12 — 보안관리·위험관리·BCP/DR·인증제도
A — 정책·조직
정책은 경영진의 방향과 원칙, 실행 문서는 이를 구현할 방법·절차·주기·책임을 구체화한다. 정책에는 보호 의지와 조직의 방향을 담고 교육·보안문화·실행 절차로 연결한다. 경영진의 지원·승인, 책임자의 조정·보고, 담당자의 운영, 전 구성원의 역할별 준수·교육을 구분한다. KISA 정책·실행 문서 설명(2020 안내서, 이 개념 부분만)
관리체계는 기반 마련 → 위험 관리 → 운영 → 점검·개선을 반복한다. 단계·항목명은 해당 관리체계의 판본을 기준으로 읽는다. OECD의 보안 원칙과 개인정보 원칙은 각 문서의 목적에 따라 구분하며 개인정보 원칙은 C13에 연결한다. KISA 현재 인증 구조
B — 사람·외주·공급망
임직원과 외부 인력 모두 업무상 필요한 정책을 준수하고, 실제 권한은 각자의 역할·업무 범위에 맞춰 부여한다. 입사/계약 시 역할·책임·기밀유지·접근 범위를 정하고 교육하며, 변경·종료 시 권한과 자산을 회수한다. 공급망은 개발·빌드·배포·업데이트의 신뢰를 연결한다. 공급물의 승인된 출처·무결성/서명·검사·변경관리·복구를 함께 확인한다(C05/C09). 개발망 통제와 패치는 해당 경로의 보호 수단으로 적용한다.
인적 보안과 외부자 보안은 KISA 인증기준의 별도 영역이다. 구성도 공개 범위와 교육 주기는 정보 중요도·업무·적용 기준에 맞춰 정한다. CPO·CISO의 책임은 각 제도의 역할·요건으로 확인한다. KISA 보호대책 영역
C — 자산·물리·환경·감사
자산은 업무·소유자·중요도·의존성과 연결해 식별하고 변경 시 갱신한다. 출입 승인/통제와 출입기록의 사후 점검은 다르다. 전원 연속성, 화재 탐지/소화, 적정 환경 유지/감시를 원인별로 구분한다. 통제 평가는 구현·실제 작동·요구 결과를 확인한다. UPS의 지원 대상·유지시간은 업무 요구에 맞춰 정한다.
TEMPEST는 정보기기의 의도하지 않은 정보 누설 방출을 조사·연구·통제하는 개념이다. 전송 데이터 암호화와 장비 방출로 인한 누설 문제를 구분한다. 설비별 거리·차폐 성능·환경 대책은 실제 방출 특성과 배치 조건에 맞춰 평가한다. NIST TEMPEST
D/E — 위험평가·처리
범위와 판단 기준을 정하고 자산·위협·취약점·기존 대책을 확인해 가능성과 영향을 평가한다. 정성은 범주, 정량은 의미 있는 수량, 준정량은 점수 척도다. 평가의 신뢰성은 척도의 의미·입력 품질·추정 근거에 달린다. 도구는 정한 모형의 반복 계산을 지원한다.
기본 손실 모형은 SLE=자산가치(AV)×노출계수(EF), ALE=SLE×연간 발생빈도(ARO)다. EF는 1회 손실 비율, SLE는 금액/회, ARO는 회/년, ALE는 금액/년으로 단위를 맞춘다. ARO는 연간 빈도라 1보다 클 수 있다. ALE는 여러 가능성을 반영한 연간 기대손실이며 실제 연도별 손실은 달라질 수 있다. Pearson 원저 교재 공개 본문 Criticality Analysis — 공식 공개 교육 원천의 기본식만 사용한다.
위험분석의 접근 방식은 다음과 같이 읽는다. 정성·정량은 결과의 표현 방식이고, 아래 분류는 분석을 수행하는 방식이다.
| 접근 | 핵심 방법 |
|---|---|
| 베이스라인 | 기존 기준·가이드의 보호대책과 현재 대책을 비교해 기본 보호 수준을 점검 |
| 비정형 | 담당자·전문가의 경험과 판단을 바탕으로 위험을 분석 |
| 상세 위험분석 | 자산 중요도·위협·취약점을 구체적으로 분석해 위험과 대책을 평가 |
| 복합 | 중요 영역은 상세 분석하고 다른 영역은 베이스라인을 적용하는 등 두 접근을 조합 |
네 명칭은 KISA2005 위험관리 가이드 목차에서 확인했다. 방법의 기본 뜻은 Toshiba의 위험분석 기술 설명의 해당 네 절을 2026-09-09에 대조해 보완했다. 이 표는 접근법의 개념 비교이며 실제 선택은 분석 대상·중요도·가용 자원에 따른다.
델파이는 익명 의견수렴·반복·피드백을 사용하는 전문가 추정 방식이다. 익명성과 반복 피드백으로 의견을 정교화하며 결과의 타당성은 전문가 구성·질문·근거로 평가한다. 시나리오는 상황 전개를, 순위 비교는 상대 우선순위를, 통계적 추정은 입력 자료·모형을 살피는 서로 다른 관점으로 읽는다. 각 기법의 결과는 실제 사용한 척도에 따라 정성·정량·준정량으로 표현한다. RAND Delphi 설명
처리는 감소(가능성 또는 영향 축소), 회피(위험 활동 중단), 수용(권한자의 인지·승인), 이전/공유(계약 등에 따른 부담 분담)다. 남은 위험·담당자·기한·자원·효과 확인을 계획에 연결한다. 관리/물리/기술은 구현 관점이고 예방/탐지/복구는 기능 관점이다. 보험·계약은 약정한 부담을 분담하고 잔여 손해·책임은 해당 조건으로 관리한다. 위험 수용은 근거를 검토한 권한자의 결정이다. 통제 적용 후에도 남는 위험을 확인한다.
F — 업무연속성
BIA는 중단 영향·복구 우선순위·자원 의존성을 분석한다. RTO는 복구시간 목표, RPO는 복구 데이터 시점 목표다. BCP는 업무 지속, DR은 시스템 복구, 백업은 복구에 쓰는 사본이다.
콜드 사이트는 공간·전원/환경 등 기반 중심, 웜은 장비 일부/전체가 있으나 실제 운영 준비가 더 필요한 상태, 핫은 운영 요구를 신속히 지원할 장비·인프라·지원 준비가 높은 상태로 비교한다. 소프트웨어·데이터·통신 전환과 의존성은 따로 확인한다. 실제 RTO/RPO와 비용은 준비된 설비·데이터·전환 절차·시험 결과로 확인한다. 거점 분류의 근거는 NIST800-34r1 §3.4.3 및 §5.1.2다. 원천
문서/체크리스트 검토와 역할별 시나리오 토론, 모의 환경에서의 기능 수행, 실제 복구/전환 시험은 투입 자원·운영 영향이 다르다. NIST의 tabletop은 토론, functional은 모의 환경의 역할 수행이다(§3.5.3). 체크리스트·구조적 점검·시뮬레이션·병렬시험은 해당 지침의 수행 방식과 운영 영향으로 비교한다. 시험 결과로 계획을 개선한다. 훈련 근거
전체 백업은 선택한 데이터 전체, 증분은 직전 백업 이후 변경분, 차등은 최근 전체 백업 이후 변경분이다. 전통적 복원 체인은 전체=해당 전체, 증분=기준 전체와 이어지는 모든 증분, 차등=기준 전체와 목표 시점 차등을 요구한다. 차등 복원은 기준 전체 백업과 목표 시점 차등을 함께 사용한다. 운영 데이터와 백업의 장애·권한 경계를 분리하고 실제 복원 시험으로 데이터·키·시간 목표를 확인한다. 백업 예약·실행과 실제 복원을 각각 확인한다. 스냅샷·CDP는 제품별 시점 보존·변경 기록 방식이며, 운영 데이터와의 장애·권한 분리 및 복원 가능성을 확인한다.
G — 관리체계 인증
ISMS는 정보보호 관리체계, ISMS-P는 개인정보 처리까지 포함하는 관리체계 인증이다. 범위에는 서비스를 운영·보호하는 조직·위치·자산이 들어가며 ISMS-P는 개인정보 처리 시스템과 취급자를 포함한다. 인증 범위에 관련된 내부 자산·조직도 해당 기준에 따라 포함한다. KISA 범위·절차
2026-09-09 조회한 일반 인증 안내는 관리체계16 + 보호대책64, ISMS-P는 개인정보 처리21을 추가한다. 일반 인증 기준의 항목 수, 간편인증 기준, 심사기관 지정기간, 인증서 유효기간은 각각의 항목으로 확인한다. 핵심 구조는 기반·위험·운영·점검개선이며 접근통제는 보호대책 중 한 영역이다. 인증은 정한 범위의 관리체계 평가이며 개별 시스템 취약점은 계속 점검·조치한다. KISA 일반 인증 기준
H — 제품·암호모듈 평가
CC는 정의한 평가 대상(TOE)의 보안 기능·보증 요구를 기준으로 평가한다. 제품 유형의 요구를 정리한 PP와 특정 대상의 보안목표명세서 ST를 구별한다. EAL은 평가 보증 요구사항의 묶음이다. 자산 중요도·사용 목적·암호강도는 각각의 기준으로 평가한다. 평가 범위·가정·구성·버전을 함께 보며 국제 상호인정의 적용 범위와 해당 평가수준을 각각 확인한다. CC 개요, CC FAQ
TCSEC(미국)·ITSEC(유럽)은 CC 이전 평가체계의 역사로 연결한다. 구 등급표·평가항목은 해당 역사적 체계 안에서 읽는다. CC 역사
KCMVP는 국가·공공기관이 비밀이 아닌 업무자료 보호에 도입하는 암호모듈의 안전성과 구현 적합성을 검증하는 제도다. KISA 설명은 KS X ISO/IEC19790·24759를 시험/검증 기준으로 안내한다. 알고리즘 선택, 모듈 검증, 제품 평가, 조직 인증은 대상이 다르다. 키 길이는 알고리즘별 기준을 확인하고 모듈 검증 범위와 제품 전체의 보안 상태를 각각 평가한다. KISA 암호모듈 검증
핵심 연결
- 정책의 방향을 역할·절차·운영·점검으로 구체화한다.
- 자산·위협·취약점을 평가해 위험 처리와 통제 계획을 정한다.
- 위험분석 접근법은 수행 방식, 정성·정량·준정량은 결과 표현 방식이다.
- SLE는 1회 손실, ARO는 연간 빈도, ALE는 연간 기대손실로 단위를 맞춘다.
- BIA로 업무 영향을 파악하고 RTO·RPO에 맞춰 거점·백업·복구 시험을 구성한다.
- 관리체계 인증·제품 평가·암호모듈 검증은 각 평가 대상을 기준으로 이해한다.
출처와 범위
2026-09-09까지 대조한 채택 핵심을 유지한다. 2026-09-10에는 출처 연결과 문서 구성을 정리했으며 기술·법령의 최신성 재검증은 수행하지 않았다. 제품·규격은 명시된 버전과 조건을 기준으로 읽는다.
추가 직접 출처(필요할 때 확인):