Previous Next
Top Detailed TOC Previous Next
Top Detailed TOC
보안정보에는 다음과 같은 것들이 필요하다:
회사에 따라 차이가 있기 때문에 실제 조직구조는 여기에서 논의하지 않고, 역할에 대해서만 설명한다. 이 역할들은 조직의 구조, 크기, 문화 등등에 따라 다른 사람들에게 속할 수 있다.
회사의 크기에 따라, 책임은 다음의 역할들에 속할 수 있다. 중요한 것은 책임이 명확하고 책임자가 실제로 주어진 책임을 맡을 수 있어야 한다는 것이다. (즉 , 대응하는 결정을 내릴 수 있을 권한과 올바른 결정을 할 수 있는 경험/지식이 있어야 한다).
경영진: 경영이사, 경영 최고 책임자나 이와 대등한 사람은 궁극적으로 보안전략에 대한 책임이 있고 사업의위협에 맞서 싸울 수 있는 필요자원들을 마련해 주어야 한다. 이 사람은 또 전략을 유포하고 보안인식 문화를 확립해야 한다.
IT 보안관리자: 기업보안의 책임을 진다. 프로세스 소유자와 함께 IT 보안지침을 정의해야 한다. 또 보안인식에 대한 책임을 지고 보안문제에 대해 경영진에게 올바른 조언을 해야 한다. 이들은 또 위험분석을 수행할 수도 있다. 중요한 것은 이들이 최근의 보안 문제점/위험/솔루션에 대해 파악하고 있어야 한다는 것이다. 파트너 회사, 보안조직과의 협력관계도 중요하다.
업무 프로세스/데이터/ 운영 책임자: 특정한 프로세스나 사업단위의 데이터 및 경영진에의 보고에 직접적으로 책임이 있다. 이들은 보안 실패시의 영향을 분석하고 자신이 맡은 데이터의 보안을 보장하기 위한 분류와 지침/프로세스를 명시한다. 이들은 감사에 대한 어떤 영향력도 가지지 않아야 한다.
시스템 공급자: 시스템을 설치하고 정비한다. 고객/공급자 역할 및 책임을 정의하는 서비스 레벨 협약이 있어야 한다. 공급자는, 예를들어, 외부의 계약회사일 수도 있고 내부의 데이터센터 또는 시스템/보안 관리자일 수도 있다. 이들은 보안 메카니즘을 올바르게 사용할 책임이 있다. 이들은 대개 root (유닉스) 이거나 dba (데이터베이스)이다.
시스템 설계자: 시스템을 개발하는 사람은 시스템이 안전하게 사용될 수 있도록 보장하는 데 있어 핵심적인 역할을 한다. 새로운 개발 프로젝트는 초기단계에서부터 보안 요구사항을 고려해야 한다.
프로젝트 리더: 프로젝트가 보안지침에 충실하도록 보장해야 한다.
조직의 관리자 (line manager): 자기 직원들이 보안정책을 충분히 숙지하고 정책에 상반되는 목표를 규정하지 않도록 해야 한다. 이들은 정책을 실시하고 실제 프로세스를 점검한다.
사용자: 사용자들, 또는 "정보 처리자/운영자" 들은 그들의 행위(action)에 대해 책임을 진다. 이들은 회사의 보안정책을 숙지하고, 자기 행위의 결과에 대해 이해하고 그에따라 실행한다. 이들은 자기의 사용권에 대한 효과적인 메카니즘을 가지고 있어 원하는 보안수준으로 운영할 수 있도록 해야 한다. 사용자들이 분류되지 않은 기밀 정보를 받게 되면, 이들은 이 정보의 분류와 정리에 대한 책임을 진다.
감사자: 사내 또는 사외의 독립적인 사람으로, 회계 감사자가 회계기록을 검사하는 것과 같이 IT 보안 상태를 점검한다. 감사자가 보안 관리에 관여하지 않고 독립적이어야 한다는 것이 중요하다. 정책, 프로세스, 조직과 메카니즘에 대해 보다 객관적인 시각을 제시할 수 있기 때문에 대개 외부의 컨설턴트들이 이 역할을 수행한다.
보안 정책이 구현되고 사업요구사항에 따르기 위해서는 프로세스와 인력(조직)이 필요하다. 전형적인 보안 프로세스들은 다음과 같다:
누가, 어떤 시스템을, 어디서, 어떤 유틸리티를 가지고 감시하는가? 아주 큰 조직에서는 분산화된 감시가 더욱 효과적일 때가 많다.
신뢰할 수 있는 백업과 필요할 때의 확실한 복원을 위해서는 프로세스와 책임이 정의되어야 한다. 정기적으로 복원 정책을 테스트해야 한다.
서버는 정기적으로 감사해야 한다. (e.g. 일년에 한번)견고한 보안정책이 있더라도, 교육받은 사용자와 견고한 시스템 관리, 긴급 대응팀은 유용하다. 재난에 대비해 계획을 세운다!
통신(정보) 관리자: 사내에 보안 의식을 홍보할 책임이 있다.
적절한 시기에 적절한 정보를 안다는 것은 중요한 일이다.
내부 부서들에게 다음 서비스들을 제공할 수 있다: