[작성자:] wookielee@gmail.com

ISO27001이 업데이트되었습니다. 새로운 버전의 명칭은 ISO/IEC27001:2013입니다. ISO/IEC27001:2013은 국제표준화기구(ISO)에서 제정한 정보보호 관리체계 국제표준으로 정보보안 정책, 공급자관계, 암호통제 등 14개영역 114개 항목에 대하여 국제심사원의 검증을 통해 주어지는 정보보호 분야의 권위 있는 국제 인증입니다. 

변화된 내용을 간략하게 나타낸 그림을 소개해봅니다.

원문참조: http://www.gammassl.co.uk/27001/revision.php

■ISO/IEC27001:2005 대비 주요 변경 사항
1. ISO/IEC27001:2013은 모든 ISO 경영시스템의 공통된 구조를 통해 요구사항 및 용어를 호환 할 수 있도록 부속서 SL(Annex SL)의 부록 3(Appendix3)규격에 의거하여 표준 문장으로 기술.

2. 부속서 SL(Annex SL)의 부록3(Appendix3)규격은 다음 3개 파트로 구성.
①high level structure: 모든 ISO 경영시스템 표준의 주요 절 번호와 제목이 1~10까지 동일
②identical core text: 향후 모든 ISO 경영시스템 표준의 최소기준으로서 84개의 요구사항과 함께 45개의 “shall(~해야)“을 명시(ISO/IEC27001:2013은 59개 명시)
③common terms and core definitions: 3.01~3.22까지 용어가 정의되어 있으며 모든 신규 또는 개정된 ISO 경영시스템의 표준이 정의된 용어를 사용

3. ISO/IEC27001:2005에는 정보보안을 위한 통제 개선 시스템 목적으로 Plan Do Check Act 모델을 명시하였으나, ISO/IEC27001:2013에서는 경영 시스템의 지속적인 유지개선 목적으로 PDCA 모델을 명시 및 강조하지 않고 문서 전체적으로 개념을 포함하여 기술

4. ISO/IEC27001:2005에 “3.Terms and definitions”에 기술되었던 용어 정의는 ISO/IEC27000(Overview and vocabulary)로 이전하여 용어의 표준화를 수행하였으며, 일부 용어의 경우 변경을 실시

5. ISO/IEC27001:2005의 “5 Management responsibility”을 수정하여 “5. Leadership”절에 포함

6. “preventive action”용어 대신 “action to address risks and opportunities”를 사용

7. ISO/IEC27001:2013의 위험관리 사항은 ISO31000 Risk management 프로세스 기반에 위험분석•평가 중심에서 위협과 시나리오 기반의 위험분석•평가 중심으로 변경

8. ISO/IEC27001:2013 통제항목은 기존 11개 분야 133개에서 14개 분야 114개 통제항목으로 변경
①특정구현에 의존성이 있는 내용의 삭제 및 최소화를 위해 A.11.4.7(Network routing control), A.12.2.1(Input data validation) 등 20개 통제항목 삭제
②통제분야의 세부화와 통제목적 재 그룹화를 위해 A.9.4.2(Secure log-on procedures), A.12.4.1(Event logging) 등 19개 통제항목을 10개 통제항목으로 통합 및 분할
③통제항목 A.10.2.1(Service delivery)는 관리과정(8.1)에 포함
④프로젝트 관리 및 보안 시스템 도입 시 정보보안 프로세스와 사고대응 사항을 반영하여 A.14.2.1(Secure development polocy), A.14.2.8(System security testing) 등 11개 통제항목 신설

변화된 내역을 세부적으로 확인하시려면 아래문서를 참조하세요
http://www.bsigroup.com/LocalFiles/en-GB/iso-iec-27001/resources/BSI-ISO27001-transition-guide-UK-EN-pdf.pdf

http://wikisecurity.net/certification:iso_iec_27001:2013_revision

인증심사기법및 계획:
http://bit.ly/1w7Dw2K

인증심사개요
http://bit.ly/1n8rBIh

2014년 4월 8일부로 Microsoft는 윈도우XP에 대한 지원을 종료합니다.  하지만 인터넷에 연결되는 PC의 30% 정도가 여전히 윈도우XP를 사용하고 있는 상황입니다.  아마도 한동안은 다수의 사용자들이 윈도우XP를 사용할 것이라고 생각됩니다.  가능하다면 윈도우XP를 상위버전의 OS로 업그레이드하는 것이 좋겠습니다만  여전히 윈도우XP를 사용해야하는 분들에게 윈도우XP를 안전하게 사용하는 방법을 제시해보고자 합니다.

