메타 스터디 그룹

[TOPCIT 목차]

01. 학습내용 요약

 - 계획수립 단계는 대표적으로 EA와 ISP 수행

 - IT 거버넌스는

  1) EA와 ISP 수행의 통제수단을 제공

  2) 전략과 가치에 대한 연결고리 확보

  3) 위험관리, 자원관리, 성과관리 체계 제공 

02. IT 거버넌스

 가) IT 거버넌스(Governance)의 개념

  - IT 자원의 관리 및 역할과 책임을 정의하여 IT의 성과 및 위험을 관리하는 통제관리 체계

  - IT 거버넌스의 정의

 나) IT 거버넌스 프레임워크

  - 기업의 IT활용을 평가, 지휘, 감시하는데 필요한 원칙과 프레임워크를 제공하는 ISO/IEC 38500과 연결되어 있는 IT 거버넌스 프레임워크.

  1) 거버넌스 영역

   - 평가(E), 지시(D), 감시(M) 등의 실무절차를 갖는 5개 프로세스로 구성

• EDM 1 : 거버넌스의 프레임워크와 측정 기준의 수립
• EDM 2 : 이익제공
• EDM 3 : 위험 최적화
• EDM 4 : 자원의 최적화
• EDM 5 : 이해관계자의 투명성

  2) 관리 영역

   - 계획(APO), 구축(BAI), 운영(DSS), 감시(MEA) 등 4개의 프로세스 영역으로 구성

• 계획(APO) 단계 : 연계, 계획
• 구축(BAI) 단계 : 구축, 획득, 구현
• 운영(DSS) 단계 : 이관, 서비스, 지원
• 감시(MEA) 단계 : 감시, 평가, 심사

 다) IT 거버넌스 프로세스

  1) 계획 단계

   - 비즈니스와 IT의 연계 : 비지니스와 IT를 연계 및 정렬, IT 목표 설정, IT 관련 활동, 자원 사용, 위험관리, 거버넌스 구조, 성과측정 등을 조직화하는 원칙에 대한 구조, 활동, 관련 메커니즘

  2) 운영 단계

   - IT 자원, IT 위험 및 IT 관리 모니터링 : 감시를 지원하는 구조, 활동, 관련 메커니즘

   - IT 성과측정 모니터링 : IT 자원, IT 위험 및 IT 관리 성과에 대한 목표치 설정 및 성취도 측정을 지원하는 구조, 활동, 관련 메커니즘

  3) 평가 단계

   - IT 가치 : 비즈니스 기회, 이익과 비교에 의해 평가

                   전략적, 경제적, 위험관리, 기술적, 사회적, 품질이익 등 포함

                   비즈니스 기회에서 비즈니스 위험비용 및 잠재적인 기타 위험 비용 차감

  4) 피드백 단계

   - 피드백 정보의 평가, 시정조치 수행, 프로세스 개선

 라) 거버넌스 주요 관심영역

03. EA의 개념

 가) EA의 개념

  1) EA의 정의

   - 기업의 전략적인 목표와 정보자원 관리 목표를 도달하기 위하여 기업의 IT 비즈니스 관계를 이해관계자들이 이해하기 쉽도록 설명한 기업의 청사진

   2) 필요성

    - IT 생산성 패러독스, 전체적 시각의 체계 부재

 나) EA 개념도 및 구성요소

  1) EA의 개념도 

  2) EA의 구성요소

  3) EA 프레임워크

04. ISP의 개념

 가) ISP (Infomation Strategy Planning)의 개요

  - 기업, 조직의 중장기 비전 및 목표, 경영계획을 지원하기 위한 정보시스템 및 정보관리 체계에 대한 비전을 제시한 계획

  - 정보시스템을 구축하면서 기업의 장기적인 목적 등을 지원하기 위한 정보시스템의 구축 방향성에 대한 밑그림 계획

 나) ISP의 구축절차

기업의 환경과 현황에 대한 분석 결과는 ISP 수립의 마지막 단계에서 개선방향과 개선된 업무절차, 정보화 계획 수립의 중요한 자원이 된다.

