SECaaS 개념​

• 온프레미스 보안 솔루션을 자체적으로 구축하고 유지관리하는 대신, 클라우드 서비스를 통해 보안 기능을 사용하는 클라우드 서비스 모델
• 비용 절감, 최신 보안기술 도입, 보안서비스 확장 유연성, 유지보수성

SECaaS 서비스 구성도, 서비스 유형, 적용사례​

SECaaS 서비스 구성도​

SECaaS 서비스 유형​

구분	내용	비고
방화벽	클라우드 기반의 방화벽 서비스로, 트래픽 모니터링 및 제어	관리 용이
IDS/IPS	침입 탐지 및 방지 시스템을 클라우드에서 제공	실시간 탐지
웹 보안	웹 애플리케이션 방화벽(WAF), DDoS 보호 등	안정성 강화
이메일 보안	피싱, 스팸, 멀웨어로부터 이메일 보호	비즈니스 보호
데이터 암호화	데이터 저장 및 전송 시 암호화 서비스	기밀성 유지
SIEM	보안 정보 및 이벤트 관리	통합 관리

SECaaS 적용사례​

구분	내용	비고
대기업	복잡한 보안 요구 사항을 통합 관리	관리 효율성 증가
중소기업	초기 비용 부담 없이 강력한 보안 솔루션 도입	비용 효율성 높음
금융기관	민감한 데이터 보호 및 규제 준수	높은 보안 수준
교육기관	학생 및 교직원 정보 보호, 사이버 공격 방어	안정성 중요
의료기관	환자 정보 보호 및 HIPAA 준수	규제 준수 필수

SECaaS 도입시 고려사항​

• 보안 미들웨어는 SPoF가 될 수 있으므로 서비스 제공자의 신뢰성, 안정성, 과거 성과, 데이터 및 개인정보 관리 측면 검토 필요
• 클라우드 SLA를 통해 서비스 중단 시 대처 방안 약정 필요

EDR 개념​

• IDS, IPS 기능을 포함하여 네트워크의 엔드포인트에서 발생하는 보안 이벤트를 실시간으로 감지하고 대응하는 기술
• 복잡한 위협 환경 실시간 대응 가능, 포렌식 및 분석 기능 제공, 통합 정책 적용, 관리 용이

EDR 구성도, 구성요소, 적용방안​

EDR 구성도​

EDR 구성요소​

구분	내용	비고
데이터 수집 에이전트	엔드포인트에서 데이터를 실시간으로 수집	다양한 OS 지원
중앙 관리 서버	수집된 데이터를 중앙에서 관리 및 저장	확장 가능성
위협 분석 엔진	수집된 데이터를 분석하여 위협을 탐지	AI/ML 기반
실시간 경고 시스템	위협이 탐지되면 관리자에게 경고 알림을 전송	즉각적인 대응
대응 및 격리 조치	탐지된 위협에 대해 즉각적인 대응 및 격리 조치 수행	자동화 가능
보고 및 포렌식 분석	위협에 대한 보고서 작성 및 포렌식 분석 제공	감사 및 컴플라이언스
보안 오케스트레이션	다양한 보안 솔루션과의 연계 및 조정	통합 관리

EDR 적용방안​

엔드포인트	내용	비고
데스크탑/노트북	실시간 위협 탐지 및 대응, 사용자 활동 모니터링	다양한 OS 지원
서버	중요 데이터 보호, 서버 자원 모니터링 및 침입 탐지	고가용성 필요
모바일 기기	모바일 보안 위협 탐지 및 데이터 유출 방지	BYOD 정책 준수
IoT 장치	IoT 특화 위협 탐지 및 대응, 장치 간 통신 모니터링	경량 에이전트 필요

EDR 고려사항​

• 조직의 성장으로 인한 엔드포인트 확장성과, 다양한 운영체제, 디바이스 호환성 고려 필요
• 생성형 AI 기반 검증, 감사용 데이터로 보안 로그를 활용할 수 있도록 로깅 포맷의 정형화 필요

사이버 복원력 개념​

• 사이버 공격이나 관련 문제에 대해 적극 대응하고, 공격으로 인해 발생된 피해로부터 신속하게 정상화 및 회복하는 활동
• MS CrowdStrike 보안 업데이트, xz backdoor 이슈 등 소프트웨어 공급망 장애로 인해 중요성 강조

