정보시스템contents.kocw.net/KOCW/document/2015/wonkwang/... · 2016-09-09 · 7.8 현대의...

7.1

정보시스템 보안

제7장

7.2

학습목표

경영정보시스템의 이해 7장 정보시스템 보안

• 왜 정보시스템은 고장, 오류, 오남용 등에 취약한가?

• 보안과 통제의 비즈니스적 가치는 무엇인가?

• 보안과 통제를 위한 조직의 프레임워크를 위한

구성요소는 무엇인가?

• 정보 자원 보호를 위한 주요 도구와 기술은 무엇인가?

7.3

페이스북을 사용하고 있나요? 조심하세요!

• 페이스북: 세계에서 가장 규모가 큰 소셜 네트워크

• 문제: 개인정보 유출과 악의적 소프트웨어 − 2009년부터 18개월 동안 해커의 공격에 의해 사용자는 패스워드와 금융정보를 훔치는 트로이목마를 다운로드 함

− 2008년 12월 쿱페이스 웜 바이러스

− 2010년 5월 이메일을 통해 로그인 정보를 훔침


7.4

• 페이스북은 사이트에 대한 위협에 대응하는

보안 팀을 운영하고 있으며 최신 보안기술을

사용하고 있지만, 해커에게 매우 매력적인

표적임.

• 설명: 소비자가 직면한 보안 공격의 유형들

• 예시: 해킹과 악성소프트웨어의 편재



7.5



교과서 그림 참고

7.6

시스템 취약성과 오남용

• 방화벽이나 안티바이러스 소프트웨어 없이 인터넷에

접속한다면 컴퓨터는 몇 초 내에 불능 상태에 빠질지도

모름

• 보안:

• 정보시스템에 대한 인증되지 않은 접속, 변조, 절도 및 무리적

침해를 방지하기 위한 정책, 절차 및 기술적 기준

• 통제:

• 조직 자산의 안정성, 회계 기록의 정확성과 신빙성, 경영 표준에

대한 운영상의 엄수성을 확보하기 위한 방법, 정책 및 조직 절차


7.7

왜 시스템은 취약한가?

• 하드웨어 문제(Hardware problems)

• 고장, 설정 오류, 부적절한 사용이나 범죄 행위에 의한 손상

• 소프트웨어 문제(Software problems)

• 프로그래밍 오류, 부적절한 설치, 허가 없는 변경

• 자연재해(Disasters)

• 전력 고장, 홍수, 화재 등

• 기업이 통제할 수 없는 네트워크와 컴퓨터의 사용

• 예: 국내외 아웃소싱 업체들



7.8

현대의 보안문제와 취약점

웹 기반 응용시스템의 구조는 보통 웹 클라이언트, 서버, 데이터베이스에 연결한 기업 정보시스템

등을 포함한다. 이들 각각의 구성요소는 보안 문제와 취약점을 가지고 있다. 홍수, 화재, 전력 고장

및 기타 전기적 문제들 역시 네트워크의 어느 지점에서든지 장애를 일으킬 수 있다.

그림 7-1



7.9

• 인터넷 취약성

• 누구에게나 개방되어 있는 네트워크

• 인터넷은 그 규모가 너무 방대해서 오남용이 발생했을 경우 엄청나게 광범위한 영향력을 가질 수 있음

• 항상 인터넷에 접속하고 있는 컴퓨터는 해커가 쉽게 확인할 수 있는 고정 인터넷 주소를 사용하기 때문에 외부 침입에 더 노출되어 있음

• 이메일 첨부파일

• 영업 비밀의 전송에 사용되는 이메일

• 인스턴트 메시징(IM)은 보안 계층을 사용하고 있지 않기 때문에 메시지가 공중 인터넷을 통해 전달되는 동안 외부인이 가로채서 볼 수 있음.



