정보시스템감리사, 정보관리기술사

▣ 업무 연속성 계획(BCP, Business Continuity Planning) 각종 재해, 장애, 재난으로부터 위기관리를 기반으로 재해복구, 업무복구 및 재개, 비상계획 등의 비즈니스 연속성을 보장하는 계획 외부 환경 측면 정부 규제 및 준거성: 의무적 비상대응 계획 구축(전자금융거래법 등) 평판 리스크: 시스템 중단시 발생하는 기업 이미지 실추 내부 환경 측면 비즈니스 복잡도 증가: 복구 시간에 따른 급속한 비용증가 역할 분배 필요성: 재해발생시 조직 및 개인의 업무 정의 필요 정보 시스템 측면 정보 시스템에 대한 의존도 증가로 정보시스템 연속성 요구 증대 금융기관의 경우 BCP가 없는 경우 수익 감소율 25~50% ▶ 수립 절차 5단계편집 프로젝트 계획: 목표 및 범위 설정 업무 영향 분석(BI..

▣ 보안솔루션_SIEM, IPS, MDM, NAC, MDM 침입차단, 어플리케이션 프록시, 패킷, 상태검사, 모바일, IDS, NAT 2018년 116번 정답 : 4번 통합 로그 수집 및 분석을 통한 이상 징후를 탐지하는 솔루션은 SIEM에 대한 설명임 2014년 105번 정답 : 4번 상태 기반 방화벽은 내/외부 시스템의 단순 ingress, egress(유입, 외부접속) 패킷 단위 검사하지 않고 Connection Session기반으로 검사를 수행함 상태검사 패킷 필터 방식은 이미 연결된 establish 상태의 송/수신 패킷과 신규 connection 상태의 패킷을 다르게 식별 할 수 있으므로 내부 시스템의 요청 대한 응답 패킷으로 가창한 공격을 식별할 수 있음 2015년 113번 정답 : 1번, ..

▣ 정보보호 인증 및 표준_ISMS-P, CC, TCSEC, PIMS, ISO 27002, ISO 27004, ISO 27014, 개인정보, PIMS, PIPL, ISO 27018, 정보보호관리체계 ■ ISMS-P 조직의 주요 정보자산 및 개인정보를 보호하기 위해 관리절차와 과정을 체계적으로 수립하여 지속적으로 관리, 운영하기위한 종합적인 체계 기업 스스로 높은 수준의 보호조치를 취할 수 있는 정보보호 관리체계 인증제도 도입 관리체계 수립 및 운영(16개 항목), 보호대책 요구사항(64개 항목), 개인정보 처리단계별 요구사항(22개 항목) 총 102개 ▶ 인증의무대상자(관리체계 수립 및 운영, 보호대책 요구사항) - 정보통신망서비스를 제공하는 자(ISP), 집적정보통신시설 사업자(IDC) - 연간 매출액..

▣ SSO(Single Sign-On), SAML, OAuth, 커버로스 ■ SSO(Single Sign-On) - 한번의 로그인으로 접근하고자 하는 많은 정보시스템에 재인증 절차 없이 접근할 수 있는 기능 (한개의 Login ID와 Password로 여러 시스템 접근) - 기업의 정보 시스템 다양화에 따른 관리의 효율화를 제공하고 중앙집중적인 사용자 관리를 통해 보안 기능의 증대 - 다른 사이트(또는 앱) 에서 로그인 및 인증 부분만 따로 사용하는 것 (API, 모듈 등) - 통합 인증, 단일 계정 로그인, 단일 인증 ■ SAML(Security Asserting Markup Language) - 네트워크를 통해 여러 컴퓨터에서 보안 자격 증명을 공유할 수 있도록 하는 공개 표준 - XML 을 사용하며..

▣ DRM(Digital Right Management)_ODRL, MPEG-21, XrML 구분 설명 ODRL (Open Digital Rights Language) XML(Extensible Markup language) 기반 오픈 정책의 권리 표현 언어 W3L(World Wide Web Consortium)의 ODRL Community Group에 의해 관리 권리 표현뿐만 아니라 개인 정보에 대한 사용에 대한 명세 등 다양한 정책을 표현할 수 있도록 확장 MPEG-21 디지털 콘텐츠의 거래를 위한 멀티미디어 프레임워크 및 프레임워크의 기술요소를 기술 멀티미디어 컨텐츠의 관리를 위한 표준(ISO/IEC 21000 - Multimedia framework) XML 기반의 권리표현 언어로 라이선스 정보를..

