Ⅲ. 디지털운영

교재 3장 : 윤리, 프라이버시, 정보 보안

개요 및 목표

정보기술에 관련된 주요 윤리 이슈를

설명하고 발생할 수 있는 상황을 확인하라.

정보보안에 대한 주요 위협을 설명하라.

정보시스템을 보호하기 위해 사용되는 여러

가지 방어 메커니즘을 이해하라.

IT 감사와 재난복구 계획을 설명하라.

NASA는 수년간 기밀정보를 잃어버리다.

Opening Case 교재 92쪽

3.1 윤리 문제

윤리

개인이 자신의 행동지침으로 삼는 선악의 개념

윤리 코드

조직구성원들의 의사결정을 특정방향으로

유도하기 위한 원칙들의 집합

윤리의 주요 원칙 – 세가지 책임

Responsibility 자신의 행위와 판단의 결과에 승복하고 책임지는

것

Accountability 일어난 사건이나 결과에 대해 누가 원인을 제공하여 책임을 져야 하는지 판단하는 것

Liability 개인, 조직 혹은 시스템에 의하여 저질러진 개인들의 피해를 복구할 수 있는 권리를 개인에게 주는

법적 개념

비윤리(unethical) 대 불법(illegal)

비윤리적인 것이 항상 불법적인 것은 아니다.

Ethics scenarios

▫ 윤리규정

▪ 공직자 재무보고서

▪ 청문회

▪ 미국 서브프라임 사태

– 글로벌 경제를 후퇴시킴

– 금융산업 규제와 글로벌 재무시스템에 있어

취약점

정보기술의 발전과 윤리문제

정보기술의 발전은 윤리문제의 증가를 가져옴

Moore’s Law

더 많은 데이터가 더 저렴한 비용으로 저장되며,

조직은 더 오랜 동안 개인에 관한 더 많은 자료를

저장할 수 있다

인터넷은 개인이나 조직, 기관들에 관한 거대한

자료를 수집하고 통합하며 유포시키는 것을 가능

결과로서 고객정보의 적절한 사용, 개인 프라이버시,

지적 자산의 보호에 관한 윤리적 문제가 제기

정보기술의 윤리적 사용

조직은 근로자의 웹서핑과 이메일을 반드시

모니터 해야 하는가?

조직은 고객정보를 타 회사에 반드시 팔아야

하는가?

조직은 비인가 소프트웨어 사용과 불법적인

비디오 또는 음악 파일의 다운로드에 대한

컴퓨터를 감사해야 하는가?

네 가지 윤리 문제 카테고리 (교재 98쪽 표 3.1 참조)

프라이버시 문제

개인에 대한 정보의 수집, 보관, 배포와 관련된다

정확성 문제

수집되고 처리되는 정보의 신빙성(authenticity),

신뢰성(fidelity), 그리고 정확성(accuracy)과 관련된다

재산권 문제

정보의 재산권(the ownership)과 가치와 관련된다.

접속권한 문제

정보에 대해 누가 접속할 권한을 가지며 이에 대한

돈의 지불여부와 관련된다.

윤리적 이슈의 질의 프레임워크

프라이버시 문제

자신에 관한 어떤 정보를 타인에게 노출 하도록

개인에게 요구할 수 있는가?

고용주는 자신의 근로자에 대한 어떤 유형의 감시

(감독)을 할 수 있는가?

사람들은 개인에 관한 어떤 유형의 정보를 유지하고

타인에게 노출되도록 강요 받지 않는가?

개인에 관한 어떤 정보들이 데이터베이스에 저장될

수 있고 그 정보가 얼마만큼 안전한가?

윤리적 이슈의 프레임워크

정확성 문제

수집된 정보의 출처 명확성, 사실성, 정확성을 누가

책임지는가?

정보가 적절하게 처리되고 사용자에게 정확하게

제시되었는가를 어떻게 확신하는가?

데이터베이스와 데이터 전달, 데이터 처리에 있어

에러가 사고인지 또는 의도한 것이 아닌지를 어떻게

보장하는가

정보에 있어 에러에 대한 책임이 누구에게 주어지는가?

그리고 손해를 입은 집단은 어떻게 보상을 받는가?

윤리적 이슈의 질의 프레임워크

재산권 문제

정보를 누가 소유하는가?

정보교환에 대한 적정하면서도 공정한 가격은?

소프트웨어 저작권 침해를 어떻게 처리할 것인가?

어떤 상황하에서도 사람들은 정당한 데이터베이스를

사용할 수 있는가?

기업 컴퓨터를 개인목적으로 사용할 수 있는가?

자신의 지식을 전문가시스템을 만드는데 기여할 수

있는 전문가들은 어떻게 보상해야 하는가?

정보채널에 대한 접속권한을 어떻게 할당할 것인가?

윤리적 이슈의 질의 프레임워크

접속권한 문제

누가 정보에 접근할 수 있도록 허용되는가?

