Security & Risk Mangement

• Cyber Resilience(사이버 복원력) : 침해사고를 완벽하게 통제할 수 없기 때문에, 정상 비즈니스로 빠르게 돌아오는 회복탄력성

 

 

 

 

< 위험관리 >

• 위험 파악 > 위험빈도/크기에 따른 영향 분석, 위험관리법 검토 > 최적의 위험관리기법 선택 > 위험관리기법 적용 > 적용결과 모니터링

 

• 데이터를 손상/노출시킬 수 있는 인자 식별
• 데이터의 가치와 대책비용(Countermeasure, Safeguard)관점에서 인자들을 평가
• 위험을 완화하거나 감소시키기 위한 비용 효과적인 솔루션 구현

 

#위험관리

• 위험관리의 전체 프로세스는 정보보호 전략을 개발하고 구현하기 위해 사용
• 보안정책의 필요와 목적을 비즈니스 목표와 통합하는 것을 도움
• 위험을 감소시키고, 조직의 미션을 지원
• 위험을 수용가능한 수준으로 감소(Acceptable Level)

 

#위험분석

• 위험관리의 주요 목표가 성취되는 과정
• 위험에 대한 환경 시험
• 각 위험을 발생시킬 가능성과 피해비용을 평가
• 각 위험에 대한 대책의 비용을 도출

 

• ‘자산 손실 예상비용’과 ‘위협, 취약성에 의한 보안대책 도입비용’ 사이에서 비용/이익 비교
• 위험 식별, 위협의 영향 정량화, 보안 예산편성 도움

 

• 위험분석은 상위경영진(관리자)의 의지에 따라 책임이 뒤따름
• 위험분석은 보안전문가or평가팀에게 위임되나 위험 평가, 결과, 결정(보안대책 마련), 성과(비용/이익보고서)는 상위관리자에게 이해되고 승인되어야 함

 

정량적(Quantitative) 위험 분석 : 

• 위협 노출에 대한 단일손실예산(SLE=AV*EF) 계산
• 연간 발생율(ARO) 매핑
• 연간 예상손실(ALE=ARO*SLE) 계산
• 대응책 선택

 

정성적(Qualification) 위험 분석 : 시나리오 기반

• 브레인스토밍
• 델파이 기법
• 스토리보드
• 서베이
• 체크리스트
• 인터뷰

 

 

#위험평가 

1. 자산평가

• 자산의 가치를 이해하는 것은 Due Care의 태만을 방지
• 자산평가 이후 위협은 반드시 식별되고 시험되어야 함

 

1. 위협평가

• 위협과 취약성은 끊임없이 변화하므로, 정기적으로 수행할 필요가 있음
• 위협목록은 위험과 연관하여 반드시 평가되어야 함

 

 

 

#위험처리

• 감소(Reduce) 또는 완화(Mitigation)
• 부여(Assign) 또는 전가(Transfer)
• 수용(Accept)
• 거부(Reject or Ignore)

 

 

 

< BCP>

• 혼란의 영향을 최소화 하고, 비즈니스 프로세스를 재개할 수 있는 전략을 정의
• 파괴적인 사건들이 비즈니스에 미칠 영향을 이해하는데 도움이 되는 문서를 작성하는 것 / 프로세스 조합을 구현
• BCP 테스트의 가장 중요한 목적은, BCP의 한계성을 식별하고 개선하는 것(조직의 능력 향상)
• RTO가 MTO보다 적다는 것을 보증

 

• OEP : 물리적 손실(인명/사상/재산)
• CIRP : 정보시스템 사고
• CCP : 위기통보계획
• ISCP : 정보시스템 비상계획(특정시스템을 복구하는 계획 포함)
• COOP : 미 연방정부의 운영연속성 계획
• CPP : 핵심 인프라 보호 계획

 

# 업무 연속성 계획 절차 4단계

1. 프로젝트 범위와 계획(비즈니스 분석)
2. 업무 영향평가(BIA)
   - 조직의 사명을 지원
   - 비즈니스 프로세스는 종속성(상호의존성)을 강조해야 함
3. 연속성 계획/전략 개발
4. 승인과 이행

 

 

 

• 인수가 된 조직에서 엔터프라이즈 네트워크는 “보안그룹”을 통해 보호할 수 있음

 

 

< DRP > 

• DRP는 완전히 문서화 되어야 함
• 최대한 재해중에 결정작업을 줄일 수 있게 설계해야 함

 

• 구조팀(Rescue) : 재해가 발생했을 때 각각의 책임을 정의
• 복구팀(Recovery) : 대체사이트에서 최대한 빠르게(MTD/RTO 내에서) 가용성(프로세스) 복원
• 구호팀(Salvage) : 주사이트의 IT 인프라를 재구축하며 라이브러리를 포함하여 fail-over 이전의 상태로 돌려냄. 

 

• 재해복구가 길어질 경우, 복구팀과 구호팀은 분리되는 게 효율적일 때도 있다.

 

 

# 재해복구계획 초반

• 실무 요약
• 경영종합보고
• 부서별 계획
• 가이드
• 체크리스트

 

 

# 백업

• 전체 백업
• 차분 백업(Differential) : 변경 발생 시 백업
• 증분 백업(Incremental) : 변경된 부분만 백업
• 카피 백업 : 패치 적용하기전에 복구목적으로 하는 백업

 

# 데이터베이스 복구

• 전자소산보관(Electronic Vault) : 전자소산보관으로 대량 백업
• 원격미러링
• 원격저널링(Remote Journaling : 저널(로그)만 전송

 

 

# 재해복구 테스트

• 체크리스트 : 서류기반으로 전년도와의 차이
• 구조화된 연습(Working through-drill) : 회의실에 모여서 기능별 담당자 회의, 역할극
• 모의테스트 : 시나리오를 바탕으로 적절한 대응을 하는 것, 일부 업무 중단
• 병렬테스트 : 대체지에서 업무사이트 활성화, 가장 효과적인 재해복구 테스트
• 완전중단테스트 : 실제 운영을 중단

 

# 대체처리사이트

• 핫사이트 : 모든 설비 구축 / 데이터 있음
• 웜사이트 : 24시간 내 대응할 수 있는 수준 / 데이터 없음
• 콜드사이트 : 최소한의 전기배선
• 모바일 사이트 
• 미러링
• 이중화
• 서비스뷰로(대행사) : 용량대비 계약이 많아 실제 위험 발생 시 가용성 이슈 있을 수 있음
• 상호협약(MAA, Reciprocal Agreement) : 실제로 이행되긴 어려우나 가격면에서 이점 / 기밀성에 대한 이슈 있음