IT 위키 - 사용자 기여 [ko]

전략적 기업 경영

2022-05-19T00:41:28Z

Greeen: 61.108.30.235 (토론)의 28640판 편집을 되돌림

[[분류:정보처리기사]][[분류:경영 정보 시스템]]
;전략적 기업 경영
;Strategic Enterprise Management

= 개념 =
* 기업의 경영 정보를 보다 정확히 판단하여 경영진으로 하여금 가치 중심의 경영을 전사적으로 구현할 수 있게 해주는 일련의 통합 경영 관리 체계
** 기업의 각종 정보를 정확히 분석하고 파악하여 경영진이 가치 중심 경영을 전사적으로 구현할 수 있도록 지원하는 시스템
** 기업이 수립한 비전/목표/전략을 효과적으로 실행시키는데 기업의 자원을 집중시키는 경영전략

= SEM의 출현배경 =
* 기존 성과관리 체계는 가치 창조에 미흡
* 기존의 ERP의 가치중심 경영지원이 미약
* 경영자가 EIS의 정보에 신뢰를 하지 못함
* 경영의 효율성을 위한 전략적 정보의 부재

= SEM의 특징 =
* VBM, ABM, BSC로 구성
* 기업의 경영자원을 효율적으로 이용
* 위험의 최소화
* 투자의사결정을 빠르게 함
* 전략추진 항목을 통해 가치중심의 경영이 가능하도록 함

= SEM의 구성요소 =
{| class="wikitable"
|-
! 구성!! 설명 !! 기대효과
|-
| [[VBM]]
||
* 가치 중심 경영
* 기업의 가치에 중점을 두어 의사결정의 주요 요소로 반영하는 경영 기법
||
* 현금유동성과 자본 효율성 제고
* 수익성 위주의 가치중심경영
|-
| [[ABC/ABM]]
||
* 활동중심 원가관리
* 서비스, 프로세스등의 활동과 연계하여 원가를 산정하고 관리하는 경영기법
||
* 정확한 원가 기반 의사결정
* BSC와 연계되어 강력한 성과 평가
|-
| [[BSC]]
||
* 기업 성과 관리
* 기업 성과를 재무적 관점 뿐만 아니라 다양한 내재적 관점까지 고려하는 방법
||
* 경영관리 프로세스 향상
* 직원의식 및 행동의 변화
|}

= SEM의 구축절차 =
# '''내외부 정보수집''': ERP 및 외부시스템에서 가져온 다양한 정량, 정성적인 정보 취합
# '''[[KPI]] 결정''': 다양한 내외부 정보로부터 핵심실적 지표값 결정(Key Performance Indicators)
# '''[[BSC]] 생성''': KPI를 재무, 고객, 내부 프로세스, 학습과 성장 등 기업 전체 관점에서 균형 있는 BSC 생성
# '''시뮬레이션''': BSC를 근거로 대체 업무 시나리오를 시뮬레이션으로 진행하고 잠재적인 의사결정이 KPI에 미치는 영향 예측
# '''전략적 의사 결정''': 시뮬레이션 결과에 따라 기업가치를 증진 시킬 수 있는 전략적 의사결정 수행

= SEM의 발전방향 =
* ERP가 전제되어 있어 대기업 위주로 구축
* SEM의 기능을 확장하면서 좀더 통합성을 강화하는 솔루션으로 CPM(Corporate Performance Management)이 등장

랜섬웨어

2022-05-19T00:13:14Z

Greeen:

[[분류:보안]]
[[분류:보안 도구]]
[[분류:보안 공격]]
[[분류:정보보안기사]]

;ransomware
;사용자의 파일 및 시스템의 접근을 막고 이를 해제하는 대가로 금전을 요구하는 악성 소프트웨어

==어원==

*납치된 사람의 몸값을 뜻하는 Ransom과 Software의 합성어

==랜섬웨어 감염 경로==
'''홈페이지 방문'''

*(감염 경로) 랜섬웨어가 유포 중인 홈페이지 방문
*(원인) 운영체제 등 SW 취약점 존재<ref>홈페이지 방문 또는 이메일을 여는 것 만으로도 랜섬웨어가 감염된다는 것은 취약점이 존재하는 운영체제나 브라우저를 사용하고 있기 때문이다. 일부 아직 패치가 이루어지지 않은 제로데이 공격을 이용하는 경우도 있지만 대부분은 구현 운영체제&브라우저 환경에서 발생하므로 업데이트만 잘 해줘도 감염 위험을 크게 줄일 수 있다.</ref>

'''이메일·SNS 유포'''

*(감염 경로) 첨부파일 다운로드·링크 실행시 설치
*(원인) 이용자 부주의 등 보안인식 부족

'''APT(타깃형 공격)'''