기업은 정보에 대한 접속을 허용 받음에 대하여 얼마

만큼 지불해야 하는가?

사용불능의 근로자에게 컴퓨터의 접속을 어떻게 제공할

것인가?

정보접속을 위해 필요한 장치들을 누가 제공하는가?

개인이나 조직은 어떤 상황하에서, 안전장치가 되어

있는 상태의 정보를 획득할 권리나 권한을 가지고

있는가?

프라이버시 문제

얼마나 많은 프라이버시를 남겨놓았는가

프라이버시는

개인에게 주어지며

비합리적인 개인의

침해로부터 자유로울

권리이다

정보 프라이버시

정보 프라이버시는 자신에 대한 정보가 언제

어디서 어느 정도로 수집되고 배포될 수 있는지 결정하는 권리이다.

프라이버시

법원의 결정은 두 가지 규칙을 따르고 있다.

(1) 프라이버시 권리는 절대적이지 않다.

프라이버시는 사회의 필요와 저울질 되어야 한다.

(2) 대중의 알 권리는 개인의 프라이버시보다 위에

있다.

프라이버시에 대한 위협

1) 자료 집합소(data aggregators)

공개데이터(부동산 기록, 전화번호)와 비공개 데이터 (사회보장번호, 금융데이터, 경찰기록, 자동차기록)를 수집하고 그리고 디지털 프로필을 생성하기 위하여 이들 데이터를 통합하는 회사.

2) 디지털 프로필(digital dossiers)

당신과 당신 습관에 대한 전자정보 집합

3) 프로파일링(profiling)

디지털프로필 생성행위

4) 전자감시(electronic surveillance)

컴퓨터의 도움으로 개인의 활동을 온라인, 오프라인으로 추적하는 것

5) 데이터베이스 내 개인정보

6) 인터넷 게시판상의 정보, 뉴스그룹, 그리고 소셜네트워킹 사이트

데이터 집합소, 디지털 프로필, 그리고

프로파일링 사이트

전자감시

데이터베이스 내 개인정보

은행, 전력회사

정부기관, 은행, 대학

신용정보 보고기관, 등등.

데이터베이스 내 개인정보

이들 기관에 보관되는 정보에 대한 관심사

기록들이 어디에 있는지 아는가?

기록들은 정확한가?

부정확한 데이터는 바꿀 수 있는가?

얼마나 오랜 동안 변화를 위해 유지할 것인가?

어떤 상황하에서도 개인데이터를 공개할 것인가?

데이터가 어떻게 사용되는가?

데이터가 누구에게 주거나 판매되는가?

인가를 받지 않은 사람의 접속에 대하여 데이터는

얼마나 안전한가?

인터넷 게시판 상의 정보, 뉴스그룹,

소셜네트워킹 사이트의 예

소셜네트워킹 사이트는 당신에게

문제를 일으킬 수 있다

누구나 당신에게 익명으로 당신의 품위를 떨어뜨리는 메일을 보낼 수 있다.

(워싱턴 포스트 기사를 보라.)

또한 당신 스스로에게 고통을 줄 수 있다.

당신은 무엇을 할 수 있는가?

첫째, 소셜네트워킹 사이트상에서 발성하는

어떤 정보도 조심해야 한다.

둘째, 명성 방어자인 기업은 웹에서 품위를

떨어뜨리는 정보를 제거할 수 있다고 말한다.

프라이버시 보호

프라이버시 코드와 정책

조직이 고객, 의뢰인 그리고 직원들의 프라이버시 보호와 관련해 따르도록 작성한 가이드라인

거부권한(opt-out) 모델 – 기업이 개인정보를

처음부터 수집하되 고객이 수집을 거부할 경우

수집을 하지 않는 것

승인권한(opt-in) 모델 – 기업이 정보를

수집하는 것이 금지되고 오직 고객이 수집에

동의하는 경우에만 수집하도록 하는 것

프라이버시 국제관점

약 50개국 이상이 데이터보호 법률을 보유

다른 나라의 법률과 충돌하는 경우가 있다

유럽연합 법률이 미국 법보다 더 엄격하다

− 다국적 기업에 대한 문제가 일어날 수 있다

− 개인의 동의 없이 데이터의 국내외로의 이전은

프라이버시문제를 유발한다

− 데이터가 다른 나라에서 재처리되거나 전달될 목적으로

저장된다면 어느 나라 법이 관할권을 가지는가?

− 폴란드 기업이 미국위성을 통해 영국기업에게 데이터를

전달한다면 이때 어느 나라의 프라이버시에 관한 법률

이 이에 대한 통제를 할 수 있는가?

