[보안기사-필기] 과목5. 정보 보안 관리 및 법규 (관리파트)

Section 01. 정보보호관리의 개념

정보보호 목표 6가지가 무엇인지 서술하시오.(알기사 책 기준)

1. 기밀성
2. 무결성
3. 가용성
4. 인증성
5. 책임추적성
6. 부인방지

정보보호 목표 6가지의 개념에 대해 서술하시오.(알기사 책 기준)

기밀성	허락된(인가) 사람만 정보에 접근가능 한것.
무결성	정보의 데이터가 불법적으로 조작(생성, 변경, 삭제) 되지 않도록 보호하는것
가용성	허락된(인가) 사람이 언제든지  정보시스템의 데이터나 자원에 접근해 사용할 수 있는 것
인증성	통신에서 상대편에 대한 인증 연결지향(TCP) 통신 - 송, 수신자에 대한 인증 / 비연결지향(UDP) 통신 - 데이터 출처에 대한 인증(메세지 인증)
책임추적성	고유하게 식별된 주체의 행위를 기록하여, 주체가 실제로 한 행위에 대해 책임을 부여하는 것
부인방지	송신자나 수신자 양측이 메시지를 전송했거나 수신한 사실을 부인하지 못하도록 막는것. 송신부인방지 - 어떤 메시지가 송신되었을때 수신자는 그 메시지가 실제로 송신자라고 주장하는 주체에로부터 송신되었음을 확인 수신부인방지 - 메시지가 수신되었을때 송신자는 그 메시지가 실제로 수신자라고 주장하는 주체에 의해 수신되었음을 확인

 

ITU-T X.800의 보안 목표 6가지 서비스가 무엇인지 서술하시오.

1. 기밀성
2. 무결성
3. 가용성
4. 인증
5. 부인방지
6. 접근제어

취약점, 위협, 위험의 개념을 설명하시오.

취약점	결함 (정보시스템의)
위협	해를 끼치는 사건 및 행동(정보시스템에 해를 끼치는 외부 사건이나 행동)
위험	자산 손실이 발생할 가능성

위험을 구하는 공식은 무엇인가?

위험 = 자산 x 취약점 x 위협

 

3가지 통제방법이 무엇인지 서술하시오.

1. 예방
2. 탐지
3. 교정

3가지 통제방법의 개념을 설명하시오

1. 예방 - 사전에 위협과 취약점에 대처하는 것
2. 탐지 - 실시간으로 위협을 탐지하는 통제
3. 교정 - 탐지된 위협이나 취역점에 대처하는 것

트래픽분석과 스푸핑, 스니핑, 스누핑의 개념을 설명하시오.

• Active attack
  • Spoofing - 해커가 공격을 통해 정보를 획득하는 것( ARP Spoofing )
• Passive attac
  • Sniffing - 패킷을 훔쳐보는 행위
  • Snooping - 패킷을 훔쳐보고 정보를 저장하는 행위

암호해독과 복호화의 차이점을 설명하시오.

• 암호해독 - 공격자가 악의적인 목적으로 암호문을 해독하는 것
• 복호화 - 인증된 두 사용자간에 정상적인 절차로 암호를 평문으로 변환하는 것

 

Section 39. 정보보호 거버넌스와 관리 체계 수립

알기사 1200제 문제의 키워드 중심으로 요약 정리한 내용입니다.

정보보호와 비즈니스의 관계에 대해 설명

모범답안

정보보호는 비즈니스의 요구사항 중 하나이다. 기업 목표와 전략, 위험관리 계획, 법적 요구사항, 최상위 정책과 연계되어야 한다.

정보보호 정책서의 주요 구성 목차는?

모범답안

정책서 목적과 구성

기본방침

저보보호 실행 계획 수립

보안에 대한 역할과 책임

정보자산의 보안

정보시스템의 보안

규정의 준수

보안정책의 운용

정보보호 관리체계 - 관리과정 5단계는?

모범답안

정보보호 관리과정 5단계

1. 정보보호정책 및 조직

2. 범위설정 및 정보 자산 식별

3. 위험관리

4. 구현

5. 사후관리 

 

ISO27001 - 보안 프레임워크(정보보안관리 체계에 대한 요구사항을 명시한 문서)

ISO27005 - 보안 위험 관리 프로세스 

계획

실행

점검

처리

보안정책

 

정보보호 - 기술적, 관리적, 물리적 대책

모범답안

기술적 보호대책

- 정보 시스템, 통신망, 정보를 보호하기 위한 기본적 대책

- 접근통제, 암호기술, 백업 체제, 정보시스템 자체에 보안성이 강화된 시스템 소프트웨어를 사용하는 드으이 대책이 기술적 대책

 

물리적 보호대책

- 화재, 수해, 지진, 태풍 등과 같은 자연재해로부터 정보시스템이 위치한 정보처리시설을 보호하기 위한 자연 재해 대책이다.

