꿈을달려라.

전주리뷰

보안 제품 평가방법보안 아키텍처를 활용한 보안 제품 평가방법에 대하여 학습.

보안 아키텍처보안 아키텍처의 종류 및 각각의 특징에 대하여 학습.

컴퓨터 아키텍처와 일반적 아키텍처보안의 대상이 되는 컴퓨터와 비즈니스의 아키텍처에 대하여 학습.

보안 구조와 설계보안 아키텍처의 구성요소와 필요성에 대하여 학습.

보안읽어주는남자

BCP&DRP

Securityplus Union Academy

학습개요

오늘은비즈니스 연속성 계획 과

재난 복구 에 대하여 설명합니다.

학습목표

BCP의 정의, 프로세스를 설명할 수 있다.

비즈니스 연속성 계획 프로세스를 상세하게 살펴봅니다.

BIA와 DRP의 프로세스를 설명할 수 있다.

사업 영향 평가와 재난 복구 계획을 살펴봅니다.

목차 1. BCP&DRP 개요

2. BCP 프로세스

3. 비즈니스 영향분석

4. 전략 개발 단계

5. 데이터 복구와 회복

1. BCP&DRP 개요

BCP와 DRP는 무엇일까?비즈니스 연속성 계획과 재난 복구 계획에 대해 살펴봅니다.

보안의기본원칙

1. BCP&DRP 개요 (1/4)

보안

기밀성

무결성 가용성

노출

훼손 중단

비즈니스연속성계획

비즈니스연속성계획의구성

1. BCP&DRP 개요 (2/4)

재난복구계획

비즈니스 영향평가

사고대응계획

위험분석

통합된 의사소통 계획

재난복구계획

1. BCP&DRP 개요 (3/4)

재해 복구- 재해로 인해 중단된 정보 기술 서비스를 재개하는 것

재해 복구 계획- 정보 기술 서비스의 빠른 복구를 통해 업무 영향을 최소화하기 위한 제반 계획

재해 복구 시스템- 재해복구계획의 원활한 수행을 지원하기 위하여 평상시에 확보해 두는 인적, 물적 자원 및 관리체계

위험분석및관리

위험대응방법

1. BCP&DRP 개요 (4/4)

자산가치식별

잠재적손실측정

위협분석

위험대응

1 2 3

45

전체손실예상액도출

BCP&DRP 개요 를

살펴보았습니다.

그럼이제부터,

BCP 프로세스 에

대해알아봅시다.

2. BCP 프로세스

BCP 프로세스와 BIA란 무엇일까요?비즈니스 연속성 계획의 프로세스를 살펴보겠습니다.

BCP 단계(NIST)

2. BCP 프로세스 (1/8)

NIST

BIA 수행

비상계획개발

비상계획정책수립

계획유지관리

예방통제식별

복구전략개발

테스트

훈련경험

BCP 단계(NIST)

2. BCP 프로세스 (2/8)

비상 계획 정책 수립

- BCP를 개발하는 데 필요한 지침을 제공

- 업무 수행에 필요한 역할에 권한을 위임하는 정책 작성

- 범위/목표/역할의 정의. 법률과 규정의 요구사항과

통합

- 경영진은 정책을 승인하고 지원

- BCP 개발 프로젝트를 공식화하며, 업무 환경 분석

실시

BCP 단계(NIST)

2. BCP 프로세스 (3/8)

BIA 평가

- 중요한 기능과 시스템, 리소스의 식별

- 리소스에 대한 최대 허용 중단 시간(MTD) 계산

- 중단 영향과 허용 가능한 정지 시간 기반으로 복구

우선순위 개발

- 위험과 취약점을 식별하고 위험을 계산

- 백업 솔루션을 식별

BCP 단계(NIST)

2. BCP 프로세스 (4/8)

예방 통제 식별

- 경제적인 방법으로 조직의 위험 수준을 줄일 수 있는

통제와 대책의 식별 및 구현

- 대책의 이행, 대책의 유지관리

- 예방통제는 비상계획에 문서화되고 관련된 인력은 언

제, 어떻게 그 대책을 사용해야 할지에 대한 훈련이 필

요하고 관련 대책은 항상 효과적 이도록 유지

BCP 단계(NIST)

2. BCP 프로세스 (5/8)

복구 전략 개발

- 시스템과 중대한 기능을 빠르게 온라인으로 복구되는

것을 보증하려는 방법 개발

- 복구 방법의 정의, 시스템 아키텍처와 통합

- 복구 전략은 IT 운영 및 연관된 서비스의 중지로부터

효과적으로 회복하려는 방법을 제시

BCP 단계(NIST)