프라이버시 정책 가이드라인 (교재 104쪽 표 3.2 참조)

정보보안에 대한 위협을 증가시키는 요인들

1) 오늘날의 상호연결, 상호의존적 무선연결 경영환경

2) 정부규정

Gramm-Leach-Bliley 법, 의료보험 이동 및 책임법 (HIPAA)

3) 더 작고 빠르며 저렴한 컴퓨터와 저장장치

4) 컴퓨터해킹에 필요한 기술지식 수준의 감소

3.2 정보보안에의 위협

5) 국제범죄조직에 의한 사이버 범죄

6) 하류보안 책무(Downstream liability)

7) 기업직원의 무허가기기의 사용

8) 경영지원의 부족

Increasing Sophistication of Attacks

Low

High

1980 2005

Attack Sophistication

Knowledge Required by Intruder

WiGLE.net

New & Easier Attack Tools

해커에게 필요한 기술의 감소

새롭고 더 쉬운 도구들은

네트워크를 공격하기 쉽게

만든다

무허가기기의 모습

맥도날드 가게의 Wi-Fi

스타벅스 가게의 Wi-Fi

호텔 비즈니스 센터

주요 정보보안 개념

① 위협(Threat)

― 시스템이 노출될지 모른다는 위험

② 노출(Exposure)

− 위협이 실제로 자원에 끼쳐졌을 때 발생하는 상처, 손실,

피해

③ 취약성(Vulnerability)

− 위협이 현실이 되어 피해를 유발할 가능성

④ 리스크

− 위험이 생길 가능성

⑤ 정보시스템 통제

− 시스템 침입 및 피해를 방지하기 위한 절차, 기기, 소프트웨어

보안 위협 (교재 108쪽 그림 3.1 참조)

정보시스템에의 위협 범주

Whitman and Mattord(2003)

1) 비의도적 행위(unintentional acts)

정보 시스템을 해하고자 하는 악의가 결여되어있는 행위에 의한

피해, 사람의 실수, 서비스품질의 변동, 환경에서 오는 위험

2) 자연재해(natural disasters)

홍수, 지진, 태풍, 회오리바람, 낙뢰, 그리고 화재 등이 포함

3) 기술하자(technical failures)

하드웨어와 소프트웨어 문제를 포괄

4) 경영하자(management failures)

정보 보안 노력에의 투자 혹은 관심 부족

이러한 리더십의 부족은 기업의 정보 시스템에 큰 해를 끼친다

5) 고의적 행위(deliberate acts)

내부자에 의한 고의적 피해는 많은 수의 정보 보안 노출 사례를 일으킴.

산업스파이, 무단침입, 정보협박, 파괴공작, 반달리즘,

장비나 정보의 도난, 신원 도난, 지적재산권 침해, 소프트웨어 공격, 사이버테러리즘, 사이버전쟁, 관리통제와 데이터획득(SCADA) 공격

1. 비의도적 행위에 의한 피해

사람의 실수(Human Errors)

서비스 품질의 변동성(Deviations in the

Quality of Service)

환경 위험(Environmental Hazards)

1. 비의도적 행위(1)

사람의 실수로 인한 정보시스템 위협

근로자 유형

정규직원

− 직급이 높을 수록 정보시스템에 위협이 크다

− 인적자원부서와 정보기술부서 직원의 위협이 크다

계약직 노동자나 컨설턴트 같은 비정규직 근로자

청소부나 경비원 같은 단순 노동자

정보 보안에 관한 게으름이나 부주의, 인지부족

이는 기업의 교육 및 훈련 노력 부족에 기인한다

가장 위험한 근로자

인적자원과 MIS

이들 근로자들이 모든 정보를 쥐고 있음을 명심하라

1. 비의도적 행위(2)

Human errors

사람의 실수는 고의적인 행동에 의한 피해가 아니지만

이들 중 일부는 악의를 가진 공격자에 의해 직원들이

실수하도록 유도하기도 한다.

고의적 공격유형

사회적 공작(social engineering),

사회적 역공작(reverse social engineering)

사회적 정보 수집(social data mining)

사람의 실수 (교재 111쪽 표 3.3 참조)

반 테일게이팅 문

어깨너머 훔처보기

1. 비의도적 행위(3)

사회적 공작(social engineering)

공격자가 사회활동이나 사회적 기술을 통해 실제

직원에게서 기밀 기업 정보, 예컨대 비밀번호 등을

추출하는 활동

전화로 기업 경영자나 정보 시스템 부서 직원을

흉내 내는 것

해충 박멸업자, 공기청정기 기술자, 또는

소방관으로 행세하는 경우가 많다.

사례 - 직원명패사용, USB 메모리 활용한 예

1. 비의도적 행위(4)

사회적 역공작(reverse social engineering)

직원이 공격자에게 접근

공격자가 공격 대상 기업에 취직한 뒤 직원들 간

수다를 통해 스스로가 ‘컴퓨터를 잘 다룬다.’라고

소문을 낸다

많은 직원들이 컴퓨터에 문제가 생기면 공격자에게

가게 되고, 공격자는 컴퓨터를 수리하며

비밀번호와 컴퓨터 정보 등을 이메일로 송신하는

트로이 목마를 몰래 업로드하는 것

1. 비의도적 행위(5)

사회적 정보 수집(social data mining)

친구 정보 수집’이라고도 불리며 공격자가 기업

내에서 인적관계를 자세히 조사하고 싶을 때 사용

기업 내 인간관계에 대한 정보를 통해 공격자는

어디에 악성 소프트웨어를 심고 어디에서 중요

정보를 얻을 수 있을 지 가늠할 수 있다.