▣ 네트워크 보안_방화벽 firewall, 침입차단, 스크린드 서브넷, 스크리닝 라우터, 이중 네트워크, 배스천, 단일 홈, 스크린드 호스트 게이트웨이, DPI, DMZ ■ 스크리닝 라우터 구조(Screening Router) 패킷 헤더 내용을 필터링 할 수 있는 라우터, OSI3 또는 4계층에서 동작 IP, TCP, UDP의 헤더에 포함된 내용을 분석하여 동작(IP, Port 분석) 송신지/목적지 주소와 포트번호, 제어필드의 내용을 분석하고 패킷 필터 규칙에 적용하여 트래픽 통과유무를 결정 장점 단점 필터링 속도가 빠르고 비용이 적게듬 네트워크 계층에서 동작, 클라이언트와 서버에 변화가 없음 네트워크 계층, 트랜스포트 계층에 입각한 트래픽 보호 패킷 내의 데이터에 대한 공격은 차단불가 인증기능 수행 불..

▣ 해킹 및 침해사고_피싱 Phishing, 파밍 Pharming, 스미싱 smishing, 큐싱 qshing, DNSSEC 구분 Phishing Pharming 개요 개인정보(private data)와 낚시(fishing)의 합성어로써, 불특정 다수에게 메일을 발송해 위장된 홈페이지로 접속하도록 한 뒤 인터넷 이용자들의 금융정보와 같은 개인정보를 빼내는 사기기법 피싱(Phishing)+경작(Farming)의 합성어로 피싱에서 확장된 수법, 도메인을 탈취하거나 DNS등의 주소를 변조하여 사용자들로 하여금 진짜 사이트로 오인 접속하도록 유도한 뒤에 개인 정보를 탈취하는 행위 사용자 PC에 악성코드를 심어서 방문하고자 하는 사이트의 URL을 입력하였을 때 가짜 사이트(fake site)로 이동시키는 공격 기..

▣ 네트워크 보안_IPSec(Internet Protocol Security), AH (Authentication Header), ESP(Encapsulating Security Payload) 보안서비스 AH ESP 접근제어 (Access Control) O O 비 연결형 무결성 (Connectionless integrity) O O 데이터 근원지 인증 (Data Origin Authentication) O O 재전송 방지 (Anti-Replay) O (선택) O (선택) 비밀성 (Confidentiality) O 제한적 트래픽 흐름의 비밀성 (Limited Traffic Flow Confidantiality) O ■ 인증에 대해서만 검사하는 인증헤더 프로토콜(AH: Authentication Head..

▣ 개인정보 비식별화 조치_가명처리, 총계처리, 데이터 삭제, 데이터 범주화, 데이터 마스킹 처리기법 예시 세부기술 가명처리 (Pseudonymization) 홍길동, 35세, 서울 거주, 한국대 재학 -> 임꺽정, 30대, 서울 거주, 국제대 재학 1)휴리스틱 가명화 2)암호화 3)교환 방법 총계처리 (Aggregation) 임꺽정 180cm, 홍길동 170cm, 이콩쥐 160cm, 김팥쥐 150cm -> 물리학과 학생 키 합 : 660cm, 평균키 165cm 1)총계처리 2)부분총계 3)라운딩 4)재배열 데이터 삭제 (Data Reduction) 주민등록번호 901206-1234567 -> 90년대 생, 남자 개인과 관련된 날짜정보(합격일 등)는 연단위로 처리 1)식별자 삭제 2)식별자 부분삭제 3)..

▣ 클라우드 책임공유 모델_SaaS, PaaS, IaaS 2020년 107번 정답 : 4번 SaaS를 사용하는 경우 고객은 클라우드 서비스 제공자로부터 응용 서비스에 대한 부분만 제공받기 때문에 물리적 인프라, 가상화, OS에 대한 책임은 없으며, 응용 서비스를 이용하기 위한 데이터 접근에 대한 보안 책임은 가지고 있음 클라우드 서비스 제공자(CSP, Cloud Service Provider)와 고객(클라우드 서비스 사용 기업)의 책임 1) SaaS : 고객은 클라우드 서비스로 처리할 데이터를 결정하고 수집하는 반면, CSP는 본질적으로 처리 방법을 결정하고 특정한 보안 통제 기능을 구현하는 방법을 결정함 고객과 CSP간에 서비스 약관을 협상하는 것이 항상 가능한 것은 아님 이용자(단순 데이터입력, 수정..