부록
정보보안기사 용어집
36개 절 교재 전체의 핵심 용어를 영역별로 압축 정리한 부록용 용어집입니다.
36개 절 교재 전체의 핵심 용어를 영역별로 압축 정리한 부록용 용어집입니다.
시스템보안
| 용어 | 한 줄 정의 | 관련 절 |
|---|---|---|
| 계정 관리 | 사용자 계정의 생성, 변경, 삭제, 잠금, 권한 부여를 통제하는 활동 | 2장 1절, 7장 1절, 8장 1절, 9장 1절, 9장 2절 |
| 불필요 계정 | 업무상 필요 없거나 퇴사자, 테스트, 기본 계정처럼 악용될 수 있는 계정 | 2장 1절, 7장 1절, 8장 1절, 9장 1절 |
| 공유 계정 | 여러 사용자가 함께 쓰는 계정으로 책임추적성을 약화시키는 계정 | 2장 1절, 7장 1절, 8장 1절, 9장 2절 |
| 책임추적성 | 누가 언제 어떤 행위를 했는지 로그 등으로 추적할 수 있는 성질 | 2장 1절, 2장 2절, 5장 4절, 7장 1절 |
| 패스워드 정책 | 길이, 복잡도, 재사용 제한, 실패 횟수 제한 등을 정한 인증 보안 기준 | 2장 1절, 7장 1절, 9장 1절 |
| MFA | 서로 다른 인증 요소를 2개 이상 사용해 인증 강도를 높이는 방식 | 2장 1절, 4장 4절, 5장 4절, 9장 1절 |
| 최소권한 원칙 | 사용자나 프로세스에 업무 수행에 필요한 최소 권한만 부여하는 원칙 | 2장 1절, 2장 2절, 4장 4절, 5장 4절, 7장 1절 |
| 파일 권한 | 파일의 읽기, 쓰기, 실행 권한을 소유자, 그룹, 기타 사용자별로 정한 설정 | 2장 2절, 7장 1절, 8장 1절, 9장 2절 |
| chmod 777 | 모든 사용자에게 읽기, 쓰기, 실행 권한을 부여하는 위험한 권한 설정 | 2장 2절, 7장 1절, 8장 1절, 9장 2절 |
| SetUID | 실행 파일을 실행할 때 파일 소유자의 권한으로 실행되게 하는 특수 권한 | 2장 2절, 7장 1절, 8장 1절, 9장 1절 |
| SetGID | 실행 파일을 실행할 때 파일 그룹의 권한으로 실행되게 하는 특수 권한 | 2장 2절, 7장 1절 |
| Sticky Bit | 디렉터리에서 파일 소유자만 자신의 파일을 삭제하게 제한하는 특수 권한 | 2장 2절, 7장 1절 |
| 로그 관리 | 로그를 수집, 보관, 분석, 보호해 사고 탐지와 원인 분석에 활용하는 활동 | 2장 2절, 6장 3절, 7장 1절, 7장 2절, 8장 1절 |
| 시간 동기화 | 여러 시스템의 로그 시간을 맞춰 사고 분석의 정확성을 높이는 조치 | 2장 2절, 6장 2절, 7장 1절, 9장 1절 |
| 로그 무결성 | 로그가 위변조되지 않았음을 보장하는 성질 | 2장 2절, 6장 2절, 7장 1절, 8장 1절 |
| 프로세스 | 운영체제에서 실행 중인 프로그램 | 2장 3절, 7장 1절, 8장 6절 |
| 서비스 | 백그라운드에서 지속적으로 기능을 제공하는 프로세스 | 2장 3절, 7장 1절 |
| 공격 표면 | 공격자가 접근하거나 악용할 수 있는 시스템의 노출 지점 | 2장 3절, 7장 1절, 9장 1절 |
| 시스템 하드닝 | 불필요한 계정, 서비스, 포트를 제거하고 보안 설정을 강화하는 작업 | 2장 3절, 7장 1절, 9장 1절, 9장 2절 |
| 패치 관리 | 알려진 취약점과 오류를 보완하기 위해 업데이트를 계획, 테스트, 적용하는 활동 | 2장 3절, 6장 3절, 7장 1절, 7장 2절, 9장 1절 |
| 롤백 계획 | 패치나 변경 실패 시 이전 정상 상태로 되돌리기 위한 계획 | 2장 3절, 6장 3절, 7장 2절, 9장 1절 |
| 백업 | 장애, 삭제, 랜섬웨어, 재해에 대비해 데이터 사본을 보관하는 활동 | 2장 3절, 6장 3절, 7장 1절, 7장 2절, 8장 1절 |
| 전체 백업 | 모든 데이터를 한 번에 백업하는 방식 | 2장 3절, 6장 3절, 7장 1절, 7장 2절 |
| 증분 백업 | 직전 백업 이후 변경된 데이터만 백업하는 방식 | 2장 3절, 6장 3절, 7장 1절, 7장 2절, 8장 1절 |
| 차등 백업 | 마지막 전체 백업 이후 변경된 데이터를 모두 백업하는 방식 | 2장 3절, 6장 3절, 7장 1절, 7장 2절, 8장 1절, 9장 2절 |
