정보 시스템 및 자산을 보호하면서 위험 평가 및 완화 전략을 통해 비즈니스 가치를 실현 하는 역량에 중점을 두는 원칙
주요 주제
- 데이터의 기밀성 및 무결성 보호
- 사용자가 수행할 수 있는 작업 식별 및 관리 또는 권한 관리
- 시스템 보호 및 보안 이벤트 탐지 제어 설정
보안 설계 원칙 7가지
- 추적 기능 활성화
- 수행되는 작업과 변경 사항에 대해 실시간 모니터링 알림 및 감사 기능
- 로그와 지표를 시스템에 통합하여 자동으로 대응하고 조치를 취함
- 모든 계층에 보안 적용
- 엣지 네트워크, vpc, subnet, load balancer, instances, OS 및 모든 앱에 보안 적용
- 보안 모범 사례 자동화
- 보안 메커니즘을 자동화하여 확장 및 축소를 신속하고 경제적으로 실행
- 전송 중 데이터 및 저장된 데이터 보호
- 모든 데이터를 민감도에 따라 분류하고 암호화, 토큰화 및 엑세스 제어같은 메커니즘 사용
- 사용자로부터 항상 데이터 보호
- 인적 오류로 인해 민감한 데이터가 손실되거나 변경되는것을 방지
- 데이터 직접 액세스 혹은 데이터를 수동으로 처리해야하는 필요성을 최대한 줄이기
- 보안 이벤트 대비
- 조직의 요구사항에 적합한 인시던트 관리 프로세스 마련
- 인시던트 대응 시뮬을 실행하고 자동화를 포함한 도구를 사용하여 탐지, 조사 및 복구 속도 높임
보안 관련 질문
시스템을 설계하기 전에 보안 사례를 적용해야 한다.
누가 무엇을 사용할 수 있는지 적용해야 한다. 또한 보안 인시던트를 식별하고 시스템과 서비스를 보호하며 데이터 보호를 통해 데이터의 기밀성과 무결성을 유지할 수 있어야 한다.