1. 비의도적 행위(6)

서비스 제공업체의 서비스 품질변동

제품이나 서비스가 예상대로 기업에 전달되지 않은

경우

건설 현장의 중장비가 당신의 건물의 통신 광케이블을

절단하거나 인터넷 서비스 제공업체(ISP)가 대역폭

문제를 겪고 있는 경우

통신, 전기, 전화, 수도, 하수도, 쓰레기 수거, 케이블,

천연가스 등의 여러 서비스에서 변동을 겪을 수 있다.

환경에서 오는 위험

흙, 먼지, 습도, 정전기 등

컴퓨터 장비의 안전한 작동에 해가 된다

2. 자연재해(Natural Disasters)

홍수, 지진, 태풍, 회오리바람, 낙뢰, 화재

이러한 천재지변은 시스템과 데이터에 치명적인 피해를 준다

데이터와 시스템의 백업 및 복구를 위한 계획을 수립

3. 기술하자 (Technical Failures)

하드웨어와 소프트웨어 문제를 포괄

하드디스크 드라이브의 크래시

인텔사의 CPU 칩의 하자로 인한 연산에러

소프트웨어 문제

버그: 프로그램 에러

버그를 다루는 전문 웹사이트가 성행

4. 경영하자(Management Failures)

정보보안 노력에 대한 투자 혹은 관심 부족

이러한 리더십의 부족은 정보시스템에 큰 해를

끼친다

5. 고의적 행위로 인한 피해

산업스파이(Espionage) 또는 무단침입 (trespass)

권한이 없는 개인이 기업 정보에 무단으로

접속하려고 하는 것

경쟁적 정보 수집은 기업 웹사이트 분석, 언론

발표자료 수집, 무역 컨벤션 참가 등의 합법적인

정보 수집 기술을 도용

고의적 행위로 인한 피해

정보협박(Information extortion)

공격자가 기업으로부터 정보를 훔치겠다고 협박하거나

실제로 훔치면서 일어난다

공격자는 기업 정보를 훔치지 않거나 훔친 데이터를

돌려주거나 공개하지 않는 것에 대한 대가를 요구

파괴공작(Sabotage) or vandalism

기업 웹사이트의 악의적 변경을 통해 기업의 명예를

실추시키고 고객 신용을 잃게 만드는 행위

해킹데모(hacktivism) 혹은

사이버-운동권(cyber-activism) – 트롤들에 의한 도배

고의적 행위로 인한 피해

장비와 정보의 도난

노트북 컴퓨터, 블랙베리, PDA, 디지털 카메라,

USB메모리, iPod

Ponemon사에 의하면 노트북 컴퓨터의 10%

정도가 분실당하며, 88%가 미회수되며, 연간 기업

피해액은 5만 달러(데이터분실피해(80%), 지적

재산권 피해(11%) , 기기가격, 법적/관리적 비용

지출, 조사비용 포함)

쓰레기통 뒤지기(dumpster diving) – 버려진 문서,

편지, 메모지, 사진, ID, 비밀번호, 신용카드, 기타

정보가 쓰레기 통에서 발견

고의적 행위로 인한 피해

신원도난(Identity Theft)

타인의 신원의 고의적 도용이며 개인 재산에

접근하거나 범죄에 개인을 연관시킬 때 사용

신원정보를 획득하는 방법

− 편지 도난이나 쓰레기통 뒤지기

− 컴퓨터 데이터베이스의 개인 정보 도난

− 개인정보를 대량으로 보관하는 조직에의 침투

고의적 행위로 인한 피해

지적재산권 침해

지적재산은 개인이나 기업이 생성한 지식 중

기업기밀 법, 특허법, 저작권법으로 보호된 것을 의미

비즈니스 소프트웨어 연합(BSA, Business Software

Alliance; www.bsa.org)은 세계의 상업 소프트웨어

산업을 대표하는 조직이며 합법 소프트웨어를

추구하고 소프트웨어 불법복제 제거를 위한 연구

2009년 한해 동안 불법목제에 의한 판매자의 피해액

은 500억 달러로 추정

고의적 행위로 인한 피해

소프트웨어 공격

최대한 많은 컴퓨터를 감염시키려는 형태에서

이윤을 위한 웹 기반 공격수단으로 진화

Virus - 타 프로그램에 삽입되어 악의적인 결과를

내는 컴퓨터 코드

Worm

1988: first widespread worm, created by Robert T.

Morris, Jr.

