시프트 암호

1. 시프트 암호

2. 단순치환 암호

3. 단순 전치 암호

4. DES ① 높은 수준의 안전성을 보장할 수 있어야 한다. ② 사양의 정의가 완전하여 간단히 이해할 수 있어야 한다. ③ 안전성은 알고리즘의 비밀성에 의존해서는 안 된다. ④ 알고리즘을 사용자나 제작자가 모두 사용 가능해야 한다. ⑤ 알고리즘의 응용이 다양해야 한다. ⑥ 알고리즘은 전자 장치로써 제품화가 간단하고 또한, 사용이 간단해야 한다. ⑦ 알고리즘 타당성 검증에 협력해야 한다. ⑧ 알고리즘은 수출할 수 있어야 한다.

5. DES의 알고리즘 ■ 1단계평문 M의 64 비트가 초기 전치(IP : Initial Permutation)를 거쳐 각각 32비트씩 나누어져 L0와 R0로 나누어 진다. ■ 2단계초기 전치 출력 L0, R0는 아래와 같은 함수계산을 16회 반복한다. ■ 3단계마지막에 추출되어지는 R16과 L16은 초기 전치의 역전치를 거쳐 64비트의 암호문이 된다.

6. ECB 모드와 CBC 모드

7. CFB 모드

8. OFB 모드

9. DES

10. RSA 암호

11. Diffie-Hellman

12. 타원 곡선 알고리즘

13. 암호문 공격 암호문 단독 공격(ciphertext-only cryptanalysis) 암호 공격(해독)자에게는 가장 불리한 방법으로 암호 공격자(해독자)는 단지 암호문 만을 갖고 있다. 이것은 암호문으로 부터 평문이나 암호키를 찾아내는 방법으로 통계적 성질과 문장의 특성 등을 추정하여 해독하는 방법이다. 기지 평문 공격(known-plaintext cryptanalysis) 암호 해독자는 약간의 평문에 대응하는 암호문를 입수하고 있는 상태에서 나머지 암호문에 대한 공격을 하는 방법으로 이미 입수한 평문과 암호문의 관계를 이용하여 새로운 암호문을 해독하는 방법이다. 선택 평문 공격(chosen plaintext cryptanalysis) 암호 해독자가 사용된 암호기에 접근할 수 있을 때 사용하는 공격방법으로 적당한 평문을 선택하여 그 평문에 대응하는 암호문을 얻을 수 있다. 주로 암호 시스템 공격시 사용한다. 선택 암호문 공격(chosen ciphertext cryptanalysis) 암호 해독자가 암호 복호기에 접근할 수 있다. 적당한 암호문을 선택하고 그에 대응하는 평문을 얻을 수 있다.

14. 비밀키 암호공격 Brute force 공격모든 가능한 키와 패스워드 조합을 이용하여 암호 시스템을 공격하는 방법이다. 가장 단순하고 많이 사용되는 방법으로 이에 대한 대책은 키를 자주 바꾼다든가 시도횟수를 제한한다든가 하는 방법이 있다. 재전송공격(Replay Attack)메시지를 중간에 가로 채어 자신의 보관하고 있다가 필요시 다시 전송하여 공격하는 방법이다. 이 방법의 보안 대책은 메시지에 타임스템프(Timestamp)나 Sequence Number을 주는 방법이 있다. 컷 앤 페이스트 공격(Cut and Paste Attack)비밀키로 암호화된 메시지는 일반적으로 8문자에서 16문자의 블록으로 평문을 나눈 다음 각각의 블록을 암호화하게 된다. 해커는 이 블록 사이에 자신이 조작한 블록을 끼워 넣을 수 있으며 이것을 Cut and Paste 공격이라 한다. 이와 같은 공격을 방지하기 위하여 메시지를 보낼 때 메시지 인증 코드(MAC : Message Authentication Code)나 서명된 메시지 다이제스트(Message digest)를 사용한다. 차분 암호 분석(Differential Cryptanalysis) 공격Chosen-plaintext Cryptanalysys의 일종으로 블록 암호에서 입력쌍의 차이(Input Difference)와 해당 출력쌍에 대한 차이(Output Difference) 값들의 확률 분포가 균일하지 않다는 사실을 이용하여 공격하는 방법이다. 즉 평문을 암호시스템에 입력하여 암호문을 얻고 평문에서 1비트를 바꾼 다음 그것을 다시 암호시스템에 넣어 두 번째 암호문을 넣는다. 이것을 계속해서 반복하면 암호해독에 필요한 충분한 평문과 암호쌍(Pi, Cj)를 얻게 된다. 이처럼 차분 암호 분석은 입력에 따른 출력의 변화를 이용하여 암호를 공격(해독)하는 방법이다. 선형암호분석(Linear Cryptoanalysis) 공격확률적으로 근사시킨 비선형함수의 선형 근사식을 이용하여 관련된 키 비트를 추출하는 공격 방법이다. 그 밖에 대수적 암호분석(Algebraic Cryptoanalysis) 공격, 관계키 암호분석(Related-key Cryptanalysis) 공격, 스케쥴에 의한 암호분석(Key schedule Cryptoanalysis) 공격, 비암호학적 분석(Side Channel Cryptoanalysis) 공격 등이 있다.

