▶▶북유럽의 소개로 출판사로부터 책을 제공받아 주관적으로 작성한 글입니다 ＜국제표준 정보보안+사이버보안+개인정보보호＞는 빠르게 변화하는 디지털 환경에서 필수적으로 요구되는 정보보호 개념과 실무를 체계적으로 정리한 도서입니다.  개인정보 보호와 보안은 매우 중요합니다. 최근 제가 직접 겪은 일인데, 네이버 이메일을 사칭한 피싱 메일을 받은 적이 있습니다. 해당 메일에는 "비밀번호가 도용되었으니 변경하라"는 내용이 포함되어 있었고, 메일 내 버튼을 클릭하면 가짜 비밀번호 변경 페이지로 연결되는 방식이었습니다. 순간 속아 비밀번호를 입력했지만, 다행히 바로 피싱임을 깨닫고 정상적인 사이트에서 비밀번호를 변경했습니다. 또한, 2차 인증에 연계된 이메일 서비스도 모두 점검하고 연결을 해제하는 등의 조치를 취한 경험이 있습니다. 이처럼 언제든 피해를 볼 수 있기에 보안은 중요합니다.이 책은 정보보안 실무자가 반드시 이해해야 할 국제표준 ISO 27001, 27002를 중심으로, 클라우드 보안 및 자동차 사이버보안, 그리고 글로벌 개인정보보호 규제(GDPR 및 ISO 27701)까지 폭넓게 다룹니다. 그렇기에 정보량이 방대하고 전문 용어도 많으므로, 한꺼번에 몰아서 보기보다 한 챕터씩 차근차근 학습하거나 필요한 부분을 발췌하면서 읽는 것을 추천합니다.  이 책에서 특히 주목할 만한 부분은 ISO 27001과 ISO 27701의 실무 적용 방법입니다. ISO 27001은 정보보안 관리체계(ISMS)의 핵심 표준으로, 기업이 정보보안을 체계적으로 운영할 수 있도록 지원합니다.  또한, ISO 27001의 기본 개념과 함께 보안 통제에 대한 세부적인 가이드를 제공하여, 정보보안 정책 수립과 리스크 관리 프로세스를 구체적으로 설명합니다. 또한, ISO 27701을 통해 개인정보보호 관리체계를 강화하는 방법을 제시하며, GDPR과의 연계성을 논의하여 기업이 글로벌 규제를 준수할 수 있도록 돕습니다. 또한, 클라우드 보안과 관련된 ISO 27017과 ISO 27018의 내용도 주목할 만합니다. 클라우드 환경에서는 데이터 저장 위치가 분산되어 있고, 외부 공격에 대한 취약점이 존재하기 때문에 보다 정교한 보안 관리가 필요합니다. 클라우드 서비스 제공자(CSP)와 이용자(CSC)의 책임을 구분하고, 각 역할에 맞는 보안 통제 방안을 제시합니다.  마지막으로, 자동차 사이버보안 파트도 흥미롭습니다. 최근 테슬라 등의 기업에서 자율주행 기술이 발전하면서 자동차가 네트워크에 연결되는 사례가 증가하고 있으며, 이에 따라 차량 해킹 및 보안 위협이 새로운 문제로 대두되고 있습니다. 예를들어, 아직 발생하지는 않았지만, 자율주행 차량이 해킹당해 진로가 변경되거나 가속·감속이 조작될 경우, 인명 사고뿐만 아니라 사회적 혼란을 초래할 수 있습니다. 따라서 자율주행차의 보안 강화는 필수적입니다. 그와 관련해서, UNECE WP.29 및 ISO/SAE 21434 표준은 자동차 산업에서 필수적으로 고려해야 할 보안 요구사항을 포함하고 있습니다. 본서에서는 이러한 국제 표준을 바탕으로, 자동차 제조사와 부품 공급업체가 보안 관리를 어떻게 수행해야 하는지를 상세히 설명합니다. ＜국제표준 정보보안+사이버보안+개인정보보호＞은 정보보안 초보자에게는 다소 방대한 내용일 수 있으나, 개념과 실무 적용을 균형 있게 다루고 있어 단계적으로 학습하는 데 유용합니다. 특히, 국제표준을 기반으로 정보보안과 사이버보안을 실무적으로 접근하려는 이들에게 필수적인 참고서가 될 것입니다. #국제표준정보보안+사이버보안+개인정보보호 #국제표준 #정보보안 #사이버보안 #개인정보보호 #박억남 #권재욱 #위즈앤북 #북유럽서평단 #북유럽 #국제표준정보보안 국제표준 정보보안+사이버보안+개인정보보호