 다) ISP 구축 주요 산출물

  1) ISP 단계별 산출물

  2) ISP 와 EA 개념 비교표

ISP는 EA의 범위 안에서 미시적인 계획을 다룸

1. IT 비즈니스 전략 수립

가) IT 전략 수립의 개념

• 전략수립은 조직의 사명(Mission)을 달성하기 위한 전략을 정의하는 과정
• 기업 전략은 헌재 상태의 설명과 분석을 포함하며, 변화에 대한 방향을 제시
• 전략수립은 단위 수준의 조직 전략과 직접 연계
• 전략수립의 산출물은 최상위 수준의 전략과 여기에 영향을 미치는 조직의 환경이나 의도를 명시한 전략계획 문서

나) IT  전략 수립의 구성요소

• 전형적인 전략수립 단계는 기업의 현재 상대를 분석하고, 미래 목표를 제시하며, 목표 모델에 도달하기 위한 추진전략을 수립

• 전략수립 구성 요소 간의 관계

• 전략 수립 구성 항목

다) 전략수립 프로세스

• 전략적 분석에서 기업의 기본 정보를 조사하며 현재 상태(As-Is) 모델을 분석
• 전략적 선택에서 미래 목표(To-be) 모델과 목표 모델에 도달하기 위한 추진전략을 수립
• 전략적 구현 및 관리에서 전략을 구현하고 운영하며 필요한 경우 전략 계획의 적절한 변경을 실시

1) 전략적 분석

2) 전략적 선택

• 전략적 선택은 전략적 분석에서 수집한 정보로부터 미래의 기업을 위한 가장 적절한 행동 방향을 선택하는 것

3) 전략적  구현 및 관리

• 전략적 구현 및 관리는 선택된 전략적 대안을 실제로 적용하고 운영하는 것

2. IT 비즈니스와 환경 분석

가) 외부환경 분석

1) PEST 분석

• 거시적 외부환경분석 기법으로서 PEST 분석은 정치(Political), 경제(Economic), 사회(Social) 및 기술(Technological）의 기회요인과 위협 요인의 영향을 분석하는 도구
• 제품과 비즈니스 서비스가 진출하려는 목표 시장으로서 국가나 지역의 특성에 대한 브래인스토밍을 사용

• PEST 분석과 세부 항목 사례

2) 5 Force 분석

• 기업이 속한 산업 구조를 분석하는 미시적 외부 환경분석 기법인 5 Forces 분석 기법은 제품 또는 비즈니스 서비스에 관한 기업의 경쟁우위 확보를 위한 전략을 수립할 때 사용

• 마이클 포터의 5 Force 분석

• 5 Force 분석의 구성 요소

3) 3C와 4P 분석법

• 3C 분석법 - 고객(Customer), 자사(Company), 경쟁사(Competition)

• 4P 분석법 - 제품(Product), 가격(Price), 장소(Place), 촉진(Promotion)

나) 내부환경 분석

1) 7S 분석법

• 컨설팅그룹인 매킨지(McKinsey)에서 만든 내부 환경분석 기법
• 기업의 핵심 구성요소를 파악하고 이를 통하여 기업을 진단하는 접근방법으로 기업의 핵심 역량요소를 영문자 S로 시작하는 7개 항목으로 측정

• 7S 분석 구성도

• 7S 분석 구성 요소

다) 내부 및 외부 통합 환경 분석

1) SWOT 분석

• 일반적으로 기업의 마케팅 활동에서 전략을 수립할 때 주로 활용
• 해당 기업의 핵심 제품 및 서비스와 관련된 외부 시장 환경의 기회요인과 위협요인을 분석함과 동시에 내부적으로 장점과 약점을 분석하여 매트릭스화 하는 프레임워크

•  SWOT 분석 프레임워크

2) BCG 매트릭스

• 컨설팅기업인 보스톤컨설팅그룹(BCG)에서 제안된 시장 분석기법으로서 마케팅 및 판매 계획 중인 기업의 제품과 비즈니스 서비스의 포트폴리오의 평가에 사용