사이버 복원력 구성도, 구성요소, 비교​

사이버 복원력 구성도​

• 두 역량의 상호작용을 통한 비지니스 연속성 제고

사이버 복원력 구성요소​

구분	내용	비고
비지니스 연속성	정보시스템 보호를 넘어 비지니스 임무, 목표의 지속적 달성	BCP
전사적 활동	IT자산과 보안부서 활동을 넘어서 전사적 기술, 사람의 노력 필요	ITAM, ITSM
생태계 보호	상호 연결된 협력사, 외부 기관가 시스템을 보호하기 위한 상호 협력, 정보 공유	TPRM

사이버 복원력, 사이버 보안 비교​

구분	사이버 복원력	사이버 보안
개념	사이버 자산을 운용하는 조직차원에서 역량	사이버 공격 등 위협으로부터 데이터 및 IT시스템 보호
객체	비지니스 결과물 전달 보장	데이터, 정보시스템, 네트워크 등 보호
적용 범위	전사적, 관련 조직, 생태계	보안 부서
목표	비지니스 요구사항, 연속서 유지	사이버 공격 위험 저하, IT자산 보호
특징	사고 예측, 탐지, 복구 역량 강화, 보안 모범 사례 정규화 등	위협 예방, IT 통제, 접근제어
관점	조직차원 내재 역량	사이버 자산 대상 기술 및 솔루션 도입 보호

사이버 복원력 동향​

• 바이든행정부 국가안보전략 상 사이버복원력 확보를 위한 국가적 협력 강조 및 방안 제시
• 주요 기반 시설의 위험을 감소시키고 복원력을 강화하기 위한 BCP, DRP 수립 필요

공개된 개인정보 처리 개념​

• AI 이해관계자가 개인정보 보호법상 공개된 개인정보를 수집·이용할 수 있는 법 해석 기준을 이행하기 위한 가이드라인
• AI 개발을 위해 웹 공개 데이터 활용 필요로, 공개된 개인정보로 인해 개인 주소, 이름 등 개인정보 유출, 노출 사고 발생

AI 개발 단계별 주요 프라이버시 이슈​

구분	내용	비고
데이터 수집 단계	개인정보 보호 원칙과의 충돌 가능성, 저장된 개인정보의 유·노출, 불완전한 가명·익명처리에 따른 개인정보 재식별 위험	개인정보 보호 원칙과의 긴장 관계
AI 학습 단계	AI 학습과정에서 민감한 정보의 추론 가능성, 개인정보 재식별 또는 유출	학습 과정에서의 개인정보 보호 필요
AI 서비스 단계	암기된 개인정보의 노출·출력, 사생활 침해 우려가 높은 프로파일링, 열람·삭제·처리정지권 등 정보주체 권리보장 미흡	서비스 단계에서의 개인정보 보호 필요

공개된 개인정보 처리 적용대상​

구분	내용	비고
범위	누구나 합법적으로 접근 가능한 개인정보로서, 주로 웹 스크래핑 등을 통해 수집된 데이터 포함	공개된 개인정보
종류	정보주체가 스스로 공개한 개인정보뿐만 아니라 법령에 의해 공개된 개인정보, 출판물, 방송매체 등에 포함된 개인정보 포함	법적 고려사항
예외	정당한 접근 권한 없이 수집된 정보나 유명인의 성명·초상권 침해 등은 적용 대상에서 제외	법적 제한사항

공개된 개인정보 처리 안정성확보조치방안​

구분	내용	비고
기술적 조치	공개 데이터 출처 검증, 개인정보 보호 기술 적용 (예: 차분 프라이버시)	AI 모델 성능과 조화 필요
관리적 조치	학습데이터 수집·이용 기준 정립, 개인정보 영향평가 실시	개인정보 처리방침에 명확히 공개
법적 준수	개인정보 보호법 제3조, 제29조에 따른 안전성 확보 조치	법적 기준 준수

AI 개발시 공개된 개인정보 처리 고려사항​

• AI 제공자, AI 생산자는 공개된 개인정보의 수집·이용 시 개인정보 보호법상의 안전성, 투명성, 신뢰성 원칙 준수 필요

참조​

• 개인정보보호위원회: 인공지능(AI) 개발·서비스에 이용되는 '공개 데이터' 처리 기준 제시

사이버 킬체인 개념​

• 사이버 공격의 단계별 절차를 체계적으로 분석하여 방어할 수 있도록 하는 모델
• 사이버 공격 단계별 대응 방안 수립 가능, 사전 위협 탐지, 차단, 침해 대응

