고객정보 및 내부정보 유출 대응 체계 인포섹㈜ 신수정 상무 (sjs1234@skinfosec.co.kr)
목 차 배경 정보유출 위협 진단 또 하나의 문제 대응체계 결론
Application/Contents 1. 배경 Infra 대응 Application/Contents 대응 단일대응 (방화벽 등) 복합대응 (Business 프로세스 +IT인프라+App+client) 기업의 정보자산 영역 고객의 정보자산의 영역 (End-to-End) 해킹 및 웜대응 복합위협대응 정보유출 대응 특정 규제 대응/ 국내기준 대응 법적 대응/ 국외기준 대응 정보보안은 특정 IT문제 정보보안은 Business 문제
2. 정보유출 위협 유출자 관점 분석 정보 2. 대상 및 프로세스 관점 분석 위협 내부자로 부터의 위협 위협 위협 위협 생성 폐기 전송 사용 저장 유출자 관점 분석 외부자로부터의 On-line 위협 위협 정보 2. 대상 및 프로세스 관점 분석 외부자로부터의 Off-line 위협 위협 위협
3. 진단-유출자의 관점 정보유출대응 아키텍쳐 내부자에 의한 On-Line 정보유출 외부자에 의한 On-Line 정보유출 1 고객정보 업무정보 Soft Copy Hard Copy E-Mail Media 정보 내부자에 의한 On-Line 정보유출 2 외부자에 의한 On-Line 정보유출 3 3 내부자에 의한 Off-Line 정보유출 외부자에 의한 Off-Line 정보유출
3. 진단-유출자의 관점 Application 및 DB 사용자 네트워크 S1. 인증 정보 유출 시나리오 S3. PC 취약점을 통한 정보 유출 시나리오 S4. 피싱 메일을 통한 정보 유출 시나리오 S5. 스니핑을 통한 정보 유출 시나리오 S6. 무선 네트워크를 통한 정보 유출 시나리오 내부자의 공격을 통한 유출 - 내부 타 시스템 공격을 통한 유출 - 내부 타 PC를 공격을 통한 유출 - 타 메일 등 공격
3. 진단-유출자의 관점 S1. 사내 Mail을 통한 정보 유출 시나리오 S2. Web Site를 통한 정보 유출 시나리오 S3. Messenger를 통한 정보 유출 시나리오 S4. P2P를 통한 정보 유출 시나리오 S5. FTP 및 Telnet을 통한 정보 유출 시나리오 S6. 저장매체를 통한 정보 유출 시나리오
3. 진단-유출자의 관점 공개 System 홈페이지 거래 구매 그룹웨어 외부해커 그룹웨어 공개 System 공격을 통한 정보유출 - 관리자 권한 획득 - 홈페이지 변조 - 업무정보 유출 기타 기타 기타
3. 진단-유출자의 관점 1. 문서 방치 2. 노트북 관리 3. 저장매체 관리 4. 반출입 관리 외부자의 물리적 무단 침입 가능성 - 출입 통제 및 탐지 현황, 관리적 방법(Social engineering) 사용 가능체크 내/외부자의 물리적 내부정보 유출 가능성 - 부서별 시건상태, 문서방치, PC관리, 게이트 통제, Social engineering 사용 가능 체크 5. 공간의 물리적 침투
3. 진단-대상 및 프로세스의 관점 ? 대상 부서별 취급 정보 파악 정보 취급 개요 파악 정보 취급자 현황 취급자수 취급 활동 R&D 정보 대외 공개 정보 대상 부서별 취급 정보 파악 고객 정보 인사 정보 재무/회계 정보 경영/기획 정보 ? 정보 취급자 현황 취급자수 취급 활동 정보 취급자 정보 취급 개요 파악 정보 System 현황 System 명 System 정보 관련 Application 생성 폐기 전송 사용 저장
3. 진단-대상 및 프로세스의 관점 생성 및 식별 사용 전송 보존 폐기 정보 Flow Diagram 취약성 및 위험 분석 정보식별 접근 조회 수정 내부망 전송 외부 전송 PC보관 데이터베이스 보관 매체 보관 문서 보관 문서폐기 매체폐기 데이터폐기 정보 Flow Diagram 취약성 및 위험 분석 기술대안 관리대안(Process 개선)
4. 또 하나의 문제 1 정보 2 전화 mail /게시판 등 고객정보 업무정보 Soft Copy Hard Copy E-Mail Media 정보
5. 대응 체계 Application 공 통 관 리 Life-Cycle 조직 체계 정책 체계 보안 체계 기술 체계 STATUS 관리적 기술적 물리적 TECHONLOGY PEOPLE PROCESS 공 통 관 리 Life-Cycle Application 목표 조직 체계 정책 체계 보안 체계 기술 체계 PEOPLE PROCESS ENVIRON -MENT TECH -NOLOGY STATUS To-Be 체계 수준도
5. 대응 체계 보안자료
5. 대응 체계 개념적 평가 설계 평가 System Development Lifecycle PIA Work Project Work Streams Project Phases: Conceptual Design Build Test Implement Evaluate PIA Work 평가 End-to-End 평가 보안영향평가 Phases: Data System Development Lifecycle 개념적 평가 설계 평가
6. 결론 완벽한 정보유출 대응은 불가능할 뿐 더러 바람직하지도 않음 가장 Impact가 큰 법적 준수와 고객정보, 내부 핵심정보 우선 사람의 실수를 통한 유출을 최소화하기 위한 체계 우선 의도적 유출대응을 위해서는 완벽한 예방보다는 증거확보체계 정비, 끊임없는 관리적 대응활동 필요
Q&A