[서평] 정보보안의 이해

나는 업무 특성상 매우 다양한 범주의 업무를 수행한다. (항상 그렇겠지만 이 역시 장단점이 있다..) 그로인해 언제가 한번 정보보안에 대한 지식을 재정리 해야겠다고 생각했고, 그 즈음 이 책을 읽게 되었다.

이 책은 정보보안을 거시적 관점에서 바라볼 수 있게 도와준다. 정보보안을 구성하고 있는 각각의 요소(title)와 그 요소에 대한 설명이 간단하지만 정확하게 설명되어 있다. 개인적으로 이 책을 2회 정도 정독하는 것을 추천한다. (별로 기대하지 않았던 책이어서 그런지 몰라도, 꽤 맘에 든다.) 전공자는 물론이거니와 비전공자 역시 쉽게 이해할 수 있으리라 생각된다.

개인적으로 맘에드는 '정의'나, '설명'은 아래에 메모를 하였다.

Continue reading

No comments

[좋은 정보] 나는 왜 영어공부를 하는가?

"한국인의 영원한 숙제, 영어"

대한민국에서 영어란 참 어려운 존재인듯 하다. 나 역시 영어를 공부하고 있지만 여전히 껄끄러운 대상으로 느껴지는것이 사실이다. (사실 나는 효과적인 영어학습에 대해 끊임없이 연구하고 최적의 방법론을 탐구해보고 있다. 기회가 되면 내가 진행하고 있는 영어공부 프로세스나 방법론에 대해 포스팅 해볼 계획이다.)

이 영어는 유독 우리나라에서 더욱 어렵게 느껴지는 것 같다. 왜 그럴까라는 생각을 해보았는데, 우리나라의 언어인 '한글'이 너무 뛰어나기 때문이 아닐까 생각이 든다.

가령 예를 들면 '한글'은 단어가 굉장히 많다. 하늘의 색을 말할때 샛노랗다. 뿌옇다. 흐리다. 어두컴컴하다. 등등의 많은 단어가 쓰이지만, 이러한 단어를 모두 영어로 표현하는 것은 불가능하다. (제시한 예시가 적절한지 모르겠다.) 또한 우리나라가 노벨문학상 수상자가 지금껏 한번도 나오지 않은 이유가 우리나라의 소설 등 문학작품의 그 심오한 뜻과 함축된 의미를 영어로 표현하는것은 불가능하기 때문이라고 한다. 

이와 같은 '한글' 과 '영어'의 차이 때문에, 우리가 영어를 어려워 하는 게 아닐까 생각을 해본다. (이는 지극히 개인적인 생각이다)

사설이 길었다. 어쨋든 본 포스팅에서는 "나는 왜 영어공부를 하는가" 에 대한 내용을 고민해보고 정리할 것이다. 이를 통해 나 스스로 동기부여가 되지 않을까 기대하고 있으며, 나 뿐만 아니라 이 글을 보는 독자들도 동기부여가 될것 이라고 예상한다.

1. 나는 왜 영어공부를 하는가?

1) 좋은 (훌륭한) 글을 보기 위해서 

스티브잡스가 스마트폰을 발명한 이후로 세계가 더욱더 좁아지고 있다. 언제 어디서나 외국의 유명 학자 혹은 학술블로거의 글을 읽을 수 있으며 원한다면 작가와 소통할 수도 있다.

"이게 얼마나 좋은 세상인가!"

그런데 나는 자괴감을 느꼈다. 관심있는 주제에 대한 해외 연구자료를 검색하다가, 굉장히 좋은 사이트 발견하였음에도 해석이 되지 않아 읽기를 포기했던 적이 종종 있었기 때문이다. 다른 사람들은 어떤지 몰라도, 나는 이와 같은 문제에 직면할때 굉장히 자존심이 생했고, 이를 통해 영어를 더 열심히 공부해야겠다는 다짐을 하곤했었다.

여기서 좋은 내용의 글이란,  Technology, Productivity, Lifestyle, Information Security 등등 을 주제로한 글을 의미한다. 아래 이미지는 실제로 내가 RSS Feed 를 통해 읽고 있는 해외사이트들이다. 정말 좋은 사이트만 리스팅했지만, 그마저도 자료가 너무나 많아서 반에반도 못읽는다. -_-

< 참조 - 언어의 다양성, 그리고 영어 비율 >

• http://www.washingtonpost.com/blogs/worldviews/wp/2015/04/23/the-worlds-languages-in-7-maps-and-charts/?tid=sm_fb

2) 학습하기 위해서
선뜻 이해가 되지 않을 수도 있다. 학습하기 위해 영어를 공부한다? 하지만 사실이다.

