컴퓨터 보안 입문

소개글

컴퓨터 보안 입문에 대한 보고서 자료입니다.

목차

Ⅰ. 소개와 개요
제 1 장 소개
제 2 장 컴퓨터 보안 요소들
제 3 장 임무와 책임
제 4 장 일반적인 위협에 대한 개요

Ⅱ. 관리 통제
제 5 장 컴퓨터 보안 정책
제 6 장 컴퓨터 보안 프로그램 관리
제 7 장 컴퓨터 보안 위험 관리
...

본문내용

한 사람정도 임을 추정했다. 그러나 관리자 입장에서 볼때 이는 고려할 만한 것이다. 위험을 감소시키는 선택사항들을 검토한 후 가상정부기관은 이를 막기 위해 막대한 자원을 사용하는 것보다 위험에 따른 손실을 인정하는 것이 훨씬 져렴하다는 결론을 내렸다. 하지만 컴퓨터운영단은 자청해서 LAN 서버 상의 모든 PC 사용자에게 매 분기마다 백업 신호를 메일로 보내주는 자동화 프로그램을 설치했다. 더욱이 컴퓨터운영단은 가상정부기관 PC의 5%에 달하는 백업 서비스를 정규적으로 제공해주기로 동의하였는데, 이는 그들의 하드디스크에 저장된 정보를 기반으로 가상정부기관 관리팀에 의해 정해질 것이다.
20.6.4 정보 유출 및 중개 위협의 완화
가상정부기관은 정보매매 위험 노출에 관한 위험 평가의 결론에 동의하여 관련된 권고사항의 대부분을 받아들였다.
평가는 가상정부기관이 필수 재교육 과정 등 보안 인지훈련을 향상시킬 것과 몇 가지 형태의 순응감사를 만들 것을 권고했다. 훈련은 불순응시 받을 불이익에 초점을 맞추어야 한다. 또한 주어진 시간동안에 아무런 자판 입력이 없었을 때 자동적으로 PC를 멈추는 화면 잠금 장치 소프트웨어의 설치를 권고하여 화면을 풀기 위해서는 비밀번호를 입력하고 시스템을 새로 시작해야 한다.
평가는 가상정부기관이 정보처리 정책을 수정하여 직원들에게 공개 시 민감한 정보를 서버가 아닌 PC의 하드디스크나 플로피 디스크에 저장할 것을 권고했다. 이는 LAN을 통한 도청의 위험을 감소시키거나 없앨 것이다. 또한 활동기록기를 서버에 설치하고 정기적으로 검토하도록 권고되었다. 더욱이 불확실한 서버의 접근통제 기능에 불필요하게 의지하는 것을 피해야만 한다. 하지만 이러한 정책은 컴퓨터운영단 직원이 정보를 규칙적으로 백업하기 위해 서버 디스크에 대부분의 정보를 저장시키려는 욕구와 마찰을 빚을 것이라 언급했다.(물론 이것은 백업 복사본을 만들기 위해 PC 소유자 이외의 다른 누군가에게 책임을 지우는 것으로 상쇄될 수 있다) 가상정부기관 PC 사용자들의 보안 습관이 일반적으로 부족하므로 사람이 없는 PC에서 기밀 관련 정보를 비 인가자가 보는 것을 막기 위해 하드디스크 암호화 도구를 사용할 것을 권고했다. 또한 서버의 디스크에 있는 정보를 암호화하는 방법도 연구되었다.
평가는 가상정부기관이 이러한 점에서 대형컴퓨터의 보안 시스템을 완전히 검토 할 것을 권고했다. 또한 사용자가 가상정부기관 직원들의 마스터 데이터베이스에 접근했음을 알리는 기록에 특별한 주의를 갖고 대형컴퓨터의 감사기록을 규칙적으로 검토할 것을 권고했다.
20.6.5 네트워크와 관련된 위협의 완화
가상정부기관에 권고된 평가
. 전화 접속 접근 방식에 대한 식별 및 인증, 혹은 외부로 전송되는 메일에 파일을 첨부하는 것을 막기 위한 전화 접속을 위한 제한된 버전의 메일 유틸리티가 필요함
. 현재의 모뎀 풀을 암호화된 모뎀들로 대치하고 각 전화 접속 사용자에게 제공