*(감염 경로) 해커가 서버 침투 및 악성코드 설치
*(원인) 기업의 보안관리 수준 취약

==잠금 방식 분류==
===암호화 방식===

*대부분의 PC에서 이루어지는 방식
*사용자의 파일을 암호화하고 복호화에 대한 대가로 금전을 요구
*대칭키 암호화

===잠금 방식===

*주로 모바일 기기에 이용되는 방식
*모바일 기기의 패턴, PIN 잠금 기능 등을 활성화하고 잠금 해제에 대한 대가로 금전을 요구
*해커 입장에선 암복호화 방식보다 구현하기 용이

===그 외===

*IoT 해킹 사례로, 호텔 방문을 모두 잠근 뒤 해제에 대한 대가로 금전을 요구
*병원 등 중요시설의 가용성을 제한하고 해제를 대가로 금전을 요구하는 모든 사례 포함

==대응==
===예방===

*운영체제에 대한 최신 업데이트 적용
*정품 소프트웨어 사용
*백신 프로그램 실시간 감시 구동

===복구===

*금전을 지불하고 복구
**금전을 지불해도 복구키를 받지 못하거나, 복구키를 받아도 100% 복구가 되지 않는 경우가 있으므로 주의
*금전을 지불하지 않고 백신업체의 복구 툴을 이용하여 복구

===포기===

*금전을 지불할만큼 중요한 자료가 없다면 PC를 포맷하고 새로 설치

==주요 랜섬웨어==

*WannaCry
*CryptoLocker
*Reveton
*TorrentLocker
*Cryptowall

==동향==
'''2021년'''

*전세계 기준 ’21년 매주 약 950개(1~3월)의 기업이 랜섬웨어 피해, ’20년 같은 기간(1~3월)의 약 470개에 비해 102% 증가<ref>The New Ransomware Threat : Triple Extortion(check point, ’21.5월)</ref>
*미국에서 랜섬웨어 공격은 송유관‧육가공업체 등 기반시설과 국민 생활에 밀접한 분야가 목표가 되어 국가적 혼란 야기
**미국 송유관 회사는 6일간 美 동부지역 송유 중단, 휘발유 가격 7년 내 최고(5.7.)
**최대 육가공업체 ‘JBS SA’의 미국 자회사는 생산시설 일부가 3일간 운영 중단(5.30)
*우리나라도 피해가 증가(’20년 대비 64% 이상) 중이며, 최근 제조기업, 배달대행 플랫폼, 병원 등 다양한 분야에서 피해 발생
**자동차 부품 제조기업(5.2) → 배달대행 기업(5.15) → 의료기관(5.22) 등
**국내 기업이 경험한 침해사고 중 59.8%가 랜섬웨어(’20년 정보보호실태조사)
*랜섬웨어 공격은 조직화·지능화되고 있으며 지속 증가할 우려
**프로그래머가 랜섬웨어를 제작하여 범죄조직에 공급하고 수익을 공유하는 등 범죄형태가 분업화‧조직화([[서비스형 랜섬웨어]])
**신뢰가 있는 인물의 이메일 등을 활용한 [[사회공학적 기법]], [[APT|지속적인 취약점 탐색(APT)]] 등 공격은 갈수록 지능화

2020년

*‘20년 랜섬웨어 공격 중 64%가 서비스형 랜섬웨어이며, 랜섬웨어 개발자의 수요 증가로 몸값이 2배 이상 증가<ref>랜섬웨어 2020-2021 보고서(Group-IB), 2021.3월</ref>

==같이 보기==

*[[RaaS]]

==참고문헌 및 관련 보도==

*랜섬웨어 대응 강화방안('21.8.9, 관계부처 합동)
*[https://www.boannews.com/media/view.asp?idx=87584&kind= 구인 기업은 깜빡 속는다? 입사지원서 사칭 랜섬웨어 또 유포]
*[https://zdnet.co.kr/view/?no=20210329143253 랜섬웨어, 피해 기업 소비자도 협박한다]
*[https://biz.chosun.com/it-science/ict/2022/05/18/T2Y4T7DTBVCVTKRYWIGGABCW4M/?utm_source=naver&utm_medium=original&utm_campaign=biz “랜섬웨어 피해 기업 3곳 중 1곳, 대가 지불해도 데이터 복구 실패”]
*[http://www.delighti.co.kr/news/articleView.html?idxno=36131 랜섬웨어 대응 협의체 ‘KARA’, 사이버보안 ‘어벤저스’될까?]