|
 어제 뉴스를 보다가 보안 관련 기사를 보게 되었다. 미국 정부가 무선 스마트기기에 대한 새로운 보안인증 'US 사이버 트러스트 마크'를 마련, 기업들에게 채택을 권고했다는 기사였다. 이로 인해 국내 기업인 삼성, LG전자를 비롯한 국내 중견,중소 가전기업의 행보에 영향을 미치게 되었다는 기사였다. 인터넷의 홍수 속에서 인공지능과 IoT 기기들이 넘쳐나는 요즘 보안 이슈는 지속적으로 대두되어 왔고, 정보보안, 인터넷 사이버 공간에서의 보안, 개인정보보호는 필수 불가결한 요소이다.그동안 보안에 관심이 그리 많지 않았는데, 최근의 보안 관련 소식과 글들을 보면서 조금씩 관심을 갖게 되었다. 그리고 위즈앤북에서 출간된 '국제표준 정보보안+사이버보안+개인정보보호'라는 책을 만나게 되어 보안 관련 규격에서는 어떤 것들을 정의하고 있는지 확인할 수 있었다. 이 책은 10년 만에 개정된 표준 규격들을 정리하고 있다.  책의 공저자 박억남, 권재욱님은 정보 보안 및 사이버보안 분야 검증 심사원이고, 다양한 자격을 가진 이 분야에서 20년 넘게 경험과 노하우를 가지신 분들이다. 책에서는 총 4장으로 나뉘어 있으며, 1장에서는 국제표준 정보보안과 사이버보안 개론을 통해 개념을 설명하고, 정보보안과 사이버보안을 비교하여 두 표준 사이에 어떤 것들이 중점적으로 규격화되어있는지를 설명하고 있다. 2장에서는 국제표준 정보보안과 사이버보안 실무를 다루고 있고, 각 규격의 프레임워크와 10년만에 개정된 현황을 설명하고 있다. 각 규격별 카테고리가 생소하긴 하지만, 상당히 세세하게 규격을 정의해놨음을 인지할 수 있었다. 2장의 마지막에는 Amazon, Google 등의 사이버보안 통제와 공격 벡터 실무 사례를 확인할 수 있다. 3장에서는 개인정보보호와 클라우드 보안 실무를 다루고 있는데, 기존 ISO 27001, ISO 27002 표준을 확장한 섹터 ISMS의 확장 방안과 분류를 설명하고 있고, 개인정보보호와 관련된 ISO 27701 규격도 설명하고 있다. 마지막 4장에서는 자율주행과 관련된 사이버 보안을 다루고 있다. 보안에 대한 기본적인 지식이 그리 많지 않아서 책 속의 규격들이 잘 이해되지 않았지만, 상세하게 어떤 항목들을 규격화하고 있는지 확인할 수 있었다. 책 마지막 페이지에는 국제표준 정보보안과 사이버보안 관련 저자 특강 프로그램을 소개하고 있으니 관심있는 분들은 신청해도 좋을 것 같다.출판사로부터 도서를 제공받아 작성한 리뷰입니다 #국제표준정보보안사이버보안개인정보보호 #정보보안 #사이버보안 #개인정보보호 #위즈앤북 #네이버북유럽카페 |
|
[ 출판사로부터 도서를 제공받아 작성한 리뷰입니다. ] AI, 디지털 시대의 최대 도전 과제는 무엇일까요. 인공지능 기술이 발전할수록 이 기술을 악용한 사이버 위협이 고도화되고 있어요. 전 세계적으로 사이버 공격의 빈도와 심각성이 증가하면서 일상과 국가 안보를 위협하는 상황이기에 조직 및 국가는 안전한 디지털 미래로 이동할 수 있는 강력한 사이버보안 생태계를 구축하고 통찰력을 제공하는 것이 그 어느 때보다 중요해졌어요. 사이버보안체계는 선택이 아닌 필수이자 도전 과제라고 할 수 있어요. 