• BCG 매트릭스의 구성 시장점유율

• BCG 매트릭스는 제품과 비즈니스 서비스의 포트폴리오 평가에 사용되며. 단일 기업 또는 기업내의 부서를 평가

01. IT비즈니스 개념 요약

 - IT는 기업 경영의 최적화 핵심요소, 최신 기술이 적용된 서비스와 접목하여 IT 비즈니스의 방향성을 확보

 가) IT 비즈니스의 정의

  - 기업의 궁극적인 비즈니스 목표를 달성하기 위해 다양한 프로세스에 IT를 접목하여 전략적으로 전개하는 모든 활동

  - 비즈니스 개념의 발전 : 업무에 부분적 활용 → 기업 의사결정 과정에 핵심역할 담당

나) 비즈니스와 IT의 연계

  - 상호의존성 극대화 : IT와 비즈니스 전략목표, 프로세스와의 연계 증가 → 경쟁력 강화, 새로운 가치 창출

  - 비즈니스와 IT의 전략적 연계 모델

  . IT응용프로그램, IT인프라, IT조직이 비즈니스 전략과 프로세스를 지원 및 구현하는 수준

     - 4개의 각 영역은 고유의 범위, 능력, 거버넌스, 인프라, 프로세스, 기술로 구성

02 IT비즈니스 생태계

가) IT비즈니스와 하이프 사이클

  - 하이프 사이클 : IT분야의 신기술이 갖는 산업 경제적 가치와 영향에 대한 기대수준의 변화를 시간에 따라 보여주는 것 

   . 태동기(Innovation Trigger) : 신기술이 처음 출현하여 기대 받기 시작하는 시기

   . 거품기(Peak of Inflated Expectation) : 실제 가치보다 크게 과장되면서 거품이 최고조에 달하는 시기

   . 거품제거기(Trough od Disillusionment) : 거품이 꺼지는 시기

   . 재조명기(Slope of Enlightenment) : 기대수준이 다시 완만한 증가 추세 보이는 시기

   . 안정적인 생산기(Plateau of Productivity) : 안정적으로 가치를 창출하는 시기

나) IT생태계

   - IT기술은 다양한 기술들이 경쟁과 상생하며 거대한 생태계를 만들어 발전하고 있음

 - IT기술에 의해 인간-인간, 인간-사물, 사물-사물이 연결되면서 공간, 데이터, 서비스가 모두 연결되는 초연결 사회로 발전

 - 초연결사회는 IT생태계에 큰 영향 발휘

 - 초연결사회의 핵심기술(ICBM) : IoT, Cloud Computing, Big Data, Mobile

 - IT패러다임의 변화

  다) IT비즈니스 생태계 구성요소의 특징

03 IT비즈니스를 위한 IT자원과 관리활동

가) IT 자원의 개념

   - IT비즈니스를 영위하기 위한 인력, 프로세스, SW, HW등을 통합하여 설명하는 개념

   - 구성

     . IT지원시스템 : ERP, SCM, PLM과 같이 IT비즈니스를 지원, 관리하는 체계

     . 관리체계 : ITSM(Information Technology Service Management)

   - IT자원 관리시스템 : IT비즈니스 지원을 위한 솔수션, 제품, 프로세스를 체계적 관리, 통제

     . IT자원 수명주기(계획, 개발, 적용, 운영, 관리, 폐기) 기반 활용

     . IT자원 명세서와 IT비즈니스 적용에 따른 성과관리 등을 체계적 관리

 나) IT자원의 역할

   1) 생산효율성 증대

      - IT자원 활용 생산 효율성 증대, 기업 매출 극대화, 경쟁우위 확보에 큰 역할

   2) 새로운 비즈니스 가치 창출

      - IT자원을 통한 비즈니스 가치 창출; 사례) 애플 아이튠즈 뮤직스토어, 전자 상거래

   3) 글로벌 비즈니스 확산

      - 새로운 시장 제시, 비용/인력/시간의 전통적 관점 변화

 다) IT비즈니스를 위한 관리활동 및 구조

   - 순환적 관리활동 : 계획(Plan), 실행(Do), 점검(Check), 시정조치(Action)

