한 눈에 보는 PCI-DSS vs. ISO 27001

 뉴딜코리아 홈페이지

한 눈에 보는 PCI-DSS vs. ISO 27001

정보보호 표준과 관련하여 해당 분야에 근무하시는 분들로부터 ISO 27001과 PCI-DSS는 무슨 차이가 있으며 어떠한 유사점이 있는지 문의를 받을 때가 있습니다.

많은 정보보호 관련 표준들 중에서 유독 ISO 27001과 PCI-DSS는 그 범위와 국제적인 영향력 측면에서 특별한 관계가 있다고 볼 수 있습니다.

ISO 27001 은 전 세계적으로 알려진 국제표준으로, 정보보호경영시스템 구축을 위한 요구사항을 규정하고 있습니다.

이 표준은 어떤 유형의 조직이건 다 적용이 가능하며, 실행과 인증에 대해서는 의무사항이 아니므로 적용 여부에 대해서는 조직이 선택하여 진행할 수 있습니다.

PCI-DSS 는 신용카드 산업 분야의 데이터 보호를 위한 표준이며, 이 표준은 신용카드와 관련한 데이터를 프로세스, 저장, 전송과 연관된 기업들에게 적용이 됩니다.

해당 기업들에게는 PCI-DSS를 준수하는 것이 의무적이나 처리하는 카드 정보의 양에 따라 다른 요구사항과 의무사항이 적용 될 수 있습니다.



▣ PCI-DSS vs. ISO 27001

=============
* ISO 27001 *
=============

1. 주체 :
- ISO 표준화 기구
- ISO 27001:2013 Information Security Management System

2. 인증의 성격 :
- ISO 27001의 인증은 정보보호경영시스템이 구축되고 효과적으로 운영되고 있음을 객관적으로 확인할 수 있는 글로벌 정보보호 스탠다드 인증

3. 대상 :
- 인증을 취득하고자 하는 조직의 비즈니스, 규모에 상관없이 모든 조직에 적용이 가능한 글로벌 스탠다드
- ISO 27001은 조직의 정보보호 체계를 유지하고 성숙도를 높이기 위해 자발적인 인증을 하는 경우가 많으며, 고객사의 요구 또는 세일즈 마케팅의 일환으로 인증을 유지하는 경우도 상당수 있음

4. 요구사항 :
- 정보보호에 관련한 프로세스를 정의하고, 이에 대한 요건을 요구사항으로 명시
- ISO 27001은 일반적인 표준화된 프로세스(프로세스와 보안통제 요건 118개)를 명시하며, 세부 사항(예: 기술적 상세 요건, 주기, 증적의 형태 등)은 요구하고 있지 않으며, ISO 27001 요건에 따라 조직이 상세 사항을 결정하여 이행하고 이에 대한 효과성을 검증하도록 요구함

5. 심사 진행 방법 및 절차 :
- ISO 27001은 최초심사, 사후심사(6개월 또는 1년주기), 갱신심사(3년 주기)로 진행
- ISO 심사원에 의해 이해여부를 인터뷰 및 현장심사로 확인하고 인증서를 발행

6. 요건의 개정 주기
- ISO 27001의 개정은 8년(2700:2005 -> 27001:2013) 걸리며, 다양한 업계의 best practice 프로세스가 반영되고 있음 (ISO 27001:2013)


===========
* PCI DSS *
===========

1. 주체 :
- PCI SSC (최초설립 참여사: VISA, Master, JCB, AMEX, Discover 이후 Union Pay사등도 참여)
- Payment Card Industry Data Security Standard

2. 인증의 성격 :
- PCI는 카드데이터가 안전하게 관리되고 있음을 객관적으로 확인할 수 있는 카드 비즈니스의 글로벌 보안 스탠다드 증명

3. 대상 :
- 카드 발급사, 매입사, PG 또는 VAN 및 가맹점과 서비스 프로바이드(카드데이터의 처리, 저장, 운영의 위탁서비스를 제공하는 회사)만을 대상으로 함
- PCI 의 경우에는 대부분이 이해관계자의 요구(예: 카드 브랜드사, 카드발급사, 매입은행 등)에 의해 의무적으로 받아야 하는 경우가 다수

4. 요구사항 :
- 카드데이터(PAN, Track Data, PIN 등)의 보호를 위해 특정 영역에 대한 기술적 요구사항을 명시
- PCI DSS는 세부요건(400여개로 구성되어 있으며 예: 기술적 상세 요건, 주기, 증적의 구성을 명시)에 대하여 적용하고, 이행하는 것을 요구함

