Part 1 [정보보호, 정보보호 목표]

정보보호(information security)란?

- 정보의 [수집, 가공, 저장, 검색, 송신, 수단 중에 발생하는 정보의 훼손, 변조, 유출] 등을 방지하기 위한 관리적, 기술적 수단 행위이다

 

정보보호는 기밀성, 무결성, 가용성, 인증성 및 부인방지를 보장하기 위해서 기술적, 물리적, 관리적 보호 대책을 강구하는 것

 

정보의 가용성과 보안 측면에선, [정보보호란 정보의 활용과 정보의 통제 사이에서 균형감각을 갖는 행위]

 

정보보호의 목표

 1) 기밀성(Confidentiality) 

- 오직 인가된 사람, 프로세스, 시스템만이 알 필요성에 근거하여 시스템에 접근해야 한다는 원칙이다.

즉, 정보의 소유자가 원하는 대로 정보의 비밀이 유지되어야 한다는 원칙이다. 정보는 소유권을 인가받은 사람만이 접근할 수 있어야 하며, 인가되지 않은 정보의 공개는 반드시 금지되어야 함. 

- 기밀성을 보장하기 위한 보안 기술 Ex) 접근제어, 암호화 등

 

2) 무결성(integrity)

- 정보는 정해진 절차에 따라, 그리고 주어진 권한에 의해서만 변경되어야 한다는 것이 무결성이다. 정보는 항상 정확성을 유지하여야 하며, 인가받은 방법에 의해서만 변경되어야 한다. 오류나 태만 등으로부터의 예방도 포함

즉, 정보는 의도적, 우발적이든 간에 허가 없이는 변경되어서는 안된다는 뜻

- 무결성을 보장하기 위한 보안 기술 Ex) 접근제어, 메세지 인증 등

정보가 이미 변경되었거나 변경 위험이 있을 때에는 이러한 변경을 탐지하여 복구할 수 있는 탐지, 백업 등의 기술이 필요

 

3) 가용성(Availability)

- 정보 시스템은 적절한 방법으로 작동되어야 하며, 정당한 방법으로 권한이 주어진 사용자에게 서비스를 거부하여서는 안 된다는 것이 가용성이다. 사용자가 소유하고 있는 정보를 적시에 적절하게 사용할 수 없다면 그 정보는 이미 소유의 의미를 잃게 되거나 정보 자체의 가치를 상실하게 됨.

즉, 인가된 자가 접근할 수 있어야함

- 가용성을 보장하기 위한 보안 기술 Ex) 데이터의 백업, 중복성의 유지, 물리적 위협요소 보호 등

 

4) 인증성(Authenticity)

- 진짜라는 성질을 확인할 수 있고, 확인 및 신뢰를 할 수 있다는 의미이다 (전송 메시지, 메세지 출처 유효성에 대한 확신이다)

- 사용자가 정말 그 사용자인지와 시스템에 도착한 자료가 정말로 신뢰할 수 있는 출처에서 온 것인지를 확인을 의미

 

5) 책임성(Accountability)

- 보안 목적에는 개체의 행동을 유일하게 추적해서 찾아낼 수 있어야 한다는 사항이 포함되어야 함.

Ex) 부인 봉쇄, 억제, 결함 분리, 침입 탐지 예방, 사후 복구와 법적인 조치 등

- 시스템은 반드시 활동 상황을 기록, 포렌식 분석을 해서 보안 침해 추적, 전송과 관련된 분쟁을 해결해야 함