거버넌스 위원회는 조직의 보안 기능에 대한 감독을 제공하는 동시에 보안 기능이 조직과 이해관계자 모두의 요구를 지속적으로 충족하도록 보장하는 것을 주요 목표로 하여 조직의 모든 위험을 관리하는 책임을 맡은 임원으로 구성됩니다. 그들은 진행 중이거나 계획된 프로젝트, 원격 지표 및 전체 기업과 관련될 수 있는 기타 보안 문제를 검토합니다.

모든 인수에는 고유한 상황이 발생하므로 두 조직의 보안 전문가가 함께 모여 각 조직의 보안 제어를 평가하고 중복을 제거하고 시스템의 격리를 보장하는 방법을 파악해야 합니다.

가능한 위험 지점:

대책:

•철회와 관련된 모든 자산을 식별하고 분류합니다. 여기에는 하드웨어, 소프트웨어 및 정보 자산이 포함됩니다.

•영향을 받는 시스템을 나머지 인프라에서 분리합니다.

•모든 접근권한을 검토하세요.

• 법률 및 규정 준수 팀에 문의하여 데이터 보존, 삭제 등과 관련된 모든 필수 규제 및 규정 준수 요구 사항을 준수하고 있는지 확인하세요.

최고 정보 보안 책임자(CIO)는 조직 내 정보 보안 프로그램의 전반적인 관리 및 감독을 담당하는 고위 간부입니다.

최고 정보 보안 책임자(CIO)는 조직의 보안 전략과 비전을 주도하고 궁극적으로 회사 시스템과 정보의 보안을 책임집니다.

CSO는 조직 내 고위 간부이며 일반적으로 모든 물리적 보안 및 개인 보안 문제를 담당합니다.

많은 조직에서 CSO의 책임을 CISO의 역할로 통합했습니다.

보안 위협을 예방, 감지, 감소 또는 대응하기 위해 조직에서 사용하는 기술적, 운영적 또는 관리적 보호 조치입니다.

기술적 통제: 방화벽, I1DS/PS, 데이터 손실 방지(DLP) 등 시스템 기반 보호 및 대응책 •

운영 통제: 경비원 등 주로 사람이 수행하는 보호 조치 및 대응 조치입니다.

관리 통제: 정보 보안 위험을 통제하기 위한 정책, 절차 및 기타 대책을 포함합니다.

주의의 원칙은 정보의 기밀성, 무결성 및 가용성 유지를 포함하여 정보 보안을 보호하기 위한 합리적이고 신중한 행동을 의미하며 모든 사람에게 적용됩니다. 이 원칙은 정보 보안에 대한 전문 지식 수준에 관계없이 모든 개인이나 조직에 적용됩니다.

실사는 합리적인 보안 조치가 구현되고 효과적으로 작동하는지 확인하기 위해 정보 보안에 취해지는 일련의 조치를 의미합니다. 여기에는 공식적인 보안 프레임워크 개발, 보안 정책, 표준, 기준선, 지침 및 절차 개발 등이 포함됩니다. 이와 관련하여 실사를 수행하는지 확인하는 것은 고위 경영진의 책임입니다.

1987년 미국 의회를 통과한 후 FISMA로 대체되었습니다.

연방 정보 보안 관리법에 따라 이러한 기관에 정보 서비스를 제공하는 모든 미국 연방 정부 기관 및 비정부 조직은 NIST 위험 관리 프레임워크(RMF)에 따라 위험 기반 보안 평가를 수행해야 합니다.

상장회사의 자금조달에 관한 규정

결제 카드 산업 규정

시스템 및 조직 제어를 나타내며 일반적으로 사용되는 세 가지 SOC 감사 및 보고 유형(SOC1, SOC2 및 SOC3)이 포함된 감사 프레임워크입니다.

SOC1: 재무제표 관련 감사

SOC2: 자세한 감사 및 규정 준수 보고서는 일반적으로 대중에게 공개되지 않습니다.

