chapter16. Setting Agreements and Rules

  • 학습목표
    • 수용 가능한 사용 정책 작성하기
    • 사용자의 권리와 책임
    • 보안 정책
    • 보안 작업 허용 권리 명시
    • 정책과 협정을 유지하고 배포하는 방법
  1. 수용 가능한 사용 정책: 많은 협정이 자원의 부적절한 사용을 금지하지만, 부적절이란 단어는 여러 조직에서 매우 다르게 해석될 수 있으며, 특히 동일 조직 내라고 하더라도 시스템마다 다른 의미를 가질 수 있다. 수용가능한 사용 정책(AUP, acceptable usage policy)은 특정 서비스에 대해서 어떤 행위가 적합한가를 정의한다. 수용 가능한 사용 정책은 또한 사용자가 정책을 위배한 경우 사용자에게 취할 조직의 조치를 명세화한다. AUP를 기본으로 할때 모든 시스템 관리자는 다음과 같은 세가지 요구사항을 포함시켜야 한다.(서비스를 사용하는 의도, 금지된 활동들, 정책 위반에 대한 후속 조처)
    1. 서비스에 적합한 사용 의도 정의: 적합한 사용 정책은 서비스의 원래 목적을 명확히 정의하는데, 서비스 자체의 개요는 매우 광범위할 수 있으나, 사용 의도는 명백하게 정의될 수 있다.
    2. 금지된 활동 목록 작성: 시스템 관리자는 모든 금지된 활동을 제시할 수는 없지만 가장 일반적인 악의적 활동을 명시해 시스템에 악영향을 끼치는 것을 막아야만 한다. 예를 들면 스팸메일을 전송하는데 계정을 사용, 다른 사용자의 계정을 사용, 온라인상의 다른 사용자를 괴롭힘, 다른 시스템에 공격을 착수하는데 시스템 사용이 있다.
    3. 정책 위반에 대한 후속 조치 정의: AUP를 위배한 데 대한 후속조치는 정책 그 자체에 명확히 드러내야만 한다.
  2. 사용자 권리와 책임: 사용자 역시 사용자 자신을 보호할 수 있도록 하기 위해 권리를 문서화하여 정책으로 공표해야 한다. 이러한 권리는 그에 따르는 책임을 지키는 사용자에게 제공된다.
    1. 권리의 유형: 서비스를 이용하면서 가질 수 있는 일반적인 권리 유형은 다음과 같다. 데이터의 비공개, 고객지원, 계획된 장애 전의 충분한 안내.
    2. 책임의 유형: 시스템 관리자는 적합한 사용자 태도에 관한 가이드라인을 설정함으로써 책임을 결정한다.
      1. 다른 사용자의 프라이버시를 침해하지 않는다.
      2. 시스템 자원의 사용 의도를 침해하지 않는다.
      3. 시스템과 네트워크의 무결성을 침해하지 않는다.
      4. 공유된 자원을 사용 시 다른 사용자의 권리를 침해하지 않는다.
      5. 명시된 저작권과 라이센스 같은 법률적 보호를 준수한다.
      6. 시스템 자원을 이용하여 불법적인 행위를 하지 않는다.
  3. 보안 정책: 보안 정책은 공식적인 문서로 조직의 보안에 대한 목표와 가이드라인을 규정한다.
    1. 사이트 보안 관리자 선정: 사이트 보안 관리자는 보안 정책을 유지하고 그에 필요한 요구사항을 구현하며 조직 내의 준수상황을 모니터링하는 책임을 가지게 된다.
    2. 보안 목표 정의: 보안 목표는 다음과 같은 범주에 속하게 된다.
      1. 자원에 대한 접근 제한: 모든 보안 정책은 어떤 사람이 어떤 전자 자원에 접근을 할 수 있는지 조건을 정의해야만 한다. 최소 권한의 개념은 사람은 반드시 자신의 작업을 하는데 있어 필요한 만큼의 특권만을 가져야 한다고 지시한다.