과거에는 돈을 주고 학원을 가거나 학교를 다녀야만 무언가를 배울수 있었다. 하지만 지금은 인터넷을 통해 언제 어디서나 마음만 먹으면 공짜로 무언가를 배울수 있는 세상이라는 것이다. 단? 그마저도 영어라는 게이트웨이를 통과해야 가능한 일이다.  (국내 사이트가 있긴하지만 퀄리티라든지 규모가 차이나는 것이 사실이다)

해외 무료 강의 사이트는 아래와 같다. 칸아카데미나 코세라같은 사이트는 이미 아는사람은 다 아는 굉장히 유명한 사이트이다.

• EdX : https://edx.org
• 코세라 : http://coursera.com
• 아트앤스터디 : http://www.artnstudy.com
• 칸아카데미 : http://www.khanacademy.org
• BigThink : http://www.youtube.com/user/bigthink
• 유다시티 : http://www.youtube.com/user/Udacity
• 밋업 : http://www.meetup.com
• TED http://www.ted.com
• 니혼고노모리 일본어 : https://www.youtube.com/user/freejapanesslessons3
• 양양챙 중국어 : https//www.youtube.com/channel/UCSJyGe2H0C9q6QH0-hH04zw
• AJ Hgoe 영어 : https://www.youtube.com/user/ajhoge

여기서 나의 상황을 희극적으로 묘사하면 다음과 같다.

"나는 해외 무료 강의사이트를 알게되어 매우 기뻤다." 

"하지만 기쁨도 잠시 영어가 딸려서 무슨 말인지 이해가 안된다.."

3) 글로벌하게 놀기 위해

우리나라 인구수는 약 5천만명이다. 성격이 같은 두개의 회사가 국내를 대상으로 사업하는 경우와, 세계를 대상으로 사업하는 경우는 애초에 출발선이 다른것이 아닐까 생각이든다. (세밀하게 비즈니스 관점에서 접근하면 아닐수도 있지만)

<참조 - Want a Successful global business? Start by Speaking English>

• http://www.inc.com/will-yakowicz/english-the-language-of-innovation.html

2. 결론은?

나는 한번도 해외에서 살아보지 않은 토종한국인이다. 언제쯤 내가 영어라는 벽을 뛰어 넘을지는 모르겠다.
긍정적인 사실은 영어가 공부로 생각하지 않고 하나의 취미로 느껴지게 되었다는 것이다. 나는 정말 미래의 내 모습이 기대된다.

"You don't get the same moment twice in life"

Continue reading

No comments

Risk Onwer 와 Asset Onwer 의 개념 이해

ISO27001 인증을 받은 기업의 담당자들도, Risk owner 와 Asset owner 의 개념을 명확히 이해하지 못하는 경우가 많습니다.

따라서 본 포스팅에서는 ISO27001에서의  필수로 요구하는 개념인 Risk Owner, Asset Owner 에 대해 정리하도록 하겠습니다. 

1. Asset owner

Asset Owner 라는 개념은 기존의 ISO27001:2005 버전에도 있었으며, 이 제정된 2013 버전에도 존재하고 있습니다. 간단히 정의하면 이는 '자산 담당자' 입니다. (영어로는 'who is responsible for each asset' 로 정의 될 수 있음) 여기서 자산은 단순히 서버나 네트워크 등의 전산자산에만 국한되는 것이 아니라 서비스, 사람, 시설, 조직, 문서도 포함하고 있습니다.

어떤 자산에 대한 책임자가 아무도 없다면 자산관리가 제대로 될까요? 쉽게 비유하면 '무정부상태' 가 될 것입니다.

2. Risk owner

ISO27001:2013 버전 에서는 “Risk owner” 란 새로운 개념이 도입되었습니다.

정의는 다음과 같습니다. "Person or entity with the accountability and authority to manage a risk"

Risk Owner 는 기존의 Asset Owner 가 가지고 있는 권한만으로는 잠재적위험을 해결 하기어렵다는 사실로 인해 도입된 것으로 보입니다.

Risk owner 의 적임자는 아래와 같은 자격을 갖춰야 합니다.

• Risk owner 는 리스크를 식별하는 운영과, 프로세스에 밀접하게 관련있는 사람
• 해당 자산에 위험이 “실현화” 되었을 경우, 본인 스스로가 피해 또는 문책을 받을 수 있는 위치의 사람
• 위험관리와 관련한 업무를 위해, 결정권자에게 어떠한 요구를 하거나, 주장을 할 수 있는 위치의 사람

즉, Risk Owner는 기본적으로 Risk를 해결하는데 관심이 있고, 조직내에서 충분히 높은 지위에 있어야 합니다. 

3. 결론

ISO27001: 2013 을 준비하는 기업은 각 자산에 대해 Risk owner와 Asset owner를 반드시 지정해야 합니다.

일반적으로 A라는 서버의 Asset Owner는 IT관리자가 될 수 있으며, Risk Owner는 IT팀장이 될 수 있습니다. 이에 따라 IT 관리자는 각각의 서버를 지속적으로 관리할 것이며, IT 부서장은 IT관리자를 대상으로 직무훈련을 제공하거나, 해당자산의 보안 향상을 위해 경영진들에게 금전적 지원을 요청할 수 있습니다. 

Continue reading

No comments