15. 공개키 암호공격 맨 인 미들 공격(Man in Middle Attack) 공개키 암호화 시스템에서 가장 일반적으로 자행되는 공격방법이다. PKI가 갖추어져 있지 않다면 공개키 시스템에서는 사전에 공개키의 교환을 필요로 한다. 만약 전송자 A가 자신의 공개키를 B에게 보내면 해커는 중간에서 공개키를 가로채어 자신의 공개키로 바꾼 다음 B에게 재전송한다. 그러면 B는 자신의 비밀 메시지를 해커의 공개키로 암호화해서 A에게 보낸다. 그 때 해커는 다시 메시지를 가로채어 자신의 개인키로 암호 메시지를 복호화하여 B의 비밀 메시지를 얻게 된다. 이러한 공격 방법을 맨 인 미들 공격(Man in Middle Attack)이라고 한다. 선택평문공격(Chosen-plaintext Cryptoanalysis) 암호 해독자가 사용된 암호기에 접근할 수 있을 때 사용하는 공격방법으로 적당한 평문을 선택하여 그 평문에 대응하는 암호문을 얻을 수 있다. 주로 암호 시스템 공격시 사용한다 암호문 단독 공격(Ciphertext-only Cryptanalysis) 암호 공격(해독)자에게는 가장 불리한 방법으로 암호 해독자는 단지 암호문만을 갖고 있다. 암호문으로부터 평문이나 암호키를 찾아내는 방법으로 평문의 통계적 성질, 문장의 특성 등을 추정하여 해독하는 방법이다.

16. 해쉬함수 임의의 길이의 메시지를 일정 길이(128비트, 160비트 등)의 출력으로 변환하는 함수이다. 함수가 단방향인 경우 이를 메시지 다이제스트(Message Digest)라고 부른다. 유일한 메시지 다이제스트를 만들어내는 역할을 한다.

17. 해쉬함수의 분류

18. MAC(Message Authentication Code)

19. 해쉬 함수의 종류 HMACMAC와 MDC를 합쳐놓은 새로운 해쉬이다. DES-MACDES의 CBC 모드를 사용하는 CBC-MAC이 있다. MD5SHA과 같이 전용 소프트웨어 해쉬함수이다. HAVAL SHA-1MD4에 기반을 두고 개발된 해쉬알고리즘으로 NIST(National Institute of Standards and Technology)가 미국정부 표준으로 받아들인 160비트 해쉬값을 가지는 MDC 해쉬함수이다.