1.  반드시 백신을 설치하고 최신으로 업데이트 해야 합니다.
  여전히 PC백신은 윈도우XP에서 작동될 것입니다.  보안패치가 더 이상 지원되지 않는다면 백신의 보호는 절대적으로 필요하다고 할 수 있습니다.    한국인터넷 진흥원(KISA)에서 윈도우XP전용백신 보급계획을 발표하기도 했습니다. 참고하세요   http://www.boho.or.kr/kor/download/download_05.jsp

2. 인터넷 브라우저를 바꾸는 것을 고려하세요
  크롬이나 파이어폭스등의 브라우저는 여전히 새로운 보안패치를 내놓을 것입니다.  이는 더 이상 지원이 되지 않는 인터넷익스플로어보다 훨씬 안전한 대안이 될 것입니다.  요즘은 대부분의 인터넷뱅킹이 크롬과 파이어폭스에서 가능한 상태이고  최근에 박대통령께서 천송이 코드를 해외에서도 구매할 수 있도록 해달라는 주문을 한 상태이므로 인터넷익스플로어 외의 타 웹브라우저로도 안전하고 편리한 웹브라우징이 가능할 것입니다.
구글 크롬  << 다운로드>>  
파이어폭스 << 다운로드>> 

3. 인터넷에 직접 연결하지 말고 공유기를 사용하여 외부의 공격으로부터 윈도우XP를 감추세요
   공유기를 이용하여 인터넷에 연결하는 것만으로도 윈도우XP를 효과적으로 보호할 수 있습니다.  외부에서는 공유기 내부의 NAT 네트워크는 보이지 않으므로  외부의 공격자들로부터 윈도우XP PC의 존재를 감출 수 있습니다.

4. 인터넷 사용을 최소화하거나, 수상한 인터넷 사이트 접속을 삼가하세요
  최근에는 악의적인 해커가 악성코드를 심어둔 인터넷 사이트에 접속하는 것이 악성코드의 주된 유입 경로가 되고 있습니다. 윈도우XP PC는 인터넷에 연결하지 않고 내부용으로만 사용하는 것이 가장 안전하다고 할 수 있습니다만   인터넷을 사용해야 한다면 인터넷 사용을 최소화해야 합니다.   윈도우XP PC에서 접속할 수 있는 신뢰할 만한 사이트를 지정하여 접속하여 사용할 수 있다면 안전성을 높일 수 있을 것입니다.

5. 안전이 검증된 소프트웨어만을 설치해서 사용하세요
  P2P, 토렌트 등의 프로그램을 윈도우XP에서 사용하는 것은 위험할 수 있습니다.  불법소프트웨어에는 악성소프트웨어가 숨겨있는 경우도 많이 있으므로  안전성이 검증된 소프트웨어만을 설치해서 사용해야 합니다.

6.  존재하는 계정의 수를 줄이고 패스워드를 반드시 복잡하게 설정하세요
  윈도우XP PC내에 계정 수를 최소화하고 패스워드를 지정하되 3종류이상의 문자를 8자 이상으로 설정하거나 2종류 이상의 문자를 10자 이상으로 설정하여 사용하세요  (대문자,소문자,숫자,특수문자 등을 조합하여 사용)

최근 KB국민카드, NH농협카드, 롯데카드 등 카드3사 개인정보유출로 인한 2차 피해가 우려되고 있습니다.   맥신코리아의 한승범 대표는 “개인정보 유출 2차 피해에 따른 정부 대책에 전적으로 의존하지 말고, 개인이 적극적으로 나서야 한다”며 개인정보 유출 2차 피해 대책 7계명을 3일 발표했다고 합니다.  내용은 아래와 같습니다.

개인정보 유출 2차 피해 대책 7계명

1. 3개 카드사에 본인의 개인정보 유출 여부를 확인하다.

자신의 핵심 정보 유출 여부를 확인해야 구체적인 대처방안이 나온다.  3개 카드사를 사용하는 사람은 꼭 어떤 정보가 유출되었는지 꼭 확인해야 한다.

2. 개인정보 유출 3개 카드사의 카드 해제 후 재가입

이번에 유출된 개인정보 중 카드에 관련된 정보는 △결제계좌 △카드번호와 유효기간 △카드이용실적금액 △카드결제일 △카드신용한도금액 △카드신용등급 등 6개에 달한다. 이러한 정보는 카드를 해지하지 않고 바꿀 수 없으므로 번거롭더라도 해지하고 재발급 받는 것이 바람직하다.

3. 유출 정보 중 변경 가능한 개인정보는 바꾼다.