7.10

• 무선 보안 과제

• 검색하기 쉬운 라디오 주파수 대역

• SSIDs (service set identifiers)

• 와이파이 네트워크 상에서 접근점 (access point) 을 식별

• 반복적으로 송출됨

• 워 드라이빙(War driving)

• 도청자가 건물 주변이나 외부를 자동차로 배회하면서 무선 네트워크 통신을 가로채는 것

• SSID를 사용하여 접근점에 침투한 침입자는 네트워크의 다른 자원들에 접근할 수 있음

• 악성 접근점



7.11

Wi-Fi 보안 문제

그림 7-2

많은 와이파이(Wi-Fi)

네트워크는 인가

없이 네트워크

자원에 접근하기

위한 주소를

수집하는

스니퍼(sniffer)

프로그램을 사용하여

침입자가 쉽게

침투할 수 있다.



7.12

악성 소프트웨어: 바이러스, 웜(worms), 트로이 목마,

그리고 스파이웨어(spyware)

• 멀웨어(malware)

• 바이러스(viruses)

• 사용자의 인지나 허락이 없이 실행되도록 하기 위해 자신을 다른 소프트웨어 프로그램이나 데이터 파일에 첨부시키는 악성 소프트웨어 프로그램

• 웜(worms)

• 네트워크를 통해 한 컴퓨터에서 다른 컴퓨터로 자기 자신을 복사할 수 있는 독립적인 컴퓨터 프로그램

• 트로이 목마(trojan horses)

• 처음에는 회의적이지만 어느 순간 기대와는 다른 무언가를 수행하는 소프트웨어 프로그램



7.13

악성 소프트웨어: 바이러스, 웜(worm), 트로이 목마,

그리고 스파이웨어

• SQL 인젝션(injection) 공격

• 스파이웨어(Spyware)

• 사용자 웹 서핑의 감시와 광고를 위해 스스로를 은밀하게

컴퓨터에 설치하는 소형 프로그램

• 키로거(Key loggers)

• 소프트웨어 일련번호를 훔치거나 인터넷 공격을 감행하고,

암호를 갈취하기 위해 컴퓨터에서 일어나는 모든 타이핑을

기록



7.14

해커와 컴퓨터 범죄

• 해커 대 크래커(crackers)

• 활동 영역:

• 시스템 침입

• 상품과 서비스에 대한 절도

• 시스템 손상

• 사이버 파괴행위—의도적인 방해, 명예 훼손,

심지어 웹사이트나 기업 정보시스템의 파괴



7.15

• 스푸핑(Spoofing)

• 가짜 이메일 주소를 사용하거나 다른 누군가로 위장하여 그들을

실체와 다르게 보이게 하는 행위

• 원래 사용자가 방문하고자 하는 곳처럼 위장한 사이트를

이용하여 원래 주소와 다른 주소로 웹 연결을 재설정하는 행위

• 스니퍼(Sniffer)

• 네트워크를 통해 전달되는 정보를 감시하는 도청 프로그램

• 해커가 이메일 메시지, 기업 파일 등과 같은 사유정보를 훔칠 수

있도록 함




7.16

• 서비스 거부 (Denial-of-service: DoS) 공격

• 네트워크를 붕괴시키기 위해 수천 건의 잘못된 통신이나 서비스

요청을 네트워크나 웹 서버에 쏟아 붇는 공격

• 분산 서비스 거부(Distributed denial-of-service

attacks: DDoS)

• 서비스 거부(Denial of Service: DoS)를 하는 수많은

컴퓨터들을 사용

• 봇넷(Botnets)

• 봇 멀웨어에 의해 감염된 ‘좀비’ PC들의 네트워크




7.17

• 컴퓨터 범죄

• 범법 행위, 수사 및 기소를 위한 컴퓨터 기술 지식을 포함한

형사법에 대한 모든 위반 행위

• 범죄의 표적으로서의 컴퓨터:

• 보안 대상인 전산 데이터의 기밀성 침해

• 허가 없는 컴퓨터 시스템 접속

• 범죄의 수단으로서의 컴퓨터:

• 기업 비밀의 절도

• 위협 또는 희롱을 위한 전자메일의 사용




7.18

• 신원도용(Identity theft)

• 다른 누구가로 위장하기 위하여 개인정보(주민번호, 운전

면허증, 신용카드 번호)를 훔치는 행위

• 피싱(Phishing)