| 악성코드 | 시스템을 침해하거나 정보를 탈취하는 악의적 프로그램 또는 코드 | 2장 3절, 7장 1절, 8장 1절, 9장 1절 |
| 바이러스 | 정상 파일에 감염되어 실행될 때 확산되는 악성코드 | 2장 3절, 7장 1절, 8장 1절 |
| 웜 | 네트워크를 통해 스스로 전파되는 악성코드 | 2장 3절, 7장 1절, 8장 1절 |
| 트로이목마 | 정상 프로그램처럼 위장해 악성 행위를 수행하는 악성코드 | 2장 3절, 7장 1절, 8장 1절 |
| 랜섬웨어 | 파일을 암호화하거나 사용을 제한하고 금전을 요구하는 악성코드 | 2장 3절, 7장 1절, 8장 1절, 9장 1절 |
| 백도어 | 정상 인증 절차를 우회해 시스템에 접근하는 통로 | 2장 3절, 7장 1절 |
| 루트킷 | 침입 흔적과 악성 행위를 숨기는 악성 도구 | 2장 3절, 7장 1절 |
네트워크보안
| 용어 | 한 줄 정의 | 관련 절 |
|---|---|---|
| OSI 7계층 | 네트워크 통신 기능을 7개 계층으로 나눈 참조 모델 | 3장 1절, 7장 1절, 8장 1절, 9장 2절 |
| TCP/IP 4계층 | 인터넷 통신 구조를 네트워크 접근, 인터넷, 전송, 응용 계층으로 나눈 모델 | 3장 1절, 7장 1절 |
| IP 주소 | 네트워크에서 장비를 식별하고 라우팅하기 위한 논리 주소 | 1장 2절, 3장 1절, 7장 1절 |
| MAC 주소 | 같은 네트워크 안에서 장비를 식별하는 물리 주소 | 1장 2절, 3장 1절, 7장 1절 |
| 포트 번호 | 한 호스트 안에서 서비스나 프로세스를 구분하는 번호 | 1장 2절, 3장 1절, 7장 1절 |
| TCP | 연결 지향, 신뢰성, 순서 보장, 재전송을 제공하는 전송 계층 프로토콜 | 1장 2절, 3장 1절, 7장 1절, 8장 1절, 9장 2절 |
| UDP | 비연결 지향으로 빠르지만 신뢰성 보장은 약한 전송 계층 프로토콜 | 1장 2절, 3장 1절, 7장 1절, 8장 1절 |
| ARP | IP 주소를 MAC 주소로 변환하는 프로토콜 | 1장 2절, 3장 2절, 7장 1절 |
| ICMP | 오류 통지와 네트워크 상태 확인에 쓰이는 프로토콜 | 3장 2절, 3장 3절, 7장 1절 |
| DNS | 도메인 이름을 IP 주소로 변환하는 서비스 | 1장 2절, 3장 2절, 7장 1절 |
| FTP | 파일 전송 프로토콜로 평문 인증과 데이터 전송 위험이 있는 서비스 | 1장 2절, 3장 2절, 7장 1절 |
| SSH | 암호화된 원격 접속을 제공하는 프로토콜 | 1장 2절, 3장 2절, 7장 1절 |
| Telnet | 암호화 없이 원격 접속을 제공하는 위험한 프로토콜 | 1장 2절, 3장 2절, 7장 1절 |
| SMTP | 메일 송신에 사용되는 프로토콜 | 1장 2절, 3장 2절, 7장 1절 |
| 스니핑 | 네트워크 트래픽을 몰래 가로채 내용을 훔쳐보는 공격 | 3장 3절, 7장 1절, 8장 1절 |
| 스푸핑 | 출발지, 주소, 응답 등을 속여 다른 주체로 위장하는 공격 | 3장 3절, 3장 4절, 7장 1절 |
| ARP Spoofing | 거짓 ARP 응답으로 통신 경로를 공격자 쪽으로 유도하는 공격 | 3장 3절, 7장 1절, 8장 1절 |
| DNS Spoofing | 거짓 DNS 응답으로 사용자를 악성 사이트로 유도하는 공격 | 3장 3절, 7장 1절 |
| 세션 하이재킹 | 정상 사용자의 세션을 탈취해 인증된 사용자처럼 접근하는 공격 | 3장 4절, 4장 1절, 4장 4절, 7장 1절 |
| DoS | 하나의 공격원이 서비스를 마비시키기 위해 자원을 고갈시키는 공격 | 3장 4절, 7장 1절, 8장 1절 |
| DDoS | 여러 공격원이 동시에 대량 트래픽을 발생시켜 서비스를 마비시키는 공격 | 3장 4절, 7장 1절, 8장 1절, 9장 2절 |
| SYN Flooding | TCP 연결 절차의 반만 열린 연결을 대량 생성해 자원을 고갈시키는 공격 | 3장 4절, 7장 1절, 8장 1절 |
| Smurf Attack | ICMP와 브로드캐스트를 악용해 피해자에게 대량 응답을 보내는 공격 | 3장 4절, 7장 1절 |
| 방화벽 | 정책에 따라 네트워크 트래픽을 허용하거나 차단하는 보안 장비 | 3장 5절, 7장 1절, 8장 1절 |