사이버 킬체인 절차도, 세부절차, 대응방안​

사이버 킬체인 절차도​

정무전 익설 씨행

사이버 킬체인 세부절차​

구분	내용	비고
정찰	목표 시스템 및 네트워크 정보 수집 (예: IP 주소, 도메인, 취약점 등)	Passive, Active 정찰
무기화	악성코드 제작 및 공격 도구 개발	악성 문서, 익스플로잇 키트 등
전달	악성코드 전송 (예: 이메일 피싱, 웹사이트 악성 링크 등)	사회공학 기법 포함
익스플로잇	시스템 익스플로잇 이용하여 악성코드 실행	취약점 패치 필수
설치	악성코드 설치 및 지속적 접근 확보	루트킷, 백도어 등 사용
C&C	외부 서버와 통신하여 원격 제어 실시	암호화 통신 사용
행동 개시	데이터 탈취, 시스템 파괴, 랜섬웨어 실행 등 목표 달성	공격 목표에 따라 상이

사이버 킬체인 대응방안​

구분	방안	비고
정찰	침해 탐지 시스템(IDS) 및 침입 방지 시스템(IPS) 설치, 로그 분석	사전 탐지 중요
무기화	보안 교육 및 훈련, 사회공학 기법 인식 향상	사용자 교육 필요
전달	이메일 필터링, URL 필터링, 악성코드 탐지 솔루션 사용	콘텐츠 필터링
익스플로잇	익스플로잇 관리 및 패치, 애플리케이션 보안 강화	정기적 패치
설치	실행 파일 모니터링, 비정상 행위 탐지	엔드포인트 보안
C&C	네트워크 트래픽 모니터링, 비정상 트래픽 차단	포렌식 분석
행동 개시	데이터 암호화, 백업 및 복구 계획 수립, 침해 사고 대응팀 운영	피해 최소화 전략

사이버 킬체인 고려사항​

• 사이버 공격은 사회공학 기법을 이용하므로, 주기적인 사용자 교육과 모의 훈련 필요

TPRM 개념​

• 조직이 외부 파트너, 공급업체, 서비스 제공자 등 서드파티와의 관계에서 발생할 수 있는 리스크를 식별, 평가, 관리 및 모니터링하는 프로세스
• 규제 준수, 평판 관리, 정보 보안, 재무 리스크 관리

TPRM 절차도, 세부 절차, 주요 사례​

TPRM 절차도​

TPRM 세부 절차​

단계	구분	내용
1단계	계획	서드파티 사용 계획 수립, 리스크 평가
2단계	서드파티 선정	잠재적인 서드파티를 평가, 실사 수행 후 적합한 파트너 선정
3단계	계약 협상 및 체결	서드파티 계약 협상 및 체결
4단계	지속적 모니터링	서드파티 성과, 리스크 지속적 모니터링
5단계	관계 종료	서드파티 관계 종료 관리, 긴급 사태 관리

TPRM 관련 주요 사례​

구분	사례	내용
국내	금융사 데이터 유출	서드파티 클라우드 보안 취약점으로 인해 대규모 고객 데이터 유출
국외	MS CrowdStrike	CrowdStrike 보안 툴의 소프트웨어 업데이트로 인해 글로벌 시스템 장애 발생
-	NPM faker.js	Node.js 패키지 faker.js가 개발자의 사보타주로 인하 글로벌 배포 장애

TPRM 고려사항​

• SBOM 도입을 통해 서드파티 소프트웨어의 구성 요소 파악 및 장애, 재해시 위험의 빠른 식별 및 대응 가능
• 소프트웨어 품질 성능평가를 통해 안정적인 서드파티 소프트웨어 사용

DRP 개념​

• 재해나 재난 발생 시 정보 시스템과 중요 업무 기능의 신속한 복구를 목표로 하는 계획으로 데이터 손실을 방지하고, 시스템 다운타임을 최소화
• 비지니스 연속성 유지, 데이터 보호, 법적 요구사항 준수, 재정 손실 최소화

DRP 개념도, 핵심요소, 재해복구센터 구성방안​

DRP 개념도​

DRP 핵심요소​

구분	내용	비고
업무영향 분석	재해가 비즈니스에 미치는 영향을 분석하는 프로세스	복구 우선순위 및 목표 설정 포함
운영 방안	조직체계, 평상시 운영 절차, 재해 시 운영 절차, 모의 훈련 절차 포함	자원 관리 표준 및 절차 포함
백업 방안	데이터 및 시스템 백업 방안 수립	Hot Standby, DB Shadowing, 원격 백업 등
재해복구 센터	백업센터 운영 형태 및 기술 형태 결정	백업센터 위치 및 운영 방식 고려