 - IT비즈니스 관리 : 서비스 품질과 조직성과에서 성과지표 도출, 결정지원, 조정, 투자 제공

04. IT비즈니스 가치사슬

 가) 가치사슬 개요

   - 기업 조직의 궁극적 방향성을 가치(Value)로 설정하고, 이를 위한 조직의 구조를 체계적으로 제안한 모델

   - 접근 방법 : 전통적 제조기업과 전자상거래 기업으로 분류

나) 가치사슬 모델과 IT의 전사적 접목

  - 주요활동과 지원활동 전반에 IT가 전사적으로 적용

  - 주요활동 전반에 IT가 핵심요인으로 접목 및 활용

    → 가치사슬 모델의 모든 주요활동이 IT기반으로 실행되는 상황

다) 가치사슬 모델과 IT전문기업

  - IT기반으로 시작한 기업은 주요활동과 지원활동을 분리하여 인식할 수 없음

   . 사례 : 아마존닷컴은 주요/지원활동 모두 IT기반으로 전개되고 있음

라) 가치모델 사슬의 확대

  - IT가 전반적인 기업 조직의 구조화 및 경쟁우위에 영향을 미치는 가치사슬 모델 개념으로 변화

01. 데이터베이스 보안의 개요

가) 데이터베이스 보안의 개요

 ①  데이터베이스 보안의 3원칙

    - DB정보의 유출, 변경, 파괴의 위협으로부터 기밀성, 무결성, 가용성을 확보하기 위한 관리적, 물리적, 기술적 보호 조치

②  DB 보안의 필요성

   - 지속가능 경영 : DB 정보유출 침해사고 발생시 기업의 존립 기반 위협(경제적 손실, 신뢰도 하락)

   - 규제 대응 : 보안의 법적 의무화(개인정보보호법, 정보통신망법, 전자금융거래법)

나) 데이터베이스의 보안 위협 및 대응

  ①  데이터베이스 보안 위협

   ②  데이터베이스 보안 위협 대응

02 데이터베이스 접근통제

 가) 데이터베이스 접근통제 정책

   ①  임의적 접근통제(DAC)

      - 주체의 신원에 근거한 객체 접근 제한, 객체 소유자가 접근여부 결정

   ②  강제적 접근통제(MAC)

      - 주체의 권한에 근거한 객체 접근, Ex: 시스템 카탈로그는 DB관리자만 접근

   ③  역할기반 접근통제(RBAC)

