이펙티브 사이버시큐리티 - 효과적인 사이버 보안 실행 및 정책 수립을 위한 지침서 -

실제 환경에서 사이버 보안 모범 사례 및 표준을 적용할 수 있도록 돕는 필수 지침서

이 책에서는 성공적인 사이버 보안에 필요한 기술, 운영 절차 및 관리 사례들을 소개하고 있는데 단순한 소개에 그치지 않고 통합 프레임워크와 현실적인 실행 방법들과 통합된 실현 방법에 대한 내용을 자세하게 다루고 있다.

그중에서 대표적인 주제들을 살펴보면 사이버 보안 규칙과 표준 및 모범 사례의 역할 이해, 보안 거버넌스, 위험 평가, 전략 및 전술 관리 정의, 정보 및 개인 정보 보호, GPDR 준수 보장, 시스템 개발 수명 주기(SLDC) 전반에 걸친 시스템 강화에 대해 상세히 설명하고 있으며 그밖에도 서버, 가상화된 시스템, 스토리지 보호와 이메일에서 VOIP에 이르는 네트워크 및 전자 통신 보호 그리고 사용자 인증에 적합한 방법 적용 및 공급망 클라우드 환경에서 보안 위험 완화에 대해서도 다루고 있다.

사이버 보안에 대해 폭넓고 깊이 있게 다루고 있기 때문에 IT 보안 유지보수 및 보안 관리를 맡고 있는 사람들 뿐 아니라 사이버 보안 및 정보 보안에 관심을 갖는 독자들에게 훌륭한 지침서가 될 것이다.

보안 관리자와 실무자들을 위한 최고의 실무 지침서

이 책의 목적은 보안 관리자와 보안 실무자들이 효과적인 사이버 보안 실행을 위한 기술, 운용절차, 관리 사례들에 대해 포괄적인 이해를 돕도록 하는데 있다.

다양한 곳에서 보안 관련 지침서로 활용되는 표준과 모범 사례 문서들을 상세히 살펴보고 있는데 이러한 문서는 전문가들의 지침서라고 할 수 있지만 독자들에게 충분하다고 생각되지 않아 사이버 보안 실행 방법에 대해서도 다루고 있다.

이 책에서는 다음 사항들에 대해 특별히 중점을 두고 있다.

● 모범 사례 관련 문서들과 표준들에 대한 요구 사항, 지침을 실행하기 위해 필요한 기술, 동작 절차 및 관리 사례들에 대한 상세한 설명을 제공한다. 다른 많은 책에서는 위험 평가에 대한 중요성을 강조하고 있으면서도 위험 평가에 대한 깊이 있는 설명이나 지침을 제공하지 않는다. 그래서 이 책에서는 3장 정보 위험 평가에서 위험 평가 수행과 관련된 내용들에 대해 자세히 살펴보고 있다.

● 많은 표준과 모범 사례들을 활용하여 사이버 보안을 실행하는데 있어 통합 정리된 내용과 프레임워크를 제공하고 있다. 단순한 요약이나 개요를 나열한 것이 아니기 때문에 이 책에서 언급한 문서들을 활용하여 사이버 보안을 실행하기 위한 체계적이고 광범위한 실행 계획을 세울 수 있는 실무적인 방법들을 배울 수 있을 것이다.

[책의 구성]

이 책은 세 부분으로 구성된다.

● 1부 - 사이버 보안 계획 수립

1 부에서는 주어진 IT 환경에서 요구 사항을 정의하고 보안 기능을 관리하기 위한 정책과 절차 개발과 같은 사이버 보안 기능에 대한 관리 및 제어의 접근 방법에 대한 개요를 설명하는데 각 장에서 다루고 있는 내용을 보면 다음과 같다.

2장에서는 정보 보안 거버넌스 개념에 대해 논의한다. 보안 거버넌스가 기업 거버넌스의 통합된 부분으로 기업 전반에 걸쳐 정보 보안 관련 활동의 방향 수립 및 감독을 가능하게 하는 방법에 대해 설명한다.

3장은 보안 요구 사항을 정의하고 이에 대한 준수 여부를 확인하는 절차 개발에 있어 처리해야 될 문제점들에 대해 논의한다.

4장은 내부 정책 및 조직 운용과 관련된 보안 문제들에 중점을 두고 살펴보고 있다.

● 2부 - 사이버 보안 기능 관리

2부에서는 정의된 보안 요구사항들을 만족시킬 수 있는 보안 통제 정책들에 대한 자세히 설명하고 있다.

5장에서는 적절한 보안 절차를 따른 심사, 신청 과정뿐 아니라 모든 직원의 교육과 훈련 진행에 있어 조직의 보안 정책에 부합하는 방법과 관련된 문제들에 대해 살펴보고 있으며

6장은 정보를 분류하고 개인 정보 확인을 위한 정책들을 다루고 있다.

