13주차

정보보호 교육 계획 수립 정보보호 교육 계획 보고 정보보호 교육 준비 정보보호 교육 수행 교육을 평가하여 개선 대책을 수립

집체교육 : 정해진 시기에 정해진 장소에서 교육을 수행 온라인교육 : 인터넷을 통하여 동영상 교육 수행 실습교육 : 현장에서 업무 기반으로 보안 교육을 수행

관리체계 기반 마련 : 자원할당, 조직구성 위험관리 : 정보자산 식별, 위험평가 관리체계 운영 : 보호대책 구현, 보호대책 공유 관리체계 점검 및 개선 : 관리체계 점검, 관리체계 개선

인적 보안 : 직무분리, 보안서약 물리 보안 : 보호구역 지정, 출입통제 암호화 적용 : 암호정책 적용, 암호키 관리 접근통제 : 네트워크 접근, 정보시스템 접근

GET, POST 이외의 다른 HTTP 메소드를 지원하는 경우, 악의적인 공격자가 임의의 파일을 업로드 하거나 삭제 가능

적시성의 원칙 : 이행 점검이 종료된 후 가급적 신속하게 결과를 정리하여 보고 정확성의 원칙 : 확인되지 않은 결과를 추정하여 보고서를 작성하는 것을 금지 간결성의 원칙 : 이행점검결과를 간결한 형식으로 요약하고, 보고 받는 사람이나 보고서를 참고하는 사람이 이해하기 쉬운방법으로 작성

서비스 거부 공격 : 시스템에 과도한 부하를 유발해 성능을 저하시키거나 정상적인 서비스를 차단하는 행위 복합 구성 공격 : 악성 코드 공격, 서비스 거부 공격, 비인가 접근 공격 등의 요소를 복합적으로 이용하는 공격유형

메일 : 사전에 수집된 이메일 주소로 메일을 발송 전화 : 사전에 수집된 전화번호로 통보 팩스 : 사전에 수집된 팩스번호로 통보

서비스 거부 공격 유형 판단 및 추적 차단 사고 통보

물리적 보안구역 : 출입 이력관리 / 출입일시, 방법과 범위 등 문서화 관리적 보안구역 : 시스템 접근 권한 관리 / 시스템 접근 권한 정의 및 개별부여 기술적 보안구역 : 출력물 유출 관리 / 비공개 자료 출력시 출력자, 출력자IP, 출력 일시 등을 기록