| IDS | 침입 징후를 탐지하고 경고하는 보안 시스템 | 3장 5절, 7장 1절, 8장 1절 |
| IPS | 침입 징후를 탐지하고 차단까지 수행하는 보안 시스템 | 3장 5절, 7장 1절, 8장 1절 |
| WAF | 웹 요청과 응답을 분석해 웹 공격을 탐지, 차단하는 웹 방화벽 | 3장 5절, 4장 1절, 4장 2절, 4장 3절, 7장 1절 |
| VPN | 공중망에서 암호화된 터널을 만들어 안전한 통신을 제공하는 기술 | 3장 5절, 7장 1절 |
| NAC | 단말의 보안 상태와 권한을 확인해 네트워크 접속을 통제하는 기술 | 3장 5절, 7장 1절 |
| DMZ | 외부 공개 서버를 내부망과 분리해 배치하는 중간 보안 구간 | 3장 5절, 7장 1절 |
어플리케이션보안
| 용어 | 한 줄 정의 | 관련 절 |
|---|---|---|
| HTTP | 웹에서 클라이언트와 서버가 요청과 응답을 주고받는 응용 계층 프로토콜 | 1장 2절, 1장 3절, 4장 1절, 7장 1절, 8장 2절 |
| HTTPS | HTTP에 TLS 암호화를 적용해 기밀성과 무결성을 보호하는 통신 방식 | 1장 2절, 1장 3절, 4장 1절, 5장 3절, 7장 1절 |
| 무상태 | 서버가 이전 요청 상태를 자동으로 기억하지 않는 HTTP의 특성 | 4장 1절, 7장 1절, 8장 2절 |
| GET | 요청 데이터를 URL에 포함할 수 있어 민감정보 전송에 부적절한 HTTP 메서드 | 4장 1절, 7장 1절, 8장 2절 |
| POST | 요청 본문에 데이터를 담지만 HTTPS 없이는 암호화가 보장되지 않는 HTTP 메서드 | 4장 1절, 7장 1절, 8장 2절 |
| 쿠키 | 브라우저에 저장되어 상태 유지 등에 사용되는 작은 데이터 | 4장 1절, 4장 4절, 7장 1절, 8장 2절 |
| 세션 | 서버가 사용자 로그인 상태와 식별 정보를 관리하는 방식 | 4장 1절, 4장 4절, 7장 1절, 8장 2절 |
| HttpOnly | JavaScript의 쿠키 접근을 제한해 XSS로 인한 쿠키 탈취를 줄이는 속성 | 4장 1절, 4장 3절, 8장 2절 |
| Secure | HTTPS 연결에서만 쿠키가 전송되도록 하는 쿠키 속성 | 4장 1절, 8장 2절 |
| SameSite | 다른 사이트 요청에 쿠키 전송을 제한해 CSRF 위험을 줄이는 쿠키 속성 | 4장 1절, 4장 3절, 8장 2절 |
| SQL Injection | 입력값에 SQL 구문을 삽입해 DB 조회, 수정, 삭제, 인증 우회를 시도하는 공격 | 4장 2절, 7장 1절, 8장 2절, 9장 1절 |
| Prepared Statement | SQL 구조와 입력값을 분리해 SQL Injection을 방지하는 쿼리 방식 | 4장 2절, 7장 1절, 8장 2절, 9장 1절 |
| 입력값 검증 | 허용된 형식, 길이, 범위만 입력받도록 검사하는 보안 처리 | 4장 2절, 4장 3절, 4장 5절, 7장 1절 |
| XSS | 악성 스크립트를 웹 페이지에 삽입해 사용자의 브라우저에서 실행시키는 공격 | 4장 3절, 7장 1절, 8장 2절, 9장 1절 |
| Stored XSS | 악성 스크립트가 서버에 저장된 뒤 여러 사용자에게 실행되는 XSS | 4장 3절, 7장 1절 |
| Reflected XSS | 요청에 포함된 악성 스크립트가 응답에 반사되어 실행되는 XSS | 4장 3절, 7장 1절 |
| DOM XSS | 브라우저의 DOM 처리 과정에서 악성 스크립트가 실행되는 XSS | 4장 3절, 7장 1절 |
| 출력 인코딩 | HTML, JavaScript 등 문맥에 맞게 특수문자를 안전하게 변환하는 XSS 대응 | 4장 3절, 4장 5절, 7장 1절 |
| CSRF | 로그인된 사용자의 권한으로 원치 않는 요청을 보내게 만드는 공격 | 4장 3절, 7장 1절, 8장 2절, 9장 1절 |
| CSRF 토큰 | 정상 화면에서 발급한 예측 불가능한 값을 요청 검증에 사용하는 값 | 4장 3절, 7장 1절, 8장 2절 |
| 파일 업로드 취약점 | 악성 파일 업로드와 실행으로 서버 장악이나 정보 유출이 발생하는 취약점 | 4장 3절, 7장 1절, 8장 2절, 9장 1절 |
| 확장자 검증 | 허용된 파일 확장자만 업로드되도록 제한하는 파일 업로드 대응 | 4장 3절, 7장 1절 |
