가를 위한 CC는 ISO/IEC 15408: "Evaluation criteria for information
technology security"에 표준 문서로 명시되어 있으며, 모든 정보보호시스템 유형을
포괄할 수 있는 보안 평가 기준을 제시하고 있다. 현재 국내에서도 CC기준의
보안평가 기준을 마련하여 정보보호 제품을 평가하고 있다.
다음 [표 1-4]는 CC와 국가별로 구분된 정보보호시스템 평가 기준과의 관계이다.
o CC(공통평가기준)의 활용
공통평가기준은 소비자, 개발자, 평가자의 세 가지 측면에서 활용 가능하며
각각의 구성 및 활용은 다음 [표 1-5]와 같다.
가. 정보보호의 필요성
산업사회에서 정보화사회로 바뀌면서 오프라인에서 수행되던 일이 대부분
온라인으로 수행 가능해 지고 있다. 언제 어디에서든 온라인으로 자신에게
필요한 다양한 종류의 정보를 검색, 접근 그리고 활용 가능하면서
업무의 효율성과 함께 삶의 질이 높아졌다.
하지만 정보화의 순기능과 함께 개인정보가 노출, 악용되는 등의 사례가 증가함에
따라 사생활이 침해되거나, 조직 내 중요 정보가 오용과 악의적인 의도에 의해 유출
되는 등의 치명적인 정보화의 역기능이 발생하게 되었다.
정보화 역기능의 사례는 지속적으로 증가하고 있으며 사용되고 있는 기술도
정보기술과 함께 발달하고 있으므로, 정보보호의 필요성이 더욱 중요시되고 있다.
나. 정보보호의 정의
정보보호(Information Security)란 의도되었건 의도되지 않았건 간에,
인가받지 않은 노출, 전송, 수정 그리고 파괴로부터
정보를 보호하는 것을 말하는 것으로, 정보화촉진기본법 제2조에서는
정보의 수집·가공·저장·검색·송신·수신 중에
정보의 훼손·변조·유출 등을 방지하기 위한 관리적·기술적 수단을
강구하는 것을 말하고 있다.
2. 정보보호 목표
o 기밀성(Confidentiality)
- 정보가 허가되지 않은 사용자(조직)에게 노출되지 않는 것을 보장하는 보안 원칙
o 무결성(Integrity)
- 정보가 권한
이 없는 사용자(조직)의 악의적 또는 비악의적인 접근에 의해 변경되지 않는 것을 보
장하는 보안 원칙
o 가용성(Availability)
- 인가된 사용자(조직)가 정보시스템의 데이터 또는 자원을 필요로 할 때 부당한 지
체 없이 원하는 객체 또는 자원을 접근하고 사용할 수 있는 것을 보장하는 보안 원
칙
3. 정보보호 위협 및 대책
다음 [표 1-1]은 정보보호의 목표 사항을 위협하는 공격 유형에 대한 설명이다.
이러한 위협에 대한 정보보호 대책으로 크게 예방 통제(Preventive Controls),
탐지 통제(Detective Controls) 그리고 교정 통제(Corrective Controls)가 있다.
o 예방 통제(Preventive Controls)
- 예방 통제란 오류(errors)나 부정(irregularity)이 발생하는 것을 예방할
목적으로 행사하는 통제를 말하는 것으로, 발생 가능한 잠재적인 문제들을
식별하여 사전에 대처하는 능동적인 개념의 통제이다.
사실상 문제가 발생한 뒤에 이를 찾아내고 뒷수습하려고 하는 것보다는 사전에
예방하는 것이 더욱 경제적이다
- 예를 들어 자산에 대한 통제방법은 물리적 접근 통제와 논리적 접근 통제가 있다.
물리적 접근통제는 관계자 이외의 사람이 특정 시설이나 설비에 접근할 수 없게
하는 각종의 통제를 의미하며, 논리적 접근통제는 승인 받지 못한 사람이
정보통신망을 통하여 자산에 대한 접근을 막기 위한 통제를 의미한다.
