정보 보안 관리

**정보 보안 관리**(Information security management, **ISM**) 또는 **정보 보호 관리**는 조직이 위협과 취약성으로부터 자산의 기밀성, 가용성 및 무결성을 현명하게 보호하기 위해 구현해야 하는 제어 기능을 정의하고 관리한다. ISM의 핵심에는 정보 위험 관리, 즉 조직이 자산 관리 및 보호에서 처리해야 하는 위험을 평가하고 모든 해당 이해관계자에게 위험을 전파하는 프로세스가 포함된다. 이를 위해서는 기밀성, 무결성, 가용성 및 자산 교체의 가치 평가를 포함하여 적절한 자산 식별 및 평가 단계가 필요하다. 정보 보안 관리의 일환으로 조직은 정보 보안에 대한 ISO/IEC 27001, ISO/IEC 27002 및 ISO/IEC 27035 표준에 있는 정보 보안 관리 체계 및 기타 모범 사례를 구현할 수 있다.

정보 보안 관리는 대규모 조직에서 흔히 발견되는 방대한 데이터베이스를 보호하는 데 도움을 주기 때문에 현대 조직에서 점점 더 중요한 부분이 되고 있다. 이러한 데이터베이스에는 개인 식별 정보나 금융 기록과 같은 민감한 정보가 저장되는 경우가 많다. 이러한 데이터베이스가 침해되면 회사의 평판이 실추되거나 수백만 명의 정보가 위험에 처할 수 있다. 이러한 이유로 정보 보안 관리는 종종 사이버 보안 관행과 함께 논의되며, 그 중 다수는 정보 보안 관리 시스템(ISMS)과 직접적으로 연관되거나 직접 사용된다.

## 위험 관리 및 완화
정보 보안을 관리한다는 것은 본질적으로 자산에 대한 다양한 위협과 취약점을 관리하고 완화하는 동시에, 위협과 취약점이 실제로 발생할 확률을 측정하여 잠재적 위협과 취약점에 투입되는 관리 노력의 균형을 맞추는 것을 의미한다. 이러한 아이디어는 보호 동기 이론(Protection Motivation Theory, PMT)으로 요약될 수 있다. PMT는 "개인이 보호 행동을 채택하거나 참여하는 이유를 설명하고자 한다." PMT에는 위협 평가와 대처 평가라는 두 가지 주요 메커니즘이 있다. 위협 평가는 사람들이 위협의 심각성과 위협에 대한 자신의 취약성을 어떻게 인식하는지를 나타낸다. 예를 들어, 서버실에 운석이 충돌하는 것은 분명히 위협이지만, 정보 보안 책임자는 그러한 위협에 대비하는 데 거의 노력을 기울이지 않을 것이다. 사람들이 국제 종자 저장고가 존재한다고 해서 세상의 종말을 준비하기 시작할 필요가 없는 것과 마찬가지다.

PMT의 나머지 절반은 대처 평가다. 이는 자기효능감과 반응 효능감을 의미한다. 자기효능감은 과업을 완수할 수 있는 자신의 능력에 대해 개인이 느끼는 자신감이다. 반응 효능감은 보호 조치의 효과에 대한 개인의 믿음을 나타낸다. 대처 평가에는 반응 비용, 즉 개인이 보호 조치를 수행하는 데 잠재적으로 요구되는 돈, 시간, 노력 등 모든 가능한 지출도 포함된다. PMT가 성공하려면 개인이 당면한 과업에 대해 강한 자기효능감과 반응 효능감을 가져야 하며, 보상 비용에 대한 인식이 낮아야 한다(이는 자기효능감에 의해서도 영향을 받을 수 있다).

적절한 자산 식별 및 가치 평가가 이루어진 후, 해당 자산에 대한 위험 관리 및 위험 완화에는 다음 문제에 대한 분석이 포함된다.

* 위협: 정보 자산의 고의적 또는 우발적인 손실, 손상 또는 오용을 초래할 수 있는 원치 않는 사건.
* 취약점: 정보 자산 및 관련 통제 수단이 하나 이상의 위협에 의해 악용되기 쉬운 정도. 이는 PMT에서 위협 평가라고도 불린다.
* 영향 및 가능성: 위협과 취약점으로 인해 정보 자산에 발생할 수 있는 잠재적 피해의 규모와 그 자산에 미치는 위험의 심각성. 비용 편익 분석이 영향 평가의 일부일 수도 있고 별개일 수도 있다.
* 완화: 잠재적 위협과 취약점의 영향과 가능성을 최소화하기 위해 제안된 방법들. 이는 각 방법을 구현할 때 대처 평가의 강도와 직접적으로 연결된다.

