정보보안 정책: 정의, 이점, 모범 사례

조직은 다양한 필요에 따라 여러 IT 정책을 만드는 경우가 많습니다. 예를 들어 재해 복구, 데이터 분류, 데이터 프라이버시, 위험 평가, 위험 관리 등입니다. 이러한 문서들은 보통 서로 연계되어 있으며, 회사가 의사결정과 대응을 이끌 가치와 기준을 설정할 수 있는 틀을 제공합니다.

조직에는 정보보안 정책(InfoSec 정책)도 필요합니다. 이는 직원들이 IT 자산을 적절하게 다룰 수 있도록 돕는 통제 및 절차를 제공합니다. 이 글에서는 정보보안 정책을 수립하는 데 따르는 이점, 정책에 포함되어야 할 요소, 성공을 위한 모범 사례를 설명합니다.

정보보안 정책이란 무엇인가요?

미국 국립과학기술연구소(National Institute of Science and Technology, NIST)는 정보보안 정책을 information security policy로 정의하며, “조직이 정보를 관리하고 보호하며 배포하는 방법을 규정하는 지침, 규정, 규칙, 관행의 집합”이라고 설명합니다.

조직마다 비즈니스 요구사항, 컴플라이언스 의무, 인력 구성이 다르기 때문에 정보보안 정책의 표준과 실행 방식은 모두에게 동일할 수 없습니다. 대신 각 IT 부서는 자사의 특정 요구를 가장 잘 충족하는 정책 선택을 결정하고, 주요 이해관계자와 파트너의 승인을 받는 간단하고 명확한 문서를 작성해야 합니다.

정보보안 정책 vs 데이터 보안 정책

정보보안 정책은 데이터 보안 정책과 동일한 개념이 아니라는 점을 꼭 알아두어야 합니다. 대신 데이터 보안 정책은 조직의 전체 정보보안 정책 중 일부(하위 집합)입니다. 이 정책은 민감하고 기밀이며 독점적인 정보를 포함할 수 있는 조직의 데이터 자산을 보호하고 적절하게 취급하는 데 중점을 둡니다. 또한 이 정책은 조직이 민감한 데이터를 데이터 유출 , 유출(공개), 변경 또는 파괴로부터 보호하기 위해 사용하는 상세한 규칙, 절차 및 실무를 설명합니다.

정보보안 정책과 데이터 보안 정책의 주요 차이점은 다음과 같습니다:

• 범위: 정보보안 정책은 데이터 보안을 포함하여 조직 내의 정보보안 전반을 포괄합니다. 반면 데이터 보안 정책은 디지털 데이터와 물리적 데이터 모두를 무단 액세스, 사용, 공개, 중단, 수정 또는 파괴로부터 보호하는 데에만 초점을 제한합니다.
• 구체성: 정보보안 정책은 일반적인 지침과 원칙을 제공합니다. 데이터 보안 정책에 포함되는 구체적인 세부 사항과 절차까지는 다루지 않습니다.
• 대상: 정보보안 정책은 일반적으로 최고 수준의 경영진과 이해관계자를 대상으로 합니다. 반면 데이터 보안 정책은 데이터 자산을 보호하기 위한 구체적인 지침이 필요한 IT 및 데이터 처리 담당자에게 더 관련이 있습니다.

정보보안 정책의 이점은 무엇인가요?

정보보안 정책과 절차는 다음과 같은 이유로 필수입니다:

데이터의 기밀성, 무결성, 가용성을 보장

탄탄한 정책을 마련하면 데이터 기밀성, 무결성, 가용성 에 대한 위험을 식별하고 완화하기 위한 표준화된 접근 방식을 제공할 수 있습니다 (CIA triad) 로도 알려져 있으며, 이슈 발생 시 적절한 대응 단계도 포함합니다.

위험 최소화

정보보안 정책은 조직이 IT 취약점을 파악하고 평가한 뒤 이를 완화하여 위협을 차단하고 보안 사고를 예방하는 방법을 설명합니다. 또한 시스템 장애 또는 데이터 침해 이후 복구에 사용되는 절차도 포함합니다.