==각주==
<references />

의료 마이데이터

2022-05-19T00:11:59Z

Greeen: 새 문서: * [https://www.etnews.com/20220518000216 2023년 의료 마이데이터…민간 빠진 '반쪽개통' 우려]

* [https://www.etnews.com/20220518000216 2023년 의료 마이데이터…민간 빠진 '반쪽개통' 우려]

KARA

2022-05-19T00:08:48Z

Greeen: 새 문서: Korea Anti-Ransomware Alliance KARA는 SK그룹의 보안 계열사 SK쉴더스의 주도로 7개사가 함께 발족한 랜섬웨어 대응 협의체이다. == 참여 기관 == SK...

Korea Anti-Ransomware Alliance

KARA는 SK그룹의 보안 계열사 SK쉴더스의 주도로 7개사가 함께 발족한 랜섬웨어 대응 협의체이다.

== 참여 기관 ==
SK쉴더스, 트렌드마이크로코리아, 지니언스, 맨디언트코리아, 베리타스코리아, 캐롯손해보험, 법무법인 화우 등 7개사

== 기능 및 역할 ==
'''동향 보고서 발간'''

* KARA는 참여사가 보유한 랜섬웨어 정보를 바탕으로 공격자 동향 정보나 주요 사고, 이슈 등 정보를 묶어 정기 동향 보고서를 발간할 예정

'''정보 교류'''

* 국가정보원(이하 국정원), 경찰 사이버안전국, 한국인터넷진흥원(KISA), 금융보안원 등 유관기관과 상시 정보공유체계를 구축하는 데 더해 글로벌 기업과의 교류 및 관련 협의체 참여 추진

== 관련 기사 ==

* [http://www.delighti.co.kr/news/articleView.html?idxno=36131 랜섬웨어 대응 협의체 ‘KARA’, 사이버보안 ‘어벤저스’될까?]

[[분류:보안]]
[[분류:조직/단체]]

랜섬웨어

2022-05-18T23:57:02Z

Greeen:

[[분류:보안]]
[[분류:보안 도구]]
[[분류:보안 공격]]
[[분류:정보보안기사]]

;ransomware
;사용자의 파일 및 시스템의 접근을 막고 이를 해제하는 대가로 금전을 요구하는 악성 소프트웨어

==어원==

*납치된 사람의 몸값을 뜻하는 Ransom과 Software의 합성어

==랜섬웨어 감염 경로==
'''홈페이지 방문'''

*(감염 경로) 랜섬웨어가 유포 중인 홈페이지 방문
*(원인) 운영체제 등 SW 취약점 존재<ref>홈페이지 방문 또는 이메일을 여는 것 만으로도 랜섬웨어가 감염된다는 것은 취약점이 존재하는 운영체제나 브라우저를 사용하고 있기 때문이다. 일부 아직 패치가 이루어지지 않은 제로데이 공격을 이용하는 경우도 있지만 대부분은 구현 운영체제&브라우저 환경에서 발생하므로 업데이트만 잘 해줘도 감염 위험을 크게 줄일 수 있다.</ref>

'''이메일·SNS 유포'''

*(감염 경로) 첨부파일 다운로드·링크 실행시 설치
*(원인) 이용자 부주의 등 보안인식 부족

'''APT(타깃형 공격)'''

*(감염 경로) 해커가 서버 침투 및 악성코드 설치
*(원인) 기업의 보안관리 수준 취약

==잠금 방식 분류==
===암호화 방식===

*대부분의 PC에서 이루어지는 방식
*사용자의 파일을 암호화하고 복호화에 대한 대가로 금전을 요구
*대칭키 암호화

===잠금 방식===

*주로 모바일 기기에 이용되는 방식
*모바일 기기의 패턴, PIN 잠금 기능 등을 활성화하고 잠금 해제에 대한 대가로 금전을 요구
*해커 입장에선 암복호화 방식보다 구현하기 용이

===그 외===

*IoT 해킹 사례로, 호텔 방문을 모두 잠근 뒤 해제에 대한 대가로 금전을 요구
*병원 등 중요시설의 가용성을 제한하고 해제를 대가로 금전을 요구하는 모든 사례 포함

==대응==
===예방===

*운영체제에 대한 최신 업데이트 적용
*정품 소프트웨어 사용
*백신 프로그램 실시간 감시 구동

===복구===

*금전을 지불하고 복구
**금전을 지불해도 복구키를 받지 못하거나, 복구키를 받아도 100% 복구가 되지 않는 경우가 있으므로 주의
*금전을 지불하지 않고 백신업체의 복구 툴을 이용하여 복구

===포기===

*금전을 지불할만큼 중요한 자료가 없다면 PC를 포맷하고 새로 설치

==주요 랜섬웨어==

*WannaCry
*CryptoLocker
*Reveton
*TorrentLocker
*Cryptowall

==동향==
'''2021년'''

