정보보호의 기본 개념 인증(Authentication), 인가(Authorization), 감사(Audit)

저번에 정보보호 3요소에 대하여 알아보았는데, 이번엔 인증, 인가, 감사와 정보자산관리를 간단하게 알아보겠습니다.
재해 복구 시스템 관련하여 DR센터 및 핫 사이트, 미러 사이트, 웜 사이트, 콜드 사이트 등도 같이 알아보려고 하였는데, 이부분은 좀 더 중요하다고 생각하여 다음에 따로 자세히 포스팅 하도록 하겠습니다

---

1.인증(Authentication), 인가(Authorization), 감사(Audit)의 차이점과 중요성

1. 인증(Authentication):
   
   • 사용자가 누구인지 확인하는 과정
   • 예 : ID와 비밀번호, 지문 인식, 2단계 인증(OTP) 등
   • 인가된 사용자를 식별하지 못하면 시스템에 불법적으로 접근하여 노출, 유출등이 발생하여 시스템에 피해 발생
   • 예시 : 로그인 시 ID와 PW를 입력하여 본인임을 증명, OTP를 통하여 ID와 PW를 입력하여도 한 번 더 인증 받아야 됩니다.
2. 인가(Authorization):
   • 인증된 사용자가 특정 페이지 또는 시스템에 접근할 권한이 있는지 확인하는 과정
   • 예: 직원은 내부 DB에 접근 가능하지만, 외부인은 불가능
   • 권한 관리를 제대로 하지 않으면 데이터 유출 및 악용 위험 증가
   • 예시 : 사원은 DB 읽기 권한만 있고, 쓰기 권한은 없음
3. 감사(Audit):
   • 시스템 접근 및 사용 기록을 모니터링하고 검토하는 과정
   • 예 : 누가 언제, 어떤 데이터를 사용했는지 로그로 기록
   • 보안 사고 발생 시 원인 파악과 추적 가능
   • 예시 : 사원1이 마지막으로 로그인한 시간과 작업 기록 확인

 

---

2. 정보자산의 분류 및 관리

1. 정보자산이란?
   • 팀 또는 기업 등 조직이 보호해야 할 모든 데이터 관련 자산을 말합니다.
   • 예 : 고객 정보, 직원 데이터, 소스 코드, 하드웨어 및 소프트웨어 등
2. 정보자산의 분류 :
   • 물리적 자산 : 서버, PC, 네트워크 및 보안 장비
   • 논리적 자산 : DB, 애플리케이션, 소스 코드
   • 인적 자산 : 직원, 협력 업체
   • 문서 자산 : 정책 문서, 설계 문서 
3. 정보자산 관리 방법
   • 자산 목록 작성 및 중요도 평가
     • 민감 데이터 및 고유식별정보 등 위험성 분석 등 진행
   • 자산별 보안 정책 수립
     • 특정 시스템에 업무 별 차등하여 권한 부여
   • 정기적인 감사 및 취약점 점검

 

---

3. 물리적 보안, 네트워크 보안, 응용 프로그램 보안의 개요

1. 물리적 보안:
   • 데이터 센터, 서버, 하드웨어, 전산실을 보호하는 활동
   • 예: 출입통제, CCTV 설치, 화재 방지 시스템 등 (재난복구 등이 들어갑니다.)
2. 네트워크 보안:
   • 네트워크를 통한 비인가 접근 및 공격을 방어
   • 예 : 방화벽, IPS(IDS), VPN 등
   • 방화벽을 정책에서 5-tuple을 이용하여 인가 및 차단, IPS로 불법적인 접근 차단, VPN으로 안전한 터널로 데이터 전송 등
3. 응용 프로그램 보안
   • 소프트웨어의 보안 취약점을 제거하고 안전하게 동작하도록 관리
   • 예: SQL Injection, XSS, CSRF, SSRF 등 방어, 정기적인 S/W 패치