• 사용자에게 개인 기밀 데이터를 요구하는 합법적 기업의 것

처럼 보이는 가짜 웹 사이트를 구축하거나 이메일 메시지를

보내는 방법

• 이블 트윈스(Evil twins)

• 인터넷용 와이파이 접속을 제공하는 척 위장하는 무선 네트워크




7.19

• 파밍(Pharming)

• 사용자가 자신의 브라우저에 정확한 웹페이지 주소를

입력하더라도 이를 가짜 웹페이지로 방문하게 함

• 클릭 사기(Click fraud)

• 온라인 광고에 대한 사기 클릭

• 국제적 위협

• 사이버테러리즘(Cyberterrorism)

• 사이버전쟁(Cyberwarfare)




7.20

• 사례연구를 읽고 다음 문제에 대해 토의하시오.

• 사이버전쟁(cyberwarfare)은 심각한 문제인가? 왜 그런가 또는 왜 그렇지 않은가?

• 이 문제를 야기하는 경영, 조직, 기술적 요소는 무엇인가?

• 다른 사이버전쟁 공격과 스턱스넷(Stuxnet)은 어떻게 다른가? 이 기술은 얼마나 심각한 위협을 주고 있는가?

• 이 문제를 위한 해결책은 무엇인가? 이 해결책들이 효과적이라 생각하는가? 왜 그런가 또는 왜 그렇지 않은가?

사례연구: 스턱스넷(Stuxnet)과 사이버전쟁의 변화



7.21

내부 위협: 직원

• 보통 기업에 대한 보안 위협은 조직 외부에서 발생한다고

생각하지만, 사실은 기업 내에서 더 심각한 보안문제가 발생

• 기업 내부의 지식

• 엉성한 내부 보안 절차

• 시스템 사용자에 대한 정보의 부재

• 사회공학(Social engineering):

• 시스템에 접근하고자 하는 악의적 침입자는 가끔 정보가 필요한

기업의 정규 직원으로 위장하여 직원이 암호를 노출시키게

속임수를 씀



7.22

소프트웨어 취약성

• 상용 소프트웨어는 보안 취약성을 유발하는 결점을 갖고

있음

• 숨겨진 버그 (프로그램 코드의 결함)

• 완벽한 테스트가 불가능하기 때문에 대형 프로그램에서

모든 버그를 제거하는 것은 사실상 불가능함

• 상용 소프트웨어의 결점은 침입자에게 네트워크를 개방할 수도

있음

• 패치(Patch)—결점을 수정하기 위한 소프트웨어의 작은

조각들

• 그러나 패치가 발표되는 시점 보다 이 취약점을 이용하려는

악의적 소프트웨어가 출현하는 시점이 더 빠름



7.23

• 보안 침해, 재해 또는 오작동 기술 때문에 운영이

불가능한 시스템은 기업의 재정 건전성에 영구적 손실을

가져올 수 있음

• 기업은 지금 그 어느 때보다 취약함

• 보안 침해는 기업의 시장가치를 하락시킬 가능성이 높음

• 부적절한 보안과 통제는 법적 책임을 불러올 수도 있음

보안과 통제의 비즈니스 가치


7.24

전자 기록 관리를 위한 법적 및 규제적 요건

• 기업은 사생활 보호는 물론 전자 기록의 유지와 저자에

대한 새로운 법적 의무에 직면하고 있음

• HIPAA: 의료 보안 및 프라이버시의 규정과 절차

• 그램-리치-브릴리 법(Gramm–Leach–Bliley Act): 이 법은

금융기관에게 고객데이터의 보안과 기밀성 확보하도록 요구

• 사베인스-옥슬리 법(Sarbanes–Oxley Act): 이 법은 내부용과

외부 공개용으로 사용하는 재무 정보의 정확성과 통일성을

보장할 책임을 기업과 그 경영진에게 부과



7.25

전자적 증거와 컴퓨터 포렌식스(forensics)

• 공무원이나 회사원의 부정행위에 대한 대부분의

증거들은 디지털 형식

• 이메일, 인스턴트 메시지, 전자상거래는 물론 컴퓨터에 저장된

데이터

• 법적 개시 요청에 응답할 때, 적절한 데이터의 관리는

시간과 돈을 절약할 수 있음

• 컴퓨터 포렌식스:

• 정보가 법정에서 증거로 사용될 수 있도록 컴퓨터 저장 매체에

남아있거나 추출 가능한 데이터를 과학적 수집, 조사, 인증, 보존

및 분석하는 것

• 보이지 않는 앰비언트(ambient) 데이터의 복구를 포함



7.26

보안과 통제를 위한 체계 구축

• 정보시스템 통제

• 일반통제

• 컴퓨터 프로그램의 설계, 보안 및 사용과 기업의

정보 기술 인프라 전반에 걸친 데이터 파일의

보안을 관리

• 모든 전산 응용시스템에 적용

• 전체 통제 환경을 이루는 하드웨어, 소프트웨어 및

수작업 절차의 조합으로 구성


7.27


• 일반통제의 타입

• 소프트웨어 통제

• 물리적 하드웨어 통제

• 컴퓨터 응용 통제

• 데이터 보안 통제

• 시스템 프로세스 설치에 대한 통제

• 관리적 통제


7.28


• 응용통제

• 급료 지급 처리나 주문 처리와 같은 전산 응용시스템

각각에 따른 특정 통제

• 자동 및 수동의 절차 포함

• 각 응용시스템이 오로지 허가된 데이터를 완전하고

정확히 처리하도록 보장

• 구성:

• 입력 통제

• 프로세스 통제

• 출력 통제


7.29


• 위험도 평가

• 만약 특정 활동이나 프로세스가 적절히 통제되고 있지 않다면

그 기업의 위험수준 파악해줌

• 위험요인

• 연간 발생 확률

• 손실 규모의 범위/평균

• 연간 예상 손실 규모


교과서 표 참고

7.30


• 보안 정책

• 정보 위험도의 순위화

• 수용 가능한 보안 목표 식별

• 목표 달성을 위한 방법의 식별 명세서

• 그 밖의 정책

• 이용목적 제한방침 (AUP)

• 허가 정책

• 신원관리 조항


7.31


• 신원관리

• 시스템의 사용자 신원확인을 위한 비즈니스

프로세스와 소프트웨어 도구

• 시스템 사용자와 접근에 대한 분류체계와 규칙

생성

• 서로 다른 사용자 수준에 대한 접근 규칙


7.32

인사관리 시스템을 위한 접근 규정

그림 7-3

이 두 예제는 인사관리

시스템에서 흔히

발견할 수 있는 두 개의

보안 프로파일이나

데이터 보안 유형을

보여주고 있다. 보안

프로 파일에 따라

사용자는 조직 내의

다양한 시스템, 구역,

데이터에 대한 접근에

있어 특정 제한을 받게

된다.



7.33


• 재난복구계획: 컴퓨터와 통신 서비스가 중단된 후의 복구

계획을 수립

• 비즈니스 연속성 계획: 재난이 발생한 후 기업이

비즈니스 업무를 재가동할 수 있는지에 초점

• 기업에 핵심적인 비즈니스 프로세스를 결정하기 위해 두 가지 계획

수립

• 시스템의 정지가 기업에 가져올 영향을 파악하기 위한 비즈니스 영향

분석

• 시스템이 정지된 상태에서 기업이 최대 얼마나 생존할 수 있는지와

기업의 어느 부분을 가장 먼저 복구해야 하는지를 결정

재난 복구 계획과 비즈니스 연속성 계획


7.34


감사의 역할

• 경영정보시스템 감사 (MIS audit)

• 개별 정보시스템을 관리하는 통제 요소는 물론 기업의 전반적인

보안 환경도 검토

• 기술, 절차, 문서화, 훈련, 인력에 대해 점검

• 외부의 공격이나 재해에 대한 기술, 정보시스템 요원, 직원 등의

대응을 점검하기 위해 모의실험을 수행하기도 함

• 모든 통제 취약점을 목록화하고 순위를 매기며 그 발생

가능성을 추정

• 각 위협 요소의 재정적 조직적 영향을 평가


7.35

감사자의 통제 취약점 목록 예시

그림 7-4

이 도표는 감사자가 지역

시중 은행의 대출

시스템에서 발견 할 수도

있는 통제 취약점 목록 의

예시 페이지이다. 이러한

양 식은 감사자가 통제

취약점을 기록하고

평가하는 것을 도와 주며

경영진이 대응한 어떤 정

정 지시는 물론 경영진과

취약 점에 대해 논의한

결과도 보여 준다.