*전세계 기준 ’21년 매주 약 950개(1~3월)의 기업이 랜섬웨어 피해, ’20년 같은 기간(1~3월)의 약 470개에 비해 102% 증가<ref>The New Ransomware Threat : Triple Extortion(check point, ’21.5월)</ref>
*미국에서 랜섬웨어 공격은 송유관‧육가공업체 등 기반시설과 국민 생활에 밀접한 분야가 목표가 되어 국가적 혼란 야기
**미국 송유관 회사는 6일간 美 동부지역 송유 중단, 휘발유 가격 7년 내 최고(5.7.)
**최대 육가공업체 ‘JBS SA’의 미국 자회사는 생산시설 일부가 3일간 운영 중단(5.30)
*우리나라도 피해가 증가(’20년 대비 64% 이상) 중이며, 최근 제조기업, 배달대행 플랫폼, 병원 등 다양한 분야에서 피해 발생
**자동차 부품 제조기업(5.2) → 배달대행 기업(5.15) → 의료기관(5.22) 등
**국내 기업이 경험한 침해사고 중 59.8%가 랜섬웨어(’20년 정보보호실태조사)
*랜섬웨어 공격은 조직화·지능화되고 있으며 지속 증가할 우려
**프로그래머가 랜섬웨어를 제작하여 범죄조직에 공급하고 수익을 공유하는 등 범죄형태가 분업화‧조직화([[서비스형 랜섬웨어]])
**신뢰가 있는 인물의 이메일 등을 활용한 [[사회공학적 기법]], [[APT|지속적인 취약점 탐색(APT)]] 등 공격은 갈수록 지능화

2020년

*‘20년 랜섬웨어 공격 중 64%가 서비스형 랜섬웨어이며, 랜섬웨어 개발자의 수요 증가로 몸값이 2배 이상 증가<ref>랜섬웨어 2020-2021 보고서(Group-IB), 2021.3월</ref>

== 같이 보기 ==
* [[RaaS]]
==참고문헌 및 관련 보도==

*랜섬웨어 대응 강화방안('21.8.9, 관계부처 합동)
*[https://www.boannews.com/media/view.asp?idx=87584&kind= 구인 기업은 깜빡 속는다? 입사지원서 사칭 랜섬웨어 또 유포]
*[https://zdnet.co.kr/view/?no=20210329143253 랜섬웨어, 피해 기업 소비자도 협박한다]

== 각주 ==
<references />

서비스형 랜섬웨어

2022-05-18T23:56:20Z

Greeen: RaaS 문서로 넘겨주기

#넘겨주기 [[RaaS]]<br />

서비스형 랜섬웨어

2022-05-18T23:56:01Z

Greeen: 새 문서: <br /> 분류:RaaS

<br />
[[분류:RaaS]]

JWT

2022-05-16T06:54:46Z

Greeen:

;JSON Web Token
;RFC 7519
;두 개체에서 JSON 객체를 사용하여 가볍고 자가수용적인 (self-contained) 방식으로 정보를 안전성 있게 전달하는 방식

==특징==

*'''호환성'''
**C, Java, Python, C++, R, C#, PHP, JavaScript, Ruby, Go, Swift 등 대부분의 주류 프로그래밍 언어에서 지원
*'''자가수용적(self-contained)'''
**JWT 는 필요한 모든 정보를 자체적으로 지님
**JWT는 토큰에 대한 기본정보, 전달 할 정보(페이로드), 전자서명
*'''쉽게 전달'''
**웹서버의 경우 HTTP의 헤더에 넣어서 전달 할 수도 있고, URL 의 파라미터로 전달 할 수도 있음

==구성==

;세 파트로 나뉘어지며, 각 파트는 점(.)에 의해 구분

ex) xxxxxxxxxxxx.yyyyyyyyyyyyyy.zzzzzzzzzzzzz

*'''Header''': 토큰의 타입과 해시 암호화 알고리즘으로 구성
**토큰 타입, 해시 알고리즘은 사전 정의된 규격이며, 그 외의 Key-Value는 추가 가능
*'''Payload''': claim 정보 포함. userId, expire, scope 등 자유롭게 구성 가능
*'''Signature''': secret key를 포함하여 암호화한 서명 정보

== 예시 ==
'''header 원본:''' <syntaxhighlight lang="json">
{
"alg": "HS256",
"typ": "JWT"
}
</syntaxhighlight>'''payload 원본:'''<syntaxhighlight>
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
</syntaxhighlight>'''서명을 추가하여 생성된 토큰'''

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

* Base64(header) = eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
* Base64(payload) = eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
* Base64(signature) = TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

== 절차 ==
[[파일:JWT 사용 절차.png|800x800픽셀]]

== 같이 보기 ==

* [[전자서명]]

== 관련 사이트 ==

* '''JOSE:''' http://jose.readthedocs.io/en/latest/
* '''JOSE''' '''Documents:''' https://datatracker.ietf.org/wg/jose/documents/
* '''AuthO:''' https://auth0.com/learn/json-web-tokens/
* '''JWT:''' https://jwt.io/

파일:JWT 사용 절차.png

2022-05-16T06:51:34Z

Greeen:

공식 이미지

JOSE

2022-05-16T06:47:38Z

Greeen: 새 문서: '''JSON Object Signining and Encryption''' '''JOSE는 JSON을 기반으로 전자서명 및 암호화를 통한 인증 기반 기술을 말한다. OAuth의 기반...

