IT 위키 - 사용자 기여 [ko]

접근통제

2023-05-29T14:14:30Z

키삭기:

[[분류:보안]][[분류:정보보안기사]]

== 원칙 ==

* 시스템 주체에게 권한을 부여할 때에는 조직의 업무효율을 떨어뜨리지 않을 만큼의 필요최소한의 권한만 부여되어야 한다.
* 경영자나 관리자 한 사람이 업무의 발생, 승인, 변경, 확인, 배포 등을 처음부터 끝까지 처리할 수 없도록 해야 한다.
* 보안정책에 따른 접근 허용된 주체와 주체의 접근 가능한 접근통제 규칙을 설정하고, 접근규칙에 해당하지 않는 모든 접근에 대해서는 위반으로 간주한다.
* 금지된 주체와 객체의 리스트들에 대해서 미리 접근통제 규칙을 설정하고, 접근 통제 규칙에 설정되지 않은 모든 접근에 대해서는 허용한다.

== 접근통제 3요소 ==
;정책, 메커니즘, 모델
{| class="wikitable"
|-
! 요소 !! 예시 !! 설명
|-
| [[접근통제 정책]] || MAC, DAC, RBAC, ABAC || 자원제 접근하려면 사용자를 통제하기 위한 정책
|-
| [[접근통제 메커니즘]] || ACL, SL, CL || 접근 요청을 정의된 규칙에 따라 적용시키기 위한 시스템 구현 방식
|-
| [[접근통제 모델]] || BLP, BIBA, Clark-Wilson, Chinese Wall || 시스템 보안 요구사항을 구현하기 위한 보안 모델
|}

== 상세 ==
{| class="wikitable"
! 구분
! 구성요소
! 설명
|-
| rowspan="4" | [[접근통제 정책]]
| [[임의적 접근통제]]
(DAC)
|
* 주체-객체 권한 나열
* 권한자는 권한을 이양할 수 있음
|-
| [[강제적 접근통제]]
(MAC)
|
* 보안등급 기반
* 모든 주체, 객체에 대해 일정
|-
| [[역할 기반 접근통제]]
(RBAC)
|
* DAC와 MAC의 단점 보완
* 역할별로 권한 부여
|-
| [[속성 기반 접근통제]]
(ABAC)
|
* 객체, 주체의 속성에 따른 통제
* 접근 시간 등 접근 환경 고려
|-
| rowspan="3" | 접근통제 메커니즘
| [[ACL|ACL(Access Control List)]]
|
* 주체-객체별 권한 나열
|-
| [[CL|CL(Capability List)]]
|
* 주체를 기준으로 접근허가 목록
|-
| [[보안 라벨|SL(Security Label)]]
|
* 객체에 부여된 보안 속성 집합
|-
| rowspan="4" | [[접근통제 모델]]
| [[벨-라파둘라 모델|벨-라파둘라(BLP)]]
|
* 군사적 목적 충족, 최초 모델
* No read up / No write down
|-
| [[비바 모델|비바(BIBA)]]
|
* BLP단점 보완 무결성 모델
* No write up / No read down
|-
| [[클락-윌슨 모델|클락-윌슨(Clark-Wilson)]]
|
* 무결성 중심의 상업용 모델
* 무결성 등급 격자 사용
|-
| [[만리장성 모델|만리장성(Chinese Wall)]]
|
* 주체 동작에 따른 접근 통제
* 이해 충돌 방지
|}

IEEE 802.1x

2023-05-29T14:12:12Z

키삭기: 새 문서: IEEE 802.1X는 포트 기반 네트워크 접근 제어에 대한 IEEE 표준이다. 이는 네트워크 프로토콜에 대한 그룹인 IEEE 802.1의 일부이다. 이 표준은 근거리 통신망과 무선랜을 연결하기 위한 장치의 인증 매커니즘을 제공한다. == 같이 보기 == * IEEE 802

IEEE 802.1X는 포트 기반 네트워크 접근 제어에 대한 IEEE 표준이다. 이는 네트워크 프로토콜에 대한 그룹인 IEEE 802.1의 일부이다. 이 표준은 근거리 통신망과 무선랜을 연결하기 위한 장치의 인증 매커니즘을 제공한다.

== 같이 보기 ==

* [[IEEE 802]]

위험 회피

2023-05-29T14:08:56Z

키삭기:

;Risk Avoidance
; 발생할 위험을 감내할 수 없으므로 위험의 근원이 되는 자산을 제거하거나 해당 업무를 수행하지 않는 방안

* 서비스에 지장을 주지 않는 선에서 취약점이 회피되도록 업무 설계
* 서비스의 일부 구현을 변경하여 취약점이 발현되지 않도록 함
* 서비스 포기

== 상위 개념 ==
* [[위험]], [[위험 관리]]

[[분류 : 보안]]
[[분류 : 정보보안기사]]

정보보호 관리체계

2023-05-29T14:07:48Z

키삭기:

[[분류:보안]][[분류:컴플라이언스]][[분류:정보보안기사]][[분류:인증/평가]]
; ISMS; Information Security Management System

* [[정보보호 관리체계 인증|'''정보보호 관리체계 인증''']] 문서를 보시려면 여기를 클릭하세요.
* '''[[정보보호 및 개인정보보호관리체계 인증]]''' 문서를 보시려면 여기를 클릭하세요.

