4 정보의 분류

4.1 가용성 분류
4.2 민감성 분류

서로 다른 유형의 정보는 다른 방법으로 보호되어야 한다. 그러므로 정보를 분류하는 분류체계가 필요하며, 그 등급에 따라 정보 취급 방법에 대한 정책을 세우고 정보를 다루는 시스템에 대해 보안 메카니즘을 적용해야 한다.

다음 절부터는 정보의 가용성과 민감성에 대한 등급을 제시하고, 5장에서 이 등급에 기반한 시스템 요구사항을 제안한다.

4.1 가용성에 따른 분류

여기서는 4개의 가용성 등급을 가지는 분류체계를 제시한다. 참고할 만한 해당 표준이 없어 저자의 경험에 기초하여 작성되었다.

가용성 개선에 있어서, 예방책은 다운타임의 가능성을 줄이고 복구 방책은 사고 후의 다운타임을 줄인다.

등급
서버에 허용되는 건당 최대 다운타임	1 주	1 일	1 시간	1 시간
요일	월-금	월-금	월-금	7 일 모두
시간대			07:00-18:00	24시간
기대 가용률	80%	95%	99.5%	99.9%
==> 최대 예상 다운타임	= 1 일/주	= 2 시간/주	= 20분/주	= 12분/월

4.2 민감성에 따른 분류

정보/프로세스를 4레벨로 분류하는 분류체계를 제시한다. 가장 낮은 레벨1이 가장 둔감한 것이고 가장 높은 레벨 4가 가장 중요한 정보/프로세스이다.

4.2.1 개념

모든 데이터는 소유자가 있다.
데이터나 프로세스의 소유자가 법적의무, 비용, 회사의 정보정책 및 업무 필요성에 따라 정보를 보안 레벨 중 하나로 분류한다.
소유자가 데이터를 어떤 레벨로 분류해야 할 지 확실히 모를 때는 레벨 으로 분류한다.
소유자는 누가 데이터에 접근할 권한이 있는지 명백히 해야 한다.
소유자는 이 데이타에 대한 책임을 지며 분류에 따라 이를 직접 보호하거나 보호되도록 해야 한다. (e.g. 보안 관리자에 의해)
모든 문서는 분류되어야 하며 분류 레벨은 최소한 표지에는 적혀 있어야 한다.

시스템 상의 데이타가 다음 레벨 중 하나로 분류된 후에는, 그 시스템은 그 등급 및 이하 등급의 모든 지침을 준수하여 설치되어야 한다. 각 등급은 이전 등급의 모집합이다. 예를 들어, 시스템이 등급 으로 분류되었을 경우 그 시스템은 등급 과 , 그리고 등급 의 지침을 따라야 한다.

시스템이 하나 이상의 민감성 등급을 가지는 데이타를 포함한다면, 그 시스템은 가장 민감한 데이타의 등급으로 분류되어야 한다.

4 정보의 분류

4.1 가용성에 따른 분류

4.2 민감성에 따른 분류

4.2.1 개념

4.2.2 등급 : 공개/ 미분류 정보

4.2.3 등급 : 내부 정보

4.2.4 등급 : 기밀 정보

4.2.5 등급 : 극비 정보