인증을 쉽게 받을 수 있는 방법이 있나요?

“인증을 쉽게 받을 수 있는 방법이 있나요?"

ISO27001 인증을 준비하는 기업 담당자과 이야기를 나누면 위와 말을 종종 듣게됩니다. 우선 결론부터 말씀드리면 (불행하게도…) 그런 방법은 없습니다. 하지만 각각의 업무를 좀 더 쉽게 할 수는 있습니다. 인증 준비에 어려움을 겪고 있는 담당자를 위해, 16가지 팁을 의역하여 정리하였습니다. 

< 원활한 ISO27001 이행을 위한 16가지 체크리스트 >

1. 경영진의 지원을 득하라

경영진의 지원을 받아야하는 하는 것은 당연해 보이지만, 보통은 심각하게 고려되지 않습니다. 즉 경영진과 별개로 전산팀이 개별적으로 진행하면 되지 않나 라는 생각을 하는 조직이 많습니다. 그러나 경험상으로 이것은 ISO27001 프로젝트가 실패하는 주 이유입니다. 프로젝트를 수행하기 위해 필요한 예산 및 인력등을 원할히 제공받기 위해서는 경영진의 지원이 반드시 필요합니다. (참고)

2. 하나의 프로젝트로 인식하라

ISO27001는 다양한 업무, 많은 사람들으로부터 복잡하게 수행되는 복잡한 이슈입니다. 즉 이것은 하나의 프로젝트입니다. 무엇을 해야하는지, 누가 업무를 해야하는지 언제까지 해야하는지에 관련한 명확한 계획 및 규정이 없다면, 성공적으로 ISO27001을 마무리 할 수 없을것입니다.

3. 범위를 정하라

규모가 큰 조직인 경우, 특정 부서만 국한하여 ISO27001 인증을 받을 수도 있습니다. 그로인해 프로젝트 수행히 발생할 수 있는 비용적 인력적 측면의 리스크를 줄일 수 있습니다. (참조)

4. ISMS 정책서을 작성하라

ISMS 정책서은 ISMS 에서 가장 높은 레벨의 문서입니다. 이것은 아주 디테일하지 않아도 되지만 정보보안을 위한 기본적 이슈들은 명시가 되어야 합니다. 그러면… 정책서가 아주 디테일하지 않아도 된다면, 대체 정책서는 목적은 무엇을까요? 정책서의 목적은 경영진이 무엇을 성취할지, 어떻게 그것을 통제할 것인지를 수립하는 것입니다.

5.  위험평가 방법론을 정의하라

위험평가는 ISO27001 수행 업무 중 가장 복잡한 업무 중 하나입니다. 핵심은, 1) 자산, 취약점, 위협을 식별하고 2) 이러한 위험(RISK)의 영향도, 발생가능성을 확인하며, 3) 조직내에서 수용할 수 있는 위험의 수준을 정하는 것입니다. 만약 이러한 방법론이 정확하지 않으면, 완전 엉터리 결과가 나올 수도 있습니다. (참조)

6. 위험 평가(Risk assessment) 및 위험 조치(Risk treatment)를 수행하라

수립한 위험평가 방법론을 기준으로 위험평가, 위험조치를 수행합니다. 큰 기업일 경우 몇 달이 걸릴 수도 있는 복잡한 작업이기 때문에 여러 인원이 상호협력하여 업무를 수행하여야 합니다. 핵심사항은 조직전체의 위험에 대한 큰 그림(comprehensive picture)을 이해하는 것입니다.

위험 평가 프로세스의 기본적인 목적은 수용할 수 없는 위험을 감소시키는 것입니다. 보통 Annex A 의 통제항목을 적용하여 계획을 세웁니다.

이번 단계에서는 ‘위험평가’, ‘위험조치 프로세스’와 관련된 모든 내용이 포함된 ‘위험평가보고서'가 산출되어야 합니다. 또한 도출된 잔여 위험(residual risk)에 대해서는 반드시 승인을 받아야 합니다. 승인은 별도의 공문 형태이든, 자체 문서든 상관없습니다.

7. SOA(Statement of Application) 를 작성하라

위험 조치 프로세스가 끝나면, Annex 중에 어떤 통제항목이 적용되어야 하는지 정확히 알아야 합니다. (전체 114개 통제항목이지만, 모두 해당되지 않을 수도 있습니다.) 흔히 SOA 라고 불리는 이 문서의 목적은 아래와 같습니다.

• ISO27001에서 요구하는 전체 통제항목을 나열하고
• 어떤 항목이 우리 조직에 적용되어야 하는지를 정하며, 제외한 항목의 경우 사유를 기재합니다.
• 그리고 통제목적에 근거하여 실제 조직이 어떻게 해당 항목을 준수하고 있는지 기술하는 것입니다. 

또한 SoA는 ISO27001 인증과 관련하여 경영진보고 및 승인을 위한 가장 알맞은 문서입니다.

8. 위험 조치 계획을 작성하라

여기서 끝이 아닙니다. 위험과 관련해서 마지막으로 ‘위험 조치계획’을 작성해야 합니다.

위험 조치 계획의 목표는 SoA의 컨트롤을 어떻게(누가 진행할지, 언제까지 진행할지, 필요 예산은 얼마인지) 이행할지 정하는 것입니다.(다르게 말하면 도출된 위험을 어떻게 조치할지에 대해서도 필요합니다)

9. 컨트롤의 유효성을 측정하는 방안을 정의하라

실제로 많은 담당자들이 해당 항목의 중요성을 간과하곤 합니다. 요점은, ISMS 와 관련하여 수행한 것 업무들을 측정하지 않으면, 기존 목적을 달성했는지 확인할 수 없다는 것이다. 그러므로, 전체 ISMS  와 SoA에서의 각각의 통제항목 적용성에 대해 정하고 목적의 이행을 측정하기 위한 방법을 수립하라

전체 ISMS와 SoA 통제항목에 의 목적을 수립하고, 이를 평가할 수 있는 정확한 측정방법을 수립하여야 한다.

10. 통제항목 및 필수 절차를 수행하라

4가지 필수 절차와 Annex A의 통제항목을 이행하는 단계입니다. (참고) 이는 신규 기술 (혹은 장비) 관점에서 통제하는 사항 뿐만아니라, 조직내 신규부서, 신규 프로세스에도 적용이 되어야 합니다. 필요시 정책 및 절차가 제/개정 되기도 해야하며, 몇몇 인원은 이러한 신규정책을 모르거나 이행하지 않을 수도 있습니다. (그렇기 다음 단계(훈련과 인식 프로그램)가 반드시 수행되어야 합니다. )

11.훈련과 인식(awareness) 프로그램

임직원들이 신규 정책이나 지침을 모두 이행하게 하기 위해서는 가장 먼저 이것이 왜 필요한 지 명확히 설명을 하고, 필요하다면 각 정책지침에서 요구하는 내용에 대해 교육을 실시하는 것이 필요합니다. 해당 항목은 ISO 27001프로젝트가 실패하는 주요 원인중 하나 입니다.

12. ISMS 운영하라

조직내 인원에게 ISO27001가 루틴화하여 적용되도록 하는 과정입니다. 여기서 핵심 단어는 ‘증적(records)’ 입니다. 심사위원은 증적을 정말 좋아합니다. 증적이 없으면, 인증을 받아 보신 분이라면, 해당 활동이 정말 수행되었는지 증명하기가 매우 어렵다는 것을 알 수 있을 것입니다. 또한 예전에 무슨 이슈가 있었는지 모니터링 하고 싶을때 증적을 사용할 수도 있습니다. 그리고 마지막으로 특정 직원 혹은 파트너가 ISMS 에서 요구하는 대로 형식을 준수하는지 확인할 수도 있습니다.

13. ISMS 모니터링 

통제 목적이 있고 이를 측정할 수 있는 방법론이 필요합니다. 특정 결과가 초기 목적과 맞는 결과인지 아닌지 확인해야 합니다. 만약 그렇지 않다면, 이는 잘못 수행된 것이며, 이를 보완하고 예방하기 위한 2차 조치가 계획될 것입니다. 

14. 내부 감사

일반 임직원들인 보안을 잘 모르기 때문에, 보안에 위배된 행위를 하면서도 그 상황자체를 모르고 있는 경우가 많습니다. (반면, 보안에 위배된 행위인지 알고있지만, (아무도 터치하지 않아서) 모른체하고 하고 있는 경우도 있습니다. 그러나 이러한 문제들을 지속적으로 방치하면 조직측면에서 어떤 사고가 발생할지 모르는 일입니다. 

이 항목의 요점은 이러한 감사를 통해 단순히 징계를 주는것에서 그치는게 아니라,  지속적인 내부감사를 통해 보완결점을 발견하면 이를 보완하고 예방하기 위한 다음 액션조치가 이루어져야 한다는 것입니다.(참고)

15. 경영 검토

경영진이 방화벽 설정을 해야하는 아니지만, ISMS 와 관련하여 무슨일이 발생하는지는 알아야 합니다. 경영검토회의를 통해 ISMS 와 관련한 담당자들이 그들의 책임을 완수했는지, ISMS의 결과가 요구했던대로 만족스럽게 도출되었는지 검토해야하며, 일반직원이 할 수 없는 중대한 사안에 대해 결정을 해줘야 합니다. 

16. 보완(Corrective) 및 예방 조치

경영 시스템(manaement system)의 목적은 조직내 수행된 업무 중 잘못된 것 (혹은 부적합) 또는 교정된것, 예방해야할 것에 대한 모든것을 확인하는 것입니다. 그러므로 ISO 27001은 체계적인 보완 및 예방 활동을 요구합니다. 이는 부적합을 유발하는 근원은 반드시 확인되어야 하며, 그리고 이를 제거하고, 재확인하는 것을 말합니다.

Reference

• http://www.iso27001standard.com/blog/2010/09/28/iso-27001-implementation-checklist/?utm_source=infusionsoft&utm_medium=follow-up-sequence&utm_campaign=documents&inf_contact_key=4d1024b0e92ef7a4951076ccec410b7e506dc8c77a98b13c131aa84e453e6222

Continue reading

No comments

백업 주기는 어떻게 정해야 할까요

"백업주기를 어떻게 정해야 할까요?"

실제로 전산담당자에게 이와 같은 질문을 하면, "보안책임자의 의지에 따라" 혹은 "특별한 이유가 없이.." 와 같은 많은 답변을 받을 수 있습니다. 

백업주기는 이렇게 추상적인 개념으로 정해지는 것이 아닙니다. 백업은 전산적인 측면에서 봤을때 반드시 수행해야 할, 그리고 가장 중요한 업무 중 하나 입니다. 그렇기 때문에 이러한 백업의 주기는 반드시 정확한 분석으로 정해져야 합니다. 또한 이러한 분석은 해당 데이터의 비즈니스 측면의 가치에 기반하여야 합니다. 

그러면 백업 주기를 정하는 계산법은 무엇일까요?

우선 그전에 아래의 개념을 이해해야 합니다. 

• 복구 지점 목표 ( RPO ; Recovery Point Objective ) / 최대 데이터 손실 ( Maximum Data Loss ) 
• 비즈니스 영향 분석 ( BIA ; Business Impact Analysis )

** 비즈니스 연속성에 관련한 국제 표준인 ISO 22301에서는 ‘복구지점목표(RPO)'와 ‘최대 데이터 손실' 은 같은 의미라고 표현하고 있습니다.

1. BPO / Maximum Data Loss / BIA

1) 복구 지점 목표(RPO)

'복구 지점 목표’ 는 각종 재해상황에서 수용할 수 있는 최대 허용 데이터 손실을 의미합니다. 기본적으로 다음의 질문을 통해 복구 지점 목표’를 구할 수 있습니다.

• “얼마정도의 데이터를 손실하여도 (사업적으로) 감당할 수 있는가?
• “즉, 수용할 수 있는 데이터 손실이 어느정도 인가?"

2) 업무 연속성 평가 (Business Impact Analysis)

위의 ‘복구지점목표(RPO)’를 분석하는 가장 쉬운 방법이 바로 '비즈니스 영향 분석(BIA)’ 입니다.’비즈니스 영향분석(BIA)’를 간단하게 정의하면 ‘장애나 재해로 인한 운영상의 주요 손실을 가정하여, 시간흐름에 따른 영향도 및 손실평가를 조사하여 BCP를 구축하기 위한 핵심 절차 입니다.(여기서 BCP란, Business Impact Analysis의 약자로서 업무 영향 분석을 의미합니다)

'비즈니스 영향 분석’은 조직내 모든 대상 (데이터베이스, 어플리케이션, 파일 또는 서비스, etc) 를 대상으로 진행 될 수 있습니다. 각각의 담당자들은 인터뷰 혹은 질문서를 통해서 ‘수용할 수 있는 수준의 최대 데이터 손실’ 수치화 하여 값을 도출하게 됩니다. 보통 시간을 기준으로 하지만, 트랜잭션, 레코드로도 도출될 수 있습니다.

BIA 분석에 대한 핵심 명제는 ‘회사 입장에서의 잠재적인 데이터 손실’ 입니다. 이것은 금적적인 손실도 될 수 있고, 범법, 명성 등과 같은 영향도 포함됩니다. 이 기준을 수행할때는 기존에 수행하고 있던 백업주기를 고려하면 안되며, 오직 지금 수행하고 있는 백업이 깨지게 되었을때, 얼마동안의 손실을 수용할 수 있는가 입니다. 도출된 ‘복구지점목표(RPO)는 24시간이 될 수도 있고, 2시간이 될 수도 있습니다. 

2. 그러면 백업 주기는 어떻게 정해야 할까요?

다시 처음으로 돌아와서, 백업 주기 수립 방법에 대해 이야기 해보도록 합니다. 은행을 예로 들어서 설명하도록 하겠습니다. 은행의 핵심 업무 활동이 '대출 프로세스' 와 '지불 프로세스’라고 가정해 보고, 각각의 '복구지점목표(RPO)'를 추측해보도록 하겠습니다. 

'대출 프로세스'는 아마 24시간 동안의 손실을 감수할 수 있을 것입니다. 이유는, 사고 발생 후 고객이 자신의 정보를 다시 요청하였을때 해당 데이터를 재생성하기가 매우 어렵기 때문입니다. 하지만 '지불 프로세스'의 경우 아주 작은 단일 트랜잭션의 손실 조차도 감수할 수 없을 것 입니다. 이유는 보통 지불프로세스는 트랜잭션으로 이루어진 하나의 큰 볼륨이기 때문입니다.

결론은 아주 간단합니다. 이러한 업무영향분석(BIA)를 통해 ‘복구목표시간(RPO)’을 24시간으로 정한다면, 백업은 하루에 한번은 수행되어야 합니다. ‘복구목표시간(RPO)’이 두시간 이면, 백업을 두시간마다 한번씩 수행해야 한다는 것이고, RPO가 제로라면, 흔히 말하는 미러사이트를 구축해서 실시간으로 데이터를 복제해야 할 것입니다. 

하지만 언제나 가격이 문제가 될 수 있습니다. 혹은 두시간 마다 한번씩 백업을 하는 것은 불가능하다고 반문할 수도 있습니다. 하지만 명심해야 하는 기본적인 사실은 조직내 중요 데이터를 모두 잃었을 경우, 비즈니스 전체에 회복할 수 없을 만큼의 큰 손실이 발생한다는 것이 분명하다는 것입니다. 

Continue reading

No comments

현대인의 삶의 일부가 된 '암호화'

현재 시대를 디지털 유니버스(Digital Universe)라고 부른다고 한다. 스마트폰의 발전과 함께 기하급수적인 양의 정보가 생성되고 있으며, 지금까지 약 4.4조 기가바이트의 정보가 생성되었고 지금까지도 Facebook, Twitter, Instagram, Youtube 등에서 데일리로 엄청난 양의 데이터가 생성되고 있다. <참고 사이트>

여기서 우리가 절대로 간과해서는 안될 사항이 바로 ‘암호학’이다. (참고 : 암호학의 현재와 미래)

데이터를 암호화를 하지 않는다는것은, 기밀 데이터를 아무런 보호대책없이 모든 사람들이 볼수 있는 공유폴더에 올려놓는 것과 같다고 볼 수 있다. 왜? 암호화되지 않은 데이터는 누구나 볼 수 있기 때문이다. 혹자는 너무 비약이 심하다고 할수도 있겠다. 하지만 결코 비약이 아니다.  