5. 심사 진행 방법 및 절차 :
- PCI DSS는 매년 On site audit을 통해 심사가 진행 (최초, 사후, 갱신 형태의 심사가 아님)되며 심사원은 이를 테스트, 관찰, 검증을 통하여 적합 여부를 확인하고 준수 증명서를 발행
- PCI DSS는 모든 요건에 대한 준수가 완료되어 있어야만 Full compliant가 될 수 있으며, 현재 이행되지 않고 계획만 가지고 있는 건에 대해서는 인정해주지 않음 (이 경우에는 Partial 또는 Not compliant가 됨)

6. 요건의 개정 주기
- PCI DSS는 minor 1년, major 3년 주기로 개정되고 있으며, 최신의 보안 기술, 취약점 등에 대한 대응 요건이 반영되어 지속적으로 업데이트되고 있음 (현재 버전  PCI DSS v3.2)

<참고>
http://bsiblog.co.kr/archives/community/%ED%95%9C-%EB%88%88%EC%97%90-%EB%B3%B4%EB%8A%94-pci-dss-vs-iso-27001

ISMS 인증컨설팅|취약점 진단 및 모의 침투|보안솔루션 공급
(070-7867-3721, ismsbok@gmail.com )

 

이메일주소 사칭한 스팸 메일 차단기술

 뉴딜코리아 홈페이지 

이메일주소 사칭한 스팸 메일 차단기술

▶ 이메일 발신서버 진위여부 확인 국제표준 기술 적용으로 스팸 감소 기대

이메일 스팸 감축 및 정책 자료 수집을 위해 지난 6월(2017년) 약 108만개 국가도메인(.kr 및 .한국) 중 도메인네임서버(DNS)에 메일서버를 운영하는 약 46만개 도메인을 대상으로 이메일 발신서버 진위여부 확인 국제표준 기술인 SPF(Sender Policy Framework)의 적용여부를 조사한 결과, 약 30만개에 해당하는 66%가 SPF를 적용중이라고 밝혔다.
 
※ IETF 국제표준 : RFC 7208(Sender Policy Framework(SPF) for Authorizing Use of Domains in Email)

  SPF는 발신 메일서버의 IP주소를 도메인네임서버(DNS)에 등록하여 정당한 메일서버임을 확인, 수신 메일에서 확인된 발신 메일서버의 IP주소와 일치하는 경우 정상 처리하고, 일치하지 않을 경우 차단하는 대표적인 이메일 스팸 차단 기술이다.

이런 이유로 KISA는 수신측 메일서버 뿐만 아니라 발신측 도메인네임서버(DNS)에 모두 SPF를 적용해야 이메일 주소를 사칭한 스팸메일을 자동 차단할 수 있다고 설명한다.

최근 유명 소셜마케팅사업자의 이메일 주소 사칭으로 성인스팸이 발송된 사례도 수신측 메일서버에 SPF 검증 및 차단 기능이 설정되지 않아 다수의 수신자에 정상 메일인 것처럼 전달된 것으로 확인됐다.

  KISA는 이런 이메일 주소 사칭 스팸을 차단하기 위해 이메일 서비스를 제공하는 국내 주요 포털사업자 및 스팸메일 차단솔루션 사업자, 이메일 호스팅 사업자 등에게 SPF 적용 여부를 확인하여 차단하거나 스팸메일함에 보내는 기능을 기본 적용할 수 있도록 안내할 예정이다.

- 또한, 국내 주요 도메인 등록대행 사업자에게 도메인 등록 시 SPF를 기본 적용할 수 있도록 요청하고, 국내 도메인 뿐만 아니라 국내에서 사용하는 국제 도메인(.com, .net 등)에 대해서도 SPF 적용률을 조사하는 등 SPF 적용 확대 정책을 추진할 예정이다.

  스팸메일이 악성코드 감염, 개인정보 유출 및 금전 피해를 유발할 수 있는 만큼 수·발신측 메일서버 양측에서 모두 SPF를 적용하여 이메일 주소를 사칭한 스팸메일을 자동차단하는 것이 필요(.. 뉴딜코리아 컨설팅사업부..)

SPF에 대한 자세한 내용과 적용 방법은 불법스팸대응센터 홈페이지(https://spam.kisa.or.kr/white/sub1_2.do)에서 확인할 수 있다.

