여수I완스쪽팔리면 질문하지 맙시다. 소중한 답변 댓글을 삭제하는건 부끄러운 일 입니다
안녕하세요?
여수에서 서식 중이 회원입니다.
회사의 전산보안관련하여 자문을 받아보고자 합니다.
몇군데 상담을 받아봤는데 대부분의 자문이 시스템 교체와 도입으로 귀결되는 것 같습니다.
뭐가 부족하니 무슨 시스템 도입하세요, 지금 쓰는 시스템보다 이 시스템으로 신규 도입하면, 국가 지원 받아서 50% 할인해주니 지금 계약하세요.
쪽으로 결론이 나고 도입을 추천 받고 있습니다.
각종 보안 시스템을 도입하면 당연히 좋겠지만, 그러한 시스템이 나쁘다는 것이 아니고,
현재 제가 속한 곳의 보안 상태와 앞으로 조치해야될 부분 관련하여, 자문을 받아보고자 합니다.
주로 받아보고자 하는 부분은 서버의 보안 부분과 DB의 데이터 저장 방법에 대한 부분
특히 민감자료(회사주요자료)에 저장에 대하여, 현 상황에서 위험한 부분과 보완해야 될 부분에 대해서 자문을 받아보려고 합니다.
국가에서 지원해주는 '중소기업 기술보호울타리 중소벤처기업부' 에서 진행하는 자문보다는 좀더 실무적인 자문을 받아보고 싶습니다.
각 대학교 교수님들께 연락을 한번 해볼까 싶은 생각이 듭니다.
보안관련 교수님들과 연구실 대학원생에게 받아보려고 계획 중인데..
다른 방법이 있는지 궁금하여 글을 작성해 봅니다.
( 당연히 일정과 방법은 협의하고, 합당한 자문료는 지불 할 생각입니다. )
반갑습니다.
이 가이드만 따라하셔도 반은 먹고 들어갑니다.
그 외에도 해당 게시판에 다양한 가이드가 있으니 참고하시길 바랍니다.
알려주신 가이드와 '제로트러스트 가이드라인 1.0' 및 '정보보호가이드라인' 도 참고 하고 있습니다.
좋은 가이드가 많긴하더라구요.
산업현장은 교수님, 대학원생들은 별로 도움이 안될 것 같은데요.
가끔 평가나 자문에서 만나지만 교수님들은 이론은 매우 강한데, 실무는 잘 모르세요.
업계마다 또 조금씩 다르니 동종업계 보안 실무경험이 있는 분에게 자문을 받는 것이 가장 좋을 것 같습니다.
국내보안은 대부분 ISMS-P에 맞춰서 구성되고 있어서 실무경험이 많은 동종 업계 출신, ISMS-P인증심사원이면 더 좋을 것 같구요.
ISMS-P 심사를 다니다 보면 여기저기 다른 회사 보안을 들여다 볼 수 있어서 도움이 많이 되거든요.
신규로 방화벽이라던지 보안 장비가 도입되면 그럴 수 있다고 생각 되고요.
왠만한 보안 자문은 이해 관계가 얽혀있는 시스템 업체 말고, 보안 컨설팅을 전문으로 하는 업체를 통해서 받거나
차라리 ChatGPT 한테 자문 받으셔서 취약한 부분을 점검하고 개선해 가는 것이 어떨까 생각됩니다.
DB보안 관점에서 DB서버와 통신 자체를 암호화 하는것, 데이타를 암호화 하는 것 등이 있는데
직접 구현하거나 솔루션을 사용하는 방법이 있을 것이구요.
최근에 DB 보안 관련해서 최근 모 업체 클라우드DB 에서 한컴 xDB 솔루션을 사용해서,
DB서버의 데이터 저장하는 스토리지 영역을 자동으로 암복호화 해준다는 서비스를 사용하고는 있습니다.
이경우 예상컨데 물리적으로 서버 디스크를 탈취후 DB데이타부분을 해독하려 할 때 난관이 생기지 않을까? 예상하고 있습니다.
요즘은 설명도 너무 잘되어있고 버전별로 큰 차이가 생기면 그거에 따라서 조치 방법도 알려주니 다 좋은데 조치 할 항목이 너무 많다이고, 현실적으로 적용했을때 운영이 가능할까 싶을 정도입니다.
하지만 제공해주는 정보보면 정성?이 가득 담겼다는 느낌을 받을 정도로 잘만들어진걸 보면 고맙다는 생각이 많이 듭니다
너무 많다보니 저게 실재 적용시 어떤 문제 일으킬 가능성이 있는지, 호환될지 미리 파악하기 매우 힘들어요
Server만 하더라도 Server쪽 HW, OS레벨, DB 레벨, 개발 영역 등
Network - FW, IPS의 방화벽, Routing 등 네트워크 영역의 OS 및 컨피그레이션인지
봐야 할 것 많습니다.
비단 Server,network 뿐만 아니라 인원, 문서, 시스템적으로 갖춰야 할 것이 너무 많습니다.
세분화 해서 하나하나 체크해 가세요. 데이터센터와 관련 된 인증이 이런 내용들을 다 포함 하고 있으니
위에 분이 말씀하신 ISMS를 기반으로 항목을 찾으시면 많은 도움이 되실 겁니다.
시스템을 도입해야 된다고 결론이 났다면
하드웨어 소프트웨어 주기를 확인 해보시고
오래된 것 부터 하나하나 바꿔 가는 것이 좋을 것 같습니다.
https://risc.kisa.or.kr/