20. 전자서명의 송신과 수신 절차

21. 전자 서명의 요건 위조 불가(Unforgeable) 생성키를 소유하지 않는자는 전자서명 생성이 불가하며 합법적인 서명자만이 전자서명을 생성할 수 있어야 한다. 서명자인증(Authentication) 생성키를 소유한 자가 전자서명의 행위자이며 전자서명의 서명자를 불특정 다수가 검증할 수 있어야 한다. 부인방지(Non-repudiation) 서명자(생성키소유자)는 서명행위에 대한 서명한 사실을 부인할 수 없어야 한다. 변경불가(Unalterable) 생성키를 소유하지 않는 자는 서명한 문서의 내용을 변경할 수 없어야 한다. 재사용불가(Not reusable) 전자문서의 서명을 다른 전자문서의 서명으로 대치 및 사용할 수 없어야 한다. 분쟁해결 가능(Judge) 제 3자에 의해 정당성을 검증받을 수 있어야 한다.

22. 다양한 디지털 서명 RSA 디지털서명 ■ 서명 생성과정 ① 메시지 M을 해쉬한다.(H(M)) ② 해쉬한 값에 개인키로 멱승을 한다. (S = H(M)d mod N) ③ (M, S)를 수신자에게 전송한다. ■ 서명 검증 과정 ① 수신한 메시지 M을 해쉬한다.(H(M)) ② 서명 S에 송신자의 공개키를 멱승한다.(V = Se mod N ) ③ V = H(M) 한지 서명을 검증한다. ElGamal 디지털서명 DSA(Digital Signature Algorithm) KCDSA 디지털서명 일회용 디지털서명(One-time)

23. 키관리의 구성요소

24. 키관리 기술 문제 ① PFS(Perfect Forward Secrecy)를 제공하기 위해 키는 키관리 시스템 외부로는 알려지지 않고 한 번 파괴되면 다시는 재생해 낼 수 없어야 한다. ② 키가 침입자에게 노출되지 않도록 네트워크를 통해 안전하게 교환되어야 한다. ③ 수명이 지난 키는 주기적으로 만기(Expire)가 되고 바뀌어야 한다. ④ 알고리즘과 이에 관련된 것은 반드시 협상되어야 한다.

25. 키관리 프로토콜 SKIP(Simple Key-Management for Internet Protocols) ㆍ자동 인증서 교환 ㆍ세션 없는 프로토콜 ㆍ인증서 검색 프로토콜 (Certificate Discovery Protocol - CDP) Photuris ISAKMP ① 협상 : 사용할 프로토콜과 알고리즘은 키에 동의하고 협상을 한다. ② 인증 : 통신하고 있는 상대방이 실제 내가 통신하고 있다고 생각하는 상대방인지 보증한다. ③ 키관리 : 사용할 키가 합의로 결정된 후 안전하게 교환될 수 있도록 관리한다.

26. 링크 암호화

27. 단대단 암호화

28. PKI (Public Key Infrastructure)

29. PKI의 구성요소

30. PKI 인증기관 ■ PAA(Policy Approving Authority) PKI 대한 전반적인 정책과 절차를 수립하고 하위기관(PCA, CA)들의 공개키를 인 증하고 그 인증서에 대한 관리와 감독을 수행한다. ■ PCA(Policy Certification Authority) 한 도메인 내의 모든 CA와 사용자들이 준수해야할 정책을 수립하고 하위 기관(CA)의 공개키를 인증하며 그 인증서에 대한 관리와 감독을 수행한다. ■ CA(Certification Authority) PCA와 PAA의 정책에 따라서 사용자의 공개키를 확인하는 역할을 수행한다. ■ 등록기관(RA : Registration Authority) 인증기관(CA)를 대신하여 사용자들의 인증서 신청, 접수, 관리 및 그들의 신분과 소속을 확인하는 기능을 수행하며 유효기간이 지난 인증서에 대해 CRL(Certificate Revocation List)을 검색하고 CA에게 인증서 취소요청을 하는 역할을 수행한다. 또한 PKI를 이용하는 사용자와 CA간의 인터페이스도 제공한다. 조직등록기관(ORA : Organization Registration Authority)이라고도 한다.