'''JSON Object Signining and Encryption'''

'''JOSE는 [[JSON]]을 기반으로 [[전자서명]] 및 [[암호|암호화]]를 통한 인증 기반 기술을 말한다. OAuth의 기반 기술로 활용된다.'''

== 종류 ==

* '''[[JWT]]''' (JSON Web Token) : JWS 또는 JWE에 따른 토큰
* '''[[JWS]]''' (JSON Web Signature) : 서버에서 인증을 증거로 인증 정보를 서버의 private key 로 서명한 것을 토큰화 한 것
* '''[[JWE]]''' (JSON Web Encryption) : 서버와 클라이언트 간 암호화된 데이터를 토큰화 한 것.
* '''[[JWK]]''' (JSON Web Key) : JWE 에서 payload encryption 에 쓰인 키를 토큰화 한 것.

클라우드 인증

2022-05-12T04:05:05Z

Greeen:

==클라우드 서비스제공자(CSP) 인증==

===국내===

*[[클라우드 보안인증제|'''클라우드 보안인증제(CSAP)''']]
*금융보안원 클라우드 안전성 평가

===해외 주요국===
{| class="wikitable"
| colspan="1" rowspan="1" |'''국가'''
| colspan="1" rowspan="1" |'''인증명'''
| colspan="1" rowspan="1" |'''인증기준'''
| colspan="1" rowspan="1" |'''인증기관'''
| colspan="1" rowspan="1" |'''평가가관'''
| colspan="1" rowspan="1" |'''비고'''
|-
| colspan="1" rowspan="1" |'''미국'''
| colspan="1" rowspan="1" |[[FedRAMP]]
| colspan="1" rowspan="1" |NST SP 800-53
| colspan="1" rowspan="1" |FedRAMP PMO

(운영사무국)
| colspan="1" rowspan="1" |공인기관

(총 38개 기관)
| colspan="1" rowspan="1" | -연방 정부에 도입되는 민간 클라우드 서비스

-국가 인정 공인기관에서

평가
|-
| colspan="1" rowspan="2" |'''일본'''
| colspan="1" rowspan="1" |JCISPA
| colspan="1" rowspan="1" |클라우드 정보보안 기준
| colspan="1" rowspan="1" |JASA

(일본 정보보안감사협회)
| colspan="1" rowspan="1" |JASA

(인증심사위원회)
| colspan="1" rowspan="1" | -퍼블릭 클라우드

서비스 대상

-민간 협회에서 운영
|-
| colspan="1" rowspan="1" |ASP, SaaS인증

Iaas, PaaS인증

데이터센터 인증
| colspan="1" rowspan="1" |클라우드서비스

안전성에 관한

정보공개지침
| colspan="1" rowspan="1" |ASPIC

(일본 ASP산업협회)
| colspan="1" rowspan="1" |ASPIC

(인증심사위원회)
| colspan="1" rowspan="1" | -국가에서 인정한 협회에서 수행
|-
| colspan="1" rowspan="1" |'''싱가포르'''
| colspan="1" rowspan="1" |MTCS-SS
| colspan="1" rowspan="1" |ISO/IEC 27001+자체 규정
| colspan="1" rowspan="1" |ITSC

(정보기술 표준위원회)
| colspan="1" rowspan="1" |공인기관

(총 7개 기관)
| colspan="1" rowspan="1" | -국가 인정 공인기관에서

평가
|-
| colspan="1" rowspan="1" |'''영국'''
| colspan="1" rowspan="1" |UK G-Cloud
| colspan="1" rowspan="1" |ISO/IEC 27001+자체 규정
| colspan="1" rowspan="1" |CESG

(국가정보 보증기술국)
| colspan="1" rowspan="1" | -
| colspan="1" rowspan="1" | -국가 인정 공인기관에서

평가
|-
| colspan="1" rowspan="1" |'''호주'''
| colspan="1" rowspan="1" |ASD CCSL
| colspan="1" rowspan="1" |ISO/IEC 27001+자체 규정
| colspan="1" rowspan="1" |ASD