우리가 어떤 데이터를 PC에 저장하고 있든, 다른 원격지의 대상에게 전송하든간에, 해당 데이터는 악의적인 사용자에게 언제든지 탈취 당할 수 있다. 데이터를 전송하기 위한 다양한 방법이 있지만, 악의적인 해커 역시 다양한 기술을 사용하여 데이터를 탈취 할 수 있다. 

이번 포스팅에서는 암호학의 중요성을 강조하기 위해 우리가 실제 사례들 예로 들면서, 1) 악의적인 공격자가 어떻게 우리의 데이터에 접근할 수 있는지 2) 그들을 대비하기 위해, 데이터에 수행되어야 하는 조치는 무엇인 있는지 에 대해 정리해 보도록 한다.

우리가 가지고 있는 정보들의 형태는 아래와 같이 5가지 종류로 분류될 수 있다.

• USB 디바이스
• 하드 드라이브 (PC / 데스크탑)
• 클라우드에 동기화된 파일 (Dropbox / SpiderOak)
• 클라우드에 저장되는 데이터베이스 서버
• 모바일 폰

1. 온라인 및 오프라인에서의 데이터 저장 위험

1) USB 디바이스

주말에 잔업을 처리하기 위해서, 회사에서 사용하는 정보를 USB에 넣어 집으로 가던 중 USB를 분실하게 될 수도 있다. 이때 USB가 암호화 되어 있지 않은 경우, 악의적인 사용자가 해당 데이터를 악의적인 용도로 사용 할수도 있다. 이를 대비하기 위해 안전한 패스워드 기준을 준수하여, USB 디바이스를 암호화하여야 한다. <참고 : 안전한 패스워드 기준> 네트워크를 이용하여 데이터를 전송하는 경우에도 안전한 암호 알고리즘으로 암호화 하여야 한다. <참고 : 안전한 암호알고리즘> 암호화 되지 않은 채널을 통해 데이터를 전송할 경우, 해커가 쉽게 데이터를 획득할 수 있다.

2) 하드 디스크

지금 본인이 사용하고 있는 PC 또는 데스크탑에는 굉장히 중요한 정보들이 많이 있을 것이다. 악의적인 사용자가 PC를 훔쳐가서 하드 드라이브로 접근하게 되면 모든 데이터가 노출되게 된다. 컴퓨터에 암호를 걸면 되긴하지만 이 역시 문제가 되지 않는다. 공격자는 Live - CD  와 같이 다른 환경에서 쉽게 하드드라이브를 마운트 할 수 있다. 다른 사람이 로그온하는 것을 막기 위해 사용되는 패스워드는 오직 다른 컴퓨터 사용자가 ‘로그인 하는 것’ 만 막아줄 뿐이다. 이러한 종류의 위험을 방지하기 위해서는, 하드 드라이브를 적절한 벙법으로 암호화 해야한다. 최대의 보안을 적용하기 위해 사용하고 있는 OS 역시 암호화하여야 한다.

3) 클라우드에 동기화된 파일

하드 드라이브에 있는 파일들을 다음과 같은 파일동기화 서비스를 통해 동기화 할 수도 있다.

• Google Drive
• Dropbox
• SugerSync
• Amazon Cloud Drive
• Micro OneDrive
• SpiderOak
• Wuala

(이외에도 많은 서비스들이 있으며, 위는 그들중 몇개 일 뿐이다. )

파일은 선택하여 로컬 컴퓨터와 클라우드 서비스 모두에서 동기화(synchronized) 되도록 하는 서비스 이다. 문제는 서비스에 따라, 클라우드에 동기화된 파일들이 암호화 되고 그렇지 않을 수 있다는 것이다. 예를 들면, Dropbox 는 파일을 클라우드에 저장할때 암호화하고 있지 않다. 반면 SpiderOak 는 암호화해야 한다.SpiderOak 클라이언트들은 클라우로 파일을 올릴때 로컬에서 파일을 암호화 작업을 수행해야 한다. 그렇기 때문에 암호화된 파일만이 클라우드 데이터 서버로 보내지는 것이다.

4) 클라우드에 저장된 데이터베이스 서버

시스템 관리자는 종종 SQL/NoSQL 데이터베이스를 설치해야 하는 경우가 있다. SQL/NoSQL은 데이터를 저장하기 위해 몇몇 어플리케이션에 의해 사용된다. 대부분의 username, password는 데이터베이스에 저장되는데, 즉 그 말은 데이터베이스는 민감한 정보를 가지고 있다는 것이다. 또한 코멘트, 사진, 비디오, 사용자 정보들까지 아주 다양하다. 때문에 안전한 워크플로우 및 운영을 보장하기 위해, 데이터베이스이 강조되는 것이다. 문제는 데이터베이스가 클라우드에 저장되어 있을 경우 다소 확장된다. 클라우드에서 DB 관련한 설치, 운영, 확장(Scailing) 작업을 보다 쉽게 할 수 있게 하는 다양한 종류의 서비스가 있다. (예를 들면, Googe Cloud SQL, Amazon Relational Database Service(Amazon RDS))

5) 모바일 폰 

그러나 가장 중요한 것은, 모바일폰에 저장된 정보이다. 휴대폰 분실에 대한 사건사고는 굉장히 많이 보고 듣고 겪어 보았을 것이다. 휴대폰을 분실하게 되면 기기에 저장되어 있는 데이터도 같이 분실하게된다.

대부분의 사람의 경우 사진, 비디오, 전화번호 등과 같은 전화번호를 분실한 사실에 걱정할 것이다. 이와 같은 사례를 대비하여 행해져야할 가장 중요한 일은 데이터를 백업하는 것이다. 이는 굉장히 중요한 고려사항이다. 그리고 몇몇 사람들은 기기에 저장되어 있는 사생활 데이터가 유출되지 않을까 걱정하기도 할것이다. (이에 대한 솔루션은 아래에서 이야기하겠다.)

2. 온라인 및 오프라인에서의 데이터 보안 방안

지금부터는 '유출 또는 분실된 데이터를 읽으려는 행위를 막는 방법' 에 대해 이야기한다. 이는 데이터를 훔치려는 공격자를 막는 방법에 대해 이야기하는 것이 아니다. 위와 같은 방법으로 공격자가 데이터를 획득한 다는 가정에서, 데이터 보호를 위한 방법에 대해 이야기 하는 것이다.

1) USB 디바이스

USB 디바이스를 적절히 암호화하기 위해서는, 다음과 같은 소프트웨어를 사용할 수 있다.

• DiskCryptor
• VeraCrypt
• BoxCryptor

** 반면, TrueCrypt 는 사용하면 안된다. 이는 지원이 종료된 것으로, 더이상 지원하지 않을 계획이라고 한다. 즉, 안전하지 않다는 것이다.

2) 하드 드라이브

하드 드라이브를 암호화하기 위해서는, OS시스템에 따라 소프트웨어를 선택해야한다

• Linux : DM-Crypt LUKS
• Windows : BitLocker

3) 클라우드 

클라우드에 서비스를 선택할때, 암호화 업로드를 지원하는지 또한 'Zero-Knowledge'를 지원하는지를 확인해야 한다. (Zero-Knowledge : http://en.wikipedia.org/wiki/Zero_knowledge) 지금 현재는 Dropbox 는 해당 기능을 지원하지 않기때문에, 대안으로 SpiderOak 를 사용해야 한다. 

4) 클라우드에 저장된 데이터베이스 서버

클라우드 업로드된 DB 보안을 위해서는 다음과 같은 소프트웨어를 사용할 수 있다.

• ClearDB

5) 모바일 폰

대부분의 안드로이드 모바일 폰은 자체적으로 암호화를 지원한다. 안드로이드 ‘Setting’ 의 ‘Encrypt’ 에서 암호화를 진행할 수 있다.