재해복구센터 구성방안​

구분	내용	비고
백업센터 유형 결정	자체센터, 외부위탁, 공동이용, 상호이용 등 백업센터 유형 결정	구축 비용, 운영 효율성, 복구 목표 시간 고려
데이터 백업 방식	데이터 백업 방식 및 범위 결정	HW 솔루션 또는 SW 백업 방식 선택
통신 회선 및 시설	통신 회선 사용료, 시설 유지비 등 고려	HW 도입 및 유지 비용 포함
비용 산정	구축 시 소요 비용 비교	유형별 비용 산정

재해복구센터 운영형태, 기술형태 비교​

재해복구센터 운영형태​

구분	내용	비고
독자 구축	자체적으로 백업센터 구축 및 운영	보안 용이, 고가 투자 및 운영 비용 소모
공동 이용	공동으로 백업센터 구축	비용 절감, 보안 이슈
상호 이용	기업 간 상호 백업센터 역할 수행	비용 절감 가능, 절차 협의 어려움
외부 위탁	외부 전문 업체에 백업센터 운영 위탁	비용 절감, 보안 및 데이터 관리 이슈

재해복구센터 기술형태​

구분	내용	비고
Mirror Site	실시간 데이터 복제 및 동기화	높은 비용, 완전한 데이터 복구 가능
Hot Site	주요 시스템과 데이터를 즉시 사용 가능하게 유지	빠른 복구, 높은 유지 비용
Warm Site	필요한 자원과 데이터를 일부 준비	복구 시간 길지만 비용 절감
Cold Site	최소한의 자원만 준비, 필요 시 추가 설치	비용 절감, 복구 시간 길어짐

재해복구 전략 수립시 고려사항​

• 복구 시간(RTO), 복구 지점(RPO), 복구 범위(RSO), 커뮤니케이션(RCO), 복구 센터(BCO)를 모두 고려한 재해복구 전략 수립 필요

BCP 개념​

• 재해나 위기 상황에서 조직의 핵심 비즈니스 기능이 지속될 수 있도록 마련된 계획으로 IT 복구뿐만 아니라, 전체 비즈니스 프로세스의 복원 목표
• 비지니스 연속성 보장, 법적 규제 준수, 고객 신뢰성 확보, 재무 손실 최소화

BCP 개념도, 구성요소, 절차​

BCP 개념도​

BCP 구성요소​

종류	설명	비고
재해복구	IT 시스템과 데이터 복구 계획, 시스템 중단 시 신속한 복구 목표	데이터 백업 및 복구 절차
업무복구	비즈니스 프로세스 복원 계획, 핵심 업무 프로세스가 중단 방지	핵심 업무 기능 복구 절차 및 우선순위 설정
업무재개	중단된 업무의 재개를 위한 구체적인 절차, 계획	대체 프로세스, 임시 운영 절차
비상계획	비상 상황에 대한 대비와 대응 계획, 예상치 못한 사건에 대한 대응	위기 관리 팀 구성, 대응 매뉴얼 마련

BIA 절차​

Business Impact Analysis

구분	내용	비고
주요 업무 식별	비즈니스 운영에 필수적인 핵심 업무 프로세스 식별	조직의 가치 사슬 분석
재해 유형 분석	재해의 유형과 발생 가능성을 분석, 비즈니스 영향 평가	FMEA
손실 평가	재해 발생 시 예상되는 재무적, 운영적 손실 평가	재무적, 운영적, 법적 손실 평가 기준 설정
우선순위 설정	복구 대상의 우선순위를 설정하고, 복구 순서 결정	손실 비용 기반
복구 목표 설정	서비스 목표 복구 시간, 데이터 손실 허용 시간 설정	RTO: 2h, RPO: 0

BCP 성공 포인트​

• 정기적인 훈련과 모의 테스트를 통한 실전 대응 능력 향상
• Third Party Risk Management 전략 수립

ISO 14000 개념​

• 기업이 환경 성과를 개선하고 법규를 준수하도록 하는 환경 경영 시스템(EMS)에 대한 국제 표준
• 환경 보호의 필요성 증가, 지속 가능한 발전, 파리협약-RE100 등 국제 협약 준수

ISO 14000 구성도, 구성요소, 적용방안​

ISO 14000 구성도​

• 환경 경영 시스템, 환경 성과 평가, 온실가스 측정

ISO 14000 구성요소​

구분	내용	비고
환경 경영 시스템	환경 목표 및 방향 설정	조직의 전반적인 환경 관리 프레임워크 설정
환경 성과 평가	환경 성과 체계적 평가	환경 영향 및 개선 사항 지속적 모니터링
환경 라벨링	제품 환경 성과 표시	소비자 인식 향상 및 친환경 제품 판촉 기여
온실가스 배출량 및 제거량 측정	온실가스 배출량 측정 및 관리	기후 변화 완화 및 규제 준수 지원