(호주 신호국)
| colspan="1" rowspan="1" |IRAP

(인증심사위원회)
| colspan="1" rowspan="1" | -독립적 보안 등록 평가자가

수행한 종합적인 평가를

승인
|}

===글로벌===

*[[CSA STAR|'''CSA STAR''']]
**클라우드 보안협회 주도의 ISO 표준 기반의 인증 제도
**민간 클라우드 인증 중 국제적으로 가장 인정받고 있음

[[분류:인증/평가]]

CSAP

2022-05-12T04:03:32Z

Greeen: 클라우드 보안인증제 문서로 넘겨주기

#넘겨주기 [[클라우드 보안인증제]]

클라우드 인증

2022-05-12T01:41:15Z

Greeen: 새 문서: == 클라우드 서비스제공자(CSP) 인증 == === 국내 === * '''클라우드 보안인증제(CSAP)''' * 금융보안원 클라우드 안전성...

== 클라우드 서비스제공자(CSP) 인증 ==

=== 국내 ===

* [[클라우드 보안인증제|'''클라우드 보안인증제(CSAP)''']]
* 금융보안원 클라우드 안전성 평가

=== 해외 주요국 ===
{| class="wikitable"
| colspan="1" rowspan="1" |'''국가'''
| colspan="1" rowspan="1" |'''인증명'''
| colspan="1" rowspan="1" |'''인증기준'''
| colspan="1" rowspan="1" |'''인증기관'''
| colspan="1" rowspan="1" |'''평가가관'''
| colspan="1" rowspan="1" |'''비고'''
|-
| colspan="1" rowspan="1" |'''미국'''
| colspan="1" rowspan="1" |[[FedRAMP]]
| colspan="1" rowspan="1" |NST SP 800-53
| colspan="1" rowspan="1" |FedRAMP PMO

(운영사무국)
| colspan="1" rowspan="1" |공인기관

(총 38개 기관)
| colspan="1" rowspan="1" |-연방 정부에 도입되는 민간 클라우드 서비스

-국가 인정 공인기관에서

평가
|-
| colspan="1" rowspan="2" |'''일본'''
| colspan="1" rowspan="1" |JCISPA
| colspan="1" rowspan="1" |클라우드 정보보안 기준
| colspan="1" rowspan="1" |JASA

(일본 정보보안감사협회)
| colspan="1" rowspan="1" |JASA

(인증심사위원회)
| colspan="1" rowspan="1" |-퍼블릭 클라우드

서비스 대상

-민간 협회에서 운영
|-
| colspan="1" rowspan="1" |ASP, SaaS인증

Iaas, PaaS인증

데이터센터 인증
| colspan="1" rowspan="1" |클라우드서비스

안전성에 관한

정보공개지침
| colspan="1" rowspan="1" |ASPIC

(일본 ASP산업협회)
| colspan="1" rowspan="1" |ASPIC

(인증심사위원회)
| colspan="1" rowspan="1" |-국가에서 인정한 협회에서 수행
|-
| colspan="1" rowspan="1" |'''싱가포르'''
| colspan="1" rowspan="1" |MTCS-SS
| colspan="1" rowspan="1" |ISO/IEC 27001+자체 규정
| colspan="1" rowspan="1" |ITSC

(정보기술 표준위원회)
| colspan="1" rowspan="1" |공인기관

(총 7개 기관)
| colspan="1" rowspan="1" |-국가 인정 공인기관에서

평가
|-
| colspan="1" rowspan="1" |'''영국'''
| colspan="1" rowspan="1" |UK G-Cloud
| colspan="1" rowspan="1" |ISO/IEC 27001+자체 규정
| colspan="1" rowspan="1" |CESG

(국가정보 보증기술국)
| colspan="1" rowspan="1" |-
| colspan="1" rowspan="1" |-국가 인정 공인기관에서

평가
|-
| colspan="1" rowspan="1" |'''호주'''
| colspan="1" rowspan="1" |ASD CCSL
| colspan="1" rowspan="1" |ISO/IEC 27001+자체 규정
| colspan="1" rowspan="1" |ASD

(호주 신호국)
| colspan="1" rowspan="1" |IRAP

(인증심사위원회)
| colspan="1" rowspan="1" |-독립적 보안 등록 평가자가

수행한 종합적인 평가를

승인
|}

=== 글로벌 ===

* [[CSA STAR|'''CSA STAR''']]
** 클라우드 보안협회 주도의 ISO 표준 기반의 인증 제도
** 민간 클라우드 인증 중 국제적으로 가장 인정받고 있음

클라우드 보안인증제

2022-05-12T01:32:22Z

Greeen:

'''CSAP; Cloud Security Assurance Program'''

클라우드 서비스 제공자가 제공하는 서비스에 대해 『 클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률 』 제 23조 제2항에 따라 정보보호 기준의 준수여부 확인을 인증기관이 평가·인증하여 이용자들이 안심하고 클라우드 서비스를 이용할 수 있도록 지원하는 제도

