정보보호 정보보안 차이

ㅎㅎ.. 꼭 알아두자...

 

정보보호

조직이 보유한 모든 정보 자산을 안전하게 지키는 넓은 개념으로 문서, 출력물, 사무실 내에서 오가는 대화까지 포함한 모든 형태의 정보가 대상
정보 자체를 보호하는 활동. 정보의 기밀성, 무결성, 가용성이 핵심
정보가 적절하게 관리되고 중요한 기밀 정보가 유출되지 않도록 보장하는것이 목적
기술적 방어뿐만 아니라 개인정보 수집/처리/저장/폐기까지 전체적인 보호활동을 의미함
ex) 데이터 마스킹, 개인정보 익명화, 안전한 폐기 절차

• 기밀성: 허가된 사람만 정보에 접근할 수 있도록 하는 것 (DB암호화, MFA 등)
• 무결성: 정보가 변경되거나 손상되지 않도록 보장하는 것 (해시값 검증, 파일 체크섬 등)
• 가용성: 필요한 사람이 필요한 시점에 정보를 사용할 수 있어야 하는 것 (오토스케일링, 이중화 구성 등)

 

정보보안

정보보호 안에서 전자적 자산을 지키는 기술적 영역
정보의 기밀성, 무결성, 가용성을 보장하고 이를 통해 정보시스템의 안전을 유지하는 것
주로 해킹, 침해 사고, 자산 손상과 같은 기술적 위협에 대응하는 것을 목표로 함
ex) 방화벽, IDS/IPS와 같은 네트워크 보안, 서버 접근 통제 및 계정 관리, 취약점 진단 및 패치 관리, ACL 설정 및 망분리 등

 

정보보안은 주로 기술적인 측면에서 외부 위협으로부터 시스템을 보호하는 것을 목표로 하며, 정보보호는 법적, 윤리적 요구사항을 포함하여 정보 자체의 전체 생명 주기에 걸친 보호 활동에 초점을 맞춘다.

 

기업의 정보보호적 개선안은 뭐가 있을까?

1. 거버넌스/조직 수준

• 보안조직의 독립성 확보 및 실질적 권한 부여
• 정기적인 전사 정보보호 위원회 운영

2. 정책/프로세스 수준

• 최소권한원칙 적용
• 정기적인 위험평가
• 협력사 정보보호 수준 진단 및 계약서에 보안 조항 명시
• ISMS-P 인증 취득 및 실질적 운영

3. 기술적 통제 개선안

• 엔드포인트 보안 강화 (USB 포트 제어, 모든 PC에 BitLocker 같은 디스크 암호화 적용)
• 네트워크 보안 강화 (Zero Trust 아키텍처 단계적 도입, 내부망 세분화)
• 계정/인증 보안 강화 (전사 MFA 의무화)
• 클라우드 보안 강화 (S3 버킷 등 스토리지 퍼블릭 노출 점검 자동화)

5. 직원 보안 의식 강화

• 전직원 연 2회 이상 보안교육, 피싱메일 모의훈련
• 보안 위반시 명확한 징계 기준 마련

6. 사고 대응 및 복구

• 랜섬웨어 대응 플레이북 작성 및 주기적 업데이트
• 사이버위기대응티 구성 및 연 1회 이상 모의훈련