타 프로그램의 도움 없이 스스로 복제, 확산되며

악의적인 결과를 내는 컴퓨터 코드

(see the rapid spread of the Slammer worm)

고의적 행위로 인한 피해

Software attacks

Trojan horse

타 컴퓨터에 숨어 있다가 활성화 되었을 때만 본래

목적을 들어내는 프로그램

Logic Bomb

기업의 기존의 컴퓨터 시스템과 코드 사이에 숨어

있다가 특정 시간이나 날짜에 파괴적 행위를

실시하게 되어있는 컴퓨터 코드

Back Door

주로 공격자만이 아는 프로그램의 보안 절차

우회경로 일반적으로 비밀번호 등의 형태를 띤다

고의적 행위로 인한 피해

Software attacks (continued)

Blended Attack

여러 전달 방법(이메일, 인터넷 등)을 동원하며

여러 공격 종류(피싱, 트로이목마 등)를 함께

사용하는 공격

Password Attack

Dictionary Attack - 사전과 같은 데이터 등에서

뽑은 단어나 수열로 비밀번호를 유추해내는 방법

Brute Force Attack - 대규모의 연산 자원을

동원해서 가능한 모든 비밀번호 조합을 시도하여

비밀번호를 알아내는 방법

고의적 행위로 인한 피해

Software attacks (continued)

DoS(Denial-of-Service) Attack

특정 컴퓨터에 대량의 서비스 요청을 집어넣어

용량 초과로 다운되게 하는 공격

DDoS(Distributed DoS) Attack

대량의 컴퓨터를 악성 코드를 통해 통제하여 모두

동원하여 실행하는 DoS 공격

Phishing attacks

공식으로 보이는 이메일이나 문자, 전화 등의

속임수로 개인 정보를 획득하려는 공격

고의적 행위로 인한 피해

Software attacks (continued)

Spear Phishing attacks

피싱이 대중을 상대로 실시되는 한편 개인 대상

피싱은 개인에 대한 인적 정보를 수집하여

사용함으로써 특정 개인에 대한 피싱 성공

가능성을 높이려고 한다

Zero-day Attack(패치 전 공격)

최근에 새로이 발견된 소프트웨어 버그를

악용하려는 공격.

최대한 빨리 행동함으로써 소프트웨어 관리자

측에서 버그를 패치로 고치기 전에 악용할 수 있다

고의적 행위로 인한 피해

Alien Software

비밀리에 사용자의 컴퓨터에 설치되는 프로그램

대체로 바이러스, 웜, 트로이목마 등처럼 악성이진

않지만 컴퓨터의 연산능력과 리소스를 잡아먹는다.

이들은 사용자의 웹 서핑 기록이나 개인 활동

기록을 인터넷으로 송신할 수 있다.

Adware, Spyware

Spamware, Cookies

고의적 행위로 인한 피해

Alien Software(continued)

Adware - 광고를 컴퓨터에 띄우도록 도와주는

프로그램이다

Spyware - 사용자의 동의 없이 개인 정보를

수집하고 송신하는 프로그램

Keylogger - 키보드에 입력되는 문자열과 인터넷 검색

히스토리를 기록, 범죄목적과 짜증 유발성 목적

키로거에 대항하기 위한 CAPTCHA 보안절차 활용

Screen scraper - 키보드 입력만 기록하는 것이 아니라

화면을 영상으로 캡처하여 공격자에게 발송

고의적 행위로 인한 피해

Alien Software

Spamware

사용자의 컴퓨터를 스패밍 기반으로 악용하기 위한

외부 소프트웨어

스팸은 원하지 않는 이메일로 주로 제품이나 서비스의

광고를 위해 동원

스팸은 또한 바이러스와 웜을 옮길 수 있으며 이는

스팸의 위험성을 더한다

고의적 행위로 인한 피해

Alien Software

Cookies

웹사이트에서 사용자의 컴퓨터에 임시 혹은 비영구적

으로 저장하는 작은 양의 정보

많은 경우 쿠키는 유용하며 악의가 없다

웹사이트에 접속 중 계속 ID와 비밀번호를 반복적으로

칠 필요가 없도록 해당 정보를 저장

인터넷 몰에서 장바구니 정보를 저장하는데 쓰이기

때문에 인터넷 쇼핑에 필수적이다.

고의적 행위로 인한 피해

Alien Software

Tracking Cookie

사용자가 웹사이트를 통과하면서 지나온 경로, 보낸

시간, 클릭한 링크, 그리고 그 외에 다른 여러 정보를

기록

주로 기업에서 광고 목적으로 사용

추적쿠키는 위 정보를 이름, 구입정보, 신용카드 정보,

다른 신상 정보와 조합하여 사용자의 구입 버릇에 대한

사생활 침범에 해당하는 자세한 프로필을 작성할 수

있다.

온라인 배너광고를 운영하는 회사는 사용자 정보를

추적하여 이들을 다른 고객 웹사이트에게 제공

고의적 행위로 인한 피해

Supervisory control and data acquisition

(SCADA) attacks

대규모의 중앙 배포 기록 및 제어 시스템

SCADA시스템은 화학, 물리적, 혹은 운반 절차를

감시하거나 통제하기 위해 사용

예로는 정유공장, 상수도 하수도 처리 시설, 전기

발전기, 그리고 핵분열 발전소 등이 있다

SCADA시스템은 수많은 센서, 중앙 통제 컴퓨터,

그리고 통신 인프라로 구성

센서들은 모두 네트워크로 연결되어있으며 각

센서는 인터넷 주소(IP)를 가지고 있다

SCADA의 공격이 성공적이라면?

2003년 미국

북동부지역의

정전

(교재 120쪽 기업사례)

뉴욕 시에서 정전결과

뉴욕 시에서 정전 결과

사이버 테러리즘과 사이버 전쟁

공격자가 주로 정치적 목적을 위해 대상의 컴퓨터 시스템, 특히

인터넷을 사용하여 물리적, 가시적인 피해나 심각한 혼란을 초래

사이버 테러와 사이버 전쟁은 데이터 수집으로부터 중추 인프라

파괴(주로 SCADA 시스템을 통해)까지 다양

사이버 테러는 개인이나 작은 조직에 의해 수행되고 사이버 전쟁은

국가 간에 수행

에스토니아와 그루지야 공화국에 대한 사이버 공격

기업은 무엇을 하고 있는가?

- 사이버 범죄를 잡는 것이 왜 어려울까?

- 온라인 산업이 온라인 결제를 어렵게 만드는 안전절차의 설치를

꺼려한다는 것

- 바이러스 백신 외 조기경보 시스템

- 침투테스트를 악용하는 수준

위험!

항상 위험이

존재

3.3 정보자원 보호

리스크 관리

리스크

위협이 정보 자원에 실제로 가해질 확률

리스크 관리

리스크 관리의 목적은 이러한 위협을 발견하고,

통제하고, 최소화하는 것

제어 가능한 수준으로 리스크를 낮추는 것

리스크 분석(Risk analysis)

리스크 중화(Risk mitigation)

제어평가(Controls Evaluation)

리스크 분석

기업이 보호하고 있는 각 자산의 가치와 각 자산을

잃을 수 있는 가능성을 가늠하고, 자산을 잃지 않기

위해 보호하는 비용과 자산을 잃었을 때 입을

손실을 비교하는 절차

기업은 자사의 정보 시스템의 보안 프로그램이

타산이 맞는지 확인하기 위해 리스크 분석을 실시

리스크 분석은 각 자산의 가치, 소실될 확률, 그리고

보호의 예상 비용에 따라 보호의 우선도를 매긴다.

그 다음은 어떻게 리스크를 중화시킬지 생각

리스크 중화 전략

리스크 중화의 목적

① 발견, 확인된 위협이 실제 발생하지 않도록 하는 통제장치의 설치

② 위협이 실현될 경우 복구를 위한 수단의 입수

1) 리스크 인정(Risk Acceptance)

리스크를 받아들이고 통제장치 없이 진행하며 피해발생시 그대로 받아들이는 것

2) 리스크 제한(Risk limitation)

각 위협의 영향을 최소화하는 통제장치의 적용으로 리스크를 최소화

3) 리스크 전가(Risk transference)

피해를 보충할 다른 방법, 예컨대 보험 가입 등으로 리스크를 전가하는 것

제어평가(Controls Evaluation)

기업은 보안의 모자란 부분을 확인하고 보안 조건을

충족시키기 위해 필요한 비용을 계산한다.

만약 필요한 비용이 보호되는 자산의 가치보다 높으면

보안의 가격효율성이 좋지 않은 것이다.

예를 들어 기업의 메인프레임 컴퓨터는 리스크 인정을

하기엔 가치가 너무 높은 것이다. 그 결과로 기업은

메인프레임에 대한 리스크를 접속권한 통제 등의

통제수단으로 최소화한다. 이에 더해 기업은

메인프레임에 대해 외부설비 백업을 만들고 보험을

가입하는 식으로 리스크 전가 또한 실시한다.

리스크 최적화

통제수단(Controls)

자사의 시스템을 보호하는 방법, 방어책, 대응책

목적: 사고에 의한 피해를 줄이고 고의적 피해를

막으며 문제발생시 최대한 빨리 발견하고 피해

복구를 촉진하고 약점을 보수하는 것

FBI의 국가인프라 보호센터에 가입

카네기 멜론대학의 컴퓨터 비상대책팀

1) 물리적 통제

2) 접속 통제

3) 커뮤니케이션 통제

4) 응용프로그램 통제

1) 물리적 통제(Physical Controls)

허가 없이 제3자가 기업 건물 내부로 들어오는 것을 막음

벽, 문, 울타리, 외부 출입구, 자물쇠, 출입증, 경비원, 그리고

침입자 경계 시스템, 압력 감지기, 온도 감지기, 움직임

감지기

사용자들이 허용된 로그인 시간 및 장소에서만 네트워크에

접속할 수 있도록 한다

로그인 실패 시 재시도 횟수에도 제한을 걸고, 모든

직원들이 퇴근할 때 네트워크로부터 로그아웃하도록

강제한다

일정시간 사용이 없을 경우 컴퓨터가 자동으로 로그아웃

하도록 하는 방법

방어장치가 설치되어 있는 장소

(교재 124쪽 그림 3.2 참조)

2) 접속통제

허가 없이 제3자가 정보 자원을 사용하는 것을 방지

신원확인(Authentication)

접속하려는 사용자가 허가를 받은 자인지 확인

권한부여(Authorization): 확인된 사용자의 허가에

알맞게 행동 허가, 권리, 그리고 특권을 부여

1) 사용자 특징 - 생체인식(Biometric)이라고도 불리는

이 확인 방법은 대상자의 물리적 특징(지문, 손바닥

지문, 망막, 홍체, 안면 인식)을 측정

2) 사용자 소지품 - 출입증, 스마트 출입증, 그리고 출입

토큰

접속통제

3) 사용자 행동

음성확인 - 사용자가 특정 문구(예컨대 직원의

이름과 부서)를 발음하여 조기에 감시 및

통제된 상황아래서 녹음한 동일 문구와 비교

서명 확인 - 사용자가 자신의 이름을 서명하여

역시 조기에 감시 및 통제된 상황아래서

작성한 서명과 비교해 동일인물의 서명인지

판명, 서명의 속도와 압력을 인식

4) 사용자 지식 – 비밀번화와 암호문

3) 커뮤니케이션 혹은 네트워크 통제

네트워크상의 데이터의 이동을 통제

①Firewalls

②Anti-malware systems

③Whitelisting and Blacklisting

④ Intrusion detection systems

⑤Encryption

⑥Virtual private networking

⑦Secure Socket Layer (now transport layer security)

⑧Vulnerability management systems

Employee monitoring systems

가정용 기본 방화벽과 기업 방화벽

(a)가정용 방화벽, (b) DMZ와 2개의 방화벽을 가진 기업용

(교재 130쪽 그림 3.3 참조)

3) 커뮤니케이션 혹은 네트워크 통제

악성 프로그램 퇴치 시스템(Anti-malware systems)

바이러스, 웜, 그리고 기타 악성 소프트웨어를 발견하고

제거하는 목적의 프로그램

화이트리스트와 블랙리스트

악성프로그램 퇴치 시스템은 대체로 수동적으로 작동하며

악성 프로그램은 아직도 기업에 피해를 주고 있는 문제점

화이트리스트

기업이 미리 확인하여 안정성을 검증한 소프트웨어의

목록이며 악성프로그램을 판별하려고 하지는 않는다

목록에 수록된 프로그램이 실행되도록 허용하며 나머지

프로그램은 아예 실행을 허용하지 않거나 차단된 구역

에서 미리 실행한 뒤 기업이 안전성 여부를 판단하게 함

블랙리스트

프로그램이 목록에 없다면 실행되도록 한다.

기업 환경 내에서 실행이 금지된 프로그램의 작동을

막는다.

침입 감지 시스템(Intrusion Detection Systems)

방화벽이 잡아내지 못하는 모든 악의를 가진

네트워크 트래픽과 컴퓨터 사용을 감지하고자

하는 체계

모든 네트워크 흐름을 감시하며 각 패킷을 검사

하여 악성 트래픽을 찾는다

악성 트래픽의 예 - DoS 공격

암호화(Encryption)

본래의 메시지를 의도된 수신자 외의 그 누구도 읽지

못하는 형태로 변형하는 것

모든 암호화 장치는 기본이 되는 암호 키(key)를 가진다

공개키 암호화(Public-key Encryption) - 비대칭 암호화

공개키와 비공개키의 두 개의 키를 사용

같은 수학 식 혹은 알고리즘을 통해 동시에 생성

두 키가 수학적으로 연관되어있기에 한 키로 암호화한

문서는 다른 키로 해독할 수 있다.

공개키는 누구나 접속할 수 있는 경로에 공개되어

관련자가 모두 다운로드해 사용할 수 있다

비공개키는 비밀로 지켜지며 인터넷상으로 비공개됨

공인인증기관(certificate authority)과 전자증명서

공개키 암호화 작업 (교재 132쪽 그림 3.4 참조)

디지털 인증작업 (교재 133쪽 그림 3.5 참조)

가상사설 네트워크

가상사설 네트워크(VPN)

• 공용 네트워크로 사용자를 연결하는 사설 네트워크

•‘가상’이라 명명된 이유는 사용자간에 송수신이 필요할

때 마다 연결을 생성한 다음 필요가 없어지면 연결을

제거 •원격지에 있는 사용자들이 기업 네트워크를 사용할 수 있게 한다.