SOC3: 대중에게 제공되는 SOC2의 단순화된 버전입니다.

개인 정보 보호 요구 사항은 정보 처리 과정에서 개인 정보의 보안 및 기밀성을 보호하고 개인 정보에 대한 접근을 승인된 당사자의 승인된 사용 범위로 제한하는 것을 의미합니다. 본질적으로 프라이버시란 개인의 프라이버시 권리를 보호하기 위해 개인 식별 정보를 보호하는 것을 의미합니다.

1.4.2.1PII

사이버 범죄는 컴퓨터나 인터넷과 직접적으로 관련된 범죄 행위를 의미하며 주로 다음과 같습니다.

데이터 유출은 사이버 범죄자가 허가 없이 정보에 접근하거나 도난당하는 특별한 유형의 사이버 범죄입니다. 데이터 침해로 피해를 입은 조직은 명예 훼손, 신원 도용 사고, 벌금 또는 도난으로 인한 지적 재산 손실을 당할 수 있습니다. 암호화는 데이터 침해로부터 조직을 보호하는 간단한 방법입니다.

컴퓨터 사기 및 남용법(CFAA): 사이버 범죄를 겨냥한 미국 최초의 형법으로, 다양한 유형의 해킹을 연방 범죄로 규정합니다. CFAA 개정안은 저항에 부딪혔습니다.

전자통신개인정보보호법(ECPA): 미국 정부가 통신을 가로채고 정보를 저장하는 것을 제한하며, 정부는 전자 통신에 대한 수색 영장을 받기 위해 엄격한 요구 사항을 충족해야 합니다.

신원 도용 및 억제 추정법: 개인의 가치를 도용하는 것을 연방 범죄로 규정합니다.

소프트웨어는 지적 재산의 중요한 형태입니다. 조직에서는 소프트웨어를 개발하고 라이선스 계약을 통해 소프트웨어를 보호하는 데 상당한 재정 및 인적 자원을 투자합니다. 라이선스 계약에는 네 가지 일반적인 유형이 있습니다.

정보 보안 전문가의 매우 중요한 책임은 조직에 속한 지적 재산을 무단 사용이나 공개로부터 보호하는 것입니다.

1.저작권

2.상표

3.특허

4. 영업비밀

무기거래규정(TAR)은 국방물자품목과 관련된 모든 것입니다.

EAR(수출 관리 규정)은 민감한 전자 장치 및 컴퓨터, 레이저, 네비게이션, 해양 기술 등을 포함한 다양한 기술 범주를 다루고 있습니다.

1. "개인정보보호법"

2. 건강 보험 이전 및 책임에 관한 법률(HIPAA)

3.아동온라인개인정보보호법(COPPA)

4. 금융서비스현대화법(GLBA)

5. 경제적 및 임상적 건강을 위한 건강정보기술(HITECH)법

1. 《데이터 보호 지침(DPD)》

2. 일반 데이터 보호 규정(GDPR)

3. "세이프 하버(Safe Harbor)" 및 "프라이버시 쉴드(Privacy Shield)"는 미국과 유럽연합 간의 개인정보 보호 계약으로, 둘 다 만료되었습니다.

문제의 근본 원인을 찾고 이를 해결하여 비즈니스가 정상적인 운영을 재개할 수 있도록 조직 내에서 조사하는 것입니다.

보안 정책은 조직의 장기적인 보안 기대치를 매우 신중하게 설명하고 조직의 정보 시스템 및 데이터 보호를 관리하는 원칙과 규칙을 식별하는 일련의 진술입니다.

•정책 준수는 필수이며 정책은 일반적으로 조직의 최고 수준에서 승인됩니다.