2. BCP 프로세스 (6/8)

비상 계획 개발

- 재해 시 무능력한 상태에서 조직의 비즈니스 기능을 유

지할 수 있는 절차와 지침 작성

- 절차, 복구 솔루션 임무와 역할, 비상대응

- 비즈니스 과정, 시설물, 공급과 기술, 데이터 등

BCP 단계(NIST)

2. BCP 프로세스 (7/8)

테스트, 훈련

- 계획을 테스트, 계획의 개선, 직원 교육

- BCP 부족한 부분을 식별하기 위해 테스트하고 예정된

업무를 준비할 수 있도록 훈련

- 테스트 목표의 개발, 성공요소의 개발, 계획에 포함, 인

력의 훈련

BCP 단계(NIST)

2. BCP 프로세스 (8/8)

계획의 유지관리

- 변경 통제 프로세스에 통합

- 책임 부여/할당/계획 업데이트

- 계획의 검토 및 업데이트, 내/외부 조직의 조화, 대책의

분배, 변경의 문서화

BCP 프로세스 에 대해 살펴보았습니다.

이제부터,

비즈니스 영향분석 에

대해알아보겠습니다.

3. 비즈니스 영향분석

비즈니스 영향분석은 무엇일까요?

업무 중단이 조직에 끼치는 영향에 대해 살펴보겠습니다.

비즈니스영향분석

3. 비즈니스영향분석 (1/8)

업무 영향 분석

- 중요 업무를 대상으로 핵심적인 조직, 업무, 자원을 도

출하고 비상 시, 우선적으로 복구 및 재개가 되어야 하

는 핵심업무를 선정

비즈니스영향분석프로세스(NIST)

3. 비즈니스영향분석 (2/8)

보고데이터수집

리소스식별

취약점식별

대상자선정

기능식별

MTD 산출

기능위험산정

비즈니스영향분석

3. 비즈니스영향분석 (3/8)

대상자 선정

- 데이터 수집을 위해 인터뷰할 대상 선정

데이터 수집

- 데이터 수집 기술을 생성

- 조사, 설문, 정성적/정량적 분석

비즈니스영향분석

3. 비즈니스영향분석 (4/8)

기능 식별

- 기업의 핵심 비즈니스 기능 식별 (우선순위 결정)

리소스 식별

- 비즈니스 기능별 IT 리소스 식별

상호의존

3. 비즈니스영향분석 (5/8)

MTD(최대 허용 중단 시간)

- 재해 중단 시 리소스 없이 업무 지속 가능 시간 산출

* 필수적이지 않음(30일) , 보통(7일) , 중요 (72시간)

* 긴급 (24시간) , 중대 (수분~수시간)

- 기업의 업무 기능, 자산은 모두 위 영역 중 하나로 분류

- 유지보수업체와 SLA 체결, 백업 솔루션 도입 시 사용

상호의존

3. 비즈니스영향분석 (6/8)

취약점 식별

- 핵심 비즈니스 기능의 취약점과 위협 식별

* 재해 발생 가능성

* 인위적, 자연적 또는 기술적 위협 식별

비즈니스영향분석

3. 비즈니스영향분석 (7/8)

기능 위험 산정

- 개별적 비즈니스 기능에 대한 위험 산정

보고

- 모든 사항을 문서화하고 경영진에게 제출

상호의존

3. 비즈니스영향분석 (8/8)

상호관계와 상호의존 업무의 식별

- 중요 업무를 대상으로 핵심적인 조직, 업무, 자원을 도

출하고 비상 시, 우선적으로 복구 및 재개가 되어야 하

는 핵심업무를 선정

비즈니스영향분석 에

대해 살펴보았습니다.

이제부터,

전략개발단계 에

대해알아보겠습니다.

4. 전략 개발단계

36

전략 개발 단계란 무엇일까요?

재난 발생 시 위협과 복구 방안 수립에 대해 살펴봅니다.

복구전략

4. 전략개발단계 (1/14)

복구 전략 과정의 업무

- 재난에 대응하여 구현되고 수행되어야 할 작업 분류

- 중요 복구 프로세스의 복구 시간 계산

- 시설물 보충 및 보완

- 개별 비즈니스 기능, 운영과 리소스에 대한 복구 시간

스케줄 식별

비즈니스프로세스복구

4. 전략개발단계 (2/14)

비즈니스 프로세스 복구의 업무

- BCP 팀의 기업의 가장 중요한 단계인 비즈니스 프로세

스에 대한 이해가 필요

- 각 프로세스에서 요구되는 역할과 자원을 포함하는 워

크플로우 문서 작성

- 가장 중요한 것은 MTD 산정과 분류에 따른 복구 절차

시설물복구

4. 전략개발단계 (3/14)