| MIME 검증 | 파일의 Content-Type이나 실제 파일 형식을 확인하는 업로드 검증 | 4장 3절, 7장 1절 |
| 인증 | 사용자가 누구인지 확인하는 절차 | 4장 4절, 5장 4절, 7장 1절, 8장 2절 |
| 인가 | 인증된 사용자가 특정 자원이나 기능에 접근할 권한이 있는지 확인하는 절차 | 4장 4절, 5장 4절, 7장 1절, 8장 2절 |
| IDOR | 객체 ID를 조작해 다른 사용자의 자원에 접근하는 접근통제 취약점 | 4장 4절, 7장 1절, 8장 2절 |
| JWT | JSON 형태의 클레임을 서명해 전달하는 토큰 기반 인증 수단 | 4장 4절, 8장 2절 |
| API 보안 | 인증, 인가, 입력값 검증, 속도 제한, 로깅으로 API를 보호하는 활동 | 4장 4절, 7장 1절, 8장 2절 |
| Rate Limiting | 일정 시간 동안 허용되는 요청 수를 제한해 남용을 줄이는 통제 | 4장 4절, 7장 1절 |
| 시큐어 코딩 | 설계와 개발 단계에서 보안 취약점을 예방하는 안전한 코딩 활동 | 4장 5절, 7장 1절, 8장 2절 |
| 오류 메시지 제한 | 시스템 내부 정보가 노출되지 않도록 오류 응답을 제한하는 대책 | 4장 2절, 4장 5절, 7장 1절 |
| 전자상거래 보안 | 결제, 인증, 개인정보, 거래 무결성을 보호하는 응용 보안 영역 | 4장 5절, 8장 2절 |
암호/접근통제
| 용어 | 한 줄 정의 | 관련 절 |
|---|---|---|
| 기밀성 | 허가받은 사람만 정보에 접근할 수 있게 하는 보안 속성 | 5장 1절, 7장 2절, 8장 2절 |
| 무결성 | 데이터가 허가 없이 위변조되지 않았음을 보장하는 보안 속성 | 5장 1절, 5장 3절, 7장 2절 |
| 인증 | 통신 주체나 사용자의 신원을 확인하는 보안 속성 또는 절차 | 5장 1절, 5장 3절, 5장 4절, 7장 2절 |
| 부인방지 | 행위자가 나중에 자신의 행위를 부인하지 못하게 하는 보안 속성 | 5장 1절, 5장 3절, 7장 2절 |
| 인코딩 | 데이터를 다른 표현 형식으로 바꾸는 것으로 보안 목적의 암호화가 아님 | 1장 3절, 5장 1절, 7장 2절 |
| 암호화 | 키를 사용해 평문을 암호문으로 변환해 기밀성을 보호하는 기술 | 1장 3절, 5장 1절, 5장 2절, 7장 2절 |
| 복호화 | 암호문을 키로 다시 평문으로 되돌리는 과정 | 5장 1절, 5장 2절, 7장 2절 |
| 해시 | 임의 길이 데이터를 고정 길이 값으로 바꾸는 일방향 함수 | 1장 3절, 5장 1절, 5장 3절, 7장 2절, 8장 2절 |
| 솔트 | 비밀번호 해시 전에 사용자별로 추가하는 임의 값 | 5장 1절, 5장 3절, 7장 2절, 9장 1절 |
| 레인보우 테이블 | 미리 계산한 해시값 목록으로 비밀번호를 추측하는 공격 도구 | 5장 1절, 5장 3절, 7장 2절 |
| 대칭키 암호 | 암호화와 복호화에 같은 비밀키를 사용하는 암호 방식 | 5장 2절, 7장 2절, 8장 2절 |
| 공개키 암호 | 공개키와 개인키 한 쌍을 사용하는 암호 방식 | 5장 2절, 5장 3절, 7장 2절, 8장 2절 |
| AES | 대표적인 대칭키 블록암호 알고리즘 | 5장 2절, 7장 2절 |
| RSA | 공개키 기반 암호, 키 교환, 전자서명에 활용되는 알고리즘 | 5장 2절, 5장 3절, 7장 2절 |
| ECC | 타원곡선 기반 공개키 암호로 짧은 키로 높은 보안성을 제공하는 방식 | 5장 2절, 7장 2절 |
| 블록암호 | 평문을 고정 크기 블록 단위로 처리하는 대칭키 암호 | 5장 2절, 7장 2절 |
| 스트림암호 | 키스트림과 평문을 비트 또는 바이트 단위로 결합하는 암호 | 5장 2절, 7장 2절 |
| ECB | 같은 평문 블록이 같은 암호문으로 변해 패턴이 노출되는 블록암호 모드 | 5장 2절, 7장 2절 |
| CBC | 이전 암호문 블록과 연쇄해 암호화하며 IV가 필요한 블록암호 모드 | 5장 2절, 7장 2절 |
| CTR | 카운터 기반 키스트림을 사용하며 nonce 재사용이 위험한 블록암호 모드 | 5장 2절, 7장 2절 |