몇 가지 일반적인 보안 정책: 허용 가능한 사용 정책, 액세스 제어 정책, 변경 관리 정책, 원격 액세스 정책, 재해 복구 정책

보안 표준은 조직이 승인한 암호화 프로토콜, 데이터가 저장되는 위치, 구성 매개변수, 기타 기술 및 운영 세부 사항 등 조직이 따라야 하는 보안 제어의 특정 세부 사항을 지정합니다. 복잡한 구성 표준의 경우 Center for Internet Security에서 제공하는 보안 구성 가이드와 같은 업계 표준을 사용하는 경우가 많습니다.

안전기준 준수는 필수입니다. 보안 기준은 시스템, 네트워크 또는 장치에 대한 최소 보안 수준을 설정하는 표준과 관련되어 있습니다. 기준 요구 사항이 충족되지 않으면 온라인 상태가 될 수 없습니다.

안전 절차는 직원이 특정 안전 작업을 수행할 때 따를 수 있는 단계별 지침입니다.

가이드는 보안 전문가가 정보 보안 모범 사례를 포함하여 조직의 다른 구성원에게 조언을 제공하는 곳입니다. 안전 지침을 준수하는 것은 선택 사항입니다.

1. BC 프로젝트 팀, 범위 및 예산을 수립하는 것부터 시작하세요.

2. 다음을 포함한 중요한 비즈니스 기반(CBF) 및 기타 필수 비즈니스 요소를 식별합니다.

삼. 주요 사업에 대한 리스크 분석 수행:

1. 최대 허용 가능한 가동 중지 시간(MTD) 또는 최대 허용 가능한 가동 중지 시간(MAO)은 중요한 비즈니스 기능을 사용할 수 없는 총 시간을 나타냅니다. MTD는 조직의 CBF가 제대로 작동하도록 하는 궁극적인 책임이 있는 시스템 소유자가 결정해야 합니다.

2. RTO(복구 시간 목표)는 허용할 수 없는 비즈니스 결과를 방지하기 위해 가동 중단 후 중요한 비즈니스가 재개되어야 하는 최대 기간입니다. RTO는 MTD보다 작거나 같아야 합니다.

3. RPO(복구 시점 목표)는 허용 가능한 데이터 손실을 측정한 값으로, 기간으로 표시됩니다.

비즈니스 연속성 계획은 조직의 중요한 비즈니스 기능과 고객을 보호하고 조직이 지정된 서비스 수준 및 기간 내에서 효과적으로 운영되어 법적 및 규제 요구 사항은 물론 MTD, RTO 및 RPO 세트를 충족할 수 있도록 설계되었습니다. 조직에 의해.

비즈니스 연속성 계획 BCP 단계

중요한 비즈니스 기능

위협, 취약점 및 위험

데이터 백업 및 복구 계획

FBCP 관련 인력

의사소통 계획

BCP 테스트 요구 사항

긴급 상황 발생 시 조직 내부와 외부 사람들의 안전을 보장하는 것이 BCP의 주요 목표입니다. 직원들이 비상 상황 시 대처 방법을 알 수 있도록 적절한 훈련과 교육을 제공합니다.

중요한 비즈니스 기능을 평가하고 재해 발생 시 필요한 리소스를 결정합니다. 지속적인 운영을 보장하기 위해 중요한 데이터 처리 시설 및 기능에 대한 백업 사이트 계획을 개발합니다.

소프트웨어 및 하드웨어 오류를 예측하고 위험을 줄이기 위한 제어 기능을 개발합니다. 전력, 물, 통신 및 네트워크 연결과 같은 인프라를 포함하여 데이터 백업 및 중복 시스템을 구현합니다.

교육 배경

업무 경험

-시민권

-범죄 기록

약물 테스트

등급

신용 및 재무 이력

소셜 미디어 활동

참고: 외국계 기업은 일반적으로 신체검사(일반 신체건강검진)에 관심을 기울이지 않습니다.

가장 일반적인 직원 계약은 비공개 계약(NDA)과 비경쟁 계약(NCA)입니다.

1• 비공개 계약(NDA)

2 • 비경쟁 계약(NCA)

NDA 및 NCA 외에도 직원은 AUP(허용 가능한 사용 정책), 행동 강령 또는 이해 상충 정책과 같은 조직의 다른 요구 사항에 서명해야 할 수도 있습니다.

