섹션: 정보 시스템 감사 프로세스
설명:
시험을 위해 다양한 보안 제어에 대한 아래 정보를 알아야 합니다.억제 제어 억제 제어는 잠재적 공격자를 저지하기 위한 것입니다.액세스 제어는 제어가 존재한다는 사실만으로도 잠재적 공격자가 제어를 우회하려는 시도를 막을 수 있다는 단순한 사실로 위협과 공격에 대한 억제 역할을 합니다.이는 종종 제어를 우회하는 데 필요한 노력이 공격자가 성공했을 때 얻을 수 있는 잠재적 보상보다 훨씬 크거나, 반대로 실패한 공격(또는 적발)의 부정적인 영향이 성공의 이점보다 크기 때문입니다.예를 들어, 사용자, 서비스 또는 애플리케이션의 식별 및 인증을 강제하고 그에 따른 모든 것을 강제함으로써 공격자가 사고와 연관될 것을 두려워하기 때문에 시스템과 관련된 사고의 가능성이 크게 줄어듭니다.주어진 액세스 경로에 대한 제어가 없으면 사고의 수와 잠재적 영향은 무한해집니다.제어는 프로세스에 대한 감독을 적용하여 본질적으로 위험에 대한 노출을 줄입니다.
이러한 간과가 공격자의 공격 욕구를 억제하여 예상되는 반격에 대비하는 데 도움이 됩니다.
억제 제어의 가장 좋은 예는 직원들이 의도적으로 허가되지 않은 기능을 수행하여 원치 않는 이벤트를 발생시키는 경향에서 드러납니다. 사용자가 시스템에 인증하여 기능을 수행하면 자신의 활동이 기록되고 모니터링된다는 사실을 이해하기 시작하면, 그러한 행위를 시도할 가능성이 줄어듭니다. 많은 위협은 위협 요인의 익명성을 기반으로 하며, 그들의 행위와 식별 및 연관될 가능성을 어떻게든 회피합니다. 이것이 바로 공격자가 접근 제어를 우회하는 주요 목표가 되는 근본적인 이유입니다. 억제는 또한 사용자가 허가되지 않은 행위를 할 경우 잠재적인 처벌의 형태로도 나타납니다. 예를 들어, 조직 정책에 허가되지 않은 무선 액세스 포인트를 설치하는 직원을 해고하도록 명시되어 있다면, 대부분의 직원은 무선 액세스 포인트를 설치하지 않을 것입니다.
예방적 통제
예방적 통제는 사고 발생을 방지하기 위한 것입니다. 예방적 접근 통제는 사용자가 특정 활동이나 기능을 수행하지 못하도록 합니다. 예방적 통제는 통제가 선택 사항이 아니며 (쉽게) 우회될 수 없다는 점에서 억제적 통제와 다릅니다. 억제적 통제는 통제를 우회하여 발생하는 결과를 감수하는 것보다 통제를 준수하는 것이 더 쉽다는 이론에 기반합니다. 다시 말해, 행동 권한은 사용자(또는 공격자)에게 있습니다. 예방적 통제는 행동 권한을 시스템에 부여하며, 통제 준수는 선택 사항이 아닙니다. 통제를 우회하는 유일한 방법은 통제 구현의 결함을 찾는 것입니다.
보상 제어
시스템의 기존 기능이 정책 요구 사항을 지원하지 못할 때 보완 통제가 도입됩니다.보완 통제는 기술적, 절차적 또는 관리적일 수 있습니다.기존 시스템이 필요한 통제를 지원하지 않더라도 기존 환경을 보완하여 통제의 격차를 줄이고 정책 요구 사항을 충족하며 전반적인 위험을 줄일 수 있는 다른 기술이나 프로세스가 있을 수 있습니다.예를 들어, 액세스 제어 정책은 인터넷을 통해 수행되는 인증 프로세스가 암호화되어야 한다고 명시할 수 있습니다.인증 목적으로 암호화를 기본적으로 지원하도록 애플리케이션을 조정하는 것은 비용이 너무 많이 들 수 있습니다.암호화 프로토콜인 SSL(Secure Socket Layer)을 사용하여 인증 프로세스 위에 계층화하여 정책 설명을 지원할 수 있습니다.다른 예로는 업무 분리 환경이 있는데, 이는 시스템의 기술적 한계를 보완하고 거래의 보안을 보장하기 위해 특정 작업을 분리하는 기능을 제공합니다.