이에 따라 ISO/ IEC 27002(3 Edition) 개정되었고, 사이버보안 트랜스포메이션의 모든 개정 사항을 담아낸 책이 나왔어요. 《국제표준 정보보안 + 사이버보안+개인정보보호》은 국제표준 ISO 27001, 27002 에 관한 가이드북이라고 할 수 있어요. 우선 ISO 27002 : 2022 (Information Security Control) 국제표준의 명칭은 정보보안, 사이버보안, 개인정보보호-정보보안 통제이며, NIST 사이버보안 프레임워크(CSF)가 국제적으로 인정된 결정 기준으로 정보 보호 분야에서 가장 권위 있는 국제인증이라서 정보 보호 정책, 기술적 보안, 물리적 보안, 관리적 보안 정보접근 통제 등 정보 보안 관련 영역에 대한 엄격한 심사와 검증을 통과해야 인증된다고 해요. 통제 원칙은 국제표준, 국가표준 통제 프레임워크를 권장하고 있고, 통제 메커니즘의 개정 사항 핵심은 사이버보안 및 개인정보보호 통제가 확장된 부분이라고 하네요. 위험 평가와 위험 처리의 선택 및 구현 방법에서 통제에 대한 속성이 개정되고, 사이버보안 속성에 따라 보호, 탐지, 대응, 복구의 사이버보안 통제를 구현할 수 있으며, NIST 사이버보안 추가 통제 개념을 통해 섹터 자율주행차 사이버보안 통제도 구현이 가능해 통제 프레임워크를 기반으로 섹터 사이버보안 통제도 정교하게 구현할 수 있는 프레임워크 기반의 통제가 부각될 수 있다고 하네요. 이 책에서는 ISO 27001/ ISO 27002 국제표준 정보보안과 사이버보안, 개인정보보호 및 클라우드 보안, 자율주행자 사이버보안에 관한 개론과 실무 사례를 통해 가이드라인을 제공하고 있어요. 법률에서 장려하는 사이버보안 프레임워크는 NIST 시리즈 (사이버보안, 정보보안, 개인정보보호 프레임워크), FedRAMP, CIS Critical Security Controls, ISO/ IEC 27000 시리즈(ISO 27001, 27002, 27701, 27017, 27018 등)에 해당되고, 사이버보안의 강화는 정보보안, 사이버보안, 개인정보보호-정보보안 위험관리지침, 위험처리 및 위험완화프로세스를 선택해 구현하는 방법으로 보안 통제 활동의 정당성과 통제의 유효성을 입증할 수 있어요. 실무 사례를 통해 정보보안과 사이버보안 직무 이해 관계자는 가장 취약한 연결고리(공격 벡터)를 식별하고, 사이버 위험을 통제 및 완화할 수 있는 방법론을 구현하고, 조직은 위험 평가와 위험 완화 활동을 수행하는 프로세스를 확인할 수 있어요. 정보보안 체계의 안정성과 신뢰성을 공식적으로 입증하는 해당 표준을 이해하는 데에 도움이 되는 지침서였네요.  |
|
지금으로부터 2년 전쯤인 2022년, ISO/IEC 27002가 개정되었습니다. 이 국제규약은 일반인들이 뉴스를 무심히 넘기는 중에도 제법 빈번히 개정이 되는 편입니다만, 특히나 한국의 현실은 매우 심각합니다. 개인이건 기업이건 보안 의식이 극히 미비하여, 심지어 고도의 보안이 요구되는 금융기관에서도 그 주체조차 불분명한 해킹을 당하고서 아무런 후속대책을 마련하지 못한 채 고객에게 책임을 떠넘기는 예조차 봅니다. 일반 기업은 말할 것도 없습니다. 학교에서부터 아이들에게 올바른 보안 의식을 함양하여, 개인 레벨에서 철두철미한 경계심과 개념으로 무장시키는 것도 중요합니다. (*북유럽 카페의 소개를 통해 출판사에서 제공한 도서를 읽고 솔직하게, 주관적으로 작성한 후기입니다) p16에서는 국제표준 정보보안 및 용어 및 원칙이 친절히 설명됩니다. 