입사 후에는 먼저 고용 계약을 체결해야 하며, 직위에 따라 NDA(비공개 계약) 및 NCA(비경쟁 계약)에 서명해야 할 수도 있습니다. 위치. 그런 다음 조직 문화, 전략, 프로세스, 기술 등을 포함하여 직원에게 교육을 제공합니다.

관리자는 직원의 직위 전반에 걸쳐 각 직원의 직무 설명, 작업, 권한 및 책임을 정기적으로 검토하거나 평가하여 직위의 요구 사항을 충족하는지 확인해야 합니다.

•권한 크리프(권한 드리프트): 직원의 업무 내용이 증가함에 따라 직위 요구 사항을 초과하는 권한을 획득할 수 있습니다.

• 의무 휴가: 직원에게 1~2주 동안 직장을 떠나도록 요구하고 학대, 사기 또는 과실을 적발하기 위해 다른 직원으로 교체합니다.

•담합: 적발 위험이 높기 때문에 업무 분리, 강제 휴가, 직무 순환, 교차 교육 등의 조치를 통해 직원이 불법적이거나 폭력적인 계획에 협력할 가능성을 줄입니다.

•UEBA(사용자 및 엔터티 행동 분석): 인력 관리 계획을 최적화하는 데 도움이 되는 사용자 및 엔터티 분석입니다.

직원이 퇴사할 경우 다음 사항에 주의해야 합니다.

공급업체, 컨설턴트, 계약업체 계약 및 통제 여러 단체나 조직이 프로젝트에 참여할 때 다자간 위험이 존재합니다. 서비스 수준 계약(SLA)은 공급업체의 제품 또는 서비스 수준이 기대치를 충족하지 못할 경우 서비스 품질을 보장하기 위해 보상을 제공합니다. 공급업체, 컨설턴트 및 계약업체를 아웃소싱이라고도 합니다. 또한 조직은 공급업체 관리 시스템(VMS)을 통해 아웃소싱 관리의 효율성을 향상시킬 수 있습니다.

개인 보안 관리는 PCI DSS와 같은 법적 및 규제 요구 사항을 충족해야 합니다.

인사 보안 관리는 GDPR과 같은 개인 정보 보호 정책의 요구 사항도 충족해야 합니다.

직원들에게 정보를 보호하고 위협으로부터 보호할 의무가 있음을 상기시키고, 그들의 행동이 면밀히 조사될 수 있다는 점을 인식해야 합니다.

재할당 시 더 이상 필요하지 않은 접근 권한을 제거하고, 최소 권한의 원칙을 따릅니다.

사직은 자발적인 사직과 비자발적인 사직으로 구분됩니다. 직원이 좋은 조건으로 퇴사하는 경우 조직의 이직 절차를 거치면 충분합니다.

비자발적인 분리인 경우 조직의 자산을 보호하기 위해 적절한 조치를 취해야 합니다.

•인터뷰 종료, 서명된 NDA 및 기타 관련 계약 알림

• 직원 해고 통보 및 이직 체크리스트 점검을 실시하면서 시스템 접근을 차단한다.

•해고된 직원은 더 이상 조직에 들어갈 수 없음을 나머지 직원에게 알립니다.

분리 체크리스트에는 액세스 권한 취소, 키, 배지, 장비 및 문서 복구가 포함됩니다.

-접근 제어 구현

문서 교환 구두 검토

유지 관리 후크(백도어) 관리 및 모니터링

현장평가 실시

프로세스 및 정책 검토

서비스 수준 계약 개발

•직원 교육: 정책 준수를 보장하기 위해 직원 및 기타 관련 인력에게 초기 및 반복 교육을 제공합니다.

•보안 인식: 정보 보안에 대한 관심과 이해를 향상시킵니다.

•직무 관련 교육 : 직원의 직무 요구 사항에 따라 구체적인 교육을 제공합니다.