- 또한 중요한 기업 정보를 다루는 직원들에 대한 신상 조회와 업무의 철저한 분장
을 통해 두 명 이상이 공모하지 않는 한 부정을 저지르지 못하게 하는 것도
예방 통제에 속한다.
o 탐지 통제(Detective Controls)
- 발생 가능한 모든 유형의 오류나 누락(omission) 또는 악의적 행위를 예측하고 이에 대한 예방책을 마련한다 하더라도, 예방 통제로만 완전히 막을 수는 없다. 그러므로 예방 통제를 우회하여 발생한 문제들을 찾아내기 위한 통제가 필요하다. - 예를 들어, 접근통제 보안 소프트웨어는 예방 통제의 기능과 함께 불법적으로 시도한 모든 접근들에 대한 기록을 가지고 있는데 이를 접근 위반 로그(Access Violation Log)이라고 한다. 일반적인 로그 파일들은 이러한 적발을 목적으로 사용된다. 이외에도 메시지가 정확히 전송되었는지를 판단하기 위한 에코 체크(echo check)도 탐지 통제에 해당한다.
o 교정 통제(Corrective Controls)
- 탐지 통제를 통해 발견된 문제들을 해결하기 위해서는 별도의 조치가 필요하다.
문제의 발생 원인과 영향을 분석하고 이를 교정하기 위한 조치가 취해져야 하며,
문제의 향후 발생을 최소화하기 위하여 시스템을 변경해야 할지도 모른다.
이러한 일련의 활동을 교정 통제라고 한다.
- 예를 들어, 예기치 못하였던 시스템 중단이 발생할 경우 어떻게 재실행해야 하는지
를 규정한 절차, 백업과 복구를 위한 절차 그리고 비상상태에 대한 대처 계획도
교정 통제이다.
- 특히 불법적인 접근 시도를 발견해내기 위한 접근 위반 로그는 탐지 통제에
속하지만, 데이터 파일의 복구를 위해 사용되는 트랜잭션 로그(Transaction Log)는
교정 통제에 속한다.
4. 정보보호 시스템 평가 기준 및 제도
가. TCSEC
미국은 국방부, NBS(National Bureau of Standards, NIST의 전신) 및 MITRE 등을
중심으로 안전한 컴퓨터시스템의 구축과 평가 등에 관한 지속적인 연구 결과로
1983년에 소위 ‘Orange Book’으로 불리는 안전한 컴퓨터시스템 평가기준인
TCSEC(Trusted Computer System Evaluation Criteria) 초안을 제정하였다.
TCSEC은 1985년에 미 국방부 표준(DoD 5200.28-STD)으로 채택되었다.
미 국방부는 안전·신뢰성이 입증된 컴퓨터시스템을 국방부 및 정부기관에
보급하기 위하여 TCSEC을 7가지 등급(D1, C1, C2, B1, B2, B3, A1)으로 분류하여
각 기관별 특성에 맞는 컴퓨터시스템을 도입·운영하도록 권고하고 있다.
TCSEC은 보안정책, 표시, 신분확인, 감사기록, 보증 그리고 컴퓨터를
지속적으로 보호하기 위한 보안 기본 요구사항으로 제시하고 하고 있다.
TCSEC은 컴퓨터시스템이 제공해야 하는 기능을 보안정책, 보안정책을 지원하는
책임추적성(Accountability), 보증 그리고 문서부분으로
나누어서 각 등급별 요구사항을 정의해 놓고 있다.
(그림 1-1) 각 등급별 중요 요구사항 및 특성
다음 [표 1-3]은 TCSEC 평가 등급에 대한 설명이다.
나. ITSEC
ITSEC은 영국, 독일, 프랑스 및 네덜란드 등 자국의 정보보호시스템 평가기준을
제정하여 시행하던 4개국이 평가제품의 상호 인정 및 평가기준이 상이함에 따른
정보보호 제품의 평가에 소요되는 시간, 인력 및 소요 비용을 절감하기 위하여
1991년에 ITSEC v1.2를 제정하였다.
ITSEC은 단일 기준으로 모든 정보보호제품을 평가하고, 평가 등급은 E1(최저),
E2, E3, E4, E5 및 E6(최고)의 6등급으로 나누어진다. E0 등급은 부적합 판정을
의미한다.