위협 및 취약점이 식별되고 정보 자산에 대해 높은 위협 평가를 받은 경우, 완화 계획을 실행할 수 있다. 완화 방법의 선택은 대개 위협 및 취약점이 존재하는 7가지 정보 기술(IT) 도메인 중 어느 곳인지에 따라 달라진다. 보안 정책에 대한 사용자의 무관심(사용자 도메인) 위협은 네트워크에 대한 무단 조사 및 포트 스캐닝(LAN-to-WAN 도메인) 위협을 제한하는 데 사용되는 것과는 매우 다른 완화 계획이 필요할 것이다.

조직이 위험 관리 프로토콜을 구현하는 데 어려움을 겪는 가장 일반적인 이유는 다음과 같다.

* 특히 중요한 온라인 안전 도구가 부족한 경우, 사회 공학적 기법을 사용하여 직원을 속여 개인 정보를 제공하게 함
* 정보 보안 관리에서 개인의 역할이나 책임에 대한 이해 부족 또는 이를 완전히 무시함
* 정보 보안 관리에 대한 교육 부족

완화 전략이 효과적이려면 전략의 기술적 측면과 사용자 측면 모두 최소한의 오류로 작동해야 한다.

### 정보 보안 관리 시스템

정보 보안 관리 시스템(ISMS)은 조직의 모든 상호 관련/상호 작용하는 정보 보안 요소를 체계화한 것으로, 정책, 절차 및 목표를 수립, 구현, 전달 및 평가하여 조직의 전반적인 정보 보안을 더 잘 보장할 수 있도록 한다. 이것이 성공하려면 기술적 협업과 인간의 협업이 결합되어야 한다. 이 시스템은 일반적으로 조직의 요구 사항, 목표, 보안 요건, 규모 및 프로세스에 의해 영향을 받는다. ISMS는 위험 관리 및 완화 전략을 포함하며 이에 기여하고, PMT에서 논의된 많은 요인들을 다루는 경우가 많다. 또한, 조직이 ISMS를 채택했다는 것은 정보 보안 위험을 체계적으로 식별, 평가 및 관리하고 있으며 "정보의 기밀성, 무결성 및 가용성 요건을 성공적으로 해결할 수 있음"을 나타낸다. 그러나 ISMS의 최종적인 성공을 보장하기 위해서는 ISMS 개발, 구현 및 실습과 관련된 인적 요인(사용자 도메인)도 고려되어야 한다.

ISMS의 실패는 종종 부실한 위험 관리 또는 평가, 이해의 깊이 부족, 혹은 리더십과의 목표 불일치로 거슬러 올라갈 수 있다. 이것이 일부 회사들이 최고 정보 보안 책임자(CISO)를 고용하거나 도입하기로 선택하는 이유다. CISO는 종종 정책을 안내하고, 보안을 비즈니스 목표와 일치시키며, 위험 및 준수 업무를 처리하고, 경영진과 기술 실무자 사이의 소통을 담당한다. CISO를 도입하는 주요 목적은 보안 통합을 간소화하고 조직의 정보 보안 관리를 안내하는 리더십의 원천을 제공하는 것이다.

### ISMS에 적용된 사이버 보안의 일반적 측면
사회가 점점 더 디지털로 상호 연결되면서 사이버 보안 관행은 학자와 비즈니스 리더 모두의 관심사가 되었다. 기술도 공격받을 수 있지만, 사이버 범죄는 사람을 표적으로 삼을 때, 특히 사회 공학에 집중할 때 더 효과적임이 입증되었다. 이러한 전술에는 다음이 포함될 수 있다.

* 피싱 - 사기성 출처로 이메일, 문자, 전화를 통해 개인 정보를 제공하도록 누군가를 속이는 행위
* 브랜드 도용 - 사소한 오타가 있는 유사한 URL을 생성하여(대부분 알아차리지 못함), 특정 회사의 직원이 신뢰할 수 있는 회사 웹사이트나 이메일에 접속해 있다고 믿게 만드는 것
* 사칭 - 다른 사람의 신원을 도용하여 다른 사람을 속여 민감한 정보를 제공하게 만드는 행위. 경우에 따라 사칭의 깊이에 따라 신원 도용으로 분류될 수도 있다.
* 스케어웨어 - 사용자의 컴퓨터에 나타나는 긴급하고 종종 공포를 유발하는 팝업으로, 대개 즉각적인 조치를 요구한다. 즉시 행동하지 않으면 부정적인 결과가 발생할 것이라고 사용자가 믿게 만드는 데 사용된다.

ISMS를 구현할 때는 사이버 보안의 모든 측면을 다루는 것이 중요하다. 이러한 전술이 사람들에게 성공하는 주요 이유는 사람들의 인식 부족 때문이다. 이 지점에서 직원 교육 및 훈련이 ISMS를 성공적으로 구현하는 주요 요인이 된다.

