NCS)물리 보안 운영

물리 보안 운영

 물리 보안은 관리적 보안, 기술적 보안 영역과 같은 3대 보안 관리 영역중 하나로, 물리적인 자산에 대한 접근, 파괴, 탈취등 물리적 수단에 의해 이루어지는 침해로 부터 보호한다. 이때, 보안의 안정적인 운영을 위해서는 조직의 보안 규정을 바탕으로 물리 보안 요구사항을 파악해야 한다.

 

• 보호 구역에 따른 출입 통제 설정
  • 제한구역 : 방문자의 출입통제가 요구되는 회사의 모든 사무구역
    •  비인가자의 출입 통제
      
      • 좌물쇠, 카드키, 감시카메라, 출입 카드(직원 카드증), 스피드 게이트
  • 통제구역 : 제한구역 중 정보보호를 위하여 특별한 통제가 요구되는 구역 
    
    • 제한 구역 출입 통제와 다른 방식으로 비인가자의 출입 통제
      • 출입 대장(출입 기록 관리), 물품검색, 감시카메라, 출입 카드

 

• 물리보안 경계선에 따른 물리보안대책
  • 외부/외곽
    • 내용 : 영상감시,침입경보 , 개방화, 위장, 은폐
    • 사용 물품 : CCTV , IP 카메라
  • 건물입구
    • 내용 : 인원/물품/자산 출입통제, 검색
    • 사용 물품 :  스피드게이트 , 물품검색대 
  • 건물내부 
    • 내용 : 일반통제, 구역별통제 , 등급별 , 개인별 통제
    • 사용 물품 :  출입 통제(카드 키), 출입 대장

 

  그리고 물리 보안을 정상적으로 실행시키기 위해서는 조직의 물리 보안 요구 사항을 파악한 내용을 기반으로 보호 대상이 위치한 건물의 물리적 구조와 운영중인 물리적 보안 솔루션 상황을 파악해야 한다. 

 

• 물리적 구조및 솔루션 현황 파악
  • 운영중인 물리적 구조현황 파악
    • 보호 구역 분류에 따른 물리적인 구조 현황 파악
    • 물리적인 구조 현황에 따른 출입 동선 파악
  • 운영중인 솔루션 현황 파악
    • 보호 구역 분류에 따른 물리 보안 솔루션 현황 파악
    • 물리 보안 솔루션의 운영 관리 현황 파악

 현재 운영중인 물리적 구조 상태와 솔루션 상태가 파악 완료되었다면, 계획을 수립하고, 계획에 따라 물리 보안 솔루션을 운영해야 한다.  그리고 솔루션이 정상적으로 수행되는지 확인해야 하며, 탐지된 침해시도나 위험에 대응해야 한다.

 

• 물리보안 솔루션 운영
  • 물리 보안 솔루션 운영 계획을 수립
    • 물리 보안 솔루션 운영 계획과 예산안 수립
    • 물리 보안 솔루션 운영 계획 확정
  • 물리 보안 솔루션을 운영  
    • 물리 보안 솔루션을 활용하여 물리 보안 활동 수행
    • 물리 보안 솔루션과 물리 보안의 운영을 관리

 

물리 보안 솔루션 개선

 물리 보안 솔루션을 운영하다보면 솔루션에 대한 장애나 문제가 발생하게 된다. 그래서 장애나 문제를 수집 및 분석, 관리함으로써, 물리 보안 솔루션의 개선 방향을 수립한다.

 

• 물리보안 솔루션의 문제점 분석  
  
  • 물리 보안 솔루션의 문제점 수집
    1. 물리 보안 솔루션의 문제점 취합
    2. 문제점을 유형별로 구분
  • 물리 보안 솔루션의 문제점 분석
    1. 물리 보안 솔루션의 문제점 유형별로 현황 분석
    2. 물리 보안 솔루션의 문제점 유형별로 생겨나는 손실 분석

 

• 물리 보안 솔루션의 문제점 개선 방안 수립
  • 물리보안 솔루션의 문제의 주요 원인을 도출 
    1. 주요 문제 유형별로 주요 원인을 도출
    2. 도출된 문제 원인에 대한 시사점 정리
  • 문제점의 주요 원인에 대한 개선방안 수립
    1. 원인 유형별로 개선안 도출 
       • 조직 
         • 통제 구역 인원 출입 통제 강화 (ID 카드 상시패용, 임직원 교육강화)
         • 임직원 보안 검색 수행 (X-ray, 금속탐지 게이트 설치 및 운영)
       • 절차
         • 출입이력 및 반 출입 관리 시스템 구축
         • 임직원 보안검색수행 (X-ray, 금속탐지 게이트 설치 및 운영)
         • 따라들어가기 차단용 스피드 게이트 설치
       • 기술
         • 출입이력 및 반/출입 관리시스템 구축
         • 임직원 보안검색 수행 (X-ray, 금속탐지 게이트 설치 및 운영)
         • 건물 외관 감시용 CCTV 설치
         • 따라들어가기 차단용 스피드 게이트 설치
    2. 개선안을 평가하여 실행 우선순위 결정
    3. 관리자에게 개선안을 보고 및 승인 요청

 이렇게 수립된 물리 보안 솔루션의 개선한 방안은 실제로 실효성이 있는지 판단하기 위해서 검증에 대한 계획을 수립하고 수행해야 한다. 이때, 개선 방안의 검증은 실험 계획법을 이용한다. 