7.36

신원관리와 인증

정보 자원 보안을 위한 기술과 도구

• 인증

• 패스워드

• 토큰

• 스마트 카드

• 생체 인증

• 지문, 홍채, 음성


7.37

• 방화벽:

• 인가 없는 사용자가 네트워크에 접근하는 것을 막는

하드웨어와 소프트웨어로 구성

• 기술 포함:

• 패킷 필터링 (Packet filtering)

• 정상 상태 검사 (Stateful inspection)

• NAT (Network address translation)

• 응용 프록시 필터링 (Application proxy filtering)

방화벽, 침입 탐지 시스템 그리고 안티 바이러스

소프트웨어



7.38

기업 방화벽

그림 7-5

방화벽은 인가받지

않은 통신

트래픽으로부터

기업의 사설

네트워크를 보호하기

위하여 기업의 사설

네트워크와 공공

인터넷이나 다른

신뢰할 수 없는

네트워크 사이에

위치한다.



7.39

• 침입탐지시스템:

• 기업 네트워크의 가장 취약한 지점이나 핫스팟(hot

spot)에 위치하여 상시 감시할 수 있는 기능

• 현재 진행 중인 보안 공격을 발견하면 이를 조사

• 안티바이러스와 안티스파이웨어 소프트웨어:

• 컴퓨터 바이러스의 존재를 확인하기 위해 시스템과

드라이브를 검사할 수 있도록 설계

• 지속적 업데이트 필요

• 통합 위협 관리시스템



7.40

• WEP 보안 강화 방안:

• 가동 설정

• 네트워크의 SSID의 특이한 이름 설정

• VPN 기술과 함께 사용

• 와이파이 연합(Wi-Fi Alliance)은 더 강력한 보안 표준으로 WEP을

대체할 WAP2 기술명세 최종 승인

• 지속적으로 키 변경

• 중앙 인증 서버에도 암호화된 인증 시스템 채택

무선 네트워크 보안



7.41

• 암호화:

• 단순 텍스트나 데이터를 송신자와 수신 예정자 외의

다른 사람이 읽을 수 없는 암호문으로 바꾸는 과정

• 네트워크 통신 트래픽을 암호화하기 위한 두 가지

주요 방법

• SSL (Secure Sockets Layer) 과 TLS (Transport Layer

Security)

• S-HTTP (Secure Hypertext Transfer Protocol)

암호와 공개 키 인프라



7.42

• 암호화 방법의 두 가지 대안

• 대칭 키 암호화

• 송수신자 모두 같은 키 공유하는 방식

• 공개 키 암호화

• 공개용, 비밀용의 두 가지 키를 사용

• 송신자는 수신자의 공개 키로 메시지를 암호화

• 수신자는 해독을 위해 자신의 비밀키 사용

암호와 공개 키 인프라



7.43

공개 키 기반 암호화

그림 7-6

공개 키 암호화 시스템은 데이터를 전송할 때는 잠그고 수신할 때는 여는 공개 키와 비밀

키의 시리즈로 볼 수 있다. 송신자는 수신자의 공 개 키를 디렉터리에서 찾고 메시지를

암호화할 때 이를 사용한다. 메시지는 인터넷이나 사설 네트워크를 통해 암호화된 형식으로

전송된다. 암호화된 메시지가 도착하면 수신자는 데이터를 해독하고 메시지를 읽기 위해

자신의 비밀 키를 사용한다.



7.44

• 전자인증서:

• 온라인 거래의 보호를 위해 사용자의 신원과 전자 자산의

고유성을 확립하기 위해 사용하는 데이터 파일

• 사용자의 신원을 입증하기 위해 인증기관(certification

authority: CA) 사용

• 인증기관은 사용자의 신원 확인, 이 정보가 인증기관 서버로

입력되면 서버는 소유자 신원 정보와 공개 키 사본을 담고

있는 암호화된 전자인증서를 만들어 줌

• 공개 키 인프라 (PKI)

• 인증기관과 함께 운영되는 공개 키 암호화

• 전자상거래에서 가장 널리 사용



7.45

전자 인증서

그림 7-7

전자인증서는 사람

또는 전 자적 자산의

고유성을 확립 하도록

돕는다. 전자인증서

는 안전하고 암호화된

온라 인 통신 방법을

제공하여 온 라인

거래를 보호하고

있다.



7.46

• 온라인 거래 처리는 정지시간 없이 100%의 가용성을

요구함

• 내결함성 컴퓨터 시스템

• 지속적 가용성, 예) 주식시장

• 지속적이고 중단 없는 서비스를 제공하는 환경을 만들기 위한

여분의 하드웨어, 소프트웨어, 전력 공급장치 등으로 구성

• 고가용성 컴퓨팅

• 시스템의 고장을 빨리 복구하도록 지원

• 시스템 정지시간을 최소화 하기 위함

시스템 가용성의 확보



7.47

• 복구지향형 컴퓨팅

• 신속하게 복구가 가능한 시스템의 설계와 운영자가 다중 요소

시스템의 고장 원인을 정확하게 파악하고 쉽게 정정 할 수

있게 돕는 기능과 도구의

• 네트워크 통신 트래픽의 통제

• DPI (Deep packet inspection) (영화와 음악 다운로드

블로킹)

• 보안 아웃소싱

• 보안 관리 서비스 업체 (Managed security service

providers: MSSPs)

시스템 가용성의 확보



7.48

클라우드 컴퓨팅과 모바일 디지털 플랫폼의 보안 이슈


• 클라우드 컴퓨팅에서의 보안 • 광범위하게 분산된 컴퓨팅, 불법적 행위 추적을 더 어렵게 만듦

• 클라우드 고객은 클라우드 업체로 하여금 자신의 기업 데이터를

다른 기업 데이터로부터 격리시키게 하는 방법을 찾고 암호화

방식이 확실한지 증명하도록 요구해야 함

• SLAs (Service level agreements)

• 모바일 플랫폼의 보안 • 모든 기기의 사용을 인가할 수 있는 모바일 관리 도구

• 클라우드 고객은 클라우드 업체로 하여금 자신의 기업 데이터를

다른 기업 데이터로부터 격리시키게 하는 방법을 찾고 암호화

방식이 확실한지 증명하도록 요구해야 함


7.49

• 소프트웨어 메트릭: 계량화된 측정 형식의 객관적인 시스템 평가

방식, 예를 들어 다음의 사항을 포함

• 거래의 수

• 온라인 응답 시간

• 시간당 출력한 급여 수표의 수

• 프로그램 코드 100라인당 발견한 버그 수

• 초기의 정기적인 테스팅

• 워크스루: 테스트 특정 목록에 필요한 기술에 근거하여 세심하게

발탁한 소규모 전문가 집단에 의한 검토

• 디버깅: 오류 원인 제공 소스 확인 후 제거

소프트웨어 품질 확보



7.50

사례연구: 해킹 당한 MWEB BUSINESS

• 사례연구를 읽고 다음의 질문에 답하라:

• 어떤 기술적 문제가 MWEB의 보안 침해를 초래하였는가?

• 이러한 보안 침해가 MWEB과 고객 모두에게 미치는 비즈니스

영향은 무엇인가?

• 만약 당신이 MWEB의 고객이라면 MWEB의 보안 침해에 대한

대응을 수용할 수 있다고 생각하는가? 왜 그런가 또는 왜 그렇지

않은가?

• MWEB은 유사한 사고를 방지하기 위해 앞으로 무엇을 해야 하는가?



정보시스템contents.kocw.net/KOCW/document/2015/wonkwang/... · 2016-09-09 · 7.8 현대의...

Documents

Transcript of 정보시스템contents.kocw.net/KOCW/document/2015/wonkwang/... · 2016-09-09 · 7.8 현대의...