-
-
국제표준 정보보안 + 사이버보안 + 개인정보보호
박억남.권재욱 지음 / 위즈앤북 / 2024년 9월
평점 :
지금으로부터 2년 전쯤인 2022년, ISO/IEC 27002가 개정되었습니다. 이 국제규약은 일반인들이 뉴스를 무심히 넘기는 중에도 제법 빈번히 개정이 되는 편입니다만, 특히나 한국의 현실은 매우 심각합니다. 개인이건 기업이건 보안 의식이 극히 미비하여, 심지어 고도의 보안이 요구되는 금융기관에서도 그 주체조차 불분명한 해킹을 당하고서 아무런 후속대책을 마련하지 못한 채 고객에게 책임을 떠넘기는 예조차 봅니다. 일반 기업은 말할 것도 없습니다. 학교에서부터 아이들에게 올바른 보안 의식을 함양하여, 개인 레벨에서 철두철미한 경계심과 개념으로 무장시키는 것도 중요합니다.
(*북유럽 카페의 소개를 통해 출판사에서 제공한 도서를 읽고 솔직하게, 주관적으로 작성한 후기입니다)
p16에서는 국제표준 정보보안 및 용어 및 원칙이 친절히 설명됩니다. 보안규약을 설명한 국내 서적 중에는 이런 기초 용어 설명이 부족하여 일반인들의 접근이 어려운 경우가 있는데, 개별 도서에의 이해를 힘들게 할 뿐 아니라 결국은 보안의식 제고, 지식 보급이라는 목표마저 그 달성을 방해한다 할 수 있습니다. 이 책에서 용어의 정리를 통해 그나마 최대한 초심자를 배려한 건, 이런 이유에서 매우 바람직하다 하겠습니다. ISO 27002 체계 안에서 사이버보안 통제 속성은 CSF Core, 또는 Cybersecurity Controls로 표현된다고 p19에 나옵니다.
p81에는 정보 라벨링에 대한 설명이 나옵니다. ISO 27001 정보보안 속성은 기밀성, 무결성, 가용성에 해당하며 사이버보안 통제(concept)는 보호를 고려하여 적용할 수 있다는 문장이 있습니다. 이 책에서는 특히 정보 라벨링에 대해, 속성, 가이드라인 등으로 세부 분류하여 ISO 27001과 27002에서 내용이 어떻게 달라지는지 독자가 한눈에 보기 편하게 정리합니다. 또 p85에서는 데이터 유출 방지에 대한 설명이 이어지는데, 이 역시도 표를 통해 통제 유형, 정보보안 속성, 사이버보안 통제, 운영 능력, 보안 도메인 등으로 나눠 이 섹션의 핵심이 무엇인지 비교적 알기 쉽게 전달합니다.
p101이하에서는 클라우드 서비스의 구현에 대한 설명이 나옵니다. 대체로는 통제 유형과, 이에 따른 CSP, CSC의 가이드라인에 대한 간략한 서술이 표 안에 정리된 형식입니다. 클라우드 서비스 사업자로는 IaaS, PaaS, SaaS 등이 있으며, 특히 IaaS 사업자는 "국제표준에 따라 안전성, 신뢰성, 책임성, 투명성 등을 보증하고 클라우드 보안을 강화한다"고 나오네요. 바로 아래 항목에서 PaaS 등과 IaaS가 어떻게 다른지를 한 줄로 요약해 줘서 더 머리에 잘 들어옵니다.
p148이하에서는 시스템 네트워크 보안에 대한 서술이 이어집니다. 네트워크 보호 및 관리 가이드가 step1에서 step3까지, 식별, 보호, 탐지, 대응, 복구 등 다섯 단계로 나누어 설명됩니다. 개인적으로는 이 페이지의 서술이 책 전체를 요약할 만큼 중요하다고 생각하며, 이 페이지의 내용을 잘 이해해야 다른 디테일로 확장이 자유롭게 가능하다고 판단했습니다. p161에는 안전한 시스템 아키텍처와 엔지니어링 원칙이 나오는데, 지난번 ISO 27002의 개정이 많이 이뤄진 부분이기도 합니다. p167에는 외주 개발에 대한 규약도 나오는데 ISO 27001 초창기부터 있긴 했으나 이 규약이 이런 부분까지도 예비하고 있었나 해서 새삼 놀랍기도 했습니다.
p201에는 ISO 27001의 적용대상이 나오는데, 페이지 중간쯤에 보면 PII 컨트롤러를 대신하여 PII 프로세서로 컨트롤러의 지시에 따라 개인정보를 처리한다고 하는 대목이 있습니다. 회사의 실무자들은 이 대목에서 아 원칙이 그리 되어 있었구나 하며 새삼 고개를 끄덕일 수도 있겠습니다. p213에는 물리적 환경적 보안과 운영 및 통신 보안에 대한 내용이 있는데, 실무자들은 바로 하단에 나오는 정보 백업에 대한 서술을 정독할 필요가 있습니다. p221에는 컨트롤러의 추가 가이던스가 나와 이 상황에서 통제의 디테일을 어떻게 추진해야 할지 많은 참고가 됩니다. 보안 규약의 바이블이자 참고서 구실을 일목요연하게 수행해 줄 멋진 책이었습니다.