유 형 설 명 RTO 장점 단점

미러사이트

운영-운영실시간 동시 서비스

즉시데이터 최신성높은 안정성

신속한 업무재개

높은 초기투자비용높은 유지보수비용데이터 업데이트과부하 초래

핫사이트

운영-대기최신 상태 유지

수시간

데이터 최신성높은 안정성

신속한 업무재개높은 가용성

높은 초기투자비용높은 유지보수비용

웜사이트

중요성이 높은 정보기술 자원만 보유

수일구축 및 유지 비용이 핫사이트에 비해 저렴

데이터 다소 손실초기 복구 수준 부

분적

콜드사이트

데이터만 최소한으로 보관

수주구축 및 유지 비용 가장

저렴

데이터 손실 발생복구시간 김

복구 신뢰성 낮음

상호협정

유사 환경을 가진기업 간 계약

즉시대체 사이트 선택보다

저렴계약 이행 강제력

없음

공급과기술적복구

4. 전략개발단계 (4/14)

SLA(서비스수준협약) 작성시, 가용성계산

기 준 설 명

MTBF 평균 고장 간격 시간 = 평균 운영 시간 + 평균 수리 시간

MTTF 평균 운영 시간 = 총 운영 시간 / 총 고장 건수

MTTR 평균 수리 시간 = 총 수리 시간 / 총 고장 건수

Availability 가용성 = 평균 운영 시간 / 평균 고장 간격 시간

데이터복구

4. 전략개발단계 (5/14)

기 준 1 2 3 논리디스크 백업시간 복구시간

풀백업 A A+B A+B+C 1 느림 빠름

차등 백업 A B B+C 2 보통 보통

증분 백업 A B C 계속 증가 빠르다 느리다

A A A

B B

C

RAID

4. 전략개발단계 (6/14)

RAID의 목적

- Redundant Array of Independent(Inexpensive)

Disks

- 저용량, 저성능, 저가용성인 디스크를 어레이 구조로

중복으로 구성함으로써 고용량, 고성능, 고가용성 디스

크를 대체.

RAID

4. 전략개발단계 (7/14)

Striping

RAID

4. 전략개발단계 (8/14)

Mirroring

RAID

4. 전략개발단계 (9/14)

Hamming Code Parity

RAID

4. 전략개발단계 (10/14)

Byte Level Parity

RAID

4. 전략개발단계 (11/14)

Block level Parity

RAID

4. 전략개발단계 (12/14)

Interleave Parity

RAID

4. 전략개발단계 (13/14)

Double Parity Data

RAID

4. 전략개발단계 (14/14)

Striping + Mirroring

전략개발단계 에

대해 살펴보았습니다.

데이터복구와회복 에

대해 알아봅시다.

5. 데이터 복구와회복

53

복구와 회복 방법은 무엇이 있을까요?

긴급한 데이터의 복구와 회복 방법에 대해 살펴보겠습니다.

데이터복구관련용어

5. 데이터복구와회복 (1/4)

용 어 설 명

1차 사이트Original site : 재해 전에 사용하던 원래 사이트New Home site : 원래 사이트를 포기한 후 신규 구축한 1차 사이트

2차 사이트대체 사이트 : 1차 사이트의 기능을 대체하는 사이트중간 사이트 : 대체 사이트에서 1차 사이트로 가기 전, 경유 사이트

재배치/이관타 사이트로의 이동데이터와 모든 시스템에 대한 이동

복구 장애나 재해 후 영향을 받은 프로세스와 지원 기능을 정상화

재구축 원 사이트를 포기하고 새로운 1차 사이트를 구축

재구성 기능이 중단된 1차 사이트의 정상화

재개 백업 사이트에서의 핵심 기능의 복구와 업무의 재시작

회복 1차 사이트의 정상화와 재시작

데이터복구방법의개념

5. 데이터복구와회복 (1/4)

Primary Site

New Home Site

Secondary Site

Internet Site

재배치/이관

(핵심 IT 기능) 복구(핵심 Biz) 재개

회복재구축

재구성

BCP/DRP 테스트

5. 데이터복구와회복 (3/4)

테스트 종류

- 점검표 시험 : BCP의 복사본 배포

- 구조적 워크스루 : 각 부서 대표자 모여 계획 검토

- 모의시험 : 특정 시나리오 기반

- 병렬 시험 : 오프사이트 시설물에서 실제로 수행

- 완전 중단 테스트 : 위험도 높음

데이터복구와회복 에

대해 살펴보았습니다.

데이터 복구와 회복긴급한 데이터의 복구와 회복 방법에 대하여 학습.

전략 개발 단계식별된 재난 발생 시 위협과 복구 방안 수립에 대하여 학습.

비즈니스 영향 분석업무 중단이 조직에 끼치는 영향과 위험성에 대하여 학습.

BCP 프로세스비즈니스 연속성 계획의 정의와 프로세스에 대하여 학습.

최종요약

다음수업은

운영응용보안프로그램

보안