Netwrix는 조직이 데이터 침해를 최소화하는 데 도움이 될 수 있는 여러 솔루션을 제공합니다. 여기에는 다음이 포함됩니다:

• 정보 거버넌스 소프트웨어: 이 소프트웨어는 데이터의 수명 주기 전반에 걸쳐 데이터를 안전하게 보호하도록 돕습니다. 데이터가 생성되는 순간부터 정보를 찾아 분류하고, 민감도를 판단하며, 이를 공식 기록으로 보관해야 하는지 결정할 수 있도록 합니다. 이렇게 하면 조직이 필요한 것보다 더 많은 데이터를 수집하지 않도록 통제하고 확인할 수 있습니다.
• 데이터 액세스 거버넌스 소프트웨어: 이 솔루션은 민감한 정보를 보호하고 누가 해당 정보에 액세스할 수 있는지 제어하는 데 중점을 둡니다. 구조화 또는 비구조화 여부와 관계없이, 데이터가 어디에 있든 찾아내고 분류합니다. 또한 역할에 따라 적절한 사람만 특정 데이터에 액세스할 수 있도록 보장하고, 허가 없이 누군가가 민감한 데이터에 접근하려는 것과 같은 비정상적인 활동을 식별하는 데도 도움이 됩니다.
• 랜섬웨어 방지 솔루션: 이 솔루션을 사용하면 파일에 대한 권한이 과도하게 부여된 사용자 수가 너무 많은 등의 문제를 식별할 수 있습니다. 또한 특정 작업에 필요한 만큼의 권한만 제공하는 임시 계정을 만들 수도 있습니다. 더불어 랜섬웨어 공격이 발생하는 즉시 이를 감지하여 신속하게 대응하고 큰 피해를 방지할 수 있습니다.

조직 전반에서 보안 프로그램을 조율하고 시행합니다

모든 보안 프로그램에는 일관된 InfoSec 정책을 수립해야 합니다. 이를 통해 부서별로 결정이 제각각으로 흩어지는 일을 방지할 수 있으며, 더 나아가 정책이 전혀 없는 부서가 생기는 최악의 상황도 예방할 수 있습니다. 이 정책은 조직이 유용한 보안 기능을 수행하지 않는 불필요한 도구나 프로세스를 어떻게 식별하는지에 대해 정의합니다.

보안 조치를 제3자 및 외부 감사 기관에 전달합니다

보안 정책을 문서화하면, 조직이 IT 자산과 리소스를 둘러싼 보안 조치를 직원 및 내부 이해관계자뿐 아니라 외부 감사 기관, 계약업체, 파트너, 그리고 기타 제3자에게도 쉽게 전달할 수 있습니다.

컴플라이언스 요구 사항을 충족하세요

잘 수립된 보안 정책을 보유하는 것은 조직이 컴플라이언스 감사를 통과하기 위해 중요합니다. 이는 HIPAA 및 CCPA와 같은 보안 표준과 규정에 대한 것입니다. 감사인은 흔히 기업에 내부 통제에 대한 문서화를 제공하도록 요청하며, 정보 보안 정책은 다음과 같은 필수 작업을 수행하고 있음을 입증하는 데 도움이 됩니다:

• 현재의 IT 보안 전략이 적절한지 정기적으로 평가하기
• 기술 또는 워크플로에서의 취약점을 찾아내고 완화하기 위해 위험 평가를 수행하기
• 데이터 무결성과 사이버보안을 위해 기존 시스템의 효과를 분석하기

Netwrix의 컴플라이언스 감사 솔루션을 사용하면, 감사 준비에 원래 수반되는 시간이 많이 들고 스트레스가 큰 프로세스를 간소화할 수 있습니다. 컴플라이언스 평가 과정에서 발생할 수 있는 예기치 않은 문의 사항도 효율적이고 빠르게 대응할 수 있습니다. 또한 그 효과는 단순한 컴플라이언스를 넘어, 포괄적인 엔드투엔드 보안을 확보함으로써 훨씬 더 크게 확장됩니다.

정보 보안 정책을 수립할 때 어떤 자료를 참고해야 하나요?

정보 보안 정책을 수립하는 일은 상당한 노력이 필요할 수 있습니다. 아래의 프레임워크는 보안 정책을 개발하고 유지하는 방법에 대한 정보 보안 가이드를 제공합니다:

• COBIT: COBIT은 보안, 리스크 관리, 그리고 정보 거버넌스에 중점을 둡니다. 특히 Sarbanes-Oxley (SOX) 컴플라이언스에 유용합니다.
• NIST Cybersecurity Framework: 이 프레임워크는 위험 분석 및 위험 관리: 식별, 보호, 탐지, 대응, 복구의 5단계에 맞춰 보안 통제를 제공합니다. 유틸리티, 교통, 에너지 생산 등과 같은 중요 인프라 분야에서 자주 사용됩니다.
• ISO/IEC 27000: 이 시리즈 국제표준화기구(International Standards Organization)에서 제시한 표준은 가장 폭넓은 프레임워크 중 하나입니다. 모든 유형과 규모의 조직에 맞게 적용할 수 있으며, 다양한 하위 표준은 특정 산업을 위해 설계되었습니다. 예를 들어 ISO 27799는 의료 분야의 정보보안을 다루며, HIPAA 준수 를 적용해야 하는 조직에 유용합니다. 또한 이 시리즈의 다른 표준은 클라우드 컴퓨팅, 디지털 증거 수집 및 저장 보안과 같은 분야에 적용할 수 있습니다.

