기업의정보보호를위한 클라우드활용방안 2017.10. 더존비즈온차준호이사 www.douzone.com Maximizing Potential
CONTENTS 1. 배경 2. 클라우드업무환경 03 10 3. 관리중심의정보보호중요성 4. 결언 17 34 Maximizing Potential
문서의제목을작성하세요 ( 마스터 ) 배경 Maximizing Potential
OECD 의 2017 고용동향 에따르면대한민국은 1 인당연간평균노동시간이 OECE 에서 2 번째로 높은반면, 연간평균임금은 OECD 중하위권으로낮은수준으로나타났습니다. 4
비즈니스환경의변화와이를지원하는 IT 의발전으로업무환경은커다란변화를겪고있다. 특히네트워크와 모빌리티기기의확산으로이른바 때와장소에구애받지않은업무수행 이보편화되고있습니다. 때와장소에구애받지않는업무수행 59% 52% 2 hrs 50% 78% 10 년전대비 집에서도회사와 직원들의공공장소 퇴근후업무용 엄격히규제받는 감소한사무실 공간비율 동일한생산성을 발휘하는직원비율 에서업무하는 1 일평균시간 E-mail을확인하거나업무상의통화를하는직원비율 산업에종사하는직원들의무료파일공유서비스이용률 5
기업의직원들은일상적인업무과정에서다양한보안위협에노출되어있으며, 이에대한완벽한보안은 불가능합니다. 특히, 서버등체계적으로관리되고있는장비보다직원의개인 PC 가보안에더취약합니다. 6
신종바이러스나알려지지않은각종스파이웨어, 악성코드에대응하는데한계가있으며 해커는방화벽과보안관제시스템을우회해직원의 PC 를통해기업내서버로침입하고있습니다. 1. 해커의기업서버침입경로 > 1. 외부를거쳐감염 2. 해커의기업서버침입경로 > 2. 기업내에서웹사이트접속을통해감염 7
ICT 를활용한다양한기술이발달함에따라 ICT 자원을근간으로 기업의업무환경이새롭게변화하고있습니다. 사이버테러의위협대응 SMART SECURETY WORKPLACE (CLOUD) 정보보안감사활동 재택근무스마트워크센터원격근무출장 ( 외근 ) 8
Smart Work 환경에서의기업정보관리예시 해외지사 Smart Workplace Zone 업무형태 생산공장 지방사무소 사전 / 사후보안사고대응 정보감사 Smart Work 업무환경에서보안위협및보안사고를 예방할수있는보안관리활동. 9
ICT 기반의새로운기업업무환경구축시고려사항 기업의정보보호를위한클라우드활용방안 ICT 기반의새로운기업업무환경구축 사이버테러의위협대응 랜섬웨어등지능화되어가는사이버테러위협 각종업무관련데이터가저장된직원개인 pc 의보안위협노출 개인 pc 를통한정보유출및사내전산망마비에대한대은 협력업체, 비인가직원에의한내부정보유출대응 컴플라이언스이슈대응 전산자원의운영관리 클라우드업무환경 개인정보보호법준수를위한물 새로운시스템도입을위한각종리적, 전산장비, 설비의확충 ( 신규투자관리적 ICT, 기술적기반조치사항새로운필요등기업 ) 업무환경 외부침입에의한내부전산망마 기존시스템별독립운영되는비전산장비의통합관리대비를위한정보통신망법이 유휴전산자원및인프라방치에슈따른비용낭비요소발생대응 ( 논리적, 물리적망분리 ) S/W라이선스와보안등직원개인 PC에대한관리이슈증가 기존기기를활용한스마트워크 ERP, CRM 등기존구축중인레거시시스템에대한모빌리티요구 추가개발비용없이언제어디서나동일한업무환경제공 현장중심의신속하고효율적인업무처리를위한일하는방식의전환 BYOD(Bring Your Own Device) 를이용한업무처리 기업의다양한업무환경에합리적이고유연하며, 신속히대응하기위한구축방안필요 10
기업은다양한 IT 이슈에합리적이면서도유연하고신속하게 대응하기위해클라우드컴퓨팅을통한업무환경이만들어져야합니다. 유선 클라우드기반업무환경은기업내직원 PC 에서업무용프로그램과데이터를가상화함으로써 PC 에대한해커의공격과바이러스등의문제로부터안전한업무환경을제공합니다. 언제어디서나장치에관계없이업무를수행할수있는클라우드기반업무환경을제공합니다. 11
클라우드는다양한서비스환경을제공합니다. 분류 SaaS PaaS IaaS Software as a Service Platform as a Service Infrastructure as a Service 정의 인터넷을통해사용자가원하는소프트웨어를서비스로제공 새로운 S/W 기능구매하는데드는비용을감소 일정기간동안사용량기반으로비용을지급함으로써인프라투자와관리부담을최소화 소프트웨어, 시스템구현을위한플랫폼을서비스로제공 개발도구, 개발환경, 실행환경제공 개발자는마련된플랫폼상에서자원을활용하여어플리케이션을만들어사용가능 시스템이나서비스를구축하는데필요한 IT 자원을서비스로제공 서버, 스토리지데이터베이스등과같은자원제공서비스 자원은물리적인자원이아니라가상의자원제공 D-Cloud 대표 서비스 EC2(Elastic Compute Cloud) S3(Simple Storage Service) 12
