[K-Shield][Jr] 정보 보안

정보 보안 이란 조직이나 개인이 보유한 정보 자산을 무단으로 접근, 사용, 공개, 파괴, 변조 또는 손실로 부터 보호하기 위한 전략, 절차, 기술을 의미한다.

 

구분	설명
자산(Assets)	보호해야 할 가치가 있는 모든 항목 - 물리적 문서, 디지털 파일, 데이터베이스, 시스템, 네트워크 등 정보가 저장되거나 처리되는 모든 매체 - 정보 자산의 가치는 정보를 사용할 수 있는 권한이 누구에게 있는지, 정보가 얼마나 중요한지에 따라 결정
위협(Threats)	정보 자산에 해를 끼칠 수 있는 모든 행위나 사건 - 자연 재해, 기술적 실패, 공격( 해킹, 악성코드 배포 등 )으로 부터 발생 - 위협은 의도적이지만, 실수나 사고로 인해 발생하기도 한다.
취약점(Vulnerability)	정보 시스템, 절차, 운영상의 약점이나 결함으로, 취약점을 통해 위협이 자산에 해를 끼치는 것을 가능하게 함 - 소프트웨어 버그, 구성 오류, 물리적 보안의 결핍 등 다양한 형태로 존재   - 어플리케이션 익스플로잇, 스푸핑 공격, 인증 우회 등 - 사용자의 보안 인식 부족도 포함   - 스피어피싱, 인증 우회, 스미싱, 보이스 피싱 등
위험(Risk)	외부의 위협이 내부의 취약점을 이용하여 보유한 자산에 피해를 입힐 수 있는 잠재적인 가능성 - 위험 관리는 위험 식별, 평가, 완화 과정을 포함하며, 정보보안 전략의 핵심 요소임

 

📌  정보보안 3요소(CIA Triads)

• 정보보안을 통해서 C.I.A를 확보 해야 한다.
• C( Confidentiality, 기밀성 ), I( Integrity, 무결성 ), A( Availability, 가용성 )

 

📑  기밀성( Confidentiality )

• 허가되지 않은 사용자 또는 객체가 정보의 내용을 알 수 없도록 하는 것을 말한다.
• 오직 인가된 사람, 인가된 프로세스, 인가된 시스템만 알 필요성에 근그하여 시스템에 접근해야 한다.
• 내용과 존재 자체도 완벽한 기밀을 유지 하는 것이 좋다.
  • 친구와 개인적으로 채팅을 하고 있을 때, 해당 채팅방은 외부인에 의해 무단으로 접근되거나 공개되어서는 안됨

 

📑  무결성( Integrity )

• 허가 되지 않은 사용자 또는 객체가 정보를 함부로 수정할 수 없도록 하는 것을 말한다.
• 정해진 절차에 따라, 주어진 권한에 의해서만 변경되어야 한다.
• 즉, 데이터 또는 리소스의 신뢰성을 확보하는 것이다.
• 데이터를 조작한 사람이 신뢰할 수 있는 사람인가도 중요하다.
  • 내가 보낸 채팅 정보가 외부인에 의해 변조되어서는 안됨

 

📑  가용성( Availability )

• 허가된 사용자 또는 객체가 정보에 접근하려 하고자 할 때 이것이 방해받지 않도록 하는 것을 말한다.
• 정당한 방법으로 권한이 주어진 사용자에게 정보 서비스를 거부하여서는 안된다
• 즉, 정보나 리소스에 원할 때마다 접근할 수 있는가에 대한 것이다.
  • 예시) 언제든지 채팅을 하고 싶을 때, 채팅을 할 수 있어야 함

 

📌 Balance of C.I.A

C.I.A가 완벽하게 지켜지면 좋지만 현실은 그렇치 않다.
균형을 잘 갖추어 주는 것이 중요하다.

 

💡 무결성을 극대화 했을 경우

• 모든 사본을 다른 사람들과 공유한다. ( 기밀성이 보장되지 않음 )
• 데이터가 업데이트 될 때마다 사본을 공유해야 한다. ( 가용성이 침해됨 )
• 블록체인이 위와 같은 구조로 이루어져 있다.

 

💡 기밀성을 극대화 했을 경우

• 아무도 볼 수 없는 나만의 데이터를 가질 경우
• 기기를 네트워크로 부터 분리 하게 된다. ( 가용성이 사라지게 됨 )
• 데이터에 대한 업데이트 정보를 알 수 없다. ( 데이터에 대한 무결성을 판별하지 못함 )