- 불순 세력이나 적의 파괴로부터 정보시스템을 보호하기 위한 출입통제, 장치등이 물리적 보안대책이다.

 

관리적 보호대책

- 법, 제도, 규정, 교육 등을 확립하고 보안계획을 수립하여 이를 운영(보안등급, 엑세스 권한)하고, 위험분석 및 보안감사를 시행하여 정보시스템의 안정성과 신뢰성을 확보하는 대책이다.

- 내부자의 부당행위 방지를 위한 교육이 중요하다.

내부감사

모범답안

정책 및 법적 요구사항에 따라 관리체계를 연 1회이상 내부감사 수행.

감사 기준, 범위, 주기, 방법 등을 구체적으로 설정해야 된다.

감사를 통해 발생된 문제점은 보완조치.

감사의 독립성 및 전문성확보를 위한 감사인력의 자격요건이 필요

정보보호 구성원의 역할과 책임

모범답안

최고경영자 - 총괄책임

정보시스템 정보보호 관리자 - 정보보호 정책, 표준, 대책, 실무절차에 대해 설계 구현 관리 조사에 대한 책임

데이터 관리자 - 데이터의 정확성, 무결성 유지, 데이터의 중요성 및 분류

프로세스 관리자 - 정책에 따른 보안을 보증할 책임

기술지원 인력 - 보안대책의 구현

사용자 - 정책을 준수해야 되는 책임

정보시스템 감사자 - 보안 정책, 표준, 대책, 실무절차에 대한 감사 책임

정보보호 교육과 훈련

모범답안

교육내용

-정보보호의 기본 개요

-정보보호 관리체계 구축절차 및 방법

-관련 법률

-침해사고대응절차 등 임직원이 준수하여야할 정보보호 관련 내부 규정

-최근 침해사고사례 및 국내외 동향

-보안규정 위반시 상벌 규정, 법적 책임

 

교육방법

집합, 온라인, 전달 교육

---

Section 40. 정보보호 위험 관리

1. 위험 관리

2. 위험분석

두가지 파트로 나눠진다.

위험관리는 위험의 구성요소, 전체, 잔여 위험, 위험 계획, 처리절차

 

위험분석은 정량적 정성적 분석이 있다.

4가지 방법론, 위험 상세분석(자산, 위협, 취약점, 대응책, 위험평가, 잔류위험평가), 위험처리 전략 5가지(절차, 수용, 감소, 전가, 회피)

 

 

위험관리 정의

 

위험관리 구성요소

 

전체, 잔여 위험관리

 

---

위험분석의 개념

 

위험분석 4가지 방법론

 

상세위험분석 6가지

 

위험처리전략 5가지

 

정량적, 정성적 위험분석

 

 

---

Section 41. BCP/DRP

BCP/DRP 파트는 업무연속성관리 지침 관련 내용으로,

BCP는 실패나 재해로 인해 사업활동이나 프로세스가 중단되는 것에 대응하기 위한 계획

DRP는 실패나 재해의 영향으로 핵심 정보시스템과 데이터가 중단되는 것에 대응하기 위한 계획

BIA는 발생 가능한 모든 재해를 고려하고 대안 개발

 

접근방법론 4/5/6단계

 

관리단계 (4단계)

 

업무영향분석시 고려사항과 테스트가 필요한 이유

 

복구전략  RAID Level 0~5 구조와 동작 설명

 

복구전략 2차 사이트의 종류

 

백업(HW/SW/Data)

 

가용성 관련 용어 설명 3가지(MTBF / MTTF / MTTR), 용어를 통한 가용성 공식은?

 

하드웨어 백업관련 용어,  MTD, SLA, On site, Off site 용어 설명하시오

 

SW백업에 대해 설명하시오

 

데이터백업의 유형 3가지는?

 

Windows Server ntbackup 4가지 종류는?

 

BCP/DRP 단계 및 테스트

 

 

 

---

Section 42. 정보보호 인증제도

정보보호제품 평가 인증제도 CC(ISO/IEC 15408), CEM(ISO/IEC 18045)

 

보안적합서 검증제도

 

정보보호 관리체계 인증제도(ISMS, ISMS-P)

 

암호모듈 검증 제도(KCMVP)

 

ITSEC

 

TCSEC

 

BS7799

 

OECD 정보보호 가이드라인 9개 원칙

 

GDPR

 

ISO/IEC JTC 1

 

사이버 위기 경보

 

 

---