•정책 결과를 명확하게 합니다. 징계 조치, 정학 또는 해고와 같은 비준수로 인한 잠재적 결과를 정책에 명시합니다.

•법률 및 규정 준수: 조직 정책이 해당 법률, 규정 및 기타 법적 의무를 준수하는지 확인합니다.

•정책 일관성: 조직의 요구 사항, 통제 및 절차는 정책과 일치해야 합니다.

•최소화 원칙: 적법한 채용 절차를 완료하는 데 필요한 정보만 수집합니다.

• 접근 제한: 해당 정보를 알아야 하는 사람에게만 접근을 제공합니다.

•암호화 사용 : 비정상적인 채널을 통해 정보가 읽히는 것을 방지하기 위해 암호화 기술을 최대한 사용합니다.

•내재적 위험은 통제 조치가 시행되기 전에 존재하는 위험입니다.

•잔류 위험은 통제가 시행된 후에도 남아 있는 위험 수준입니다.

해커, 불만을 품은 직원, 자연재해 등 의도적으로 또는 의도하지 않게 자산의 보안을 침해할 수 있는 개인 또는 단체입니다.

시스템의 약점이나 취약점을 위협 행위자가 악용할 경우 위험이 발생할 수 있습니다.

자산은 사람, 재산, 정보 등 가치 있는 모든 것을 의미합니다.

위험은 위협, 취약성 및 자산의 교차점입니다. 위험 평가는 잠재적인 위협과 취약성을 식별하고 식별된 취약성을 악용하는 위협의 영향과 가능성을 결정하는 것을 포함하는 일련의 활동입니다.

1. 위험 식별: 자산과 조직에 대한 가치 식별

2. 위험 분석: 위협이 취약점을 악용할 가능성을 판단합니다.

3. 위험 평가: 이러한 잠재적 위협이 비즈니스에 미치는 영향을 판단합니다.

4. 위험 처리: 위협의 영향과 대응 비용 간의 경제적 균형을 제공합니다.

이는 조직의 자산을 식별하고 해당 자산의 가치를 결정한 다음 자산에 위험을 초래하는 취약성과 위협을 식별하고 설명하는 것부터 시작됩니다.

위험 분석은 취약성 평가 및 위협 분석으로 시작하여 위험 발생 가능성을 계산하고 영향에 따라 순위를 매깁니다.

1.10.2.4.1 정성적 위험 분석

1.10.2.4.2 정량적 위험 분석

위험에 기여하는 활동이나 기술을 중지하거나 제거하여 식별된 위험을 제거합니다.

정책적, 기술적 조치를 시행하여 위험으로 인해 발생할 수 있는 피해를 줄입니다.

리스크 할당(Risk Assignmen0)이라고도 하며, 리스크와 관련된 책임과 잠재적 손실이 제3자에게 이전됩니다.

일반적인 방법: 보험에 가입하세요.

위험을 회피, 완화 또는 이전하는 데 드는 비용이 실현된 위협으로 인해 예상되는 손실을 초과하는 경우 위험을 수용하는 것이 선택 사항이 됩니다.

•인사 관련:

•경영관련

•관련 기술:

•물리학 관련:

위험 대책의 효율성을 보장하기 위해 예방, 탐지, 수정의 관점에서 인식을 조사합니다. 예를 들어 암호화로 특정 위험을 해결할 수 없는 경우 백업을 고려하는 등 다른 접근 방식을 시도해 보세요.

보안 조치 비용이 보호되는 자산의 가치에 상응하는지 확인하십시오.

잘못된 사용으로 인한 위험 증가를 피하기에는 대응책의 구현 및 사용이 너무 어려운지 고려하십시오.

•예방 : 방화벽, 시스템 백업, IPS 등의 사고가 발생하지 않도록 예방합니다.

•탐지: 1DS와 같은 이벤트 활동 및 잠재적인 침입자를 식별합니다.