뉴딜코리아 솔루션사업부 (070-7867-3721, ismsbok@gmail.com)

VLAN( Virtual LAN, 가상랜 )

 뉴딜코리아 홈페이지

가상랜 (Virtual LAN)

1. VLAN 용어
 
ㅇ VLAN 장비              ☞ L2 스위치
     - 브로드캐스트 도메인을 분할할 수 있는 장비

  ㅇ 브로드캐스트 도메인
     - 브로드캐스트성 프레임이 영향 주는 영역

  ㅇ 이더넷프레임의 VLAN 태깅방식  ☞ 802.1Q, ISL

  ㅇ 스위치 간 연결 링크    ☞ VLAN 트렁크
     - 여러 VLAN을 함께 실어나르는 점대점 링크

  ㅇ VLAN 간 통신 연결      ☞ 라우터(또는, 3계층 스위치)
     - VLAN 간의(Inter-VLAN) 트래픽은 라우터에 의해 전달 가능
        . 하나의 VLAN 내에 있는 모든 단말들을 같은 IP 서브넷을 공유

  ㅇ 스위치의 VLAN 설정관리 ☞ GVRP, VTP
     - 스위치 간에 VLAN 정보를 주고받는 프로토콜

  ㅇ Native VLAN 
     - 802.1Q 기능이 없는 장비를 위해 사용 (하위 호환성 지원)
        . 명시적으로 어떤 태그도 하지않는 VLAN을 말함
           .. VLAN 트렁크를 인식 못하는 스위치를 위함
     - 처리 방식 : 태그가 없는 프레임으로 전달되어 처리됨
     - 디폴트 값 : VLAN 1 <= (네이티브 VLAN ID)

  ㅇ 서브 인터페이스 (Sub Interface)
     - 하나의 물리 인터페이스를 여러 논리 인터페이스로 구분함으로써,
       그 각각을 다른 네트워크(즉, 다른 VLAN)로 나누어 사용하려는 것
     - 한편, 프레임 릴레이에서도 논리 인터페이스로써 서브 인터페이스를 구분 사용 가능


2. VLAN

  ㅇ 2계층(데이터링크 계층) 상에서 논리적이고 유연한 망(網)을 구성할 수 있는 가상 LAN
     - 물리적인 배선 구성에 제한을 받지 않음
        . 네트워크내 구성 단말의 추가,삭제,변경 용이
        . 물리적으로 떨어져있는 노드들을 그룹 단위로 묶을 수 있음
     - 라우터 없이 스위치에서도 브로드캐스트 도메인을 분할할 수 있는 방법
        . 단, VLAN 간에 통신을 하려면 라우터가 필요함


3. VLAN 특징

  ㅇ 더 작은 LAN으로 세분화시켜 과부하 감소 가능
     - 효율적으로 대역폭 활용, Load Balancing 효과, 브로드캐스트 제어
     - 여러 다양한 트래픽을 용도에 따라 나눌 수 있음

  ㅇ 보안성 및 안정성 강화
     - 임의 세그먼트로의 접속을 제한할 수 있음
     - 문제 발생요소의 확산을 방지하고 고립시킴

  ㅇ 네트워크 구성변경에 유연함
     - 하나의 물리적 세그먼트를 다수의 논리적 세그먼트로 분리 운용 가능
        . 즉, 특정 노드의 다른 세그먼트로의 이동 시 물리적 변경 대신에 소프트웨어적으
          로 간단히 재배치 가능
        . 부서별, 용도별, 그룹별로 VLAN을 각각 구분 가능
     - VLAN은 LAN을 크게 확장시킴
        . 마치 여러 개의 LAN으로 보이도록 분할시키는 유연성을 줌
     - 여러 개의 LAN 스위치 장비에 걸쳐 VLAN 구현
        . 스위치로 구성된 네트워크에서 사용하는 주요 기술

4. VLAN 구분

  ㅇ 멤버쉽(Membership) 구분 방식
     - 물리적인 포트에 의한(Port-based) VLAN
        . 1계층 물리계층에서 포트 단위로 단말의 멤버쉽 구분 관리
     - MAC 주소에 의한 VLAN
        . 2계층 데이타링크계층의 MAC 주소에 의해 단말의 멤버쉽 구분 관리
     - IP 주소에 의한 VLAN
        . 3계층 망계층의 IP 주소에 의해 단말의 멤버쉽 구분 관리
           .. 하나의 스위치 상에서도 여러 논리적 IP 서브 네트워크 구분 가능
     - 프로토콜에 의한 VLAN (Protocol based VLAN)
        . 1~3계층 모두 사용. 프로토콜 종류 뿐만 아니라, MAC 주소나 포트번호 모두 사용

  ㅇ 브로드캐스트 도메인 구분 방식
     - 각 VLAN은 통상적으로 Broadcast Domain 별로 설정됨
        .  하나의 VLAN = 하나의 논리적인 브로드캐스트 도메인 = 하나의 논리적 네트워크
                       = IP 서브넷(Subnet) = 하나의 VLAN ID

  ㅇ 스위치 포트 구분
     - 엑세스 포트(Accsee Port) : 일반 단말이 사용하는 포트
     - 트렁크 포트(Trunk Port)  : VLAN 트렁크를 위한 포트
        . 802.1Q 트렁크 포트
        . ISL 트렁크 포트