또한, 승인, 감독, 관리 등의 관리 프로세스를 활용하여 접근 제어 환경의 격차를 보완할 수 있습니다.
형사 통제
탐지 제어는 어떤 일이 발생했을 때 경고하며, 사고 발생 후 타임라인에서 가장 초기 시점에 이루어집니다. 접근 제어는 위협을 억제하는 역할을 하며, 최소 권한 적용을 통해 유해한 사고를 예방하기 위해 적극적으로 활용될 수 있습니다. 그러나 접근 제어의 탐지 기능은 접근 환경에 대한 상당한 가시성을 제공하고 조직이 접근 전략 및 관련 보안 위험을 관리하는 데 도움을 줄 수 있습니다. 앞서 언급했듯이, 인증된 사용자에게 제공되는 강력하게 관리되는 접근 권한은 인증된 사용자의 권한을 제한함으로써 기업 자산의 위험 노출을 줄일 수 있습니다. 그러나 권한이 부여된 후 사용자가 수행할 수 있는 작업을 제어할 수 있는 방법은 거의 없습니다. 예를 들어, 사용자에게 파일에 대한 쓰기 권한이 부여된 후 해당 파일이 손상, 변경 또는 기타 부정적인 영향을 받는 경우(고의적이든 의도치 않든), 적용된 접근 제어를 사용하면 트랜잭션에 대한 가시성을 확보할 수 있습니다. 제어 환경을 구축하여 시스템의 권한 식별, 인증, 권한 부여 및 사용과 관련된 활동을 기록할 수 있습니다. 이는 오류 발생, 무단 작업 시도 감지, 제공된 자격 증명 사용 시점 검증에 사용될 수 있습니다. 로깅 시스템은 탐지 장치로서 승인된 사용자가 실행한 작업(성공 및 실패 모두)과 작업에 대한 증거를 제공합니다.
시정 통제
보안 사고가 발생하면 보안 인프라 내의 요소에 시정 조치가 필요할 수 있습니다.
시정 통제는 환경의 보안 태세를 변경하여 결함을 시정하고 환경을 안전한 상태로 되돌리려는 조치입니다. 보안 사고는 하나 이상의 지시적, 억제적, 예방적 또는 보상적 통제가 실패했음을 나타냅니다. 탐지 통제가 경보나 알림을 발령했을 수 있지만, 이제 시정 통제는 사고를 근본적으로 중단시키기 위해 작동해야 합니다. 시정 통제는 특정 상황이나 처리해야 할 특정 보안 실패에 따라 다양한 형태로 나타날 수 있습니다.
복구 제어
보안 사고 발생 시든 임시 보상 통제를 제공하기 위한 것이든 접근 제어 환경에 대한 모든 변경 사항은 정확하게 복구되어 정상적인 운영으로 복귀되어야 합니다.
접근 제어, 접근 제어의 적용성, 상태 또는 관리에 영향을 미칠 수 있는 상황은 여러 가지가 있습니다.
이벤트에는 시스템 중단, 공격, 프로젝트 변경, 기술적 요구, 관리상의 격차, 그리고 본격적인 재난 상황 등이 포함될 수 있습니다. 예를 들어, 애플리케이션이 올바르게 설치 또는 배포되지 않으면 시스템 파일에 설정된 제어 기능에 부정적인 영향을 미치거나, 설치 시 사용자 모르게 기본 관리 계정이 구현될 수도 있습니다. 또한, 직원이 전근, 퇴사 또는 일시 휴직을 하는 경우, 업무 분리 관련 정책 요건에 영향을 미칠 수 있습니다. 시스템 공격으로 인해 트로이 목마 프로그램이 감염되어 신용카드 정보 및 재무 데이터와 같은 사용자 개인 정보가 노출될 가능성이 있습니다. 이러한 모든 경우, 바람직하지 않은 상황은 가능한 한 빨리 해결하고 제어 기능을 정상 운영으로 복귀시켜야 합니다.