보안규약을 설명한 국내 서적 중에는 이런 기초 용어 설명이 부족하여 일반인들의 접근이 어려운 경우가 있는데, 개별 도서에의 이해를 힘들게 할 뿐 아니라 결국은 보안의식 제고, 지식 보급이라는 목표마저 그 달성을 방해한다 할 수 있습니다. 이 책에서 용어의 정리를 통해 그나마 최대한 초심자를 배려한 건, 이런 이유에서 매우 바람직하다 하겠습니다. ISO 27002 체계 안에서 사이버보안 통제 속성은 CSF Core, 또는 Cybersecurity Controls로 표현된다고 p19에 나옵니다.  p81에는 정보 라벨링에 대한 설명이 나옵니다. ISO 27001 정보보안 속성은 기밀성, 무결성, 가용성에 해당하며 사이버보안 통제(concept)는 보호를 고려하여 적용할 수 있다는 문장이 있습니다. 이 책에서는 특히 정보 라벨링에 대해, 속성, 가이드라인 등으로 세부 분류하여 ISO 27001과 27002에서 내용이 어떻게 달라지는지 독자가 한눈에 보기 편하게 정리합니다. 또 p85에서는 데이터 유출 방지에 대한 설명이 이어지는데, 이 역시도 표를 통해 통제 유형, 정보보안 속성, 사이버보안 통제, 운영 능력, 보안 도메인 등으로 나눠 이 섹션의 핵심이 무엇인지 비교적 알기 쉽게 전달합니다.  p101이하에서는 클라우드 서비스의 구현에 대한 설명이 나옵니다. 대체로는 통제 유형과, 이에 따른 CSP, CSC의 가이드라인에 대한 간략한 서술이 표 안에 정리된 형식입니다. 클라우드 서비스 사업자로는 IaaS, PaaS, SaaS 등이 있으며, 특히 IaaS 사업자는 "국제표준에 따라 안전성, 신뢰성, 책임성, 투명성 등을 보증하고 클라우드 보안을 강화한다"고 나오네요. 바로 아래 항목에서 PaaS 등과 IaaS가 어떻게 다른지를 한 줄로 요약해 줘서 더 머리에 잘 들어옵니다. p148이하에서는 시스템 네트워크 보안에 대한 서술이 이어집니다.  네트워크 보호 및 관리 가이드가 step1에서 step3까지, 식별, 보호, 탐지, 대응, 복구 등 다섯 단계로 나누어 설명됩니다. 개인적으로는 이 페이지의 서술이 책 전체를 요약할 만큼 중요하다고 생각하며, 이 페이지의 내용을 잘 이해해야 다른 디테일로 확장이 자유롭게 가능하다고 판단했습니다. p161에는 안전한 시스템 아키텍처와 엔지니어링 원칙이 나오는데, 지난번 ISO 27002의 개정이 많이 이뤄진 부분이기도 합니다. p167에는 외주 개발에 대한 규약도 나오는데 ISO 27001 초창기부터 있긴 했으나 이 규약이 이런 부분까지도 예비하고 있었나 해서 새삼 놀랍기도 했습니다. p201에는 ISO 27001의 적용대상이 나오는데, 페이지 중간쯤에 보면 PII 컨트롤러를 대신하여 PII 프로세서로 컨트롤러의 지시에 따라 개인정보를 처리한다고 하는 대목이 있습니다. 회사의 실무자들은 이 대목에서 아 원칙이 그리 되어 있었구나 하며 새삼 고개를 끄덕일 수도 있겠습니다.  p213에는 물리적 환경적 보안과 운영 및 통신 보안에 대한 내용이 있는데, 실무자들은 바로 하단에 나오는 정보 백업에 대한 서술을 정독할 필요가 있습니다. p221에는 컨트롤러의 추가 가이던스가 나와 이 상황에서 통제의 디테일을 어떻게 추진해야 할지 많은 참고가 됩니다. 보안 규약의 바이블이자 참고서 구실을 일목요연하게 수행해 줄 멋진 책이었습니다.