  ㅇ VLAN 할당 방식
     - 정적 VLAN
        . VLAN 할당을 관리자가 각 스위치에서 직접 할당
           .. 스위치 각 포트들을 원하는 VLAN으로 직접 설정하게됨
     - 동적 VLAN
        . VLAN 할당이 동적으로 자동화 이루어짐
           . 이동장비 MAC 주소 등을 보고 관리서버로부터 VLAN이 할당되어 자동으로 설정됨


5. VLAN 트렁크


ㅇ 하나의 물리적 연결로써 스위치 간 프레임 전달을 공유


[별첨]


1). Broadcast Domain
  ㅇ LAN 상에서 어떤 단말이 브로드캐스트 패킷을 송출할 때,  이 패킷에 대해
     `네트워크에서 영향 받는 영역` 또는 `그 패킷을 수신할 수 있는 단말들의 집합`
  ※ [참고] ☞ 충돌 도메인

2). 브로드캐스트 도메인 분할 단위
  ㅇ 하나의 VLAN = 하나의 논리적인 브로드캐스트 도메인
     - 여러 물리적인 세그먼트에 걸쳐 설정될 수 있음

3). 브로드캐스트 도메인을 분할 할 수 있는 장비

  ㅇ VLAN 구현 장비
     - 각각 독립적인 브로드캐스트 도메인들을 여러 개 세분화하거나 합칠 수 있지만,
     - 브로드캐스트 도메인 간 연결성을 줄 수 없음
  ㅇ 라우터 (또는, Layer 3 스위치)
     - 브로드캐스트 도메인의 세분화 및 상호간 연결성을 줄 수 있음

  ※ 결국, VLAN 구현 스위치 및 라우터의 적절한 배치로써,
     - 적정 규모의 데이터 네트워크 설계 구축 가능

4). 브로드캐스트 도메인의 적정한 제한 설정 필요
  ㅇ 브로드캐스트는 부작용(브로드캐스트 스톰, 망 대역폭 낭비, 보안성 약화 등)을 최소화
     하기 위해 적절히 제한되어야 함
     - 즉, VLAN의 적절한 설정이 중요함
        . 대략 전체 트래픽에서 브로드캐스트 트래픽이 10% 정도로,
        . 브로드캐스트 도메인 크기를 가지도록 데이터 네트워크 설계 필요

행정·공공기관 웹사이트 구축·운영 가이드 (2017 개정)

 뉴딜코리아 홈페이지

웹사이트 발주자‧관리자를 위한

행정·공공기관 웹사이트 구축·운영 가이드

▣ 개 요

1.1 작성 배경 및 목적

○ 행정기관 및 공공기관(이하 ‘행정기관 등’이라 한다)에서 웹사이트 개발 및 운영에 있어 준수하여야 할 다양한 기준과 가이드라인들이 있으나, 해당 기준 및 가이드라인이 다양하고 분산되어 있어 현업 실무 담당자들이 활용하기 어려움

○ 이에, 행정기관 등의 웹사이트 업무담당자에게 웹 사이트의 구축·운영부터 폐기까지 준수 또는 참고해야 할 사항을 종합적으로 제공하여 효율적인 웹사이트 구축·운영 업무를 지원 하는데 있음

1.2 적용범위

○ 본 가이드는 행정기관 등에서 대국민 서비스를 목적으로 구축‧운영하는 웹사이트를 대상으로 함


1.3 가이드의 성격

○ 본 가이드는 행정기관 등에서 웹사이트를 기획하거나 구축‧운영할 때에 전반적으로 준수하거나 참고할 내용 등을 포괄적으로 정리한 종합 지침서의 성격임

※ 본 가이드의 내용 중에는 관련 지침, 규정, 표준에 따라 웹사이트 구축 시 반드시 이행해야 하는 준수사항과 각종 가이드라인의 권고 내용을 제공하고 있으며, 활용기관에서는 최신의 정확한 기준을 확인하고 이해하여 준수 또는 활용 여부를 결정하여야 함

○ 본 가이드는 웹사이트 관련 각종 지침‧규정‧표준 등을 분석하여 재정리한 것으로 내용의 변경이나 상충부분이 있을 경우 최신의 기준에 따르는 것을 원칙으로 함

※ 본 가이드에서 기술한 법령·지침·규정·표준 등은 수시로 재·개정될 수 있으므로 해당 법령·지침·규정·표준 등의 재 개정 여부를 반드시 확인하시기 바랍니다.
   - 또한,「정부조직법」등에 따라 해당 법령 지침 규정 표준 가이드 매뉴얼에 대한 소관 기관이 변경될 경우 그에 따름


1.4 가이드 구성

○ 본 가이드는 웹사이트 생애주기 단계별로 주체별로 필요한 행정절차에 따라 적용해야 하는 활동별 준수 및 고려사항 등을 포함하여 구성

▶ 추가 상세내용은 첨부파일을 참고하세요 !