31. 인증기관의 계층 구조

32. 정보시스템 감사 관련 용어 1 ① 감사일반적인 감사의 의미는 어떤 정해진 감독 기관으로서 업무 상태와 재산상태를 통제, 감독하는 기관, 또는 그 행위로 정의되어질 수 있다. ② 조직특정한 목표를 이루기 위해 만들어낸 일정한 지위와 역할을 지닌 인적, 물적 집합이다. ③ 정보시스템감사 기법정보시스템에 의하여 처리된 자료를 감사할 때 감사인이 사용할 수 있는 응용시스템 통제의 감사, 입력 데이터의 정확성 검증, 시스템개발 순환과정의 감사, 보안감사, 시스템소프트웨어 감사, 정보시스템 감사의 관리 기법이다. ④ 통제정보시스템 통제는 정보시스템의 기획, 개발, 운영, 유지보수 전반에 걸쳐 효과성, 효율성, 안전성 및 준거성에 반하는 위험을 예방하고 통제하는 수단을 확보할 수 있는 체계를 제공하는 것이다. ⑤ 통제목적 정보기술 통제목적과 기준에 관한 COBIT(Control Objectives for Information and related Technology)에 대표적으로 기술되어 있으며 각각의 통제목적은 해당 자원이 효과적, 효율적, 경제적으로 사용되기 위한 최소한의 간결하고 명확한 정의를 식별하는데 도움을 준다. ⑥ ISACAInformation Systems Audit and Control Association은 세계100개국에 150여개의 지부에서 20,000명 이상의 정보시스템 분야의 전문가들이 회원으로 가입하여, 정보시스템 감사, 통제 및 보안 분야의 발전을 위하여 노력하고 있는 미국을 본부로 한 협회이다. ISACA는 교육과 공인제도(CISA)를 통하여 정보시스템 감사, 통제 분야의 지침과 전문지식의 발전을 뒷받침하는 역할을 수행하며 한국에도 한국정보시스템감사통제협회라는 1986년 12월 9일 EDPAA의 한국지부로 출발한, ISACA Korea Chapter가 정보시스템 감사통제분야의 발전을 위하여 노력하고 있다.

33. 정보시스템 감사 관련 용어 2 ⑦ 정보시스템 감사정보시스템 감사는 정보기술의 활용에 따르는 각종 위험 및 통제상태를 객관적인 입장에서 종합적으로 점검·평가할 수 있도록 지원하는 역할을 하는 것으로 감사대상으로부터 독립된 감사인이 정보시스템의 효과성, 효율성 및 안전성 향상을 위하여 정보시스템의 구축·운영에 관한 사항을 종합적으로 점검 및 평가하고 감사 의뢰인 및 피감사인에게 개선이 필요한 사항을 권고하는 것이라고 정의할 수 있다. ⑧ 감사 위원회(Audit Committee)기업의 이사회 내에 설치되는 기구로 사외 이사를 포함할 수 있으며 이사들이 구성원이 되는 감사 위원회를 설치하여야 한다. 감사 위원회는 경영자보다는 주주의 권익을 보호하는 입장에서 활동하고 외부 감사인을 선정하여 그들과 감사의 범위 및 성격을 논의하며, 조직 내의 회계 부서가 작성한 보고서를 조사하고 평가한다. 감사인의 보고서에서 권고 또는 지적된 사항에 대해 조사하기도 한다. ⑨ 감사 보고서(Audit Report)정보시스템 감사시 감사인이나 책임자가 경영인과 주주에게 그 결과를 보고하는 양식으로 수신자, 감사 목표, 수행된 감사의 범위, 성격, 시기 및 범위, 중대한 발견사항, 권고 사항, 피감사인, 발행일자, 배포의 제한 사항 등과 같은 사항이 포함되어진다. ⑩ 감사 위험(Audit Risk) "감사 대상에 중요한 오류가 있음에도 불구하고 감사인이 이를 감사 의견에 적절하게 반영하지 못할 가능성"을 말한다. 이러한 감사위험에는 고유 위험, 통제 위험, 적발 위험 등이 있다. ⑪ 목표 감사 위험(Acceptable Audit Risk)수용 가능한 감사 위험이라고도 하며 오류를 포함하고 있으나 이를 적발해 내지 못하고 적정의견을 표명할 수 있는 가능성의 상한선을 말한다. ⑫ 과대 신뢰 허용 위험(Acceptable Risk of Overreliance)감사의 결과에 따라 통제 위험 수준이 그 이하인 것으로 잘못 결론을 내리게 될 위험의 허용 수준으로 이는 감사인이 부담하고자 하는 감사 위험의 기준치가 된다.

