정책과 절차

정책과 절차는 보안을 조직 내 암묵지에서 반복 가능하고 강제할 수 있는 관행으로 바꿉니다. 정책과 절차는 기대되는 행동을 정의하고 책임을 할당하며 감사인이 요구하는 증적을 제공합니다.

문서로 남기지 않으면 일관되게 시행하거나 입증할 수 없습니다.

보안 문서는 계층 구조로 구성됩니다.

• 정책: 높은 수준의 의도와 규칙(무엇을, 왜 하는지)입니다.
• 표준: 구체적으로 반드시 충족해야 하는 요구 사항입니다.
• 절차: 단계별 수행 방법입니다.
• 지침: 권장되는 모범 사례(선택 사항)입니다.

두 개념의 차이를 명확히 유지해야 합니다.

• 정책은 규칙을 명시합니다. 비밀번호는 12자 이상이어야 합니다.
• 절차는 방법을 설명합니다. 자격 증명 공급자에서 비밀번호 정책을 설정하는 정확한 단계가 그 예입니다.

정책은 안정적이지만 절차는 도구가 바뀌면 변경됩니다.

대부분의 보안 프로그램에는 다음이 포함됩니다.

• 허용된 사용 정책
• 접근 통제 / 신원 정책
• 데이터 분류 및 취급
• 사고 대응 정책
• 업무 연속성 / 재해 복구

AUP는 사용자가 회사 시스템과 데이터를 사용하여 해도 되는 일과 해서는 안 되는 일을 정의합니다. 전자우편, 인터넷, 기기 및 위반 시 처벌을 다루며, 일반적으로 입사 절차에서 내용을 확인했다는 동의를 받습니다.

접근 통제 정책은 최소 권한 원칙과 검토 주기를 공식화합니다.

• 접근 권한을 요청하고 승인받는 방법
• 역할 정의와 직무 분리
• 접근 권한을 검토하고 취소하는 주기(예: 퇴사 처리 시)

이 정책은 조직이 보안 사고를 탐지하고 보고하며 처리하는 방법을 정의합니다. 역할, 에스컬레이션 경로 및 의사소통 규칙을 명시하므로 위기 상황에서 즉흥적으로 대응하지 않고 계획에 따라 대응할 수 있습니다.

모든 정책에는 정책을 최신 상태로 유지할 책임을 지는 소유자와 명확하게 할당된 책임이 필요합니다. 소유자가 없으면 문서는 점점 오래되어 권위를 잃습니다.

• 소유자는 문서를 승인하고 유지 관리합니다.
• 이해관계자는 문서를 구현하고 준수합니다.

문서는 공식적으로 승인하고 버전을 관리해야 합니다.

• 작성자, 승인자, 승인 날짜 및 버전 번호를 기록합니다.
• 감사인이 변경 이력을 확인할 수 있도록 변경 사항을 추적합니다.
• 일반적으로 매년 검토 주기를 설정합니다.

아무도 읽지 않는 정책은 가치가 없습니다. 문서를 배포하고 직원을 교육하며 확인 동의를 수집해야 합니다. 인식 제고 활동은 문서로 작성된 규칙을 실제 행동으로 바꾸고 시행 사실을 입증하는 증적을 제공합니다.

정책에는 실효성이 있어야 합니다. 위반 시 처벌을 정의하고 가능한 경우 기술적 통제로 뒷받침해야 합니다(예: 문서에만 비밀번호 표준을 적어 두지 말고 자격 증명 공급자에서 해당 표준을 강제함). 일관된 시행이 정책의 신뢰성을 유지합니다.

문서화는 보안을 반복 가능하고 입증 가능한 것으로 만듭니다.

• 정책, 표준, 절차, 지침의 계층 구조를 사용합니다.
• 정책은 규칙을 명시하고 절차는 단계를 제시합니다.
• 소유자를 지정하고 승인, 버전 관리 및 정기 검토를 수행합니다.
• 문서가 실제로 작동하도록 의사소통하고 교육하며 시행합니다.