| GCM | CTR 기반에 인증 기능을 더해 기밀성, 무결성, 인증을 제공하는 모드 | 5장 2절, 7장 2절 |
| MAC | 공유 비밀키로 메시지 무결성과 메시지 인증을 확인하는 값 | 5장 3절, 7장 2절, 8장 2절 |
| HMAC | 해시 함수와 비밀키를 결합한 메시지 인증 코드 | 5장 3절, 7장 2절 |
| 전자서명 | 개인키로 서명하고 공개키로 검증해 인증, 무결성, 부인방지를 제공하는 기술 | 5장 3절, 7장 2절, 8장 2절 |
| PKI | 공개키와 신원을 인증서로 연결하고 발급, 검증, 폐지를 관리하는 체계 | 5장 3절, 7장 2절 |
| 인증서 | 공개키와 신원 정보를 CA가 보증한 전자 문서 | 5장 3절, 7장 2절 |
| CA | 인증서를 발급하고 서명하며 폐지를 관리하는 인증기관 | 5장 3절, 7장 2절 |
| RA | 인증서 신청자의 신원을 확인하는 등록기관 | 5장 3절, 7장 2절 |
| CRL | 폐지된 인증서 목록 | 5장 3절, 7장 2절 |
| OCSP | 특정 인증서의 폐지 상태를 실시간으로 확인하는 프로토콜 | 5장 3절, 7장 2절 |
| 식별 | 사용자가 ID 등으로 자신이 누구인지 주장하는 단계 | 5장 4절, 7장 2절 |
| DAC | 객체 소유자가 접근 권한을 설정하는 임의적 접근통제 | 5장 4절, 7장 2절, 8장 2절 |
| MAC 접근통제 | 보안등급과 중앙 정책에 따라 접근을 강제로 통제하는 방식 | 5장 4절, 7장 2절, 8장 2절 |
| RBAC | 역할에 권한을 부여하고 사용자를 역할에 배정하는 접근통제 방식 | 5장 4절, 7장 2절, 8장 2절 |
| ABAC | 사용자, 자원, 행위, 환경 속성을 조합해 접근을 결정하는 방식 | 5장 4절, 7장 2절, 8장 2절 |
| Need-to-Know | 업무상 필요한 정보에만 접근하도록 제한하는 원칙 | 5장 4절, 7장 2절 |
| 직무분리 | 승인, 실행, 기록, 감사를 분리해 부정과 오류를 줄이는 통제 | 5장 4절, 5장 5절, 7장 2절 |
| SSO | 한 번의 인증으로 여러 시스템에 접근하는 인증 방식 | 5장 4절, 7장 2절 |
| Kerberos | KDC와 티켓을 사용하는 대칭키 기반 중앙 인증 프로토콜 | 5장 4절, 7장 2절 |
| FAR | 비인가 사용자를 정상 사용자로 잘못 허용하는 생체인증 오류율 | 5장 4절, 7장 2절 |
| FRR | 정상 사용자를 잘못 거부하는 생체인증 오류율 | 5장 4절, 7장 2절 |
| EER | FAR과 FRR이 같아지는 지점으로 생체인증 성능 비교에 사용되는 값 | 5장 4절, 7장 2절 |
| Bell-LaPadula | 기밀성 보호를 목표로 No Read Up, No Write Down을 적용하는 모델 | 5장 5절, 7장 2절, 8장 2절 |
| Biba | 무결성 보호를 목표로 No Read Down, No Write Up을 적용하는 모델 | 5장 5절, 7장 2절, 8장 2절 |
| Clark-Wilson | 상업적 무결성을 위해 잘 형성된 트랜잭션, 직무분리, 감사를 강조하는 모델 | 5장 5절, 7장 2절 |
| Chinese Wall | 이해상충 방지를 위해 과거 접근 이력에 따라 접근을 제한하는 모델 | 5장 5절, 7장 2절 |
관리/법규
| 용어 | 한 줄 정의 | 관련 절 |
|---|---|---|
| 자산 | 조직이 보호해야 할 가치 있는 정보, 시스템, 인력, 시설 등 | 5장 5절, 6장 1절, 7장 2절, 8장 3절 |
| 위협 | 자산에 피해를 줄 수 있는 원인이나 사건 | 5장 5절, 6장 2절, 7장 2절, 8장 3절 |
| 취약점 | 위협에 악용될 수 있는 약점 | 5장 5절, 6장 2절, 7장 2절, 8장 3절 |
| 위험 | 위협이 취약점을 악용해 자산에 피해를 줄 가능성과 영향 | 5장 5절, 6장 2절, 7장 2절, 8장 3절 |
| 보호대책 | 위험을 줄이기 위해 적용하는 관리적, 기술적, 물리적 조치 | 5장 5절, 6장 1절, 7장 2절 |
| 잔여위험 | 보호대책 적용 후에도 남아 있는 위험 | 5장 5절, 6장 2절, 7장 2절 |
| 정성적 위험분석 | 위험을 높음, 중간, 낮음 등 등급으로 평가하는 분석 방식 | 5장 5절, 6장 2절, 8장 3절 |