34. 정보시스템 감사의 필요성 ① 데이터는 조직의 Operation을 위해 중요한 자원이며 보호되어야 한다. ② 정확한 의사결정을 위해 정보시스템 내에 있는 데이터의 수준과 의사결정 프로세스의 수준을 감사한다. ③ 컴퓨터 남용(Abuse, Hacking, Viruses, Illegal physical access, Abuse of privileges)으로 인한 피해를 방지한다. ④ HW, SW, 인력의 가치가 손상을 받을 경우 기업에 피해를 가져오는 것을 막는다. ⑤ 컴퓨터 에러로 일어날 수 있는 상황을 미리 막는다.

35. 정보시스템 부서관리, 계획, 조직감사

36. 정보시스템 감사 기준 구조와 통제 기준(Standards) - 정보시스템 감사 단계에서의 의무적인 준수 사항이다. 지침(Guidelines) - 정보시스템 감사 기준을 적용하기 위한 지침이다. 절차(Procedures) - 감사수행 중에 적용할 수 있는 절차이다. ① 예방을 위한 통제(Preventive Control) ② 탐지를 위한 통제(Detective Control) ③ 교정을 위한 통제(Corrective Control)

37. 정보시스템 감사기법 일반감사기법 1) 관련문서 검토법 2) 실물확인 및 관찰법3) 면담 및 내부통제 질문서4) 통제흐름도 감사접근방법 컴퓨터 이용 감사기법1) 시험자료법(Test Data)2) 통합자료처리법(Integrated Test Facility)3) 병행시뮬레이션법(Parallel Simulation)4) 기본사례 시스템평가법(Base Case System Evaluation)5) 스냅사진법(Snapshot Method)6) 편입감사모듈법(Embedded Audit Module)7) 재처리법(Reprocessing)8)처리추적법(Tracing)9) 맵핑법(Mapping)

38. 정보시스템 통제별 감사 중점 1) 조직통제 감사ㆍ정보시스템 경영계획과 전사 경영계획의 연계성ㆍ장·단기계획의 유무 및 환경변화에 대한 수정ㆍ부서간 및 부서내 업무분담의 효율성과 적정성ㆍ개인별 명확한 직무권한 부여 및 권한외의 직무수행 여부ㆍ정보시스템 인력 확보, 육성의 타당성 2) 운영통제감사ㆍ컴퓨터 작업 스케줄의 적정 여부ㆍ컴퓨터 작업실행을 통제할 규정의 적정성과 운용실태ㆍ데이터베이스와 파일에서 접근통제의 효율성ㆍ부정확하거나 불완전한 거래적발 통제장치 여부ㆍ시스템 장애 조기발견 및 복구시스템 여부ㆍ시스템 개발부서, 시스템 운용부서, 사용부서의 업무구분 여부ㆍ전산자원의 가용성을 높이기 위한 방안 즉 복구정책, 유지보수, 백업 등에 대한 대책ㆍ프로그램 변경시 통제절차ㆍ정보시스템 운영과정에서 발생하는 오류발견, 보고, 해결절차 3) 안전통제감사ㆍ화재, 수해 등 자연재해에 대한 대책ㆍ전력의 안정적 공급을 위한 전력통제의 적정성ㆍ온도, 습도, 먼지 등 컴퓨터 및 장비실의 환경대책ㆍ정보시스템의 불법적인 물리적 접근을 막기 위한 장치, 제도ㆍ정보시스템 내부로의 불법적인 논리적 접근을 차단하기 위한 각종대책ㆍ데이터 전송의 오류를 방지할 수 있는 통신통제ㆍ하드웨어, 소프트웨어, 네트워크 장애 대책ㆍ컴퓨터 부정과 범죄방지 대책 등