카드와 관련 없는 개인정보는 △이름 △주민번호 △이메일 △휴대·직장·자택전화번호 △직장·자택 주소 △결혼 여부 △자가용 보유 여부 △여권번호 등이다. 주민번호처럼 변경이 불가한 정보와 이름, 직장·자택 주소, 결혼 여부, 자가용 보유와 같이 변경에 어려움이 따르는 정보를 제외하고 이메일, 휴대·자택전화번호, 여권번호 등을 변경한다면 범죄자는 온라인에서 이외 자료를 수집·분석·가공하는데 어려움이 따를 것이다.

4. 온라인 검색을 통해 문제가 되는 자신의 계정과 개인정보를 삭제한다.

온라인에는 엄청난 양의 개인정보가 떠돌아다니고 있어 사생활이 노출될 위험이 높다. 주기적으로 포털 사이트에서 내 개인정보가 노출되는 게시물이 있는지 확인하고 이를 삭제해야 한다. 또 개인정보가 많이 노출돼 있는 포털 사이트나 SNS계정의 게시글과 계정은 삭제한 뒤 재가입하는 것이 낫다.

5. 핵심 정보가 담긴 주민번호 도용여부를 확인하라.

한국인터넷진흥원(KISA)의 주민번호클린센터(clean.kisa.or.kr)에서 무료로 자신의 주민번호 도용여부를 확인할 수 있다. 주민번호가 도용이 의심되거나 사용하지 않는 사이트의 계정은 삭제해야 한다.

6. 컴퓨터와 스마트폰에 백신프로그램을 설치하고 주기적으로 업데이트한다.

완벽한 백신프로그램은 존재하지 않는다. 하루에도 최대 50만개의 신·변종 악성코드가 우후죽순으로 생겨나고 있지만 이러한 악성코드 감염의 피해를 최소화하기 위해서는 주기적으로 백신프로그램을  업데이트하고 수상한 메일과 메시지는 클릭하지 않는 습관을 들여야 한다.

7. 국민카드, 농협카드, 롯데카드 카드사 고객정보유출 집단소송에 적극 참여하라.

이번 정보유출 과정과 가장 유사한 사건은 2008년 발생한 GS칼텍스 고객정보 유출 사건이다. 고객들은 “개인정보 유출로 피해를 봤다”며 손해배상 청구 소송을 냈지만 2012년 12월 대법원에서 패소가 확정됐다. 하지만 이번 대규모 정보유출 사건은 사안의 민감성 때문에 과거와는 다른 판결이 나올 수 있는 개연성이 높고, 금융당국과 카드사에게 경각심을 높이기 위해서도 고객들이 적극적인 소송을 제기해 다시는 이러한 황당한 고객정보 유출사태가 재발하지 말아야 한다.

  오늘 소피스트와 소크라테스의 이야기를 잠시 듣게 되었습니다.  소피스트는 고대 아테네의 융성기에 젊은이들을 돈을 받고 웅변술과 수사학을 가르친 전문가들이었습니다.   당시 아테네는 민주정치가 대두되었기 때문에  변론에 뛰어나면 정치적으로 출세할 수 있는 길이 열렸습니다.   소피스트들은 고객들에게 민주주의 사회에서 자신의 의견을 관철시킬 수 있는 설득의 기법을 가르친 것입니다.  자신의 지식적인 솔루션을 판매한 것입니다.  설득능력을 향상시킨다는 산출물에 집중했기 때문에  참된 지식에 접근한다기 보다는 궤변을 사용하더라도 논리적으로 설득만 하면 되는 결과를 낳게 되었습니다. 

   반면에 소크라테스는 소위 산파술이라고 불리는 귀납적인 대화법을 통해서 사람들을 가르쳤습니다. 소크라테스는 자신의 지식을 일방적으로 전수하는 것이 아니라 사람들에게 지속적인 질문을 던짐을 통해서  대화를 반복한 사람들이 결국 스스로 참된 지식과 방법을 깨닫도록 했습니다. 그래서 소크라테스의 이 같은 가르침은 산파와 같은 역할을 하는 것이기 때문에 ‘산파술’이라고 이야기하게 된 것이지요. 
 
사실 진짜 답은 고객이 가지고 있는 경우가 많은 것 같습니다. 일방적으로 자신의 지식을 설파하는 소피스트보다는 소크라테스같은 컨설턴트가 많았으면 좋겠습니다. 고객이 스스로 자신의 문제를 발견하고 해결하는 방법을 찾도록 돕는 산파술을 발휘해보면 어떨까요?

  제가 오늘 어떤 이야기를 들었느냐구요?  유투브동영상을 참고하세요