업무목적으로생성된각종문서와중요기업데이터를 바이러스, 외부유출등의각종위험요소로부터안전하게관리할수있습니다. 악성코드등중요정보보호 외부유출통제가능 다양한보안기능제공 프로그램과데이터를가상화함으로써 PC에대한해커의공격과악성코드등의문제로부터안전한업무환경. 개인이생성한문서에대한 PC다운로드, 키보드 Copy&Paste, 프린터출력, CD/USB 저장등에대한통제. 관리자 / 사용자권한관리, 실행파일통제, 업로드필터, 비밀번호변경등의다양한보안기능. 13
유무선인터넷으로언제어디서나어떠한디바이스로든클라우드에접속하고 업무용프로그램을사용할수있어 Smart Work 가가능합니다. 클라우드업무 Potol 효율적인업무협업 업무의연속성보장 Smart Work Placement 구축을 통해 365 일 24 시간언제나 효율적인업무환경. 중앙집중적가상화스토리지를이용하여생성된문서는클라우드에저장되고사용자간협업이자유롭게가능. PC고장, 정전, 화재등예상치못한상황이발생되더라도인터넷만된다면타디바이스로즉각적인업무수행. 14
업무에필수인서버, PC 등의전산자원을통합하여효율적으로관리할수있으며 포맷, 재설치등에소요되는시간과라이선스등을편리하게관리할수있습니다. 전산자원의중앙집중관리 사용현황이력관리 배포및라이선스관리 포맷, 장애등긴급상황에서도업무수행을위한 OS 및각종어플리케이션재설치불필요. 모든사용자의이벤트기록, 감사추적기능으로위험방지등각종로그를통한효율적인사용현황분석. 신속한프로그램배포및 통합소프트웨어라이선스 관리에용이. 15
클라우드를통하여서버의가동률을극대화하고 ICT 자원을효율적으로운용할수 있어전산자원에대한관리및유지비용을절감할수있습니다. 전산자원의사용률극대화 전산자원공유를통한비용절감 기업에서별도서버 ( 시스템 ) 을추가구매운영이 불필요하고최소한의서버비용으로 전체서버의리소스를효율적으로활용. 장치단위의라이선스가아닌사용자단위의라이선스구매로소프트웨어구매비용을절검하고, 스토리지공유를통해문서중앙화, 스마트워크효과로 ICT 투자비용절감. 16
문서의제목을작성하세요 ( 마스터 ) CLOUD 의보안 관리중심의정보보호중요성 디지털포렌식정보보안감사 Maximizing Potential
정보의 통제중심 에서정보의 관리중심 으로 정보보호및관리패러다임이변화하고있습니다. 통제중심 관리중심 퇴직자에의한 경력자채용과함께 유출통제 고의적인정보파기 자료유입 경쟁사자료의불법유입 자료암호화 자료파기 감사정책 보안정책 정보현황 어떤정보가존재하는가? 정보활용 정보흐름 어떤형태로보관되고있는가? 누가정보를소유하고있는가? 정보의갱신은유지되고있는가? 정보는백업되고있는가? 어떤정보가유출되었는가? 어떤정보가파기되었는가? 디지털포렌식기반의 정보감사기술을활용 정보 = 자산 정보의관리를 정보공유 통한정보자산의활용도제고 조직전체자료의 80% 가 중복자료, 중요한자료가 어디에존재하는가파악필요 어떤내용이들어있는가? 18
통제중심의보안시스템의존적경향증가로업무의비효율발생하고, 지속적인보안투자비용이증가에도보안사고는지속적으로발생하고있습니다. 기술유출의주체의 79% 는 내부직원 19
위협의주체는내부에상존, 기술적보안취약점보다는관리적인문제가 원인이되어사고가발생되고있습니다. 65% 20
정보감사 [ 情報監査 : Information Audit] 기업이나조직내의정보를대상으로한정보보호프로세스및시스템이 적절하게운영되고있는지감독하고검증하는활동 보호 관리 정보가되고있는가? 유출 정보취급자, 보안시스템, 보안규정에대한종합감사 - 정보의라이프사이클 생성 > 보관 > 이용 > 파기 에따른정보자산의식별과통제 - 정보가생성되고활용되고보관되는물리적기반 (PC, HDD) 과논리적기반 (OS) 의리스크감사 - 정보감사를위한시스템로그를비롯한각종데이터의분석과검증 - 정보보호체계내정보감사수행을위한기술적, 관리적절차와규정제시 - 시스템로그분석과타임라인분석을통한사용자정보처리행위분석 정보보안취약성진단 조직내정보관리현황진단 정보유출 ( 취약점 ) 에대한감사 21