. WAN에서 서버와 대형컴퓨터간의 통신을 위한 암호화 기능을 설치하기 위해 대형컴퓨터 기관과 공조함
이전의 위험 평가 권고에 따라서 가상정부기관의 관리팀은 위험평가에서 확인된 취약성을 제기에 대한 효과, 혜택, 비용 등의 분석을 컴퓨터운영단에게 맡겼다. 가상정부기관은 결과적으로 몇 개의 위험 평가 권고 사항들을 채택하고 다른 것들은 기각했다. 더욱이 이들은 근무일 및 시간관리 정보를 다루는 정책이 확실해지고 강화되고 정교해져야 한다는 것에 동의하였는데 이는 그러한 정책의 구현이 인터넷 혹은 전화 접속의 도청위험을 줄일 수 있다는 확신 때문이다. 즉, 가상정부기관은 사용자가 민감한 정보를 전자메일이나 다른 수단을 통해 외부로 전송하지 않도록 하기 위해 개인적인 책임을 주지하면서 수정된 정책을 발표하였다. 또한 그들이 전화 접속 세션동안에 그런 정보를 포함하는 전자메일을 보내거나 시험하는 것을 금지했으며 위반에 대한 처벌사항을 공표 했다.
20.7 요약
이 장은 이전의 장들에서 열거된 개념들 중 어느 정도가 연방기관에 어떻게 적용될 수 있는가에 대한 설명이었다. 가상정부기관에 관련한 종합적인 예가 토의되었으며, 여러 가지 개념들을 실증하는 기초로 사용되었다. 가상정부기관의 분산시스템 구조와 그 사용이 기술되었고 근무일 및 시간관리 응용프로그램이 어느 정도 자세히 다루어졌다.
내용상 몇 가지 국가와 기관단위의 정책도 참조되었다. 컴퓨터 시스템에 관한 자세한 운영 정책이나 절차들이 논의되었고 이것은 상위 정책과 관련되어 있다. 가상정부기관의 자산과 위협이 확인되었고 선택된 보안 지침의 자세한 조사와 취약성 위험 완화 방법 등이 제시되었다. 보안지침은 여러 가지 절차적이고 자동화된 기술의 다양성을 포함하고, 확인 문제, 순응, 보안 프로그램 감시, 내부 기관의 협조 등 여러 가지 문제를 설명하는데 사용되었다.
설명한대로 효과적인 컴퓨터 보안은 고위 관리 층의 확실한 방향 제시를 필요로 하고있다. 고위 관리층은 기관 구성원과 개인들에게 보안책임을 할당해야만 하며 기관의 보안 프로그램의 기초가 될 보안정책을 면밀히 검토하여 공식화 시켜야 한다. 이러한 정책들은 반드시 기관 임무의 우선 순위와 이를 충족하기 위해 필요한 사업 운영과 자산에 대한 이해를 기초로 해야한다. 또한 이 정책은 반드시 자산과 운영에 대한 실질적인 위협의 평가에 기초해야한다. 위협의 가능성에 대한 평가는 중요한 요소이다. 이러한 정책은 사실을 바탕으로 한 데이터에서 나왔을 때 가장 정확하기는 하지만 새로운 기술로 인해 영향도 반드시 고려해야한다.
좋은 보안 프로그램은 통합되어 있고 비용 효율적이며 물리적, 절차적, 자동화된 통제의 집합에 의해 결정된다. 비용 효율적인 것은 다른 잉여 위험들을 허용하는 반면 이러한 통제는 가장 큰 위험을 갖는 위협에서 사용되도록 요구된다. 통제를 적절히 그리고 일관되게 적용시키는 어려움으로 인하여 많은 보안 프로그램들이 사장되어 왔다. 이 장에서는 보증이나 순응의 부족으로 일어나는 주요 보안 취약성에 관해 많은 예를 제공하였다. 따라서 주기적인 순응감사, 통제의 효율성 감사, 위협요소의 재평가 등은 모든 기관의 보안 프로그램에서 필수 불가결한 것이다.

키워드

컴퓨터,   보안,   보안 기초,   보안 입문,   보안 정책,   보안 시작