== 3요소 ==

* 정보보호 조직과 인력
* 정보보호 사업의 추진과 예산 배정
* 정보보호 규정에 기반한 전사적인 정보보호 활동

== 5단계 ==

* 정책 수립 및 범위설정
* 경영조직
* 위험관리
* 구현
* 사후관리

정보보호 관리체계

2023-05-29T14:06:20Z

키삭기:

정보보호 관리체계 인증

2023-05-29T14:04:42Z

키삭기: 새 문서: 분류:보안분류:컴플라이언스분류:정보보안기사분류:인증/평가 ; ISMS; Information Security Management System 과학기술정보통신부와 한국인터넷진흥원에서 시행하는 보안성 인증제도. 일부 큰 규모의 업체들은 의무적으로 받도록 되어 있고 그 외의 기업들에선 본인들의 보안성을 증명하고 홍보하기 위한 용도로 받는다. == 필수 인증 대상 == # 정보통신망을 제공...

[[분류:보안]][[분류:컴플라이언스]][[분류:정보보안기사]][[분류:인증/평가]]
; ISMS; Information Security Management System
과학기술정보통신부와 한국인터넷진흥원에서 시행하는 보안성 인증제도. 일부 큰 규모의 업체들은 의무적으로 받도록 되어 있고 그 외의 기업들에선 본인들의 보안성을 증명하고 홍보하기 위한 용도로 받는다.

== 필수 인증 대상 ==
# 정보통신망을 제공하는 자(ISP)
# 집적정보통신시설 사업자(IDC)
#* 재판매 사업자(VIDC)는 매출액 100억원 이상만
# 연간매출액 또는 세입이 1,500억원 이상인 상급종합병원
# 연간매출액 또는 세입이 1,500억원 이상인 학생수 1만명 이상 학교
# 정보통신서비스 전년도 매출액 100억원 이상인 자
# 전년도 말 기준 직전 3개월 일평균 이용자 수 100만명 이상인 자
* '''의무대상자 미인증시 3,000만원 이하의 과태료 (정보통신망법 제 76조 근거)'''

== 법적 근거 ==
* 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제 47조
* 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 제47조~54조
* 정보보호 관리체계 인증 등에 관한 고시

== 추진 체계 ==
* 과학기술정보통신부
** 법, 제도 개선 및 정책 결정
** 인증기관 지정 및 관리
* 인증위원회
** 인증심사결과 심의 의결
* 인증심사원
** 인증심사 수행
* 인증 기관
** 인증
** 인증 심사
** 인증제도 운영
** 인증위원회 운영
** 인증심사원 양성 및 관리

=== 인증 심사 기관 ===
* '''한국인터넷진흥원(KISA)'''
** 인증
** 인증 심사
** 인증위원회 운영
** 인증제도 운영 지원
* '''금융보안원(FSI)<ref>금융기관에 대한 인증(F-ISMS)만 수행한다</ref>'''
** 인증
** 인증 심사
* '''한국정보통신진흥협회(KAIT)'''
** 인증 심사
* '''한국정보통신기술협회(TTA)'''
** 인증 심사

=== 심사 유형 ===
* '''최초심사''' -(1년)-> '''사후심사''' -(1년)-> '''사후심사''' -(1년)-> '''갱신심사''' -> 사후, 갱신 반복

== 인증 기준 ==
{| class="wikitable"
! style="text-align: center; font-weight:bold;" | 구 분
! style="text-align: center; font-weight:bold;" | 통 제 분 야
! style="text-align: center; font-weight:bold;" | 항목수
|-
| rowspan="6" style="text-align: center; font-weight:bold;" | 정보보호
관리과정
| 1. 정보보호정책 수립 및 범위설정
| 2
|-
| 2. 경영진 책임 및 조직 구성
| 2
|-
| 3. 위험관리
| 3
|-
| 4. 정보보호대책 구현
| 2
|-
| 5. 사후관리
| 3
|-
| style="font-weight:bold;" | 소계
| style="font-weight:bold;" | 12
|-
| rowspan="14" style="text-align: center; font-weight:bold;" | 정보보호
대책
| 1. 정보보호 정책
| 6
|-
| 2. 정보보호 조직
| 4
|-
| 3. 외부자 보안
| 3
|-
| 4. 정보자산 분류
| 3
|-
| 5. 정보보호 교육
| 4
|-
| 6. 인적 보안
| 5
|-
| 7. 물리적 보안
| 9
|-
| 8. 시스템개발 보안
| 10
|-
| 9. 암호 통제
| 2
|-
| 10. 접근 통제
| 14
|-
| 11. 운영 보안
| 22
|-
| 12. 침해사고 관리
| 7
|-
| 13. IT 재해복구
| 3
|-
| style="font-weight:bold;" | 소계
| style="font-weight:bold;" | 92
|-
| colspan="2" style="font-weight:bold;" | 총계
| style="font-weight:bold;" | 104
|}

정보보호 조직

2023-05-29T14:03:20Z

키삭기: 새 문서: == 구성원 == '''책임''' * 최고 경영자 : 정보보호를 위한 총괄책임이 있다. * 프로세스 관리자 : 해당 정보 시스템에 대한 조직의 정보보호 정책에 따라 적절한 보안을 보증할 책임이 있다. * 사용자 : 조직의 정보보호 정책에 따라 수립된 절차를 준수할 책임이 있다.

== 구성원 ==
'''책임'''

* 최고 경영자 : 정보보호를 위한 총괄책임이 있다.
* 프로세스 관리자 : 해당 정보 시스템에 대한 조직의 정보보호 정책에 따라 적절한 보안을 보증할 책임이 있다.
* 사용자 : 조직의 정보보호 정책에 따라 수립된 절차를 준수할 책임이 있다.

위험 전이

2023-05-29T13:55:39Z

키삭기: 위험 전가 문서로 넘겨주기

#넘겨주기 [[위험 전가]]