7장에서는 장비 관리 및 모바일 장치 관리를 포함한 물리 자산과 관련된 문제를 다루며 8장은 시스템 개발 관리 및 시스템 개발 수명 주기를 포함한 비즈니스 응용 프로그램에 대한 개발 활동에 중점을 두고 설명하고 있다. 9장은 비즈니스 응용 프로그램(웹 기반 응용 프로그램에 대한 특별한 통제 항목 포함)으로 입력, 처리, 출력되는 정보에 대해 정보 기밀성과 무결성을 보장하기 위한 보안 통제 통합 방법에 대해 다룬다.

10장은 응용 프로그램, 디바이스, 시스템, 네트워크에 대한 접근 통제에 대해 중점을 두고 있으며 접근 관리 및 고객 접근 문제 등을 포함해서 설명하고 있다. 11장은 조직 내 모든 IT 시스템에 대해 설정과 유지보수와 관련된 가용성 및 보안 이슈를 다룬다. 12장은 이메일과 메시지와 관련된 네트워크 관리 및 보안 측정에 대해 논의하고 있다.

13장은 외부 공급자 관리와 클라우드 컴퓨팅 서비스에 대해 그리고 14장은 기술 보안 인프라 및 암호화를 설명하고 있다. 또한 15장은 위협에 대한 대응 계획 수립을 다루며 사이버 보안 탄력성 및 보안 관리를 포함하고 있고 16장은 조직 내 문서화 및 개별 로컬 환경 관리에 대해 다루며 물리 및 환경적 보안에 관한 내용을 그리고 17장은 업무 연속성과 관련된 주요한 주제들을 다루고 있다.

● 3부 - 보안 평가

3 부에서는 사이버 보안 통제의 성능을 감사하고 모니터링할 수 있는 기술들에 대해 자세히 알려주고 있는데 18장에서 보안 모니터링의 주요 두 가지 관점인 보안 감사 및 보안 성과에 대해 알려준다. 

지은이 : 윌리엄 스탈링스 

전문가와 학생들이 네트워킹, 컴퓨터 아키텍처, 보안 분야에서 기술을 이해할 수 있도록 하는데 있어 큰 공헌을 했다. 교과서 및 학술 저자 협회에서 상을 13회 수상했다. 컴퓨터구조, 암호화 및 네트워크 보안, 데이터 및 컴퓨터 통신, 운영체제 및 설계 원칙, 무선 통신 및 네트워크, 컴퓨터 보안 원칙 및 실습에 관한 책을 저술했다. 현재 기술 제공 업체, 고객, 정부 연구 기관을 고객으로 독립 컨설턴트로 일하고 있다. 노틀담 대학에서 전기 공학을 전공하였으며 M.I.T에서 컴퓨터 과학으로 박사학위를 취득하였다.

옮긴이 : 한영태 

IT 기업에서 네트워크 가상화, SDN(Software-defined Network), SDDC(Software-defined DC) 관련 업무를 하고 있다. 시스템 개발자, 네트워크 기술 연구, CDN(Content Delivery Network), 웹 서비스 개발 실무 경험과 DevOps, 운용체제, Forensic, 네트워크 최적화 등 다양한 분야에 호기심이 많은 평범한 회사원으로 Full Stack 엔지니어가 되기 위해 노력하고 있다. 역서와 저서로는 메모리 포렌식, iOS 개발 레시피, 안드로이드 앱 보안, 웹 퍼포먼스 모니터링 및 디버깅 등이 있다.

옮긴이 : 김길성

10년이 넘는 실무 경력을 갖춘 네트워크 엔지니어이다.

'네이버(추후 NBP로 분사)'에서 데이터센터와 국내/해외 회선사업자 망 연동, IDC 이전 등을 담당하였고, 이후 네트워크 벤더사인 'Juniper Networks'로 옮겨 ISP 및 MSO 사업자들을 대상으로 다양한 종류의 프로젝트와 세미나를 주관하였었다.

옮긴이 : 장미영

전북대학교 컴퓨터공학과 박사 졸업 후 다년간 기업체 번역을 하였으며, 현재 번역에이전시 엔터스코리아에서 전문 번역가로 활동 중이다.