| 정량적 위험분석 | 손실액, 발생률 등 수치로 위험을 계산하는 분석 방식 | 5장 5절, 6장 2절, 8장 3절 |
| SLE | 단일 사고가 발생했을 때 예상되는 손실액 | 5장 5절, 6장 2절, 8장 3절 |
| ALE | 연간 예상 손실액으로 SLE와 ARO를 곱해 계산하는 값 | 5장 5절, 6장 2절, 8장 3절 |
| 위험 감소 | 보호대책 적용으로 위험 수준을 낮추는 처리 방법 | 5장 5절, 6장 2절, 7장 2절, 8장 3절 |
| 위험 회피 | 위험한 활동이나 서비스를 중단해 위험을 제거하는 처리 방법 | 5장 5절, 6장 2절, 7장 2절, 8장 3절 |
| 위험 전가 | 보험, 외주, 계약 등으로 위험 부담을 이전하는 처리 방법 | 5장 5절, 6장 2절, 7장 2절, 8장 3절 |
| 위험 수용 | 위험을 알고 책임자 승인 하에 받아들이는 처리 방법 | 5장 5절, 6장 2절, 7장 2절, 8장 3절 |
| 정보보호 관리체계 | 정책, 조직, 자산, 위험, 보호대책, 점검, 개선을 체계적으로 운영하는 체계 | 6장 1절, 7장 2절, 8장 3절 |
| ISMS-P | 정보보호 및 개인정보보호 관리체계 인증 제도 | 6장 1절, 6장 4절, 6장 5절, 7장 2절, 8장 3절 |
| 정보보호 정책 | 조직의 최상위 보안 원칙과 방향을 정한 문서 | 6장 1절, 7장 2절 |
| 정보보호 조직 | 보안 역할과 책임을 수행하기 위한 조직 체계 | 6장 1절, 7장 2절 |
| 자산관리 | 보호할 자산을 식별, 분류, 등급화하고 관리하는 활동 | 6장 1절, 7장 2절 |
| 보안교육 | 임직원의 보안 인식과 준수 수준을 높이는 활동 | 6장 1절, 7장 2절, 8장 3절 |
| 보안감사 | 정책 준수 여부와 통제 효과성을 점검하는 활동 | 6장 1절, 7장 2절 |
| 증적 관리 | 보안 활동 수행 사실을 입증할 기록을 보관하고 관리하는 활동 | 6장 1절, 7장 2절 |
| 인적보안 | 임직원과 외부자의 채용, 재직, 퇴직 단계에서 보안 위험을 관리하는 활동 | 6장 1절, 7장 2절 |
| 물리보안 | 출입통제, CCTV, 서버랙 잠금 등 물리적 접근을 통제하는 활동 | 6장 1절, 7장 2절 |
| 침해사고 대응 | 사고 준비, 탐지, 분석, 차단, 제거, 복구, 보고, 재발 방지 절차 | 6장 2절, 7장 2절, 8장 3절, 8장 6절 |
| 초동 조치 | 사고 초기에 피해 확산을 막기 위해 격리, 차단, 증거 보존을 수행하는 조치 | 6장 2절, 8장 3절, 8장 6절 |
| 증거 보존 | 원본 보존, 해시 검증, 이력 기록으로 증거의 신뢰성을 유지하는 활동 | 6장 2절, 7장 2절, 8장 3절, 8장 6절 |
| Chain of Custody | 증거의 수집, 보관, 이동, 분석 이력을 연속적으로 기록한 관리 체계 | 6장 2절, 7장 2절, 8장 3절 |
| 보안관제 | 로그와 이벤트를 모니터링해 위협을 탐지하고 대응하는 활동 | 6장 3절, 7장 2절, 8장 3절 |
| SIEM | 로그를 통합 수집, 정규화, 상관분석해 위협 탐지를 지원하는 시스템 | 6장 3절, 7장 2절, 8장 3절 |
| BCP | 재해나 장애 상황에서도 핵심 업무를 지속하거나 복구하기 위한 업무연속성계획 | 6장 3절, 7장 2절, 8장 3절 |
| DRP | 정보시스템과 데이터를 재해 상황에서 복구하기 위한 재해복구계획 | 6장 3절, 7장 2절, 8장 3절 |
| BIA | 업무 중단이 조직에 미치는 영향을 분석해 복구 우선순위를 정하는 활동 | 6장 3절, 7장 2절, 8장 3절 |
| RTO | 장애 후 서비스를 얼마 안에 복구해야 하는지를 나타내는 복구 시간 목표 | 6장 3절, 7장 2절, 8장 3절 |
| RPO | 어느 시점의 데이터까지 복구해야 하는지를 나타내는 복구 시점 목표 | 6장 3절, 7장 2절, 8장 3절 |
| MTD | 업무 중단을 허용할 수 있는 최대 시간 | 6장 3절, 7장 2절 |
| Hot Site | 운영 환경과 유사한 설비를 준비해 빠르게 복구할 수 있는 재해복구센터 | 6장 3절, 7장 2절 |
| Warm Site | 기본 장비와 환경을 준비하고 복원 작업 후 운영하는 중간 수준의 복구센터 | 6장 3절, 7장 2절 |