3. 결론

지금까지 데이터를 보호함에 있어 '암호화'가 얼마나 중요한 요소인지 살펴보았다. USB 디바이스든 클라우드든 암호화가 필요한것은 마찬가지이며, 암호화만 제대로 수행해도 악의적인 공격자가 인가받지 않은 데이터에 접근하지는 못할 것이다.

또한 클라우드에 서비스를 사용할때, 해당 데이터는 언제든지 악의적인 공격자에 의해서 탈취당할 수 있다는것을 항상 인지해야 한다. 때문에, 데이터를 보호할 수 있는 최대한의 방안을 적용해야 하며, 그 보안 방안이 암호화가 되는 것이다. 

우리는 ‘보안’ 과 ‘보안을 보장하기 위해 투자하는 시간’, 이 두 요소의 균형을 어떻게 조율할지 진지하게 고민해 볼 필요가 있다. ‘소 잃고 외양간 고친다’ 라는 말의 의미를 정확히 되새기며, 각자의 삶을 대상으로 '보안'과 ‘투자시간'과의 균형을 조절해보는 시간을 갖도록 해보자.

Continue reading

No comments

[강연] 골든 서클의 법칙

"어떻게 애플은 그렇게 창의적일 수 있는가 !"

비로소 위의 질문에 명쾌하게 답을 할 수 있게 되었다.
지금부터 설명해 보겠다.

1. 골든 서클의 비밀
아래보이는 골든 서클(Golded circle) 을 중심으로 보통사람과 영감있는 사람을 구분할 수 있다.

대부분의 평범한 사람 혹은 조직은 아래의 골든 서클(Golden circle)에서 밖에서 안으로 소통한다.

즉 생각하거나, 행동하는 방식, 소통하는 방법이 what -> how -> why 로 향하고 있다고 한다
예를 들면, 

• WHAT : 여기 새로운 법률 회사가 있습니다.
• HOW : 저희는 최고의 변호사와 수많은 의뢰인이 있습니다. 최고의 서비스를 제공합니다.
• WHY : ??

모든 사람들은 자신이 무엇을(what) 하는지 알고 있다. 그리고 그 중 대부분의 사람들은 어떻게(how) 하는지 알고 있다. 그러나 왜(why) 하는지에 대해 명확히 대답하는 사람은 드물다.
여기서 '왜' 라고 할때, '이득을 얻기 위해' 라는 대답이 나올수는 없다. 그것은 결과물이다. 언제나 결과물일 뿐이다. 여기서 정확한 '왜'는 "목적이 무엇인가" "명분이 무엇인가" "자신의 믿음이 무엇인가"를 묻는 것이다.

2. WHY 의 중요성

왜 당신은 이 일을 합니까?

왜 당신의 단체가 존재하는 겁니까?

이에 대해 명확히 답변할 수 있는 사람이 얼마나 될까.

하지만 영감이 있는 지도자들이나 단체는 크기나 분야에 관계없이 모두가 why -> how -> what 로 생각하고 행동하고 소통한다. 세상의 모든 위대하고 영감을 주는 지도자나 단체는 (애플사, 마틴 루터킹 목사, 라이트형재) 모두가 동일한 방식으로 생각하고, 행동하고, 소통한다. 

다시 애플을 예로 들면 

why

• 우리는 모든것을 합니다. 우리는 현재의 모습에 도전하는 것을 믿습니다. 우리는 다르게 생각하는 것에 믿음을 가집니다. 

how

• 현재의 상태에 도전하는 방법은 저희의 물건을 아릅답게 디자인하는것 입니다. 
• 사용하기 간단하고, 사용자에게 친숙하게 하는 것입니다. 

what

• 저희가 대단한 컴퓨터를 만들었습니다. 

이것을 구매하시겠습니까?

사람들은 그들이 만든 것보다는 물건은 만든 이유를 구매한다.

목표는 우리가 가진것을 사려는 사람들을 대상으로 사업을 하는 것이 아니다.

목표는 우리가 믿는 것을 믿는 사람들과 사업을 하는 것이다.

3. 일상생활에서 "골든서클"을 경험하다.

최근 출장을 가게되면서 토즈 라는 스터디공간에서 미팅을 하게 되었는데, 정문에 적혀 있는 '토즈'의 사명이 굉장히 인상깊었다.

"꿈과 비전, 목적과 가치 실현을 위해 열정을 가지고 노력하는 토즈의 고객님들,

이른 시간에 함께 모여 회의, 스터디에 참여하시는 모습에 저희는 매일매일 감동합니다. 

그리고 고민합니다. 우리가 그 분들의 노력을 존중하고, 그 분들의 성공을 돕기 위해 무엇을 서비스 해야하는지를

토즈의 서비스는 여기서부터 시작합니다." 

Continue reading

No comments

[강연] 스티브잡스 스탠포트 연설

워낙 유명한 자료이기 때문에 모르는 사람은 거의 없을 것이다.
나도 처음 이 동영상을 본 이후에도, 슬럼프가 있거나, 미래에 대한 고찰이 필요한 경우에 이 동영상을 찾아보곤 한다.

그는 입양아로 태어났고, 스탠포드 대학을 중퇴하였다. 대학에서 배울게 없다고 판단해서라고 한다.
젊은 시절 히피 문화에 빠져 인도에 여행을 다녀온 그는 그 시절 어떤 생각을 했을까.

그의 연설 중 계속 나의 마음을 두드리는 문장이 있다.

"오늘이 내 인생 마지막 날이라면, 지금 하려고 하는 일을 할 것인가"
"다른 사람의 삶을 사느라 시간을 낭비하지 마십시오"
"계속 갈망하라, 여전히 우직하게"

처음 이 글을 본 이후에는 슬럼프에 빠질정도로 몇주간 생각에 혼란스러웠다.
솔직히 지금도 해답을 찾지 못했다.

두려움 때문인걸까. 아니면 나 자신을 신뢰하지 못하는 걸까

Continue reading

No comments

[강연] 마케팅의 본질

1997년, 수년간 적자를 기록하며 거의 파산 위기에 처한 애플은 넥스트(Next)를 인수하면서 그들이 과거에 내쫓아낸 스티브잡스를 복귀시켰다. 스티브잡스가 복귀 후 가장 먼저 한 일들중 하나는 애플의 브랜드 가치를 복귀시키는 것이었고, 속전속결로 일을 진행시킨다. 

본 애플사 내부 영상에서 반바지 차림의 잡스는 애플 직원들과 운영진들에게 마케팅의 본질, 애플이 상징하는 의미와 그들의 정체성을 상기시킨다. 그런 후 그는 그와 그가 새로 고용한 광고 대행사가 몇주간 작업한 새로운 마케팅 캠페인을 소개하는데 그것이 오늘날 광고계의 전설이 된 '다르게 생각하라' 광고 캠페인이다.

우리 고객은 알기 원한다. 애플은 누구인가?

그리고 우리가 상징하는 것은 무엇인가?

우리의 이 세상 어디에 속해 있는가?

우린 믿습니다. 

이 세상을, 사람들이 보다 나은 곳으로 바꿀 수 있다고. 

그리고 그 사람들, 자신이 생각을 바꿀 수 있다고 믿을 만큼 미친자들이 

실제로 세상을 바꾸는 사람들이라는 사실을.

캠페인의 주제는 '다르게 생각하라' 입니다.

남들과 다르게 생각하여 이 세상을 진보시킨 사람들에게 경의를 표하는 것

바로 그것이 우리의 본질이고 이 회사의 영적 정체성입니다. 

이것으로 우리는 세상에 선언합니다. 이것으로 우리는 세상에 진출합니다. 

'이것이 우리의 정체성이다', '이것이 우리를 상징한다' 

애플이 왜 다른 기업과 다른가? 라는 질문에 대한 답을 찾는 동영상이 아닐까 싶다. 여타 다른 광고들 처럼 제품홍보에 집중하는 평범한 광고가 아닌, 자사의 정체성, 신념을 알리는 혁신적인 광고와 스티브잡스의 언변, 천재성에 다시 한번 감탄하게 되었다. 나 역시 애플의 광고에서 표현했던 것과 같이, 세상은 다르게 '생각하는 미친자'에 의하여 혁신된다는 표현에 격하게 공감한다.