===목적 및 필요성===

*공공기관에 안전성 및 신뢰성이 검증된 민간 클라우드 서비스 공급
*객관적이고 공정한 클라우드 서비스 보안인증을 실시하여 이용자의 보안 우려를 해소하고, 클라우드 서비스 경쟁력 확보

===추진근거===

*『클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률』 제5조에 의한 『제1차 클라우드 컴퓨팅 기본계획』(2015)의 클라우드 보안인증제 시행
*『클라우드 컴퓨팅 서비스 정보보호에 관한 기준 고시』 제7조에 따른 정보보호 기준의 준수여부 확인 (과학기술정보통신부 고시 제2017-7호)

===보안 평가·인증 체계===

*클라우드서비스 보안 평가·인증체계는 역할과 책임에 따라 정책기관, 평가/인증기관, 인증위원회, 기술자문기관, 신청기관, 이용자로 구분
*정책기관은 과학기술정보통신부, 평가/인증기관은 한국인터넷진흥원, 기술자문기관은 국가보안기술연구소에서 각각 역할 수행

[[파일:클라우드 보안인증제 평가 체계.jpg]]

===평가·인증 종류===
[[파일:클라우드 보안인증제 평가 인증 종류.PNG]]

*최초평가는 보안인증을 처음으로 취득할 때 진행하는 평가이며, 인증 취득기간 중 중요한 변경이 있을 경우 변경 사항에 대해 상시평가가 이루어 질 수 있음
**최초평가를 통해 인증을 취득하면, 5년(SaaS 간편등급은 3년)의 유효기간을 부여
*사후평가는 보안인증을 취득한 이후 지속적으로 클라우드서비스 보안 평가·인증 기준을 준수하고 있는지 확인하기 위한 평가이며, 인증 유효기간(3~5년) 안에 매년 시행
*갱신평가는 보안인증 유효기간(3~5년)이 만료되기 전에 클라우드서비스에 대한 인증의 연장을 원하는 경우에 실시하는 평가
**갱신평가를 통과하는 경우, 3~5년의 유효기간을 다시 부여

===평가·인증범위 기준===

*공공기관의 업무를 위하여 제공하는 클라우드서비스의 모든 서비스를 포함하여 설정
**클라우드 서비스 보안인증제는 클라우드컴퓨팅법 시행령 제3조 제1호(IaaS), 제3조 제2호(SaaS)의 서비스를 대상으로 시행
*해당 클라우드서비스에 포함되거나 관련 있는 자산(시스템, 설비, 시설 등), 조직, 지원서비스 등도 모두 포함하여 설정
**서비스 운영·관리를 위한 온·오프라인 자산 및 지원서비스
**안전성 및 신뢰성 확보를 위한 자산(정보보호시스템, 로그관리시스템 등)
*식별된 자산 및 조직에 대해서는 『클라우드컴퓨팅서비스 정보보호에 관한 기준 고시』의 관리적·물리적·기술적 보호조치 및 공공기관용 클라우드서비스 추가 보호조치를 준하여야 함