|
|
*출판사로부터 책을 제공받았으나 최대한 솔직하게 작성했습니다. 접기/펴기 국제표준 정보보안+사이버보안+개인정보보호 국제표준 정보보안+사이버보안+개인정보보호 저자 박억남,권재욱 출판 위즈앤북(Wiznbook) 발매 2024.09.25. 오늘도 안녕하세요, 네이버 블로거 '조용한 책 리뷰어' '조책' 입니다 :) #책추천 #책읽기 #책스타그램 #책리뷰 #서평 #서평단 #도서서평 #독서노트 #독서일기 #독서 #서평 #서평단 #신간소개 #국제표준정보보안사이버보안개인정보보호 #서평 #서평단 #위즈앤북 #북유럽 #박억남권재욱 저자인 박억남 작가는 국내 1호 정보보안 및 사이버보안 검증 심사원이자 국내 1호 ISO 27001 인증기관/검증기관 KQA 검증심사원으로 여러 국제와 국내 자격을 취득한 상태이며 이 책을 비롯해 여러 권의 책을 집필했음을 소개한다. 국내 유일의 국제표준 정보보안+사이버보안+개인정보보호 필독서! 저자는 국가와 사회 그리고 기업을 사이버 공격 및 피해로부터 안전하게 지킬 수 있는 실무 방법과 연구 사례를 나누고자 20년 동안 현장에서 쌓은 경험과 노하우를 한 땀 한 땀 정성과 사명감을 가지고 본 도시를 집필하게 되었다고 밝힌다. 국내 정보보안 및 사이버보안 직무 이해관계자분들은 국가와 조직의 현재 수준을 파악하고 글로벌, 국제표준, 국제 기준에 맞는 프레임워크를 적극적으로 활용할 것을 권장한다고 조언한다. 책은 제01장 국제표준 정보 보안과 사이버보안 개론으로 시작해 제04장 자율주행차 사이버 보안 실무까지 4개의 장 전체 약 350페이지에 달하는 분량으로 쓰였다. 전 세계적으로 사이버 공격의 빈도와 심각성이 증가하고 있는데 향후 10년 동안 가장 우려되는 10대 글로벌 위험 중 하나로 2030년까지 4,330억 달러의 지출이 예상된다는 것은 사이버 공격 피해로 사이버 보안의 중요성을 인식할 수 있다고 설명한다. 사이버 공격 방어의 목표에서 데이터 중심 보안의 관리는 데이터가 있는 위치나 공유 대상에 관계없이 정보 보호를 강화하는 것으로 데이터의 속성, 등급, 보호 요구사항에 대한 메커니즘이 필요하다는 것이다. 또한 정보보안 경영시스템의 대표적 표준인 ISO 27001은 정보보안 경영시스템의 수립, 구현, 유지 및 지속적 개선을 위한 요구사항을 정의하는 표준으로 ISO 27001의 요구사항은 일반적이면서 유형, 규모, 속성에 관계없이 모든 조직에 적용할 수 있다고 정리한다. 책의 내용은 약 열 페이지를 채 넘기기 전부터 일반인으로서는 난해하기만 한 내용들로 가득하다고 느낀다. 그렇지만 저자의 설명이 불친절하다는 의미가 아니라 분야 자체가 워낙 생소하고 어렵게 느껴지기 때문인데, 그럼에도 잘 모르기 때문에 한 페이지라도, 한 장이라도 넘기려고 노력했다. 어렵지만 귀한 책, 국제표준 정보보안+사이버보안+개인정보보호 다. 요약 국내 1호 정보보안 심사위원 사이버 공격과 사이버 보안 ISO 27001 |