      - 주체의 역할에 근거한 객체 접근, Ex: DBA 역할 정의 -> 특정인에게 DBA 역할, 권한 부여

 나) 데이터베이스 접근통제 구축방식

   ① 에이전트 방식

      - DB서버에 접근통제, 로깅 기능의 에이전트 설치하고 전용 클라이언트 이용한 접근 방식

      - 특징 : 강력한 AC 가능, DB에 트래픽 발생 -> 성능저하 발생 가능

   ② 게이트웨이 방식

      - DB접근통제 서버(프록시 서버)를 경유하여 DB접근 요청 수행, 가장 강력한 접근통제 가능

      - 특징 : 이중화 구성 가능 -> 장애 발생시 업무 영향 최소화

③ 네트워크 스니핑 방식

   - TAP 장비를 통해 패킷 분석, 로깅 수행, 별도 에이전트 불필요

   - NW에 부하 없이 구축 용이, 부적절한 변조(무결성 훼손)의 원천 차단 난해

             * Tap(Test Access Port) : NW의 데이터 흐름에 영향없이 트래픽을 스니핑(Sniffing) 하는 장비

   ④ 하이브리드 방식 : 많이 사용

      - 에이전트 + 게이트웨이 방식, 게이트웨이 + 네트워크 스니핑 방식, 에이전트 + 게이트웨이 + 네트워크 스니핑 방식

03 데이터베이스 암호화

 가) 데이터베이스 암호화 적용시 고려사항 

  나) 데이터베이스 암호화 대상 및 방식

 다) 데이터베이스 암호화 유형

   ①  API 방식

      - 응용프로그램 서버내 암/복호화 모듈 설치하여 수행

      - 특징 : 다수 응용프로그램 수정 필요, AP서버와 DB간 암호상태 통신

                   DB서버 부하 낮음, AP서버 부하 높음

       - 적용 조건 : 응용프로그램 변경 용이, DB서버 성능이 나쁜 경우

    ②  플러그인 방식

       - DB서버내에 암/복호화 모듈 설치하여 암/복호화 수행

       - 특징 : DB서버 부하 발생 가능, AP서버와 DB서버간 평문 형태 통신

       - 적용 조건 : DB서버 성능 우수, 응용 프로그램의 수정 불가시

      ③ TDE방식

          - DBMS의 암/복호화 기능 이용, DBMS 종류, 버전에 따라 의존적

          - DBMS커널 레벨에서 처리, 응용프로그램 수정 없음

          - 적용조건 : DBMS 신규 도입시

 라) 데이터베이스 암호화 적용

   ①  일방향 암호 알고리즘의 적용

      - 비밀번호 등의 데이터 저장시 적용, SHA-256이상의 해쉬 암호 알고리즘 사용

   ②  양방향 암호 알고리즘의 적용

      - 개인정보 등 중요 데이터 대상, SEED, ARIA, AES 등 블록 암호화 적용

 마) 데이터베이스 암호화 적용 절차

    ①  암호화 적용 사전협의

       - 이해관계자와 정보 공유/협의, 대상, 환경, 보안 정책 등 협의

     ②  DB암호화 적용 영향도 분석

       - 운영서버 모니터링 통한 애플리케이션과 DBMS의 영향도 분석 단계

       - 암호화 사전 진단/분석, 암호화 이후 성능/리소스 변화 분석

  ③  DB암호화 적용 테스트

     - 운영환경과 동일한 테스트 환경 구축 및 암호화 적용 후 업무 테스트 진행 단계

     - 발생가능 문제 도출, 이슈 해결, 전환 준비, 모든 애플리케이션/쿼리 테스트 수행

  ④  DB암호화 적용 및 모니터링

     - 운영환경에 모든 변경사항 반영한 보안 적용 단계

     - 장애 발생 여부, 애플리케이션 성능 지속 모니터링 및 관리

04 데이터베이스 암호화 키(Key) 관리

 가) 데이커베이스 암호화 키의 종류

     - 암/복호화 키와 마스터키로 이중화 후 인가자만 접근하도록 관리

 나) 암호화 키 생명주기 단계별 관리방안

[TOPCIT목차]

1. 시큐어 코딩의 정의 및 필요성

가) 시큐어 코딩 정의

• 소프트웨어 개발 단계(SDLC, Software Development Life Cycle)에서 보안 약점을 제거함으로써 소프트웨어의 취약점과 해킹의 위험성을 줄여주는 방어적 프로그래밍 기법

나) 시큐어 코딩의 필요성

• 사이버 공격의 약 75%가 SW 자체의 보안 취약점을 악용하는 공격으로 분석됨
• 개발단계에서 수정하는 비용이 제품 출시 이후 수정하는 비용보다 수십 배의 비용을 절감할 수 있는 것으로 분석됨
• 사이버 공격을 예방 및 대응하기 위해서는 제품 출시 이전 단계인 SW 개발단계에서 보안 취약점을 제거하는 것이 효과적인 방법으로 부각

2. 시큐어 코딩 주요내용

가) SW 보안약점과 보안 취약점

나) 시큐어 개발 생명주기(Secure SDLC)

• 시큐어 코딩 개발 생명주기

• 시큐어 코딩 생명주기 설명

3. 시큐어 코딩 주요기법

가) JAVA 시큐어 코딩 주요기법

1) SOL 삽입 공격 대응을 위한 시큐어 코딩 기법

• SQL 삽입 보안 취약점

• SQL 삽입 공격 대응

2) 크로스사이트 스크립팅(XSS) 공격 대응을 위한 시큐어 코딩 기법

• 크로스사이트 스크립팅(XSS) 보안 취약점

• 크로스사이트 스크립팅(XSS) 공격 대응

3) 운영체제 명령어 삽입 공격 대응을 위한 시큐어 코딩 기법

• 운영체제 명령어 삽입 보안 취약점

• 운영체제 명령어 삽입 공격 대응

4) 위험한 형식의 파일 업로드 공격 대응을 위한 시큐어 코딩 기법

• 위험한 파일의 파일 업로드 보안 취약점

• 위험한 형식의 파일 업로드 공격 대응

나) C 시큐어 코딩 주요기법

1) 메모리 버퍼 오버플로우 공격 대응을 위한 시큐어 코딩 기법

2) 포멧 스트링 삽입 공격 대응을 위한 시큐어 코딩 기법

다) Android-JAVA 시큐어 코딩 주요기법

1) 외부에서 접근이 가능한 컴포넌트 공격 대응을 위한 시큐어 코딩 기법

2) 공유 아이디에 의한 접근통제 통과 공격 대응을 위한 시큐어 코딩 기법