chapter 01 모범 사례, 표준, 실행계획

1.1 사이버 스페이스와 사이버 보안 정의

1.2 표준 및 모범 사례 문서의 가치

1.3 정보 보안에 대한 모범 사례

1.4 ISO/IEC 27000 정보 보안 표준

1.5 ISF SGP에 대한 ISO 27000 매핑

1.6 NIST 사이버 보안 프레임워크 및 보안 문서

1.7 효과적인 사이버 방어를 위한 CIS 주요 보안 통제 항목

1.8 정보 보안에 대한 COBIT 5

1.9 지불 카드 산업 데이터 보안 표준

1.10 ITU-T 보안 문서

1.11 효과적인 사이버 보안

1.12 참고 문헌

part 01 사이버 보안 기획하기

chapter 02 보안 거버넌스

2.1 보안 거버넌스 및 보안 관리

2.2 보안 거버넌스 원칙 및 기대 성과

2.3 보안 거버넌스 컴포넌트

2.4 보안 거버넌스

2.5 보안 거버넌스 평가

2.6 보안 거버넌스 모범 사례

2.7 참고 문헌

chapter 03 정보 보안 평가

3.1 위험 평가 개념

3.2 자산 식별

3.3 위협 식별

3.4 통제 식별

3.5 취약성 식별

3.6 위험 평가 접근방법

3.7 우도 평가

3.8 영향 평가

3.9 위험 결정

3.10 위험 평가

3.11 위험 처리

3.12 위험 평가 모범 사례

3.13 참고 문헌

chapter 04 보안 관리

4.1 보안 관리 기능

4.2 보안 정책

4.3 허가된 사용에 대한 정책

4.4 보안 관리 모범 사례

4.5 참고 문헌

part 02 사이버 보안 기능 관리하기

chapter 05 인적 관리

5.1 인적 자원 관리

5.2 보안 인식 및 교육

5.3 인적 관리 모범 사례

5.4 참고 문헌

chapter 06 정보 관리

6.1 정보 분류 및 처리

6.2 개인 정보

6.3 문서 및 기록 관리

6.4 민감한 물리 정보

6.5 정보 관리 모범 사례

6.6 참고 문헌

chapter 07 물리적 자산

7.1 하드웨어 수명 주기 관리

7.2 사무 기기

7.3 산업 제어 시스템

7.4 모바일 기기 보안

7.5 정보 관리 모범 사례

7.6 참고 문헌

chapter 08 시스템 개발

8.1 시스템 개발 수명 주기

8.2 SDLC에 보안 통합

8.3 시스템 개발 관리

8.4 시스템 개발 모범 사례

8.5 참고 문헌

chapter 09 비즈니스 응용 프로그램 관리

9.1 응용 프로그램 관리 개념

9.2 기업 비즈니스 응용 프로그램 보안

9.3 최종 사용자 개발 응용 프로그램

9.4 비즈니스 응용 프로그램 관리 모범 사례

9.5 참고 문헌

chapter 10 시스템 접근

10.1 시스템 접근 개념

10.2 사용자 인증

10.3 비밀번호 기반 인증

10.4 소유 기반 인증

10.5 생체 인증

10.6 사용자 인증 위험 평가

10.7 접근 제어

10.8 고객 접근

10.9 시스템 접근 모범 사례

10.10 참고 문헌

chapter 11 시스템 관리

11.1 서버 설정

11.2 가상 서버

11.3 네트워크 스토리지 시스템

11.4 서비스 수준 협약

11.5 성능 및 용량 관리

11.6 백업

11.7 변경 관리

11.8 시스템 관리 모범 사례

11.9 참고 문헌

chapter 12 네트워크와 통신

12.1 네트워크 관리 개념

12.2 방화벽

12.3 가상 사설 네트워크 및 IP 보안

12.4 네트워크 관리용 보안 고려사항

12.5 전자 통신

12.6 네트워크 및 통신 모범 사례

12.7 참고문헌

chapter 13 공급망 관리 및 클라우드 보안

13.1 공급망 관리 개요

13.2 공급망 리스크 관리

13.3 클라우드 컴퓨팅

13.4 클라우드 보안

13.5 공급망 모범사례

13.6 참고문헌

chapter 14 기술 보안 관리

14.1 보안 아키텍처

14.2 멀웨어 방지 활동

14.3 멀웨어 방지 소프트웨어

14.4 사용자 계정 및 접근 관리

14.5 침입 탐지

14.6 데이터 유출 방지

14.7 디지털 권한 관리

14.8 암호화 솔루션

14.9 암호 키 관리

14.10 공개 키 기반 구조

14.11 기술 보안 관리 모범 사례

14.12 참고 문헌

chapter 15 위협 및 사고 관리

15.1 기술 취약점 관리

15.2 보안 이벤트 로깅

15.3 보안 이벤트 관리

15.4 위협 인텔리전스

15.5 사이버 공격 보호

15.6 보안 사고 관리 프레임워크

15.7 보안 사고 관리 프로세스

15.8 긴급 수리

15.9 포렌식 조사

15.10 위협 및 사고 관리 모범 사례

15.11 참고문헌

chapter 16 로컬 환경 관리

16.1 로컬 환경 보안

16.2 물리적 보안

16.3 로컬 환경 관리 모범 사례

16.4 참고문헌

chapter 17 업무 연속성

17.1 업무 연속성 개념

17.2 업무 연속성 프로그램

17.3 업무 연속성 준비

17.4 업무 연속성 운영

17.5 업무 연속성 모범 사례

part 03 보안 평가

chapter 18 시스템 모니터링 및 개선

18.1 보안 감사

18.2 보안 성과

18.3 보안 모니터링 및 개선 모범 사례

18.4 참고 문헌