39. 정보시스템 통제별 감사 중점 4) 응용업무 통제감사ㆍ입력자료에 대한 승인여부 및 절차통제ㆍ입력하는 과정에 대한 적절한 통제여부ㆍ입력된 자료의 정확한 처리 및 오류수정 절차ㆍ출력자료의 정확성 검토 및 배부의 정당성 5) 시스템 개발통제 감사ㆍ시스템 개발 단계별 계획에 대한 충분한 검토여부ㆍ타당성 분석, 전산화 요구사항 분석의 합리성ㆍ시스템 설계, 변경 등의 정당성과 효율성 및 사용자 요구사항 반영ㆍ프로그램은 사양대로 정확하게 프로그래밍되었는지 여부ㆍ설계된 대로 코딩하였는지의 여부ㆍ새 시스템이 당초 의도한 대로 작동하는지 여부ㆍ시스템 구현이 계획대로 이루어 졌는지의 여부 6) 재난복구 계획 감사ㆍ현실성있는 재난복구 계획 존재여부ㆍ관계직원의 재난복구계획 숙지여부ㆍ백업용 컴퓨터의 용량, 호환성 등 적정성ㆍ대체용 통신장비의 적정성

40. 정보시스템 감사 결과 보고 1) 감사조서 정비감사조서는 감사계획 단계부터 감사보고 전 단계까지 감사인이 작성, 수집한 감사계획, 감사범위, 발견사항, 감사증거 등의 자료로서 감사보고서 작성의 기초가 된다. 감사조서는 당해 감사가 적절히 실시되었음을 보증하는 것 외에도 차기 감사에서 감사범위, 실시절차 등을 결정하는데 참고가 되는 자료이다. 감사조서는 대상시스템의 개요, 해당시스템 내의 정보흐름, 시스템의 통제기능, 시스템보안대책, 전년도 감사지적 사항 및 개선내용 등 기본적인 정보를 지닌 장기간 보존하여야 할 내용과 감사계획서, 감사절차서, 감사자료, 문제점, 피 감사부서와의 협의내용, 감사보고서 초안 등 비교적 짧은 기간동안 관리하여야 할 내용으로 구분하여 작성·활용한다. 2) 감사결과의 피 감사부문과 협의감사결과를 공식적으로 최고 경영자에게 보고하기 전에 도출된 문제점과 개선방안에 대하여 피 감사부문에 대하여 감사결과를 설명하고 감사인의 사실인식에 오류는 없었는가, 개선방안에 대하여는 다른 의견은 없는가를 확인하는 등 상호간의 의사소통이 중요하다. 일반감사에 의견서 및 답변서 제도를 시행하고 있어 피감사부문과의 의사소통을 할 수 있는 제도가 있다. 피감사 부문과의 협의를 통해 얻어질 수 있는 효과는 다음과 같다. ㆍ감사인의 사실 인식의 오류나 독선적인 판단이 시정되어 사실에 입각한 적절한 감사 보고서가 작성된다.ㆍ피 감사 부문은 즉시 문제점의 개선에 착수할 수가 있다. ㆍ감사에 대한 오해를 제거하고 이해를 깊이 하며, 피감사 부문이 개선안을 추진할 동기를 부여한다. ㆍ시스템 감사인의 피감사 부문 업무에 대한 이해를 깊게 한다. 3) 감사보고서감사보고서는 최종적으로 최고 경영자에게 보고되는 것이다. 감사보고서는 종합감사 의견과 개별 감사의견으로 나누어 작성하며 종합감사의견은 최고 경영자에게 필요한 감사의 개요, 주요 문제점 및 종합적인 결론으로 구성하며 개별감사의견은 개별문제점에 대한 세부적인 보고로서 문제가 되고 있는 절차나 기능의 현상, 구체적인 위험, 개선방안 등으로 구성된다. 감사보고서의 목적은 최고경영자에게 정보시스템의 신뢰성, 안전성의 전체적인 상황, 중대한 문제점의 소재를 알리는 것이다. 정보시스템 감사보고서는 성격상 기술적인 측면을 표현하게 되므로 보고 수신자의 입장을 고려하여 정확하면서도 쉽고 간결·명료하게 작성하여야 한다.