===인증기준===

*인증심사기준은 관리적·물리적·기술적 보호조치 및 공공기관용 추가 보호조치로 총 14개 부문

*IaaS는 117개, SaaS는 78개 통제항목의 준수 여부를 평가함

{| class="wikitable"
|+
! rowspan="2" |통제 분야
! rowspan="2" |통제 항목
! colspan="3" |통제항목 수
|-
!IaaS
표준
!SaaS
표준
!SaaS
간편
|-
| rowspan="2" |1. 정보보호 정책 및 조직
|1.1. 정보보호 정책
|3
|3
| -
|-
|1.2. 정보보호 조직
|2
|2
|2
|-
| rowspan="3" |2. 인적보안
|2.1. 내부인력 보안
|6
|4
|1
|-
|2.2. 외부인력 보안
|3
| -
| -
|-
|2.3. 정보보호 교육
|3
|1
|1
|-
| rowspan="3" |3. 자산관리
|3.1. 자산 식별 및 분류
|3
|1
| -
|-
|3.2. 자산 변경관리
|3
|1
| -
|-
|3.3. 위험관리
|4
|1
| -
|-
| rowspan="2" |4. 서비스 공급망 관리
|4.1. 공급망 관리정책
|2
|2
| -
|-
|4.2. 공급망 변경관리
|2
|1
| -
|-
| rowspan="3" |5. 침해사고 관리
|5.1. 침해사고 절차 및 체계
|3
|3
|1
|-
|5.2. 침해사고 대응
|2
|2
|1
|-
|5.3. 사후관리
|2
|2
| -
|-
| rowspan="2" |6. 서비스 연속성 관리
|6.1. 장애대응
|4
|4
|1
|-
|6.2. 서비스 가용성
|3
|2
|1
|-
| rowspan="2" |7. 준거성
|7.1. 법 및 정책 준수
|2
|1
|1
|-
|7.2. 보안 감사
|2
|2
| -
|-
| rowspan="2" |8. 물리적 보안
|8.1. 물리적 보호구역
|6
| -
| -
|-
|8.2. 정보처리 시설 및 장비보호
|6
| -
| -
|-
| rowspan="2" |9. 가상화 보안
|9.1. 가상화 인프라
|6
|2
|1
|-
|9.2. 가상 환경
|4
|4
| -
|-
| rowspan="3" |10. 접근통제
|10.1. 접근통제 정책
|2
|2
|1
|-
|10.2. 접근권한 관리
|3
|3
| -
|-
|10.3. 사용자 식별 및 인증
|5
|5
|4
|-
| colspan="2" |11. 네트워크 보안
|6
|5
|2
|-
| rowspan="3" |12. 데이터 보호 및 암호화
|12.1. 데이터 보호
|6
|6
|2
|-
|12.2. 매체 보안
|2
| -
| -
|-
|12.3. 암호화
|2
|2
|2
|-
| rowspan="4" |13. 시스템 개발 및 도입 보안
|13.1. 시스템 분석 및 설계
|5
|5
|1
|-
|13.2. 구현 및 시험
|4
|4
|1
|-
|13.3. 외주 개발 보안
|1
|1
| -
|-
|13..4. 시스템 도입 보안
|2
| -
| -
|-
| colspan="2" |14. 공공부문 추가 보안요구 사항
|8
|7
|7
|-
| colspan="2" |총계
|117
|78
|30
|}

===평가·인증 절차===
[[파일:클라우드 보안인증제 평가 인증 절차.PNG|700x700픽셀]]

*상기 절차는 최초평가를 기준으로 하였으며, 1년 단위로 실시하는 사후평가에서는 사전컨설팅 없이 평가단계로 넘어감
*주요 평가단계별 소요일수
**'''IaaS 표준등급(총28일)''' : 사전컨설팅 3일 → 서면/현장평가(5일)·취약점점검(10일) (동시진행) 10일 → 모의침투테스트 10일 → 이행점검 5일
**'''SaaS 표준등급(총25일)''' : 사전컨설팅 3일 → 서면/현장평가(5일)·취약점점검(7일) (동시진행) 7일 → 모의침투테스트 10일 → 이행점검 5일
**'''SaaS 간편등급(총17일)''' : 사전컨설팅 2일 → 서면/현장평가(5일)·취약점점검(5일) (동시진행) 5일 → 모의침투테스트 5일 → 이행점검 5일
**평가단계별 소요일수는 클라우드서비스 자산 규모에 따라 일부 변동 될 수 있음

===인증서 발급현황===

*2020년 '''3''' 건
*2019년 '''11''' 건
*2018년 '''3''' 건
*2017년 '''3''' 건
*2016년 '''1''' 건

==참고 문헌==

*[[한국인터넷진흥원]] [https://isms.kisa.or.kr/main/csap/issue/ 클라우드 보안인증제 웹사이트]

<br />
[[분류:클라우드]]
[[분류:보안]]
[[분류:인증/평가]]
[[분류:컴플라이언스]]

FedRAMP

2022-05-12T01:30:10Z

Greeen:

;Federal Risk and Authorization Management Program
== 인증 대상 ==
연방정부에 도입되는 클라우드 서비스

== 통제 항목 ==
17개 분야 325개 통제항목

* '''특징:''' 정보시스템에 대한 기능적 요구사항 점검
* '''참조 기준:''' NIST SP 800-53 Rev4

== 근거 ==
Cloud First Policy

== 인증 및 평가 기관 ==

* '''인증 기관:''' FedRAMP PMO (FedRAMP 운영사무국)
* '''평가 기관:''' 공인기관(약 40개)

[[분류:클라우드]]

FedRAMP

2022-05-12T01:04:04Z

Greeen: 새 문서: == 인증 대상 == 연방정부에 도입되는 클라우드 서비스 == 통제 항목 == 17개 분야 325개 통제항목 * '''특징:''' 정보시스템에 대한 기능적 요...

== 인증 대상 ==
연방정부에 도입되는 클라우드 서비스

== 통제 항목 ==
17개 분야 325개 통제항목

* '''특징:''' 정보시스템에 대한 기능적 요구사항 점검
* '''참조 기준:''' NIST SP 800-53 Rev4

== 근거 ==
Cloud First Policy

== 인증 및 평가 기관 ==

* '''인증 기관:''' FedRAMP PMO (FedRAMP 운영사무국)
* '''평가 기관:''' 공인기관(약 40개)

[[분류:클라우드]]