      2. 전자적 데이터 보안 제어: 전자적 데이터의 보안과 무결성은 모든 조직에서 중요성을 가지게 된다. 보안 정책은 시스템 레벨에서 어떻게 데이터가 보호될 수 있는지 방법을 정의해야만 한다. 다음과 같은 것들이 보안 정책의 일부분이 될 수 있다.(패스워드의 선택 가이드라인, 패스워드의 만료 스케줄, 파일의 허가권 가이드라인, 그룹의 맴버쉽 가이드라인, 파일의 암호화 요구사항, 네트워크 트래픽의 암호화 요구사항, 원격 접근의 요구사항, 프라이버시 구현 요구사항, 이메일 용량 제한, 신입 사원에 대한 접근 부여 절차와 퇴직원에 대한 접근 무효 절차)
      3. 서비스 제한: 서비스는 다음과 같은 네 범주로 분류할 수 있게 된다.
        1. 중요 업무 서비스: 이메일, DNS, 기업 웹사이트, DB
        2. 시스템 요구 서비스: 시스템에 정상적으로 기능하는데 있어 요구되는 서비스로 SSH, 직렬콘솔, syslog와 같은 서비스이다.
        3. 시스템에 도움이 되는 서비스: finger, who
        4. 이용되지 않는 서비스
      4. 물리적 보안 정책 수립: 물리적 보안은 허가받지 않은 접근 혹은 손상으로부터 조직의 다양한 사이트와 물리적 자산을 보호하는 것이다. 출입 보안, 방문자 로깅, 하드웨어 로깅, 감시카메라, 문서 폐기 방법, 전자 기록장치, 민감한 문서 등이 예시이다.
    3. 사고 대응 절차: 미리 사고에 대응할 수 있는 방법을 정의하는 것이 그들을 확고하게 효과적으로 처리할 수 있도록 해준다.
      1. 보안 정책을 침해한 모든 활동을 파악하고 중지시킴.
      2. 보안 침해에 사용된 로컬 계정 불능화
      3. 시스템 접근을 얻는데 사용된 모든 서비스 접근 차단.
      4. 정책을 침해한 모든 활동을 법률 부서와 관련된 원격 사이트의 관리자에게 보고
      5. 시스템에 접근을 얻는데 사용된 서비스의 보안을 안전하게 함.
      6. 안전하게 한 서비스 활성화 후 모니터링
    4. 다른 조직원의 보안 정책 결정 참여: 보안은 정보 기술로만 결정되는 것이 아니라 전체 조직의 협력을 필요로 한다. (사이트 보안 관리자, IT요원, 경여진, 시스템 관리자, 사고 대응팀, 경영 간부진, 법률고문)
    5. 보안 정책 강화: 조직의 보안을 효과적으로 강화해 주기 위해서 보안 정책은 적절하게 집행되어야 할 것이다. 각 부서의 절차가 정책을 준수한다는 것을 확실화하기 위해 각 부서의 구성원을 선발해야한다.
  4. 보안 작업 허용 권리 명시: 시스템 관리자가 업무를 수행하면서 필요한 민감한 자료들을 열람할 수 있도록 하기 위해서, 조직은 시스템 관리자에게 보안 작업 허용 권리 명시로 알려진 문서를 발급한다. 보안 작업 허용 권리 문서는 시스템 관리자에게 일상 업무를 수행하는 과정에서 민감한 데이터를 볼 수 있도록 조직의 특급 허가권을 준다. 이런 문서는 일반적으로 기업의 CTO나 CEO의 결제를 얻어야만한다. ex-00의 선임 시스템 관리자인 누구누구는 선임 시스템 관리자로서 일상적인 운용을 위한 과정에 필요한 개인적 데이터, 비공개 데이터, 기밀 데이터를 볼 수 있는 권리를 CTO인 매니저 누구누구에세 부여 받았다. 이러한 권한은 네트워크 트래픽의 스니핑, 열람, 무슨무슨 내용을 열람하는 것을 포함한다.
  5. 무언의 협정 합의 이용: 사용자가 로그인 하기 전에 화면에서 사용자 협정을 제공하는 것을 무언의 협정 합의라고 불린다. 모든 사용자에 대해서 협정을 할 수 없기 때문에 이런 방식으로 고지함으로써 사용자가 무언의 협정 합의를 했다고 확립한다. 사용자가 정책에 동의하지 않거나 정책에 대한 질문을 하는 경우에 대비하여 컨택트 정보를 포함해야한다.