교육·개발·운영 보안과 내부감사 | 정보보안기사 필기

1. 인식·교육·훈련

대상은 일반 이용자, 관리자, 개발자, 개인정보취급자와 외부인력 등으로 나누고 역할별 위험을 반영한다. 출석 횟수만 기록하지 말고 이해도·수행 결과·미이수 조치를 확인한다.

탁상훈련은 가상 상황에서 역할·의사결정·연락 절차를 토의한다. 실제 전환훈련은 복구 환경과 업무 수행을 시험한다. 훈련 자체가 업무와 개인정보에 피해를 주지 않도록 범위·승인·복귀 절차를 정한다.

마지막 침투시험만으로 개발 보안이 완성되지 않는다. 보안 요구가 설계에 반영되어야 하고, 운영 중 변경도 검토해야 한다. 공격 기법의 상세 구현은 시스템·네트워크·어플리케이션보안 과목에서 다룬다.

일반 흐름은 요청 → 영향·위험 분석 → 승인 → 시험 → 적용 → 결과 확인·기록이다. 실패에 대비한 복귀·복원 계획을 마련하고 개발·시험·운영 환경과 권한을 구분한다.

긴급 변경도 무기록 변경을 뜻하지 않는다. 긴급 승인 경로로 우선 피해를 줄이고 사후 검토·정상 절차 반영을 수행한다. 변경 전후 설정과 실제 서비스 결과를 함께 확인한다.

서버의 계정·패치·서비스, 네트워크의 연결·접근 규칙, DB의 권한·백업, 애플리케이션의 인증·로그를 관리한다. 장애·용량·백업·취약점 점검을 담당자와 절차에 연결한다.

외주 계약에는 업무 범위, 비밀유지, 접근·반출, 사고 보고, 재위탁, 점검권한, 종료 시 반환·파기 조건을 담는다. 외주를 줘도 발주자의 감독과 위험관리가 사라지지 않는다. 개인정보 위탁의 법적 요건은 개인정보 수집·제공·위탁과 국외 이전에서 추가로 확인한다.

감사는 기준과 범위를 정하고, 문서·면담·관찰·표본·로그 등 증거를 바탕으로 적합성과 운영 효과를 평가한다. 조직 내부 감사여도 감사 대상 업무로부터 객관성을 유지해야 한다.

“계정 회수 절차가 있다”는 설계 확인이고, “실제 퇴직자 계정이 회수됐다”는 운영 확인이다. 감사 로그는 증거 자료이고, 감사는 그 자료 등을 이용한 평가 활동이다.

발견사항에는 기준·관찰 사실·위험·원인을 남긴다. 담당자와 기한을 정해 시정하고 재점검한다. 감사 보고서 제출만으로 결함이 해결된 것은 아니다.