시험을 위해 다양한 보안 제어에 대한 아래 정보를 알아야 합니다.억제 제어 억제 제어는 잠재적 공격자를 저지하기 위한 것입니다.액세스 제어는 제어가 존재한다는 사실만으로도 잠재적 공격자가 제어를 우회하려는 시도를 막을 수 있다는 단순한 사실로 위협과 공격에 대한 억제 역할을 합니다.이는 종종 제어를 우회하는 데 필요한 노력이 공격자가 성공했을 때 얻을 수 있는 잠재적 보상보다 훨씬 크거나, 반대로 실패한 공격(또는 적발)의 부정적인 영향이 성공의 이점보다 크기 때문입니다.예를 들어, 사용자, 서비스 또는 애플리케이션의 식별 및 인증을 강제하고 그에 따른 모든 것을 강제함으로써 공격자가 사고와 연관될 것을 두려워하기 때문에 시스템과 관련된 사고의 가능성이 크게 줄어듭니다.주어진 액세스 경로에 대한 제어가 없으면 사고의 수와 잠재적 영향은 무한해집니다.제어는 프로세스에 대한 감독을 적용하여 본질적으로 위험에 대한 노출을 줄입니다.
이러한 간과가 공격자의 공격 욕구를 억제하여 예상되는 반격에 대비하는 데 도움이 됩니다.
억제적 통제의 가장 좋은 예는 직원들이 의도적으로 승인되지 않은 기능을 수행하여 원치 않는 사건을 초래하는 경향에서 입증됩니다.
사용자가 시스템에 인증하여 기능을 수행하면 자신의 활동이 기록되고 모니터링된다는 사실을 이해하기 시작하면, 그러한 행위를 시도할 가능성이 줄어듭니다. 많은 위협은 위협 요인의 익명성을 기반으로 하며, 그들의 행위와 관련된 식별 및 연관성 가능성은 어떤 대가를 치르더라도 회피됩니다.
공격자가 접근 제어를 우회하는 주요 대상이 되는 근본적인 이유가 여기에 있습니다.
사용자가 허가받지 않은 행위를 할 경우 잠재적인 처벌을 받을 수 있다는 점도 억제 요인으로 작용합니다. 예를 들어, 회사 정책에 허가받지 않은 무선 액세스 포인트를 설치하는 직원을 해고하도록 명시되어 있다면, 대부분의 직원들은 무선 액세스 포인트를 설치하지 않을 것입니다.
예방적 통제
예방적 통제는 사고 발생을 방지하기 위한 것입니다. 예방적 접근 통제는 사용자가 특정 활동이나 기능을 수행하지 못하도록 합니다. 예방적 통제는 통제가 선택 사항이 아니며 (쉽게) 우회될 수 없다는 점에서 억제적 통제와 다릅니다. 억제적 통제는 통제를 우회하여 발생하는 결과를 감수하는 것보다 통제를 준수하는 것이 더 쉽다는 이론에 기반합니다. 다시 말해, 행동 권한은 사용자(또는 공격자)에게 있습니다. 예방적 통제는 행동 권한을 시스템에 부여하며, 통제 준수는 선택 사항이 아닙니다. 통제를 우회하는 유일한 방법은 통제 구현의 결함을 찾는 것입니다.
보상 제어
기존 시스템 역량이 정책 요건을 충족하지 못할 때 보완 통제가 도입됩니다. 보완 통제는 기술적, 절차적 또는 관리적 통제일 수 있습니다. 기존 시스템이 필요한 통제를 지원하지 않더라도, 기존 환경을 보완하여 통제의 공백을 메우고 정책 요건을 충족하며 전반적인 위험을 줄일 수 있는 다른 기술이나 프로세스가 존재할 수 있습니다.
예를 들어, 액세스 제어 정책은 인터넷을 통해 수행되는 인증 프로세스가 암호화되어야 한다고 명시할 수 있습니다. 인증 목적으로 암호화를 기본적으로 지원하도록 애플리케이션을 조정하는 것은 비용이 너무 많이 들 수 있습니다. 암호화 프로토콜인 SSL(Secure Socket Layer)을 사용하여 인증 프로세스 위에 계층화하여 정책을 지원할 수 있습니다.
다른 예로는 업무 분리 환경이 있습니다. 이는 시스템의 기술적 한계를 보완하고 거래 보안을 보장하기 위해 특정 작업을 분리할 수 있는 기능을 제공합니다. 또한, 승인, 감독, 관리와 같은 관리 프로세스를 활용하여 접근 제어 환경의 미비점을 보완할 수 있습니다.
형사 통제
탐지 제어는 발생 시 경고를 제공하며, 사고 발생 후 가장 빠른 시점에 작동합니다. 접근 제어는 위협을 억제하는 역할을 하며, 최소 권한 적용을 통해 유해한 사고를 예방하는 데 적극적으로 활용할 수 있습니다. 하지만 접근 제어의 탐지 기능은 접근 환경에 대한 상당한 가시성을 제공하고 조직이 접근 전략 및 관련 보안 위험을 관리하는 데 도움을 줄 수 있습니다.