 

• 실험 계획법
  • 원인과 결과의 관게들을 효과적이고 효율적으로 파악하기 위한 방법
    • 실행 절차
      • 목적, 계획, 변수, error 수집
      • 주요 요인 발견및 특성 파악 (스크리닝)
      • 최적의 조건을 검색 (최적화)
      • 최적의 공정조건 수준 조합 (적용)

 물리 보안 솔루션의 개선안은 문제점 분석과 개선안 도출 및 검증의 결과를 바탕으로 체계적으로 실행되어야 하며, Pilot를 통해 잠재적인 위험성을 최소화 해야 한다. Pilot란 제한된 범위 내에서 개선안의 일부를 시험적으로 실행하는 활동으로, 다음과 같은 이득을 얻을 수 있다.

 

• Pilot 수행 목적
  • 이해도 향상
  • 잠재 위험의 최소화

 물리 보안 솔루션을 운영하는 경우 환경의 영향을 받기 때문에 환경을 검토하고 보완, 개선해야 한다. 즉, 운영 환경을 검토하고  계획을 수립해서 물리 보안 솔루션을 운영해야 한다.  

 

• 물리적 보안 솔루션 운영 환경 검토 대상
  • 자연감시 : 본사,지사,지점,데이터 센터 등 건물중심 자연감시 설계 적용가능여부
  • 접근통제 : 건물 및 소유 부지등에 대한 자연적 접근유도, 기계적/인적 접근 통제 적용 가능 여부
  • 영역성 강화 : 건물 , 부지등에 영역성 강화를 위한 적정한 표지판 울타리 공원 조성등 적용 가능여부
  • 활동의 활성화 : 건물 부지 활용 방안 적용에 의한 개방된 환경에서 시민들에 의한 자연 감시 적용가능여부
  • 유지관리 : 황폐화되거나 버려진듯한 인상을 주는 건물/부지/장소에 대하여 적절한 정비 및 유지 관리 추진 여부

 

물리 보안 신규 위협 대응

 물리 보안을 운영하게 되면 항상 새로운 위협에 노출이 된다. 그래서 신규 보안 위협에 대해서 분석함으로써 위협에 대해서 대응을 해야 한다. 

	뜻	예시
위협	손실이나 손상이 될수 있는 외부요인 ( 아직 일어나지 않은 상황, 가능성 )	뜨거운 물건
위험	위협에 의해서 일어날수 있는 피해가능성 (일어났던 사례 및 리스크 )	뜨거운 물건을 만질 경우, 화상을 입는다.
취약성	위험에 의해 발생하는 자산의 손실, 약점	화상을 입으면 업무수행이 불가능

 

• 위협 대응 절차
  • 위협 분석
    • 통제 가능 유무에 따른 위협 목록화
    • 보호 대상 자산 가치 결정
    • 침입 위협 요소 식별
    • 보호 수준 결정
    • 보호 전략 수립 
      • 원천 봉쇄 → 외곽 펜스, 담, 접근로 폐쇄, 출입 통제
      • 부분 통제 → 모니터링, 위치 추적
      • 자연 통제 → 오픈 공간, CPTED
  • 위협 탐지
    • 전자 보안 시스템 활용 (침입 탐지, 경보, 출입 관리)
    • 경비
  • 위협 차단

 

 만약 보안 위협으로 인해 시스템에 침해 사고가 발생하게 되면, 업무 영향과 경제적 손실이 막대한 경우가 대부분이다. 그래서 영향을 받은 시스템을 복구하고, 침해사고 대응 절차에 따라 침해 사고에 대응해야 한다.

 

• 보안위협 영향 시스템 복구
  • 보안위협으로 영향 받은 시스템 파악 
    
  • 물리보안 솔루션 상태 판단 
    
  • 물리보안 솔루션 복구 

 

• 침해사고 대응절차 
  
  1. 사고 전 준비 : 사고가 발생하기 전 침해 사고 대응팀 구성 및 조직적인 대응 준비
     
  2. 사고탐지 : 이상 징후 탐지 및 관리자에 의한 침해사고 식별
  3. 초기대응 : 초기 조사 수행, 사고 정황 기록, 사고 대응침 신고및 소집, 침해사고 관련 부서 통보
     
  4. 대응전략 체계화 : 전략 결정 후, 관리자 승인 획득, 소송 여부 결정, 수사기관 공조 여부 판단
  5. 사고조사 : 데이터수집,분석
     
  6. 보고서 작성 : 회사나 조직이 결정한 문서 작성 방식에 따라 사고에 대한 보고서 작성
     • 보고서 목차
       • 위협 시나리오 : 침해사고의 발생 경황
       • 취약 원인 : 침해사고가 발생시키는 위협 요소
       • 위협 영향 : 위협으로 인해 발생한 위험 요소 (손해 요소)
         
       • 조치내용 : 침해사고에 대한 조치 방식
         
       • 재발방지대책 : 침해사고의 재발에 대한 예방 대책 

침해 사고 대응 조직(CERT)
정보보호위원회	정보보호 관련 최고 의사 결정 기구 역할
정보 보호 전담 조직	회사 전체 내 정보 보호 활동 및 보안 취약성 점검 기능을 수행
정보 보호 실무 협의체	정보 보호 전담 조직과의 대응 창구로서 각 부서 및 팀 내 정보 보호 활동 주관