또한 여러 기관에서 무료 정보보안 정책 템플릿을 게시하고 있으며, 처음부터 모든 것을 작성하는 대신 필요에 맞게 편집해서 사용할 수 있습니다.

정보보안 정책의 핵심 요소는 무엇인가요?

일반적으로 정보보안 정책에는 다음 섹션이 포함되어야 합니다:

• 목적: 정보보안 정책의 목적을 명확히 설명합니다. 정책이 조직의 준수를 돕기 위해 염두에 둔 관련 규정이나 법률이 있는지 반드시 확인하세요.
• 범위: 컴퓨터 및 기타 IT 자산, 데이터 리포지토리, 사용자, 시스템, 애플리케이션 등 정책에 포함되는 항목을 구체적으로 설명합니다.
• 일정: 정책의 시행(효력 발생) 날짜를 지정합니다.
• 권한 : 회사 소유자 또는 이사회 등, 정책을 지지하는 담당자나 주체를 식별합니다.
• 정책 준수 : 정보보안 정책이 조직이 준수하도록 돕기 위해 의도된 모든 규정을 나열합니다. 예: HIPAA, SOX, PCI DSS, 또는 GLBA.
• 본문 : 각 영역에 대한 절차, 프로세스 및 통제를 설명합니다.
  • 자산 및 정보 분류와 통제: 보안 분류 기준에 따라 데이터를 태깅하는 방법과, 적절한 데이터 보호를 보장하기 위해 통제를 적용하는 방법을 설명하세요.
  • 정보 보관: 데이터를 저장하고 백업하는 방법과 보관 기한을 어떻게 준수(강제)하는지 설명하세요.
  • 인사 보안：기밀 유지 계약 및 인원 심사(스크리닝) 등 인사 관련 사항에 대해 적용하는 보안 절차를 자세히 설명하세요.
  • 신원 및 접근 관리 : 사용자 접근, 권한 및 비밀번호와 관련된 관리 정책을 설명하세요. 보안 운영 담당자가 강력한 인증을 필요로 하는 등, 사용자의 역할과 책임에 따라 달라지는 특별한 요구사항을 반드시 명시하십시오. 이 섹션에서는 네트워크 보안, 애플리케이션 접근 제어, 클라우드 보안도 다룹니다.
  • 변경 관리 및 사고 관리：IT 시스템의 기밀성, 무결성 또는 가용성에 영향을 줄 수 있는 변경 사항에 대응하기 위한 절차를 정의하세요. 또한 보안 침해 또는 시스템 오작동이 발생했을 때의 적절한 보안 사고 대응 절차와, 이러한 업무를 담당하는 특정 인력을 자세히 설명하십시오.
  • 허용 사용 정책: 개인이 조직의 네트워크, 인터넷 액세스 메커니즘, 장치를 업무 및 개인 용도 모두에 어떻게 사용할 수 있는지 설명합니다. 직원, 계약업체, 자원봉사자, 일반 대중 등 다양한 그룹에 대해 적용이 달라지는 부분을 구체적으로 명시합니다.
  • 백신 및 패치 관리：안티바이러스 업데이트와 소프트웨어 패치를 적용하기 위한 절차를 명시합니다.
  • 물리적 및 환경 보안：통제 접근 구역에 대한 잠금문 설치와 같이, 물리적 보안과 관련하여 정보 보안 표준을 설정합니다.
  • 통신 및 운영 관리：시스템 기획 및 인수, 콘텐츠 백업, 취약점 관리 등과 같은 영역에 대한 운영 절차와 책임을 설명합니다.
  • 정보 및 소프트웨어 교환：외부와 데이터 또는 소프트웨어를 교환할 때의 적절한 절차를 개략적으로 설명합니다. 이 섹션은 제3자와 협업하는 조직 또는 고객이나 제3자로부터의 데이터 요청에 대응해야 하는 조직에 특히 중요합니다. 개인정보 처리방침과 일치하는지 확인하세요.
  • 암호화 통제: 보안 목표를 달성하기 위해 필요한 암호화 사용 방식을 명시하세요. 예를 들어 이메일 첨부파일을 암호화하거나 노트북에 저장된 데이터를 암호화하는 경우입니다.
• 사용자 교육: 사용자가 반드시 이수해야 하는 보안 인식 교육 및 기타 교육과, 해당 교육을 개발하고 진행하는 데 책임이 있는 팀을 설명하세요.
• 담당자: 정보 보안 정책 문서를 작성하고 편집하는 책임이 있는 담당자 또는 팀의 이름을 명시하세요.
• 버전 기록: 모든 정책 개정 사항을 추적하세요. 각 업데이트에 대해 날짜와 작성자를 포함합니다.

