[지디넷코리아]알고 있는 것을 마스터플랜으로 옮기고, 어떻게 시행하도록 하느냐가 아마도 전산 관리자들의 가장 큰 고민 중에 하나일것이다. 필자는 얼마전 정보보호 마스터플랜을 준비하고 있는 친구를 만났다. 하지만 보안 분야의 뛰어난 엔지니어인 친구의 고민은 보안 정책을 수립하는데 자신의 생각을 어떻게 문서화시켜 다른 사람에게 알리고 활용할 수 있는가에 대한 것이었다. 정책을 준비하고 적용시키는 것은 알고 있는 것과는 성격이 다른 이야기이기 때문.

필자는 일반적인 보안 마스터플랜을 수립하기 위해 어떻게 정책을 수립해야 하는지에 대해 살펴보고자 한다. 지금부터 진행될 예는 이미 많은 선배들의 노력으로 만들어진 국내외 여러 자료를 통해 보안 관련 관리자들이 고민하는 몇가지 문제에 대해 좀더 구체적으로 접근할 수 있도록 구성하려고 노력했다.

보안 마스터플랜을 제대로 세우기 위해서는 기업 내 관리·기술·물리적 관점으로 차근차근 접근해야한다. 우선 보안 마스터플랜으로 기업 내의 보안의 관리 정책을 수립하기 위해서는 ▲정책(보안 정책/지침/절차의 수립, 개선과 이행에 대한 계획) ▲조직(정보 보안담당 조직이나 구성원들의 역할 정의와 활동 활성화 계획) ▲인원(임직원, 외주인원 보안 관리 방안 수립과 이행 계획) ▲교육(보안 인식 제고, 기술 향상 교육 방안 수립과 이행 계획) ▲진단/감사(보안 규정의 준수 여부에 대한 감사/진단 방안 수립과 이행 계획) ▲사고 관리(재난복구, 침해사고대응 등 사업 연속성 확보 방안의 수립, 이행 계획)의 보안 대책 수립 방법과 이행에 대한 계획이 준비돼야 한다.

정책을 수립하기 위해서는 IT 자산들의 기밀성, 무결성과 가용성을 보장하기 위한 전반적인 기술 보안 대책을 수립하고, 이행, 검토, 개선에 대한 계획을 수립해야 한다. 예를 들면, IT 자산의 인프라인 유무선 통신 네트워크를 보호하고, 오남용을 방지하는 방안을 수립하고 이행하는 계획을 세우는 것이다. 여기에 각종 서버, PC/노트북, 애플리케이션, 데이터베이스, 모니터링 체계에 대한 정보 보호 방안을 따로 수립하고 이행하기 위한 계획을 세워야 한다.


기업의 주요 시설이나 장비의 기밀성, 무결성, 가용성 확보에 영향을 미칠 수 있는 비승인자의 물리적 접근이나 재난을 통제하기 위한 보호구역 정의와 이에 따른 각종 보안 대책 수립, 이행, 검토, 개선에 대한 계획 수립을 말한다.

보안 정책 마련으로 관리 체계 확보
보안 정책은 일반적으로 특정 기관 내에서 업무가 어떻게 수행돼야 하는지를 나타내는 관리 방침(management instructions)을 말한다. 이런 정책은 현재와 미래의 의사결정을 위한 지침을 제공하는 보안에 관한 최상위 문서로서 권고 사항이 아닌 명령의 권한을 가지고 있다. 일반적으로 보안 정책은 포괄적인 문제를 규정하며, 보다 세부적인 내용은 표준 운영 절차나 통제 등에 의해 구현된다.

보안 정책은 효율적이고 포괄적인 보안 프로그램을 개발하는데 기반이 되는 필수 불가결한 요소다. 그러나 많은 경우 전체적인 보안 아키텍처의 중요한 구성 요소인 보안 정책을 간과하고 있다. 보안 정책은 보안에 대한 관리 요구사항을 수량화하고 테스트할 수 있는 구체적인 목표로 변환할 수 있는 기본적인 방법이다. 효과적인 보안 아키텍처를 개발하려면 명확하게 정의된 정책을 기반으로 하향식 접근을 시도하는 것이 중요하다.



반대로, 여러가지 결정을 내리기 위해 기반이 되는 보안 정책이 없으면 개별적으로 컴퓨터 시스템을 구축, 설치와 유지 관리해야하므로 통합성이 부족하고 최적화되지 않은 보안 아키텍처가 구현된다. 보안 정책을 수립하기에 앞서 관리자는 최고 경영자에게 보안 정책의 필요성과 개념을 인지시키고, 보안 정책을 누가 담당할 것인가에 대한 책임을 명확히 해야한다.

그럼 보안 정책을 개발하기 위한 절차를 알아보자. 보안 정책 개발 절차는 보안 목적과 방침 정의→전산 네트워크 시스템 보안 요구사항과 범위를 포괄적으로 기술→ 위험분석(자산분석, 위협분석, 취약성분석, 영향분석, 위험분석)→위험평가→보안계획→구현과 교육→보안 감사와 사후 관리로 구성된다.

보안 정책 개발 절차 중 위험분석은 해당 조직 혹은 기관이 현재 처한 보안 상의 위험 정보를 평가하는 방법이다. 여러 가지 방법론이 개발돼 있으나 대체로 자산분석, 위협분석, 취약성 분석, 영향 분석, 위험 분석, 위험 평가의 6가지 단계를 거쳐 평가된다. 이런 단계를 거쳐 평가된 위험분석 결과는 정량적이든 정성적이든 해당 기업의 IT 시스템 전반에 걸쳐 현재의 보안 상태를 도출하고, 앞으로 보안 수준을 어느 정도까지 올리느냐에 따라 어떤 대책을 세우고, 얼마나 비용을 들일 것인가를 결정한다.

보안 정책의 필요성

• 최소 투자로 최대의 보안 효과 획득


• 현재와 미래의 변화에 대처 기준


• 통제의 일관성 구현


• 보안제품의 선택과 구현에 대한 길잡이로 활용


• 징계의 기초 자료


• 신용 의무의 위반, 소홀함 등을 방지

비즈니스·기술·규율로 만드는 보안 원칙
보안 원칙에 따라 사용자의 환경에 가장 적합한 보안 정책의 유형이 정해지므로 이에 대한 정의는 보안 정책 개발에 있어 중요한 첫 단계다. 보안 원칙은 보안 정책을 좀 더 발전시킬 수 있는 기반이 된다. 따라서 조직에서는 보안 정책을 개발하고 조정하는 작업 전후에 보안 원칙을 평가하고 검토해야 한다. 이같은 방법으로 보안 정책을 개발하고 관리하는 동안, 보안에 대한 관리 요구사항과 기본적인 비즈니스 요구사항을 충족할 수 있게 된다