앞서 언급했듯이, 인증된 사용자에게 제공되는 강력하게 관리되는 접근 권한은 인증된 사용자의 권한을 제한함으로써 기업 자산의 위험 노출을 줄일 수 있는 기능을 제공합니다. 그러나 권한이 부여된 후에는 사용자가 수행할 수 있는 작업을 제어할 수 있는 옵션이 거의 없습니다.
예를 들어, 사용자에게 파일에 대한 쓰기 권한이 부여된 상태에서 해당 파일이 손상, 변경 또는 기타 부정적인 영향을 받는 경우(고의적이든 의도치 않든), 적용된 접근 제어를 통해 트랜잭션에 대한 가시성을 확보할 수 있습니다. 시스템의 식별, 인증, 권한 부여 및 권한 사용과 관련된 활동을 기록하도록 제어 환경을 구축할 수 있습니다.
이는 오류 발생, 무단 작업 시도 감지, 제공된 자격 증명 사용 시점 검증에 사용될 수 있습니다. 로깅 시스템은 탐지 장치로서 승인된 사용자가 실행한 작업(성공 및 실패 모두)과 작업에 대한 증거를 제공합니다.
시정 통제
보안 사고가 발생하면 보안 인프라 내의 요소에 시정 조치가 필요할 수 있습니다.
시정 통제는 환경의 보안 태세를 변경하여 결함을 시정하고 환경을 안전한 상태로 되돌리려는 조치입니다. 보안 사고는 하나 이상의 지시적, 억제적, 예방적 또는 보상적 통제가 실패했음을 나타냅니다. 탐지 통제가 경보나 알림을 발령했을 수 있지만, 이제 시정 통제는 사고를 근본적으로 중단시키기 위해 작동해야 합니다. 시정 통제는 특정 상황이나 처리해야 할 특정 보안 실패에 따라 다양한 형태로 나타날 수 있습니다.
복구 제어
보안 사고 발생 시든 임시 보상 통제를 제공하기 위한 것이든 접근 제어 환경에 대한 모든 변경 사항은 정확하게 복구되어 정상적인 운영으로 복귀되어야 합니다.
접근 제어, 접근 제어의 적용성, 상태 또는 관리에 영향을 미칠 수 있는 상황은 여러 가지가 있습니다.
이벤트에는 시스템 중단, 공격, 프로젝트 변경, 기술적 요구 사항, 관리상의 허점, 그리고 본격적인 재난 상황 등이 포함될 수 있습니다. 예를 들어, 애플리케이션이 올바르게 설치 또는 배포되지 않으면 시스템 파일에 설정된 제어 기능에 부정적인 영향을 미치거나, 설치 시 사용자 모르게 기본 관리자 계정이 구현될 수도 있습니다.
또한, 직원이 전근, 사직 또는 임시 휴직을 하는 경우 직무 분리 관련 정책 요건에 영향을 미칠 수 있습니다. 시스템 공격으로 인해 트로이 목마 프로그램이 감염되어 신용카드 정보 및 금융 데이터와 같은 개인 사용자 정보가 노출될 가능성이 있습니다. 이러한 모든 경우, 바람직하지 않은 상황은 가능한 한 빨리 해결하고 통제를 정상 운영으로 복귀해야 합니다.
다음 답변은 틀렸습니다.
억제 - 억제 제어는 잠재적인 공격자를 막는 데 목적이 있습니다.예방 - 예방 제어는 사고가 발생하지 않도록 하는 데 목적이 있습니다.탐지 - 탐지 제어는 사고의 활동과 잠재적인 침입자를 식별하는 데 도움이 됩니다.참조:
CISA 검토 매뉴얼 2014 페이지 번호 44
그리고
공식 ISC2 CISSP 가이드 3판 페이지 번호 50 및 51

섹션: 정보 자산 보호

섹션: 정보 자산 보호
설명:
사용자에게 적절한 접근 권한을 제공하려면 데이터 분류가 필수적입니다. 비즈니스에 미치는 민감성과 중요성에 따라 데이터를 분류하지 않으면 적절한 접근 규칙을 적용할 수 없습니다.
데이터 소유자는 접근 규칙을 정의할 책임이 있습니다. 데이터 분류 프로세스는 데이터 소유권을 확립하는 프로세스부터 시작됩니다. 이 프로세스는 데이터 사전을 준비하는 데에도 도움이 됩니다.