| Cold Site | 공간, 전원, 통신 등 기본 시설만 준비된 저비용 저속 복구센터 | 6장 3절, 7장 2절 |
| Mirror Site | 운영센터와 거의 실시간으로 동기화되는 고비용 고속 복구센터 | 6장 3절, 7장 2절 |
| 변경관리 | 운영환경 변경의 요청, 영향 분석, 승인, 테스트, 적용, 검증을 관리하는 절차 | 6장 3절, 7장 2절 |
| 취약점 관리 | 취약점을 식별, 평가, 조치, 검증하는 반복 관리 활동 | 6장 2절, 6장 3절, 7장 2절 |
| 개인정보 | 살아 있는 개인에 관한 정보로 개인을 알아볼 수 있거나 결합해 알아볼 수 있는 정보 | 6장 4절, 7장 2절, 8장 3절 |
| 개인정보 생명주기 | 개인정보의 수집, 이용, 제공, 보관, 파기, 유출 대응 흐름 | 6장 4절, 7장 2절 |
| 개인정보 최소 수집 | 처리 목적에 필요한 최소한의 개인정보만 수집하는 원칙 | 6장 4절, 7장 2절, 8장 3절 |
| 개인정보 파기 | 보유기간 경과나 목적 달성 후 개인정보를 복구 불가능하게 삭제하는 조치 | 6장 4절, 7장 2절 |
| 제3자 제공 | 제공받는 자의 목적을 위해 개인정보를 넘기는 행위 | 6장 4절, 7장 2절, 8장 3절 |
| 업무위탁 | 개인정보처리자의 업무 목적을 위해 수탁자가 처리를 대신 수행하는 행위 | 6장 4절, 7장 2절, 8장 3절 |
| 안전성 확보조치 | 개인정보 유출, 변조, 훼손 방지를 위한 관리적, 기술적, 물리적 보호조치 | 6장 4절, 7장 2절, 8장 3절 |
| 내부관리계획 | 개인정보 보호조치와 책임, 절차를 정한 내부 관리 문서 | 6장 4절, 7장 2절, 8장 3절 |
| 접속기록 | 개인정보처리시스템 접속과 처리 행위를 확인할 수 있는 기록 | 6장 4절, 7장 2절, 8장 3절 |
| 개인정보 유출 대응 | 유출 확인, 차단, 통지, 신고, 피해 최소화, 재발 방지를 수행하는 절차 | 6장 4절, 7장 2절, 8장 3절 |
| 정보주체 권리 | 개인정보 열람, 정정, 삭제, 처리정지 등을 요구할 수 있는 권리 | 6장 4절, 7장 2절 |
| 컴플라이언스 | 법규, 규정, 계약, 인증 기준을 준수하는 활동 | 6장 5절, 7장 2절, 8장 3절 |
| 정보보호 공시 | 기업의 정보보호 투자, 인력, 활동 등을 공개하는 제도 | 6장 5절, 7장 2절 |
| 전자서명법 | 전자서명과 전자문서의 신뢰성을 다루는 법규 영역 | 5장 3절, 6장 5절, 7장 2절 |
헷갈리는 용어 비교
| 비교 용어 | 핵심 차이 | 관련 절 |
|---|---|---|
| 인증 vs 인가 | 인증은 신원 확인, 인가는 권한 확인 | 4장 4절, 5장 4절, 8장 2절 |
| 식별 vs 인증 | 식별은 ID 제시, 인증은 그 ID가 맞는지 검증 | 5장 4절, 7장 2절 |
| 인코딩 vs 암호화 vs 해시 | 인코딩은 표현 변환, 암호화는 키로 복호화 가능, 해시는 일방향 | 1장 3절, 5장 1절, 7장 2절 |
| HTTP vs HTTPS | HTTP는 평문 웹 통신, HTTPS는 TLS로 보호된 웹 통신 | 1장 2절, 4장 1절, 7장 1절 |
| GET vs POST | GET은 URL 노출 가능, POST는 본문 사용하지만 HTTPS 없이는 평문 가능 | 4장 1절, 8장 2절 |
| 쿠키 vs 세션 | 쿠키는 주로 클라이언트 저장, 세션은 서버가 상태 관리 | 4장 1절, 4장 4절, 8장 2절 |
| HttpOnly vs Secure vs SameSite | HttpOnly는 스크립트 접근 제한, Secure는 HTTPS 전송, SameSite는 교차 사이트 전송 제한 | 4장 1절, 4장 3절, 8장 2절 |
| SQL Injection vs XSS | SQL Injection은 DB 공격, XSS는 사용자 브라우저에서 스크립트 실행 | 4장 2절, 4장 3절, 8장 2절 |
| XSS vs CSRF | XSS는 스크립트 삽입, CSRF는 인증된 사용자의 요청 위조 | 4장 3절, 8장 2절 |
| Stored XSS vs Reflected XSS vs DOM XSS | Stored는 서버 저장, Reflected는 요청 반사, DOM은 브라우저 DOM 처리 문제 | 4장 3절, 7장 1절 |