디지털포렌식정보감사활동을통해수집된데이터를기반으로 사용자의행위를추정하여미연에사고를예방합니다. 행위 모니터링 사용자가추후행동할수있는행위를유추하여, 주의를주거나, 교육을통해사전에발생할수있는사고예방 사고예방 개인정보관리이상징후포착 개인정보보유권한이없는직원의파일보유여부확인 의도적으로정보감사수집을방해하는행위를사전에할수없도록방지 규칙 준수 사내보안정책위반여부확인 데이터 파기 기업의중요한정보를임의로삭제시삭제행위및삭제된파일의확인 22
디지털포렌식정보감사활동을통해수집된데이터를기반으로 사고발생시신속한대응을할수있습니다. 전송흔적 분석 퇴직자가퇴직시가지고있던노트북및 PC 의데이터를외장하드및 USB 를이용하여복제시확인 사고대응 첨부파일분석 네트워크접속흔적 메일을통한정보유출여부확인 웹하드및기타웹사이트접속을통한정보유출분석및공유네트워크를통한우회유출흔적발견 데이터 파기 데이터삭제도구의사용흔적확인 데이터 복제 기밀문서및도면과같은기업내중요자료에대한메타데이터분석을통해자료의위 / 변조및복제증거확보 23
사고발생전 사고발생후 보안규정준수여부확인 도입솔루션취약점파악 유출가능성사전인지 자체초동대응 정보현황파악 ( 개인정보포함 ) 증거보존 수탁 / 협력업체정기점검 경제적피해최소화 24
정보감사를통해 PC 에서어떤상황들이일어나고 있는지예시로알아보겠습니다. 25
디지털포렌식정보보안감사활동을통한활용예시. ( 시스템 On/Off 정보를통한업무시간외등특정날자 ( 시간 ) 이력확인 ) 특정기간동안출장또는휴가로인하여 PC 를장시간사용하지않음. 특정일에 PC 가새벽시간에 Off 된이력은정상적인업무? 비정상적인업무? 확인이필요함 26
디지털포렌식정보보안감사활동을통한활용예시. ( 온라인을통한사용이력등불법 / 정보공유행위확인 ) 웹메일사용이력 불법다운로드사이트사용이력 포털 Cloud 사용이력 27
디지털포렌식정보보안감사활동을통한활용예시. ( 온라인을통한다양한검색행위에서불법 / 정보공유등이력확인 ) 일반검색 이직관련검색 정보삭제관련검색 28
디지털포렌식정보보안감사활동을통한활용예시. ( 다양한이동형저장매체사용이력및중요정보이동등현황확인 ) 이동형저장매체사용이력 회사정보, 설계도면, 계약서정보가이동형저장매체에담겨져있음. 29
디지털포렌식정보보안감사활동을통한활용예시. ( 다양한어플리케이션설치및실행현황을통한불법 / 정보공유행위확인 ) PC 클리너 네이버웹하드 (ndrive) P2P 다운로드 네이트메신저 PC 에서사용한이력정리프로그램 ( 인터넷,USB, 프로그램삭제등 ) 인터넷상에자료를저장할수있는프로그램 (30G 용량 ) 음악, 동영상, 프로그램등을인터넷상에서불법으로다운로드하는프로그램 온라인상에서지인들과대화및자료를공유할수있는사외메신저프로그램 30
디지털포렌식정보보안감사활동을통한활용예시. (PC 내저장되어있는다양한문서현황및중요정보보유현황확인 ) 업무정보파일 설계및공사도면 삭제된업무정보파일 업무를위해생성된자료들이저장되어있으며작업이후삭제한파일들을살펴보면접근권한이없는업무자료들이있었던것을확인할수있다. 31
디지털포렌식정보보안감사활동을통한활용예시. (PC 내저장되어있는개인정보보유현황확인및세부내용확인 ) 개인정보가포함된문서들 본문에있는개인정보들 32
실제디지털포렌식정보감사활동을통해협력업체직원의 승인절차또는보고없이불법행위들을확인할수있었습니다. 비인가사외메신저설치 웹메일사용 협력업체직원의 PC 사용패턴 외부저장매체사용 파일삭제 33
우리의일상에서일어나고있는사소한부주의가기업에는큰손실로다가올수있습니다. 1. 비규칙적인 PC 사용 - 야간및주말에특근계획없이출근하여 PC 를사용 다량의정보유출위험 2. 무분별한인터넷사이트접속 스폰서 ( 광고 ) 프로그램설치및바이러스유포등의위험성 3. 허용되지않은외부저장장치 (USB) 사용 개인소유의 USB 를통하여회사의기밀을저장하여보관, 유출 4. 허가되지않은불법 S/W 설치 불법다운로드 (P2P) 프로그램사용으로인한회사의자료를불법유출 5. 설계도등소유권한이없는파일보유 회사기밀유출의잠재적위험및 최소권한의원칙 위배 6. 주민번호등개인정보파일소유 개인정보보호법 위반으로과태료부과 7. 외부용역및유지보수인력의관리감독부실 협력사및외부인력에의한정보손실및유출 34
문서의제목을작성하세요 ( 마스터 ) 총평 결언 기업의정보보호를위한클라우드활용방안 Maximizing Potential
마이마알이 IT 보안강화제안서 36 Douzone
감사합니다. www.douzone.com Maximizing Potential