관리적보안

🛡️ 정보보호 관리적 보안 (Administrative Security)

관리적 보안은 조직의 정보 자산을 보호하기 위해 구축되는 비기술적 통제(Non-technical Controls)의 총체입니다. 이는 정책, 절차, 표준, 지침 등을 포함하며, 기술적 보안 및 물리적 보안이 효과적으로 작동하도록 하는 근간입니다.

---

1. 정의 및 중요성

항목	설명
정의	조직의 위험 관리 목표 달성을 위해 최고 경영층의 승인 하에 수립되는 정보보호 관리체계(ISMS) 운영 활동. 사람의 행동, 역할, 책임에 대한 공식적인 규칙을 명시.
목표	정보보호의 기밀성(C), 무결성(I), 가용성(A) 유지 및 법규/규제 준수. 조직의 비즈니스 연속성(Business Continuity) 확보.
중요성	아무리 정교한 기술 시스템도 정책 미준수나 인적 오류를 막지 못합니다. 관리적 보안은 이러한 취약점을 통제하는 가장 기본적인 토대입니다.

---

2. 관리적 보안의 3대 핵심 요소

관리적 보안은 다음 세 가지 영역을 중심으로 구축됩니다.

영역	핵심 내용	예시 활동
정보보호 거버넌스	경영진의 의지, 책임 및 감독 체계 확립.	$\text{CISO}$ 지정, 정보보호 위원회 운영, 자원 할당.
$\text{ISMS}$ 운영	정보보호 정책 및 통제를 실제 업무 프로세스에 적용.	위험 관리 수행, 접근 통제 정책 수립, 인적 보안 교육 실시.
법적/규제 준수	국내외 법규 및 규제 요구사항(예: 개인정보 보호법, $\text{ISO/IEC 27001}$) 충족.	법적 요구사항 반영, 내부/외부 감사 수행, 계약적 의무 관리.

---

3. PDCA 기반의 지속적 개선 활동

제시된 이미지는 관리적 보안이 지속적인 개선 프로세스인 계획-실행-점검-조치 (Plan-Do-Check-Act, PDCA) 순환 모델에 따라 운영됨을 보여줍니다.

PDCA 단계	관리적 통제 활동 (한국어 명칭)	주요 내용 및 목적
Plan	수립	정책 및 목표 설정, 위험 분석/평가를 통한 통제 식별. (계획의 기준 마련)
Do	구현, 운영	수립된 정책에 따라 보안 통제를 구현하고 정보보호 활동을 실제로 수행함. (예: 시스템 구축, 교육 실시)
Check	모니터링, 검토	구현된 통제의 효과성 측정, 내부 감사, 취약점 분석을 통한 정책 준수 여부 확인. (측정 및 평가)
Act	유지, 개선	$\text{Check}$ 결과에 따른 시정 및 예방 조치를 취하여 $\text{ISMS}$를 지속적으로 개선함. (피드백 반영)

---

4. 보안 통제 유형 간의 관계

관리적 보안은 기술적 및 물리적 보안의 토대가 됩니다.

• 관리적 통제: 무엇을 해야 하는지 정의 (예: "접근 권한은 최소 권한 원칙을 따른다")
• 기술적 통제: 어떻게 구현할지 기술적으로 적용 (예: $\text{ACL}$ 설정, 암호화 알고리즘 적용)
• 물리적 통제: 어디서 자산을 보호할지 환경 통제 (예: 서버실 출입 통제 장치 설치)

이 세 가지 통제 유형은 상호 보완적으로 작동해야 하며, 관리적 통제가 이들의 통합과 운영의 기준을 제시합니다.