결국 스티브잡스 역시 본인이 생전에 동경하던 '다르게 생각하던 미친자' 가 되어 세상을 바꾸게 되었다.
만약 그가 살아있었으면 세상은 얼마나 더 혁신적으로 변했을지 궁금하다.

Continue reading

No comments

[생각정리] A Goal with a deadline

어린시절 학교에서 장래희망이라는 기입란에는 항상 '대통령', '과학자' 들 과 같은 어찌보면 허무맹랑한 내용만이 기입되곤 했다. 나 역시 장래희망은 항상 '과학자' 라고 생각없이 적곤 했었다.

지금도 우리는 '목표' 라는 단어에 대해 무덤덤하다. 목표는 단순히 목표에 그치곤 했다.

명심하자, 위의 문구처럼, 목표는 데드라인이 수반되어야 한다.

'목표를 수립'하는것은 익숙하지만 '목표를 이루는 것'은 어색한 것이 우리 현실이다. 

내가 원하는 목표를 수립하고 이에 따른 디테일한 접근과 데드라인을 명확히 정한다면 그 꿈이 이루어질 확율도 높아질 것으로 믿는다.

Continue reading

No comments

[독서후기] 퍼펙트워크

"열심히 일하지 말고 완벽하게 일하라" 

책 표지에 있는 문구부터 강렬하게 나를 사로 잡았다. 

사실 나 역시 어느덧 사회생활을 시작한지 벌써 3년차로 접어들게 되면서, 그 동안은 잘 느끼지 못했던 '일의 효율성', '우선순위', '방법론' 에 대해 깊은 목마름을 느끼게 되었다. 신입 시절에는 정신없이 닥치는 일을 처리하기에 급급하여 다른 생각을 못하였던 반면에, 지금은 내가 하고 있는 '일'을 보다 더 다각화된 측면에서 바라보고 발전 방향을 고민할 수 있는 위치가 된 것이다. 

"선진화된 국가, 특히 오랜 시간 산업문명을 겪으며 성장한 국가들에서는 한 가지 공통점을 발견할 수 있다. 자신의 일을 사랑하며, 맡은 바 책임을 다하겠다는 의식이 지극히 당연한 것으로 자리 잡았다는 사실이다"

“열심히 일한 최고의 보상은, 무엇을 얻는 것이 아니라 열심히 일한 덕택에 우리가 무엇이 될 수 있다는 사실이다." - 록펠러

이 책은 내가 하고 있는 '일' 이라는 대상에 대해 어떻게 접근해야 하는지, 또 어떻게 하면 일을 잘 할 수 있는지 객관적으로 설명해 주었다.

'일에 지배당하지 말고 일을 지배하라'

굉장히 공감가는 말이다. 내 주위에는 "바뻐 주겠다.", "정신이 없다" 라는 말을 달고사는 사람들이 있는데, 그 사람은 스스로 "나 일 진짜 못해요. 그래서 일에 맨날 치여 살아요" 라고 말하는 다니는 것과 마찬가지라고 생각이 든다. 일을 지배하지 못하고 일에 지배당하고 있어요" 라는 의미와도 상충할 것이다. 때문에 나는 평소에 아무리 바빠도 "힘들다", "바빠 죽겠다" 라는 이야기를 동료에게 하지 않으려 노력한다."

일에 지배당하지 않고 일을 지배하기 위해 갖가지 방법론(우선순위 수립, 일의 단순화, 계획 수립) 을 적용하고 수정하고를 반복하고 있다. 이것 나 스스로가 발전하고 있다고 나는 믿는다.

이 책에서 퍼펙트워크를 위한 지침들이 많이 있는데, 이 중 아래의 3가지를 지침에 유독 눈길이 간다.

• 단순한 일이라도 마구잡이로 '가지치기' 하지 마라.
• 일이 힘든 까닭은 계획이 없기 때문이다.
• 용두사미가 안되려면 '피드백'을 시스템화 하라.

자기개발 서적인 만큼 실제 책에서 요구하고 있는 지침을 실행해보지 않으면 아무 소용없다고 생각한다.  이를 세부적으로 연구하여 보다 발전된 방법론으로 변경할 계획이다.

Continue reading

No comments

[ISMS] 보조기억매체 이용 및 관리 방법

ISMS 컨설팅을 위해 업체를 들어가게되면, 대부분의 업체가 CD 나 USB 와 같은 보조기억매체를 대상으로한 이용 및 관리 절차가 명확히 수립되지 않은 경우를 많이 보게 된다.

최근 CD, USB 메모리와 같은 보조기억매체를 통한 대량의 개인정보 및 회사 기밀정보가 외부로 유출되는 사고가 발생하고 있는데, 이것 역시 보조기억매체가 바이러스나 악성코드 침부를 위한 새로운 경로로 악용되는 사례도 나타나고 있어 보조기억매체의 안전한 이용 및 관리를 위한 대책마련이 요구되고 있다.

보조기억매체를 통한 정보유출 피해를 최소화하기 위한 대책으로 보조기억매체에 보안 솔루션을 적용하거나, 보안기능을 갖는 보안 보조기억매체를 이용하는 방법이 있지만, 이러한 보안 솔루션 및 보안 보조기억매체는 선택 및 이용, 관리 방법이 제품마다 어렵고 사용방법이 각기 달라 일반 사용자의 경우, 이를 활용하기가 쉽지 않다. 

이에 따라 본 포스팅에서는 일반 사용자들이 안전하게 보조기억매체를 이용할 수 있도록 이용 및 관리 절차에 대해 상세히 정리하였다.

1. 보조기억매체의 이용 / 관리 절차

• 일반 사용자가 보조기억매체를 이용해 정보를 안전하게 이용 / 관리하기 위한 절차와 방법에 대해 알아본다.
• 다만, 이러한 절차는 보조기억매체를 이용하는 환경 등에 따라 일부 달라질 수 있다.

1-1. 저장 정보의 보안등급 설정

: 보조기억매체에 저장 / 관리할 정보의 중요성, 정보유출 시 피해정도등을 고려하여 저장정보의 보안 등급을 설정한다.

[표] 정보의 접근허용 범위 및 유출시 예상 피해 정도에 따른 보안 등급 - 기업

[표 ] 정보 유출 시 예상 피해 정도에 따른 보안등급 - 일반 사용자

1-2. 이용환경에 적합한 보조기억매체 선택

: 저장할 정보의 보안등급에 적합한 보조기억매체를 선택한다

• [표 7] 보안등급에 따른 보조기억매체 선택

1-3. 보조기억매체의 자동실행 기능 해지 설정

: 바이러스, 악성코드 전파 경로로 악용되지 않도록 보조기억매체의 자동실행 기능을 해지해야 한다.

1-4. 초기 보안설정 변경

: 보안 보조기억매체 및 보안솔루션 이용 시, 사용자 ID/PW, 시리얼 번호, 디스크 저장 영역(보안/일반) 등에 대한 초기 보안설정을 사용자별 이용 환경에 따라 변경한다.

• 일반 보조기억매체는 별도의 초기 보안설정 변경절차 없이 사용가능하다. 다만, 정보를 안전하게 저장, 관리하기 위해서는 패스워드나 권한설정 등 운영체제 및 응용 프로그램에서 제공하는 보안기능을 적용 해야한다. 보안솔루션을 적용한 일반 보조기억매체나 보안 보조기억매체의 경우, 정보를 안전하게 저장 / 관리하기 위해서 사용자의 이용환경에 따른 초기 보안설정에 대한 변경이 필요하다. 초기 보안설정 필요 여부나 방법 등은 제품에 따라 다르지만 사용자 ID/PW 설정, 영역 구분, 바이러스 검색 및 치료 S/W 설정 등이 요구된다.
• 사용자 PW는 [패스워드 선택 및 이용 안내서(KISA)] 에 따라 안전한 PW로 설정하고, 필요에 따라 보안영역에는 접근제어 및 암/복호화기술 등 복수의 보안기능이 적용되어 있는지 확인해야 한다. 보안 보조기억매체의 이용 절차는 [붙임 1]을 참조한다.

