보안컨설팅과 보안 컨설턴트의 역량

2020-07-05
#보안컨설팅#정보보안

  • Risk vs Issue

    • risk는 예상(잠재)
    • issue는 현재 일어난 것
  • Methodology(방법론) : Method + Knowledge
  • DDD(Domain Driven Design) : 도메인 주도 설계

  • 보안 컨설턴트의 요구 역량

    • 경영진의 마인드, 경영의 흐름 읽기
    • 보안 기술적인 측면
    • 문제점과 현 상황 판단 능력, 분석력
    • 문서 작성 능력
    • PT(presentation) 능력

    • 기밀 유지를 위한 '윤리의식'

      • 보안 컨설턴트는 사내 민감 정보를 많이 파악하게 된다.
    • 커뮤니케이션 능력
    • 보안 공격에 대한 방어 능력
    • 융합보안 트렌드 이해
    • 자기 감정 조절 능력
  • People + Process + Technology 를 통한 보안 컨설팅

  • 마스킹 : 법률상 필수는 아니나 권고 사항이므로 불이익을 피하기 위해 대부분 기업들은 이름, 전화번호, 이메일 등을 마스킹함

    • 마스킹 시 데이터의 특징을 분석해야 함
  • 경영진은 숫자로 이야기하고 대안을 제시하는 직원을 원한다.

  • 인증

    • ISO 27001 : 국제 비즈니스 시 필요
    • ISMS : 국내 기업 대상, ISO 27001 인증 받으면 수수료 감면됨
    • ISMS-P : 개인정보보호 관리체계가 포함됨

  • 벌금, 과태료, 과징금의 차이

    • 벌금은 사법상의 형벌(경미할 경우 과료)
    • 과태료는 행정상의 처분
    • 과징금은 행정상 처분이나 부당 이익의 환수조치 측면

  • 취약점, 위협, 위험의 차이

    • 취약점은 고장난 문
    • 위협은 도둑
    • 위험은 손실된 자산