•수정: 패치 등 사고가 발생한 후 구성요소나 시스템을 수리하는 것입니다.

• 위협: 울타리, 경찰견과 같은 잠재적인 공격자를 설득합니다.

•복구: 시스템 및 데이터 백업, 재해 복구 사이트 등 환경을 정상적인 작동 상태로 되돌립니다.

•보상: 대체 통제 조치를 제공합니다.

• 검사: 평가자는 일반적으로 조직에 검토, 검토, 관찰, 연구 또는 분석을 위한 보안 정책, 구성 파일 등의 목록을 제공하고 예비 의견을 형성하도록 요구합니다.

•인터뷰: 평가자는 주요 이해관계자와 만나 현재 시행 중인 보안 통제와 그 운영 방식에 대해 자세히 알아봅니다.

. 테스트: 테스트를 통해 보안 제어가 문서화된 대로 구현되고, 효과적이며, 예상대로 작동하는지 확인합니다.

내부 감사(예: 자체 평가)

•외부 감사(예: 규제 기관 또는 기타 제3자 감사)

•조직의 위험 프로필에 중요한 변화가 있습니다.

•보안 또는 개인 정보 보호 제어에 대한 주요 변경 사항

•관련되거나 확인된 보안 침해(또는 기타 사고)

일반적으로 5가지 수준으로 구성됩니다.

NIST800-37Rev.2의 위험 관리 프레임워크(RMF)의 6단계:

위협 모델링을 일찍 수행할수록 비용 효율성이 높아집니다. 일반적으로 다음 세 가지 측면에서

1.

2.

삼.

4. DREAD(손상, 복제 가능성, 악용 가능성, 영향을 받는 사용자, 발견 가능성으로 인한 취약성의 더 이상 사용되지 않는 정량적 위험 순위)

5. 기타 위협 모델링 방법

•신원 스푸핑

•데이터 변조(Tampering with data)

•포기

•정보 공개

•서비스 거부

•권한 승격

PASTA는 비즈니스 목표와 기술 요구 사항을 결합하여 결과를 고위 경영진이 더 쉽게 이해할 수 있도록 하는 위협 모델링에 대한 위험 기반 접근 방식입니다. STRIDE와 달리 PASTA 접근 방식은 위협을 식별하고 완화하기 위한 강력한 프로세스를 제공하는 위협 식별 프레임워크입니다.

파스타 프로세스는 다음과 같은 7단계로 구성됩니다.

결함이 있는 부품이나 규격에 맞지 않는 부품의 이미지

위조 또는 위조 부품

펌웨어 수준 악성 코드가 포함된 전자 구성 요소 이미지

트로이 목마가 이식되었습니다.

사용된 구성 요소 라이브러리에 취약점이 있습니다.

데이터 유출

1.NIST IR 7622

2.ISO 28000

3. 영국 국립사이버보안센터(NCSC) 지침

사회 공학은 공격자가 민감한 정보를 얻기 위해 다른 사람인 것처럼 가장하는 조작 전술입니다.

피싱은 사회 공학의 가장 일반적인 형태이자 보안 위험의 주요 원인입니다.

안전 챔피언은 안전 모범 사례를 옹호하는 사람으로, 안전을 주요 업무로 삼지 않는 직원입니다.

게이미피케이션(Gamification)은 게임이 아닌 상황에 게임 요소를 적용하여 대상 고객의 참여를 유도하고 교육하는 것입니다.

교육 완료율, 참가자 수 및 기타 간략한 지표 등이 있습니다.

퀴즈는 훈련의 효과를 평가하는 효과적인 방법입니다.

보안 인식의 날은 익명의 설문지를 통해 보안 프로그램에 대한 직원의 의견과 제안을 수집하는 동시에 보안 인식을 높이기 위해 고안되었습니다.

평가 방법에는 교육 후 보안 사고 수의 증가 또는 감소 또는 보고된 피싱 의심 사고 수의 수집이 포함됩니다.