1-5. 보안등급이 높은 저장 정보의 암호화 관리

: 보안등급이 높은 저장 정보는 복수의 보안기능을 적용하고 반드시 암호화하여 관리한다.

• 보안등급이 높은 저장 정보는 추가적인 보안기능을 복수로 적용하여 보호하고, 반드시 파일이나 디스크 상태로 암호화하여 보관하여야 한다. 특히, 보조기억매체 전용 보안 솔루션이나 보안 보조기억매체를 이용할 경우, 보안영역에 보관하여 일정 수준의 보안성을 보장받도록 한다. 제품에 따라 보안영역이 제공하는 보안기능이 상이할 수 있지만 대부분의 보안영역은 항상 자동적으로 암호화 되어 저장된다.
• 또한, 보조기억매체의 저장 정보는 매체의 분실이나 오류 등에 대비하여 다른 저장매체에 백업파일을 보관해야한다. 다만, 보안등급이 높은 저장 정보는 백업파일도 암호화하여 보관하고, 필요한 경우 복수의 보안기능을 적용/관리하도록 한다.

1-6. 보안등급이 높은 저장 정보의 완전삭제

: 보안등급이 높은 저장 정보 삭제 시, 디스크 포맷 및 완전 삭제S/W를 이용해 추후 정보복구가 불가능하도록 삭제한다.

• 보안등급이 높은 저장 정보를 삭제할 경우, 디스크 포맷 기능이나 완전 삭제 S/W 등을 이용하여 복구가 불가능하도록 한다. 복구 불가능한 정보의 완전한 삭제는 다음과 같이 이루어지며, 완전 삭제 S/W는 자동적으로 정보의 완전한 삭제 과정을 반복 수행하는 것이다.
• 1. 임의의 문자로 데이터를 덮어씀
  2. 첫번째 문자의 보수로 덮어씀
  3. 다시 임의의 문자로 데이터를 덮어씀
  4. 이 과정을 7번 반복

[표] 완전 삭제 기능을 제공하는 무료 솔루션

1-7. 이용하지 않는 보조기억매체 폐기

: 이용빈도가 높지 않은 보조기억매체는 포맷 등을 통해 저장 정보를 완전히 삭제하고 필요한 경우 물리적으로 폐기한다.

<Reference> 

• 보조매체 이용 안내서, 2010.1, KISA 

Continue reading

No comments

암호화에 대한 Q & A

각종 개인정보유출 사고가 연달아 발생하면서 개인정보 암호화는 필수이자 반드시 수행해야 할 기본이 되고 있다. 그러나 암호화의 중요성은 인지하고 있지만 암호화 해야하는 개인정보가 무엇인지, 어떻게 암호화 해야 하는지와 같은 기본적인 정보가 머릿속에 명확히 수립되어 있지 않은게 사실이다. KISA, 행안부 등이 작성한 각종 가이드가 있긴하지만 종류가 많기 때문에 여전히 어렵게 느껴지는건 마찬가지이다.

금번 포스팅에서는 '개인정보 암호화' 에 중점을 두고 여러 보안담당자 혹은 사용자들이 궁금해할 만한 정보를 Q & A 형식으로 정리하였다.

1. 안전한 암호 알고리즘이란 무엇인가요? (개인정보보호법)

2. 개인정보 암호화 방식의 종류는 무엇이 있나요?

3. 암호화가 필요한 정보는 무엇이며, 어떻게 암호화 해야하나요?

4. 비밀번호는 어떻게 관리해야 하나요?

5. 암호키는 어떻게 관리해야 하나요?

6. 암호화를 규정하고 있는 법제도는 무엇이 있나요?

7. 주민번호를 저장하면 무조건 암호화 해야하나요?

8. DB에 저장된 주민등록번호를 일부분만 암호화해서 저장해도 되나요?

9. DB에 외국인 등록번호와 주민등록번호를 저장하고 있습니다. 둘 다 전체 암호화해서 저장해야 하나요?

10. 개인정보처리시스템을 위탁하거나, ASP(Application Service Provider)를 이용하는 경우 암호 수행을 위탁기관에서 해야하나요? 아니면 수탁기관에서 해야하나요?

<관련 질문을 클릭하면 본문으로 스크롤이 이동합니다.>

-------------

1. 개인정보보호법에서 규정하는 안전한 암호 알고리즘이란 무엇인가요?

1-1. 안전한 암호 알고리즘

• 개인정보의 안전성 확보조치 기준 제7조제6항의 ‘안전한 암호알고리즘 (이하 ‘암호알고리즘’이라 한다) 이란 국내의 전문기관에서 권고하는 알고리즘을 의미한다.

• 암호 알고리즘 등은 2012년 10월 기준으로 작성됨에 따라 국내외 암호전문기관의 최신 정보를 반드시 확인하도록 한다.
• 공공기관은 “붙임 1] 국가정보원(IT보안인증사무국) 검증대상 암호알고리즘 목록” 을 참고

2. 개인정보 암호화 방식의 종류는 무엇이 있나요?

• 단순히 개인정보를 암호화 한다고 하면 DB에 있는 혹은 업무담당자 PC에 있는 고객의 패스워드 및 주민번호를 암호화 한다는 것에 국한하여 생각할 수 있다.
• 하지만 아래와 같이 ‘개인정보 암호화’ 에는 아래와 같이 [전송시 / 저장시] 에 따라 많은 분류로 구분된다. 

2-1. 전송시 암호화

• 웹서버와 클라이언트 간 암호화
• • SSL 방식
  • 응용프로그램 방식
  
  
• 개인정보처리시스템 간 암호화
• • IPSec VPN 방식
  • SSL VPN 방식
  • SSH VPN 방식
  
  
• 개인정보취급자 간 암호화
• • 이메일 암호화 방식
  • 이메일 첨부문서 암호화 방식

2-2. 저장시 암호화

• 개인정보처리시스템 암호화
• • 응용프로그램 자체 암호화 방식
  • DB 서버 암호화 방식
  • DBMS 자체 암호화 방식
  • DBMS 암호화 기능 호출 방식
  • 운영체제 암호화 방식
  
  
• 업무용 컴퓨터 암호화
• 문서 도구 자체 암호화 방식
• 암호 유틸리티를 이용한 암호화 방식
• DRM 방식
• 디스크 암호화 방식

3. 암호화가 필요한 정보는 무엇이며, 어떻게 암호화 해야하나요?

• 정보통신망 이용촉진 및 정보보호 등에 관한 법률 (이하 ‘정보통신망법’), 개인정보보호법 등에서는 인터넷을 통해 유통되는 정보의 보호를 위해 암호기술을 구현하도록 규정하고 있으며, 개인정보의 종류와 적용할 수 있는 암호기술은 다음과 같다.

3-1. 암호화가 필요한 정보

3-2. 암호화가 필요한 정보의 종류

• 개인정보 등이 분실 / 도난 / 유출 또는 훼손되지 아니하도록 암호화가 필요한 정보는 다음과 같이 크게 두 가지로 분류할 수 있다.

1) 암호화된 정보를 다시 복호화 할 수 없어야 하는 정보

• 비밀번호

2) 암호화된 정보를 다시 복호화 할 수 있어야 하는 정보

• 바이오정보, 주민등록번호, 신용카드번호, 계좌번호, 여권번호, 운전면허번호, 외국인등록번호

** 이러한 정보들은 데이터베이스에 저장하는 경우는 물론, 정보통신망을 통해 송/수신되는경우에도 반드시 암호화되어야 한다.

3-3. 정보 저장 시 적용 가능한 암호기술

• 3.1에서 도출한 정보들의 종류에 따라, 암호화된 정보를 다시 복호화 할 수 없어야 하는 정보들은 해쉬함수, 복호화 할 수 있어야 하는 정보들은 블록 암호 알고리즘을 사용하여 암호화 하여야 한다.

1) 해쉬함수

2) 블록함수

3-3. 정보 송 / 수신 시 적용 가능 암호기술

• 3.1 에서 도출한 정보들을 정보통신망을 통해 송 / 수신 하는 경우 SSL / TLS 등 통신 암호기술을 사용해야 한다.