| 스니핑 vs 스푸핑 | 스니핑은 도청, 스푸핑은 위장 | 3장 3절, 7장 1절, 8장 1절 |
| DoS vs DDoS | DoS는 단일 공격원, DDoS는 다수 공격원 | 3장 4절, 7장 1절, 8장 1절 |
| IDS vs IPS | IDS는 탐지와 경고, IPS는 탐지 후 차단 | 3장 5절, 7장 1절, 8장 1절 |
| 방화벽 vs WAF | 방화벽은 네트워크 트래픽 통제, WAF는 웹 요청과 응답 공격 차단 | 3장 5절, 4장 1절, 7장 1절 |
| TCP vs UDP | TCP는 연결 지향과 신뢰성, UDP는 비연결 지향과 속도 중심 | 1장 2절, 3장 1절, 7장 1절 |
| IP 주소 vs MAC 주소 | IP는 논리 주소, MAC은 물리 주소 | 1장 2절, 3장 1절, 7장 1절 |
| 전체 백업 vs 증분 백업 vs 차등 백업 | 전체는 전부, 증분은 직전 백업 이후, 차등은 마지막 전체 백업 이후 | 2장 3절, 6장 3절, 7장 2절 |
| 대칭키 vs 공개키 | 대칭키는 같은 키로 빠름, 공개키는 키 쌍으로 키 분배와 서명에 유리 | 5장 2절, 7장 2절 |
| 블록암호 vs 스트림암호 | 블록암호는 고정 블록 단위, 스트림암호는 키스트림 단위 | 5장 2절, 7장 2절 |
| ECB vs CBC vs CTR vs GCM | ECB는 패턴 노출, CBC는 IV 필요, CTR은 nonce 재사용 금지, GCM은 인증 제공 | 5장 2절, 7장 2절 |
| MAC/HMAC vs 전자서명 | MAC/HMAC은 공유키 기반이라 부인방지 약함, 전자서명은 개인키 서명으로 부인방지 제공 | 5장 3절, 7장 2절 |
| CA vs RA | CA는 인증서 발급과 서명, RA는 신청자 신원 확인 | 5장 3절, 7장 2절 |
| CRL vs OCSP | CRL은 폐지 목록, OCSP는 인증서 상태 실시간 질의 | 5장 3절, 7장 2절 |
| DAC vs MAC vs RBAC vs ABAC | DAC는 소유자, MAC은 등급과 정책, RBAC는 역할, ABAC는 속성 기준 | 5장 4절, 7장 2절 |
| 최소권한 vs Need-to-Know | 최소권한은 권한 범위 최소화, Need-to-Know는 필요한 정보 접근만 허용 | 5장 4절, 7장 2절 |
| Bell-LaPadula vs Biba | Bell-LaPadula는 기밀성, Biba는 무결성 보호 | 5장 5절, 7장 2절 |
| 위협 vs 취약점 vs 위험 | 위협은 원인, 취약점은 약점, 위험은 피해 가능성과 영향 | 5장 5절, 6장 2절, 8장 3절 |
| 정성적 분석 vs 정량적 분석 | 정성적은 등급 평가, 정량적은 금액과 수치 계산 | 5장 5절, 6장 2절, 8장 3절 |
| 위험 감소 vs 회피 vs 전가 vs 수용 | 감소는 대책 적용, 회피는 중단, 전가는 이전, 수용은 승인 후 감수 | 5장 5절, 6장 2절, 8장 3절 |
| BCP vs DRP | BCP는 전체 업무연속성, DRP는 IT 재해복구 | 6장 3절, 7장 2절, 8장 3절 |
| RTO vs RPO | RTO는 복구 시간 목표, RPO는 복구 시점 목표 | 6장 3절, 7장 2절, 8장 3절 |
| Hot Site vs Warm Site vs Cold Site vs Mirror Site | Hot은 빠르고 고비용, Warm은 중간, Cold는 느리고 저비용, Mirror는 거의 실시간 | 6장 3절, 7장 2절 |
| 패치관리 vs 변경관리 vs 취약점 관리 | 패치는 업데이트, 변경은 운영 변경 절차, 취약점 관리는 식별부터 검증까지 | 6장 3절, 7장 2절 |
| 제3자 제공 vs 업무위탁 | 제3자 제공은 받는 자의 목적, 위탁은 위탁자의 업무 목적 | 6장 4절, 7장 2절, 8장 3절 |
| 개인정보 파기 vs 보관 | 파기는 목적 달성 후 복구 불가 삭제, 보관은 근거와 기간 내 유지 | 6장 4절, 7장 2절 |
| 로그관리 vs 보안관제 vs SIEM | 로그관리는 기록 관리, 보안관제는 탐지와 대응, SIEM은 통합 수집과 상관분석 도구 | 6장 3절, 7장 2절, 8장 3절 |