41. 정보자산 보호

42. 정보자산 관련 용어 ① 정보자산(Asset)정보자산이란 기업이 비즈니스 목표를 달성하도록 지원하기 위해 사용하는 정보 시스템 및 프로그램 그 자체, 또는 그 정보시스템이 만들거나 소유하고 있는 데이터를 포괄하는 개념이다. ② 논리적 접근통제(Logical Access Controls)소프트웨어를 기반으로 하는 보안 및 논리적 안전의 중요성을 증가시켜 이를 바탕으로 데이터 운영 안정성을 증가시키는 방법이다. ③ 네트워크 인프라(Network Infrastructure)컴퓨터가 서로 연결되어 정보를 주고 받는 공유체계인 네트워크의 기간이 되는 시스템, 네트워크 장비, 회선, 관련 설비를 모두 포함하는 것이다. ④ 환경적 통제(Environmental Controls)정보자산(시스템)의 환경적 현황 및 노출에 관한 사항으로 화재, 지진, 태풍, 홍수의 자연재해와 정전, 합선, 과전압, 감전 등 전기적 문제 그리고 냉난방 시스템의 고장, 소화전(수도관) 파열, 먼지, 연기, 음식 등 기타 연관되는 위협을 통제하는 것을 의미한다. ⑤ 기술적인 노출(Technical Exposure)일반적으로 해킹이라고 알려진 어떤 기술(사회공학적, 기술적)을 사용한 정보와 시스템이 의도하지 않게 노출되는 것을 의미한다.

43. 정보자산 관련 용어 ⑥ 컴퓨터 범죄(Computer Crime) 기술적 노출과 달리 일반적인 범죄에 컴퓨터가 개입이 된 형태로 금전, 신용, 경쟁력, 법적, 비즈니스적으로 영향을 받게 한다. ⑦ 논리적 접근통제접근은 컴퓨터 자원을 가지고 무엇인가를 할 수 있는 기술적인 능력을 말한다. 인가는 컴퓨터 자원의 사용을 허용하는 것이다. 허용은 응용프로그램이나 시스템 소유자에 의해서 직·간접적으로 허가된다. 인증은 어느 정도 타당하게 사용자가 주장하는 신분을 증명하는 것이다. ⑧ 논리적 접근통제의 경로ㆍ운영자 콘솔 : 강한 접근 ㆍ온라인 터미널 : 필요와 중요도에 따라 강력한 접근통제를 ㆍ배치작업처리 : 배치작업에 추가적인 승인을 통제하기 위해 제한ㆍ다이얼업 포트 : 다이얼-백 시스템, 로그온 ID 및 접근통제 소프트웨어를 사용ㆍ통신네트워크 : 온라인 터미널 수준의 보안을 적용해야 한다. ⑨ 논리적 접근통제의 대상ㆍ데이터와 응용 소프트웨어 ㆍ시스템 소프트웨어와 유틸리티ㆍ통신회선 및 다이얼 업 회선 ㆍ데이터 사전과 디렉토리ㆍ테이프파일

44. 기술적 노출 ■ 자료의 부정변개(Data Diddling) ■ 트로이 목마(Trojan Horse) ■ 트랩도어(Trap Door) ■ 소수점 절사(Rounding Down) ■ 살라미 기법 (Salami Techniques) ■ 쓰레기 주워 모으기(Scavenging) ■ 논리폭탄(Logic Bomb) ■ 피기백(Piggybacking) ■ 슈퍼 재핑(Super Zapping) ■ 비동기성 공격(Asynchronous Attacks) ■ 회선도청(Wire Tapping) ■ 컴퓨터 작동 중지(Shutdown the Computer) ■ 서비스 거부(Denial of Services)