좋은 보안 정책을 만들기 위해 어떤 모범 사례를 따라야 하나요?

이 모범 사례를 따르면 효과적인 InfoSec 정책을 수립하는 데 도움이 됩니다:

• 경영진의 동의를 확보하세요. 최고 경영진이 해당 정책에 서명하고 승인하면, 이를 시행하고 강제하기가 훨씬 쉬워집니다.
• 해당되는 모든 보안 규정을 나열하세요. 해당 산업을 규율하는 모든 규정을 숙지하고 있는지 확인하세요. 이러한 규정이 정책의 내용에 큰 영향을 미치게 됩니다.
• 시스템, 프로세스, 데이터 를 평가하세요. 문서를 작성하기 전에 조직의 현재 시스템, 데이터, 워크플로를 파악하고 익숙해지세요. 이를 위해서는 업무 담당자와 긴밀하게 협업해야 합니다.
• 정책을 조직에 맞게 커스터마이즈하세요. 정책이 조직의 필요에 부합하는지 확인하세요. 정책의 목적을 명확히 하고 범위를 정의하는 데 시간을 투자하십시오.
• 위험을 식별하십시오. 적절한 위험 대응 절차를 마련하려면, 조직이 잠재적인 위험을 식별해야 합니다. 많은 조직이 이를 위해 위험 평가를 수행합니다.
• 새로운 보안 통제에 열린 자세를 가지십시오. 식별한 위험에 따라, 조직은 새로운 보안 조치를 도입해야 할 수도 있습니다.
• 절차를 철저히 문서화하십시오. 정보보안 정책의 많은 부분은 해당 정책에서 설명하는 절차에 의존합니다. 때로는 직원들이 이미 이러한 워크플로를 수행하고 있으므로, 이 단계는 단순히 이를 기록하는 일일 수 있습니다. 어느 경우든 절차를 테스트하여 정확하고 완전한지 확인하십시오.
• 모두에게 교육을 제공하십시오. 문서로만 존재하는 정책은 정보 보안을 달성하지 못합니다. 모든 직원이 보안 정책의 내용과 컴플라이언스 요구사항 및 실무에 관한 교육을 받을 수 있도록 하십시오.

FAQ

정보보안 정책이란 무엇인가요?

정보보안 정책은 조직의 정보 환경을 구성하는 모든 요소를 보호하기 위한 포괄적인 전략을 담은 문서입니다.

정보보안 정책 개발 프로세스에는 어떤 내용이 포함되나요?

정보보안 정책 개발 프로세스는, 작성하는 정책이 포괄적이고 효과적이 되도록 보장하기 위해 따르는 모든 단계를 포함합니다. 단계는 조직마다 다를 수 있지만, 일반적으로 다음을 포함합니다:

• 정책의 범위와 목표 정의하기
• 위험 평가 수행
• 정책 정의
• 정책 전달
• 정책의 구현 및 유지 관리
• 정책 모니터링 및 업데이트

정보보안 정책은 어디에서 찾을 수 있나요?

조직이 InfoSec(정보보안) 정책을 저장하거나 보관하는 특정 위치나 장소는 정해져 있지 않습니다. 일부 조직은 이러한 정책 문서를 한 곳에만 보관할 수 있지만, 다른 조직은 회사 인트라넷, 사내 소셜 네트워크, 직원 핸드북 또는 매뉴얼, 웹 기반 포털, 물리적 공지 게시판 등 여러 곳에 나누어 보관하기도 합니다.

정보보안 정책의 다섯 가지 요소는 무엇인가요?

정보보안 정책이 효과적이려면 다음 다섯 가지 요소를 다루어야 합니다: 기밀성, 무결성, 가용성, 인증, 부인방지.