1) SSL/TLS

4. 비밀번호는 어떻게 관리해야 하나요?

• 웹사이트 사용자의 로그인 수단으로 비밀번호를 사용하는 경우, 비밀번호 생성 / 변경 이용 등 비밀번호 생명 주기에 따라 비밀번호를 안전하게 관리해야 한다.

4-1. 비밀번호 생성단계

• 안전한 비밀번호는 제 3자가 쉽게 추측할 수 없으며, 시스템에 저장되어 있는 사용자 정보 또는 인터넷을 통해 전송되는 정보를 해킹하여 알아낼 수 없거나, 알아낸다 하더라도 많은 시간이 요구되는 비밀번호를 말한다. 업체는 자사의 서비스에 접근하기 위해 사용자가 비밀번호를 생성하는 경우, 안전한 비밀번호를 사용하도록 유도하여야 한다.

• 안전한 비밀번호의 문자구성 및 길이 조건은 다음과 같이 사용할 것을 권고한다.

4-2. 비밀번호 변경단계

• 업체는 모든 사용자에게 주기적으로 비밀번호를 변경하도록 유도하여 비밀번호의 노출 위협을 최소화하여야 한다. 이를 위해 업체는 반기 혹은 분기 동안 변경되지 않은 비밀번호 사용자가 로그인 한 경우, 비밀번호를 변경할 수 있는 화면을 보여주어야 한다. 일반적으로 사용자 비밀번호 변경 주기는 3개월에서 6개월 이하로 설정해야 한다.

• 사용자가 비밀번호 변경을 필요로 하거나 요청하였을 때 언제든지 비밀번호를 변경할 수 있는 기능을 제공해야 한다. 또는 비밀번호 변경 시, 이전에 사용하지 않은 새로운 비밀번호를 사용하도록 유도해야 하며 변경된 비밀번호는 이전 비밀번호와 연관성이 없어야 한다.

4-3. 비밀번호 이용 단계

• 업체는 회원으로 가입된 사용자의 비밀번호를 해쉬함수를 적용하여 저장하여야 한다. 또한 오직 인가된 관리자만이 사용자의 비밀번호가 저장된 시스템에 접근 할 수 있어야하며, 해당 시스템은 외부의 침입으로부터 안전한 장소에 보관하여야 한다.

4-4. 비밀번호 검증 기능

• 업체는 서비스 종류, 취급하는 개인정보의 종류, 개인정보 노출시 파급효과 등을 고려하여 적합한 비밀번호 정책을 수립하고 공시하여야 한다. 비밀번호 정책에는 최소 비밀번호 길이 및 문자조합, 변경 주기 등을 포함해야 한다.

• 비밀번호 정책이 수립되면, 업체는 사용자 비밀번호가 자사의 비밀번호 정책을 만족하는지 확인할 수 있는 비밀번호 검증 기능을 구현하여 적용해야 한다. 비밀번호 검증 기능은 사용자가 설정하는 비밀번호가 업체의 비밀번호 정책을 만족하는지 여부를 직접적으로 검토하여, 보안성이 떨어지는 비밀번호는 변경하도록 유도할 수 있다.

• 다음 조건에서 해당하는 비밀번호는 취약한 비밀번호 이므로, 비밀번호 검증 기능에서 아래 조건에 해당하는 비밀번호인지를 검증하여 이를 사용하지 않도록 구현할 것을 권고한다.

5. 암호키는 어떻게 관리해야 하나요?

• 암호 적용에 책임이 있는 관리자는 키관리 계획을 수립하고 암호 초기 적용 단계 부터 키 관리를 고려해야 한다. 키 관리는 암호 알고리즘과 프로토콜에 사용되는 키의 안전한 생성, 저장, 분배 및 파기할 수 있는 기반을 제공한다.

• 암호를 이용하여 정보를 보호할 때는 암호키의 강도, 사용하는 암호 알고리즘과 프로토콜의 안전성, 사용하는 다양한 암호 알고리즘 및 프로토콜의 적절한 조합 등을 고려하는 것이 중요하다.
• 암호키 관리의 가장 기본적인 고려사항은 1) 암호에 사용되는 모든 키는 불법으로 변경되거나 대체되지 못하도록 해야 한다는 것과, 2) 암호키와 개인키는 노출되지 않아야 한다는 것이다. 

키 사용에 대한 고려사항

• 암호 방식에 사용되는 키는 하나의 목적(암호화용, 인증용, 키 암호화용, 키분배용 등) 으로만 사용되어야 한다. 
• 이렇게 하는 가장 큰 이유는 키의 용도를 제한하면 키가 외부에 노출되었거나 손상되었을 경우 피해 범위를 최소화할 수 있기 때문이다.

5-1. 암호키 사용기간 및 유효기간

• 정의
• • 사용기간 : 사용자 또는 관리자가 암호키를 사용할 수 있도록 허용된 기간
  • 유효기간 : 사용기간이 완료된 이후라도 추후 복호화를 위해 해당 암호키를 사용하도록 허용된 기간
• 암호키의 사용기간은 최대 2년, 유효기간은 최대 5년으로 설정할 수 있다.

5-2. 암호키 저장 방법의 예

• 암호키는 서버 또는 하드웨어 토큰에 저장되어질 수 있다. 암호키를 저장하는 서버는 웹 서버 또는 DB서버와 같은 서버일 수 있으나, 물리적으로 분리되어 있는 서버를 사용하는 것을 권고한다. 
• 하드웨어 토큰은 저장된 정보가 위 / 변조 또는 외부로 노출되기 어려운 장치로 스마트카드. USB 토큰 등의 보안토큰 (HSM, Hardware Security Module)을 의미한다.

예제 1) 서비스 및 DB에서 사용하는 암호키

• 하나의 암호키를 사용하는 경우
• • 암호키는 앞에서 언급한 바와 같이 서버 또는 하드웨어 토큰에 저장한다. 만일 사용 중인 서버가 Trusted Platform Module(TPM)을 지원한다면 TPM 에 암호키를 저장할 수 있다.

• 두 개 이상의 암호키 사용하는 경우
• • 각각의 암호키생성키들을 물리적으로 다른 공간에 저장하는 방법을 사용할 수 있다. 즉, 하나의 암호키생성키는 서버에, 다른 암호키생성키는 하드웨어 토큰에 저장하여 사용할 수 있다.
  • 이 경우 공격자가 두 개의 암호키 생성키들을 모두 획득해야 하기 때문에 하나의 암호키를 사용/저장하는 방법보다 좀 더 안전한다. 

예제 2) 직원 PC에서 사용하는 암호키

• 한명의 사용자가 한 개의 암호키를 사용하는 경우
• 한명의 사용자가 자신의 PC에 고객의 개인정보, 중요정보 등을 암호화하여 저장하기 위해 암호키를 생성해야하는 경우가 있다. 이 경우에는 사용자 본인만이 암호키를 생성해 낼 수 있도록 PBKDF를 사용할 수 있다. 이 경우에는 사용자 비밀번호를 통해 암호키가 생성되므로 암호키를 PC에 저장할 필요가 없다.

• 다수의 사용자가 한 개의 암호키를 사용하는 경우(공용PC)
• 한개의 암호키로 암호화된 정보들을 다수의 사용자가 공유하기 위한 방법으로는 해당 암호키를 사용자마다 다른 "사용자별암호키"로 다시 암호화하는 방법을 사용할 수 있다.
• 사용자별암호키는 PBKDF를 이용하여 생성할 수 있으며, 이때 사용되는 비밀번호는 사용자마다 각각 다른 비밀번호를 사용하여야 한다.
• 암호키는 사용자별암호키로 암호화되어 저장되고, 사용시에는 사용자가 비밀번호로 자신의 사용자별암호키를 생성하여 암호화된 암호키를 복호화하여 사용한다. 

6. 암호화를 규정하고 있는 법제도는 무엇이 있나요?

• 암호화를 규정한 국내 법률은 아래와 같습니다. 