다. CC(Common Criteria) : 국제 공통 평가 기준
정보보호시스템을 평가하기 위한 평가기준 개발 역사는
1983년 일명 "Orange book"으로 불리는 미국의 국방성(DoD)표준인 TCSEC에서
찾을 수 있다. 1990년에는 영국, 독일, 프랑스 그리고 네덜란드 등 유럽 4개국의
ITSEC 버전 1.0이 개발되었고 1993년에 캐나다의 CTCPEC 버전 V3.0 이 개발되었다.
이러한 평가기준의 개발 노력은 정보보호시스템을 직접 평가하기 위한
사전단계로서 그 의미를 가지고 있는 반면에 각국의 서로 다른 평가기준의 시행은
비용과 시간의 과다 소모 등의 문제점이 야기되었다.
이를 타개하기 위한 노력의 일환으로 1993년 6월 선진 6개국을 중심으로
국제공통평가기준(CC) 개발을 시작하여 1998년 5월에 CC 버전 2.0이 제정되었다.
이후 개정 작업이 계속되어 1999년 6월 8일 CC 버전 2.1이 ISO/IEC 15408
국제표준으로 채택되었다.
이 과정에서 기존의 CC 버전 2.0의 체계가
서론 및 일반모델(Introduction and general model),
보안기능 요구사항(Security functional requirements),
보증요구사항(Security assurance requirements) 그리고
부록(Annexes) 등 네 파트에서 서론 및 일반모델(Introduction and general model),
보안기능 요구사항(Security functional requirements), 보안보증 요구사항
(Security assurance requirements) 등 세 부분으로 변경되어 현재의 CC 버전 2.1로
모습을 바꾸었다. 내용상 CC 버전 2.1과 CC 버전 2.0의 차이점은 거의 없으나,
ISO/IEC 15408 획득 과정에서 표준문서로의 수정이 가해져 국제표준으로 채택되게
이르렀다.
이러한 개발과정을 통해 완성된 국제공통평가기준(CC) 버전 2.1은 2000년 5월
새롭게 출범한 CCRA 체제에서의 평가기준으로서 뿐만 아니라, 현재의 정보보호
시스템 평가를 위한 국제기준으로서 역할을 담당하고 있다.
공통평가기준의 등급체계를 이루는 요소는 ITSEC에서와 같은 보안보증
요구사항이다.
공통평가기준의 평가보증등급(EAL: Evaluation Assurance Level)은 보증을 얻기
위한 비용과 이를 통해 얻을 수 있는 보증 수준간의 균형을 이루는 단계적인 등급을
제공한다. 공통평가기준(CC)에서는 평가 종료 시의 TOE에 대한 보증과
TOE 운영 중에 유지되는 보증의 개념을 구분한다.
공통평가기준 평가보증등급은 7등급(EAL1, EAL2, EAL3, EAL4, EAL5, EAL6, EAL7)으
로 구분되며 등급이 높아질수록 보안보증 요구사항이 강화된다.
공통평가기준은 TCSEC처럼 한 등급에 대하여 기능과 보안보증 요구사항이 규정되어
있는 것이 아니라 기능은 다양한 기능에 필요한 요구사항을 분류하여 기준으로 제시
하고 있지만 이들은 부품처럼 필요한 기능만 선택하여 쓸 수 있도록 하고
가정된 위협에 대처하기 위해 필요한 기능을 모아 놓은 정보보호제품을
평가보증등급(EAL)에 따라 평가한다.
IT 보안 평가를 위한 CC는 ISO/IEC 15408: "Evaluation criteria for information
technology security"에 표준 문서로 명시되어 있으며, 모든 정보보호시스템 유형을
포괄할 수 있는 보안 평가 기준을 제시하고 있다. 현재 국내에서도 CC기준의
보안평가 기준을 마련하여 정보보호 제품을 평가하고 있다.
다음 [표 1-4]는 CC와 국가별로 구분된 정보보호시스템 평가 기준과의 관계이다.
o CC(공통평가기준)의 활용
공통평가기준은 소비자, 개발자, 평가자의 세 가지 측면에서 활용 가능하며
각각의 구성 및 활용은 다음 [표 1-5]와 같다.