ISO 14000 적용방안​

구분	내용	비고
Standard	ISO 14001, ISO 14004 등의 구체적 표준 적용	환경 경영 시스템 요구사항 및 시스템 가이드라인 제공
Process	환경 영향 평가, 자원 사용량 모니터링, 폐기물 관리 등 프로세스 도입	환경 성과 지표 설정, 데이터 수집 및 분석
Organization	전사적 환경 경영 체계 구축, 모든 부서 환경 목표 공유	부서별 역할과 책임 명확히 정의, 전사적 협력 유도
Technology	최신 기술 도입, 에너지 효율성 향상, 오염 물질 배출 최소화	탄소인지시스템, 오염 방지 기술 도입

ISO 14000 인증 절차, 인증 효과​

ISO 14000 인증 절차​

구분	상세절차	설명
도입 준비	정보 수집 및 분석	ISO 14000 표준 이해, 조직 내 환경 관리 요구사항 파악
-	조직 현황 파악	기존 환경 성과, 환경 영향, 환경 관리 체계 분석
-	TFT 구성	환경 경영 시스템 구축을 위한 태스크 포스 구성
-	추진계획 수립	ISO 14000 인증 추진계획 수립
구축 및 실행	시스템 기본 골격 구성	환경 정책, 목표, 프로그램, 조직 구조, 역할 및 책임 설정
-	환경방침 제정 및 실행	환경 정책 수립, 전사적 환경 경영 시스템 구축
인증심사	인증 신청 및 상담	인증기관에 인증 신청, 인증기관과 상담
-	예비심사	인증기관의 예비심사, 환경 경영 시스템 준비
-	문서심사	환경 경영 시스템 문서 검토, 인증기관의 문서심사
-	본 심사	인증기관의 본 심사, 환경 경영 시스템 실제 운영 확인
-	인증서 발행	인증기관의 심의 후 인증서 발행

ISO 14000 인증 효과​

구분	인증 효과	비고
비용 측면	비용 절감	폐기물, 유틸리티, 소모원재 투입감소, 유해물질 투입 감소
-	환경사고 예방	사건 사고, 손해배상, 생산 손실 등 비용 감소
-	보험료 감소	환경사고 보험료 감소
기업 경쟁력 측면	이미지 개선	그린 기업, 신뢰도, 점유율, 투자 촉구
-	무역장벽 극복	법,규제 대응, 요구사항 충족, 그린 상품 구매 촉진

ISO 14000 고려사항​

• 법규 및 규제 준수, 경영진의 적극적 참여와 지원 필요
• 지속적 개선과 이해관계자 참여, 효과적인 커뮤니케이션 필요

공공기관 데이터베이스 표준화지침 개념​

• 공공기관이 생성 또는 취득하여 관리하는 데이터베이스 표준화에 필요한 세부 사항을 정립한 지침
• 데이터 품질향상, 호환성, 공공기관 간 데이터 상호운용성, 공공데이터 신뢰성, 투명성 보장

공공기관 데이터베이스 표준화지침 구성도, 구성요소, 적용방안​

공공기관 데이터베이스 표준화지침 구성도​

공공기관 데이터베이스 표준화지침 구성요소​

구분	내용	비고
표준화 관리	표준화 관리체계 구축, 표준 수립, 적용, 산출물 관리	데이터 표준 사전 작성, 코드 표준 준수
공통 표준용어 관리	공통 표준 용어 관리 원칙, 구성요소 및 관리 항목	재개정시 이해관계자 협의
메타데이터 관리	기관 중앙 메타데이터 관리 시스템 구축 및 운영	메타데이터 표준 관리항목 등록

공공기관 데이터베이스 표준화지침 적용방안​

구분	내용	비고
공공기관	표준화 관리체계 구축, 메타데이터 등록 및 관리	기관 여건에 맞는 시행 세칙 제정
행정안전부	예산확보, 지원, 지침 재,개정, 공통 표준 용어 관리	표준화 협의체 운영
데이터 활용지원센터	표준화 정책, 제도 조사 및 연구, 기술 개발 및 지원, 홍보 교육	전담 조직 구성 및 운영

표준화지침 이행시 고려사항​

• 표준화 중요성에 대한 인식 제고 및 주기적인 교육 필요