## 구현 및 교육 전략 구성 요소
많은 기업에서 IT 부서나 CISO가 일반적으로 정보 보안 관리를 담당하지만, 정보 보안 관리 시스템이 성공하려면 기업이나 조직의 모든 구성원이 인식과 경계심을 실천해야 한다. 피싱 및 기타 사회 공학적 전술과 같은 사기의 성공률은 개인의 인터넷 안전 인식 부족과 직접적인 상관관계가 있는 것으로 나타났다. 이 때문에 많은 조직에서는 어떤 형태로든 정보 보안 또는 사이버 보안 온보딩을 요구하고 있다. 이러한 훈련 형태는 다음과 같다.

* 정보 보안 주제를 검토하는 읽기 자료 또는 비디오
* 유익한 자료와 함께 퀴즈가 포함될 수 있는 모듈
* 정보 보안 프로토콜을 상기시키는 역할의 교수진 회의 또는 이메일
* 직원이 정보 보안에 영향을 미칠 수 있는 다양한 시나리오를 연기해 보는 역할 기반 훈련

이러한 교육은 대개 온보딩 후에 끝나는 것이 아니라, 매달 또는 매년 이수하도록 요구되는 경우가 많다.

효과적인 정보 보안 관리(위험 관리 및 완화 포함)를 구현하려면 다음 사항을 유의하는 관리 전략이 필요하다.

* 상위 경영진은 정보 보안 이니셔티브를 강력하게 지원하여, 정보 보안 책임자가 "완전한 기능을 갖춘 효과적인 교육 프로그램을 갖추는 데 필요한 자원을 확보"하고, 더 나아가 정보 보안 관리 시스템을 확보할 기회를 제공해야 한다.
* 정보 보안 전략과 교육은 부서 전략에 통합되고 전달되어야 하며, 이를 통해 모든 직원이 조직의 정보 보안 계획에 의해 긍정적인 영향을 받도록 해야 한다.
* 프라이버시 교육 및 인식 "리스크 평가제도"는 조직이 보안에 대한 이해관계자의 지식과 태도의 중대한 격차를 식별하는 데 도움을 줄 수 있다.
* "교육 및 인식 프로그램의 전반적인 효과를 측정"하기 위한 적절한 평가 방법은 정책, 절차 및 교육 자료가 유의미하게 유지되도록 보장한다.
* 적절하게 개발, 구현, 전달 및 집행된 정책과 절차는 "위험을 완화하고 위험 감소뿐만 아니라 관련 법률, 규정, 표준 및 정책의 지속적인 준수를 보장한다."
* 정보 보안 관리의 모든 측면에 대한 마일스톤과 타임라인은 미래의 성공을 보장하는 데 도움이 된다.

종종 기술만으로는 조직과 기업을 정보 보안 위협으로부터 안전하게 지키기에 충분하지 않다. 표준 규제, IT, 프라이버시 및 보안 문제에 할당된 예산 외에 위의 모든 사항에 대한 충분한 예산 고려 없이는 정보 보안 관리 계획/시스템이 완전히 성공할 수 없다.

## 관련 표준
조직이 위협과 취약점을 완화하기 위해 적절한 프로그램과 통제 수단을 구현하는 데 도움을 줄 수 있는 표준으로는 ISO/IEC 27000 시리즈, ITIL 프레임워크, COBIT 프레임워크, O-ISM3 2.0 등이 있다. ISO/IEC 27000 시리즈는 정보 보안 관리를 규정하는 가장 잘 알려진 표준 중 하나이며, 이들의 ISMS는 글로벌 전문가 의견을 기반으로 한다. 지난 20년 동안 이 표준은 여러 산업 분야에서 전 세계적으로 사용되어 왔다. 이들은 "정보 보안 관리 시스템을 구축, 구현, 배포, 모니터링, 검토, 유지, 업데이트 및 개선"하는 데 가장 적합한 요구 사항을 제시한다. ISO 27001 인증을 획득했다는 것은 조직이 강력한 ISMS에 전념하고 있음을 나타내는데, 이 인증을 받으려면 빈번한 보안 점검, 업데이트 및 구현의 최전선에 있는 강력한 리더십이 필요하기 때문이다. ITIL은 정보 기술 인프라, 서비스 및 보안의 효과적인 관리를 위한 개념, 정책 및 모범 사례의 모음 역할을 하며, ISO/IEC 27001과는 몇 가지 면에서만 차이가 있다. ISACA가 개발한 COBIT은 정보 보안 담당자가 정보 보안 및 위험 관리를 제어하고 부정적인 영향을 최소화하면서 정보 관리 및 거버넌스를 위한 전략을 개발하고 구현하도록 돕는 프레임워크다. 그리고 O-ISM3 2.0은 오픈 그룹(The Open Group)의 기업을 위한 기술 중립적 정보 보안 모델이다. 덜 보편적이긴 하지만 주목할 만한 다른 것들로는 GDPR, EU NIS 지침, NIST 사이버 보안 프레임워크(NIST Cybersecurity Framework) 등이 있다.

## 같이 보기
* 국제공인 정보시스템 보안전문가

## 각주

## 외부 링크
* ISACA
* The Open Group
* CyberManager

분류:정보 관리
분류:정보 기술 관리
분류:보안