6-1. 개인정보 보호법

6-2. 전자정부법

6-3. 정보통신망 이용촉진 및 정보보호 등에 관한 법륭

6-4. 전자금융거래법, 전자금융감독규정

6-5. 위치정보의 보호 및 이용 등에 관한 법률

7. 주민번호를 저장하면 무조건 암호화 해야하나요? 

• 인터넷에서 직접 접근이 가능한 구간(인터넷망, DMZ 구간)에 위치한 개인정보처리시스템에 주민등록번호를 저장하면 반드시 암호화해야 하며, 물리적인 망분리, 방화벽 등으로 분리된 내무방에 고유식별정보를 저장하는 경우에는 암호화 기술을 적용하거나 또는 암호화에 상응하는 조치를 할 수 있습니다.

8. DB에 저장된 주민등록번호를 일부분만 암호화해서 저장해도 되나요?

• 네, 일부분 암호화가 가능합니다. 시스템 운영이나 개인 식별을 위해 해당 정보를 활용해야 하는 경우 생년월일 및 성별을 포함한 앞 7자리를 제외하고 뒷자리 6개번호를 암호화하여 사용할 수 있습니다.

9. DB에 외국인등록번호와 주민등록번호를 저장하고 있습니다. 둘 다 전체 암호화해서 저장해야 하나요?

• 외국인등록번호만 저장하는 경우에는 전체 암호화해야 합니다. 외국인등록번호와 주민등록번호가 혼재되어 저장하는 경우에는 외국인등록번호 뒷부분 6자리만 암호화해도 무방합니다.

10. 개인정보처리시스템을 위탁하거나, ASP(Application Service Provider)를 이용하는 경우 암호 수행을 위탁기관에서 해야하나요? 아니면 수탁기관에서 해야하나요?

• 개인정보의 암호화 등 안전성확보조치는 원칙적으로 “개인정보처리자”의 의무입니다. 따라서 개인정보처리시스템을 위탁하거나 ASP를 이용하는 경우에도 암호화 조치 사항에 대한 이행여부에 대한 책임은 위탁기관이 지게 됩니다.
• 다만, 위탁기관은 암호화에 대한 요구사항을 수탁기관과의 계약서 등에 명시하여 수탁기관으로 하여금 처리하게 요구할 수 있습니다.

<Reference>

• 상용소프트웨어에서의 암호기능 이용 안내서, KISA
• 암호기술 구현 안내서, KISA
• 암호이용 안내서, KISA
• 암호정책 수립 기준 안내서, KISA
• 패스워드 이용 및 선택 안내, KISA
• 개인정보 암호화 조치 안내서, 행안부

Continue reading

No comments

국내 클라우드의 현재 그리고 미래에 대한 고찰

얼마 전 정부가 오래전부터 추진해 왔던 '클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률'(이하 클라우드법) 이 국회를 통과했습니다. (관련 기사)

해외에서는 이미 정부차원에서의 다각적인 지원을 통해 클라우드 산업이 나날히 발전하고 대중화되고 있는 상황이지만, 이러한 흐름속에서도 우리나라에서는 정보를 외부에 맡긴다는 것에 대한 막연한 보안 우려와 기업들의 적극적인 도입 회피 등으로 클라우드 컴퓨팅 산업이 활성화되지 않았습니다.

어찌됬던 위 법령을 통해 통해 국내 클라우드 산업이 보다 발전 할 것으로 기대가 됩니다.

실제 법령을 관련 내용을 아래와 간추려 보았으며, 자세한 내용은 법제처 사이트에서 확인할 수 있습니다 (참조)

여기서 한가지 짚고 넘어가야 할 사항은, 아직 국내에는 클라우드 서비스에 대해 보안성을 평가하는 명확한 인증기준이 없다는 것입니다. 반면 미국은 이미 2012년에 FedRAMP 라는 클라우드 관련 인증 기준을 공식 발표하였고 지금까지 운용 중에 있습니다.

따라서 이번 포스팅에서는 위 사안에 주안점을 두고 1) FedRAMP 라는 인증 기준에 대해 살펴보고, 2) 국내 보안관련 인증제도와의 비교, 3) 국내외 클라우드 관련 인증제도와의 비교를 통해 국내의 클라우드 관련 보안인증제도의 필요성을 제고해 보도록 하겠습니다.


1) FedRAMP 의 정의  목적

FedRAMP(Federal Risk and Authorization Management Program)는 클라우드 제품 및 서비스를 위한 보안평가, 인증 및 지속적인 모니터링에 대한 표준화된 정부 프로그램입니다. 기존에 기관별로 수행하던 보안평가 및 인증을 FedRAMP 로 통합함으로써 비용, 시간 및 인력 절감이 가능하고 FedRAMP 보안 인증을 받은 클라우드 서비스는 별도의 인증절차 없이 다른 기관에 일괄적으로 도입할 수 있습니다. 또한 FedRAMP는 클라우드에 특화된 보안 통제항목을 제시하여 신뢰성을 높이고, 외부 전문 평가 대행기관을 선정하고 일관성 있는 보안평가를 수행하는 클라우드 서비스 보안인증 프로그램입니다. FedRAMP의 목적은 연방정부기관이 이용하는 정보 시스템/서비스에 대해 적정한 수준의 정보보호를 보증하면서 리스크 관리비용을 절감하고, 연방정부기관용 정보 시스템/서비스를 신속하고 효율적으로 조달하는데 있습니다.

실제 조사를 해본 결과, FedRAMP는 엄청난 규모의 인증기준을 자랑하고 있습니다. 또한 세부 운영 기준 역시 상당히 상세합니다. 본 포스팅에서는 FedRAMP 에 대한 상세설명 보다 FedRAMP와 국내외 인증제도와의 비교를 목적으로 하고 있으므로, 세부 내용은 생략하였습니다.

FedRAMP 의 거버넌스, 참여대상 및 운영절차, 세부 통제항목, 평가 방법은 아래의 사이트 및 문서에서 확인하세요.

• FedRAMP 공식홈페이지 - http://www.fedramp.gov/
• 참고문헌 - 미 연방정부 클라우드 서비스 보안인증 제도(FedRAMP) 분석, 한국인터넷진흥원

2) 국내 인증제도와의 비교

국내의 정보보호관련 인증 제도로는 1) ISMS인증, 2) 정보보호평가(CC)인증 이 있습니다.

< Reference - 미 연방정부 클라우드 서비스 보안인증 제도(FedRAMP) 분석 >

사실 정확하게는 위 3개 기준은 정확한 비교잣대가 될 수 없습니다. 각각의 인증 목적이 모두 다르기 때문입니다. ISMS 인증은 정보통신망 서비스 제공자를 대상으로 하는 인증이며, 클라우드 환경을 반영하고 있지 않습니다. 최근 관련 내용을 반영하려는 움직임을 보이고 있긴 하지만 아직까지는 많이 미흡한것이 사실입니다. 또한 보안성평가(CC)인증 기준 역시 정보보호 제품 및 암호 모듈을 평가하는 인증기준이기 때문에 클라우드 환경을 반영하고 있지 않습니다.

즉, 아직까지 우리나라는 클라우드 보안성을 평가하는 국가인증기준이 없습니다.

3) 국내외 클라우드와 관련된 인증제도 비교

사실 아시는분도 있겠지만 우리나라에도 '클라우드 서비스 인증제' 라는 민간 제도가 존재합니다. 하지만 FedRAMP와 달리 법적인 근거 없이 민간사업자 사업자 자율에 의지하다보니 항목 자체가 보안에 관련된 항목보다는 가용성과 신뢰성에 관한 항목이 많고 상세한 요구사항보다는 포괄적인 요구사항을 다룹니다.

< Reference - 미 연방정부 클라우드 서비스 보안인증 제도(FedRAMP) 분석 >

4) 결론

서두에서 말한바와 같이 '클라우드 법' 이 제정됨에 따라, 국내 클라우드 사업의 많은 발전이 예상됩니다. 하지만 보안성을 고려하지 않은 무분별한 발전은 언제나 커다란 사고를 야기하기 마련입니다. 그에 따라 우리나라에도 미국의 FedRAMP와 같이 정부차원의 클라우드 보안을 위한 제도적 장치가 하루빨리 마련되길 기대해 봅니다.

Continue reading

No comments