관리적·물리적·기술적 보호대책 | 정보보안기사 필기

1. 구현 유형에 따른 구분

전자 출입카드는 기술을 사용하지만 통제 목적은 공간에 대한 물리적 접근이다. 분류가 항상 배타적인 것은 아니며 문제에서 묻는 관점과 목적을 확인한다.

같은 CCTV도 감시 고지로 억제하고 사후 영상으로 탐지를 지원할 수 있다. 대책 하나를 기능 하나에만 고정하지 않는다.

채용·배치 전에는 직무에 필요한 적격성과 책임을 확인하고 보안 서약·교육을 실시한다. 확인 과정 자체도 법령과 개인정보 최소수집 원칙을 지켜야 한다.

보직 변경·퇴직 때 계정, 접근카드, VPN, 공유 비밀, 장비와 자료를 정리한다. 퇴직 후에도 비밀유지 의무가 남을 수 있다. 외부인력은 계약 범위·기간·접속권한과 반출을 통제하고 종료 시 회수한다.

중요 구역을 구분하고 출입 승인·기록·방문자 동행을 적용한다. 문서·저장매체는 잠금 보관하고 반출·폐기를 관리한다. 공용 공간에서는 화면·출력물 노출과 무단 접속을 방지한다.

화재·침수·정전·온습도 문제도 가용성을 위협한다. UPS는 짧은 정전과 정상 종료를 지원하고, 장기 정전 대비에는 발전기 등 별도 수단이 필요할 수 있다. 시설과 업무 요구에 맞춰 대책을 설계한다.

서버실 보호에는 출입정책·방문승인(관리), 출입문·감지기(물리), 서버 계정·로그(기술)를 함께 적용한다. 한 계층이 실패해도 다른 계층이 피해를 제한하도록 한다.

통제를 보유한 것과 효과가 있는 것은 다르다. 출입문이 있어도 항상 열려 있으면 통제 효과가 낮다. 승인 기록, 실제 설정, 운영 로그, 예외와 조치 결과를 비교해 확인한다. 교육·개발·감사 운영은 교육·개발·운영 보안과 내부감사에서 연결한다.