45. 컴퓨터 범죄 정보, 화폐, 시설의 절도(Theft of money, information, goods) 컴퓨터를 통해 정보나 유형재산을 불법적으로 획득 인가되지 않은 시스템 접속(Unauthorized access of computer system) 허가받지 않은 하드웨어, 소프트웨어, 데이터에 대한 사용, 접근, 수정 및 파괴 시스템 자원의 남용(Organizations systematically abusing customers) 범죄를 목적으로 한 컴퓨터 자원의 남용 범죄를 목적으로 한 컴퓨터 데이터 오용 허가받지 않은 소프트웨어의 배포(Unauthorized Program Destribute) 허가받지 않은 소프트웨어의 복제(Unauthorized Program Copy)

46. 네트워크 통제 1) 랜 보안 (Lan Controls) 랜 보안의 기능에는 프로그램과 파일, 저장장치에 대한 권한 허용, 사용자 ID 및 패스워드를 사용한 Sign-On절차, 레코드 및 파일의 처리와 Locking 등이 있다. 2) 다이얼-업 통제(Dial-up Controls) Dial-Back Modem이 더욱 안전하며 패스워드를 안전하게 관리해야 한다. 그러나 이러한 예방도 자동착신 전환(Automatic Call Forwarding) 등의 기법에 의해 우회될 수 있다. 3) 통신 네트워크 통제 통신 네트워크의 관리를 위해서는 권한의 분리와 통제기능의 구현, 운영자에 대한 감사 증적의 유지가 중요하다.

47. 환경적 통제 1) Air Conditioning 2) 항온 항습기 3) 소화 설비 4) 조명시설 6) UPS(Uninterruptable Power Supply) 7) 배선 및 분전반 8) 데이터 저장 9) 화재 10) 수해 대책 11) 지진

48. 물리적 통제 방법 ㆍ권한있는 자만을 출입 허가 ㆍ출입통제 시스템은 출입통제장치를 통한 시스템 접근을 통제 ㆍ분리된 별도의 통제구역 내에 핵심시스템을 설치·운영 ㆍ외부인의 출입을 통제 및 담당관리자가 동행 ㆍ출입하는 인원에 대하여 출입내역을 기록하고 주기적으로 출입기록을 백업 ㆍ감시 장치를 설치 운영하며, 경보 기능을 갖는 감시통제 시스템을 설치·운영 ㆍ주요 장소에 CCTV 카메라 설치 ㆍ관제시스템 설치·운영 ㆍ침입탐지 장치 설치

49. 물리적 통제 이슈 ■ 건물 ■ 데이터의 운반 ■ 백업 ■ 이동식 디스크 ■ 프린터 ■ 컴퓨터 ■ 책상 정리(Clean desk)

50. 비윤리적 컴퓨터 사용자와 윤리 원칙 ① 인터넷 자원에 대한 비 인가 접근을 시도하려는 행위② 인터넷 사용을 의도적으로 교란시키는 행위③ 자원(Resource : 사람, 용량, 컴퓨터 등)의 낭비를 일으키는 행위④ 컴퓨터 기반 자원의 무결성을 손상시키는 행위⑤ 사용자들의 개인정보를 노출시켜 명예/신용을 손상시키는 행위 ① 다른 사람에게 피해를 입히기 위한 목적으로 컴퓨터를 사용하지 않는다.② 다른 사람의 컴퓨터 작업을 방해하지 않는다.③ 다른 사람의 컴퓨터 파일을 허락없이 복사하거나 읽지 않는다.④ 절도의 목적으로 컴퓨터를 사용하지 않는다.⑤ 잘못된 증거를 제시하기 위하여 컴퓨터를 이용하지 않는다.⑥ 소프트웨어를 불법복제하거나 불법복제 소프트웨어를 사용하지 않는다.⑦ 동의나 승인없이 다른 사람의 컴퓨터 자원을 사용하지 않는다.⑧ 다른 사람의 지적재산권을 침해하지 않는다.⑨ 자신이 설계한 시스템 또는 자신이 만든 프로그램이 사회에 미치는 영향에 대하여 먼저 깊이 생각한다.⑩ 타인을 존중하는 마음으로 컴퓨터를 사용하여야 한다.