•VPN은 유연하다. 제대로 된 설비를 갖춘다면 세계 어디서도 원거리

통신장비를 통해 기업 네트워크에 접근할 수 있다.

•기업은 자사의 보안 프로토콜을 VPN을 통해 강제할 수 있다.

터널링(Tunneling)

터널링(Tunneling)

송신할 각 데이터 패킷을 암호화한 뒤 각 패킷을 또

다른 패킷 안에 집어넣는다

보안소켓계층(Secure Socket Layer, SSL)

전송계층보안(Transport Layer Security, TLS)이라

불리며 신용카드 결제나 온라인 뱅킹에 쓰이는 암호화

표준

TLS는 URL 주소가 http://가 아니라 https://로 시작하는

것으로 표기되며 웹 브라우저의 상태 막대에 작은

자물쇠로 표시

TLS는 웹브라우저와 서버 사이의 통신을 시작부터

마지막까지 암호화된 상태로 유지

취약성 관리시스템

맞춤 보안 시스템(Security on Demand, SoD)

언제 어디에서든 기업 네트워크의 접속을 필요로 하는 사용

자의 원격기기의 보안취약성을 관리

원거리 기기를 스캔하고 사용자 네트워크 접속허용 여부를

결정

원격지 컴퓨터에 안티바이러스 프로그램을 다운로드하게

하여 시스템을 보호하며, 가상 접속세션을 생성시킨다.

가상 접속세션은 데이터, 컴퓨터 네트워크를 암호화시킨다

직원감시 시스템

기업은 기업 네트워크를 직원의 실수로부터 보호하기 위하여

사용

직원의 컴퓨터, 이메일 활동, 인터넷 서핑 들을 감시

개인적인 이유로 인터넷 서핑 하는 시간이 지나치게 잦은

직원이나 의심스러운 사이트에 접속하는 직원, 음원을 불법

다운로드받는 직원 등을 발견하는데 큰 도움

4) 프로그램 응용제어(Application Controls)

특정 프로그램을 보호하는 보안 대책

통제 유형

입력제어 - 프로그램 내부에서 연산 전에 입력 데이터

에서 오류를 추려내는 코드, 예를 들어 주민등록번호엔

문자가 있어선 안된다

연산제어 - 프로그램 내부의 코드로 여러 프로그램의

동작을 감시, 직원의 근무 내역과 중앙 급여 내역을

비교하여 누락되었거나 복수 존재하는 근무 기록을

발견, 처리되는 결제의 수와 입출력되는 결제의 수를

비교

출력제어 - 출력에서 오류를 잡아내는 코드

기업영속성 계획, 백업, 복구

기업영속성 계획

보안시스템에 있어 필수요소로 재앙복귀 계획이다

기업영속성 계획의 목적은 재앙이 발생하더라도

기업이 계속 작동하도록 하는 것

보안 및 정보 자산에 영향을 주는 사태와 이어지는 정상

기업 업무에의 회귀에 대비하고 대응하고 복구

기업영속성

계획에서 보호를 거쳐 복구로 이어 지는 일련의 행동의

사슬

기업영속성 계획, 백업, 복구

기업영속성 확보전략 유형

Hot Site(완전예비시설) - 네트워크의 모든 요소를 장비한

컴퓨터 시설로 모든 서비스와 통신망, 물리적 설비를 모두

다 갖추고 있다

Warm Site(부분적 예비시설) – Hot Site와 거의 같은 서

비스를 제공하나 실제 필요 그램은 장비하고 있지 않음

Cold Site(최소 예비시설) – 가장 기본적인 것만 갖춘

것으로, 냉난방과 습도 통제설비만 갖춘 방으로 구성

정보시스템 감사

정보시스템이 적절하게 작동하고 있는지를 판단하기 위한

편견이 없는 독립적인 관찰자의 업무로 정보 시스템의

모든 알려진 위험과 통제장치를 점검하며 주로 업무,

데이터 일관성, 프로그램 사용, 보안 및 프라이버시, 예산과

지출, 비용 관리, 생산성 등에 집중

감사란 정보시스템과 입력, 출력, 그리고 처리를 테스트

하는 것

감사인과 감사의 유형

내부 – 기업 내부 감사인에 의하여 수행,

외부 – 정보시스템의 입력, 출력, 처리 뿐만 아니라

내부감사를 평가

정보시스템 감사절차

Auditing around the computer(컴퓨터 외 감사)

알려진 산출물 또는 특별한 입력에 대하여 조사를

함으로써 처리를 확인하는 것

Auditing through the computer(컴퓨터 내 감사)

입력, 처리, 출력을 조사하는 것

Auditing with the computer(컴퓨터사용 감사)

고객 데이터, 감사인 소프트웨어 그리고 고객과 감사인의

하드웨어를 결합하여 사용

감사자가 고객의 실제 데이터를 사용하여 급여

프로그램의 논리를 시물레이션하는 것과 같은 과업을

수행하는 것

Closing Case (교재 144-146쪽 참조)