방법론(methodology)이란 특정 업무나 기능의 수행 및 실행을 위해 필요한 구체적인 관행, 프로세스, 규칙을 체계화한 접근 방식을 의미합니다. 정보 시스템 보안(INFOSEC) 분야에서는 다양한 방법론이 활용되고 있으며, 그중 대표적인 것이 IAM, IEM, SIPES입니다.
INFOSEC 평가 방법론(IAM)
INFOSEC Assessment Methodology(IAM)는 자동화된 정보 시스템의 정보 보안 상태를 일관된 기준으로 조사할 수 있는 방법을 제공하는 것을 목표로 합니다. IAM은 특정 운영 환경의 시스템에 대해 잠재적 취약점을 식별하기 위한 고수준(high-level) 평가에 중점을 둡니다.
IAM은 크게 사전 평가(Pre-Assessment), 현장 활동(On-Site Activities), 사후 평가(Post-Assessment)의 세 단계로 구성됩니다. 사전 평가 단계는 사용자 요구사항에 대한 전반적인 이해를 구축하고, 대상 시스템을 정의하며, 평가를 위한 교전 규칙(rules of engagement)을 수립하는 역할을 담당합니다. 이 단계는 서면화된 측정 계획서 작성으로 마무리됩니다.
현장 활동 단계는 IAM의 핵심에 해당하며, 사전 평가 단계에서 도출된 결과물을 바탕으로 이를 검증하고 추가적인 데이터 수집과 검증 작업을 수행합니다.
INFOSEC 진단 방법론(IEM)
INFOSEC Evaluation Methodology(IEM)는 시스템의 취약점을 기술적으로 진단하고, 해당 시스템의 실제 정보 보안 설계를 검증하는 기법을 제공하는 것을 목표로 합니다. IEM은 IAM의 후속(companion) 방법론으로, IA-CMM 프레임워크 전체 아래에 속하지만 '취약점 발견 삼각형(Vulnerability Discovery Triad)'의 Level 2를 목표로 한다는 점이 특징입니다.
IAM과 IEM의 가장 큰 차이점은 평가 방식에 있습니다. IEM은 실제 시스템에 대한 직접적인(hands-on) 평가를 수행하여 취약점의 실제 존재 여부를 확인하는 반면, IAM은 문서화를 통해 잠재적 취약점을 파악하는 데 초점을 맞춥니다.
IEM은 사전 진단(Pre-Evaluation), 현장(On-Site), 사후 진단(Post-Evaluation)의 세 단계로 나뉩니다. 사전 진단 단계는 IAM의 사전 평가 문서를 입력값으로 받아 시작되며, 대상 시스템에 대한 기술적 진단을 수행하기 위한 교전 규칙을 조율합니다. 이 단계는 기술 진단 계획서(Technical Evaluation Plan) 작성으로 종료됩니다.
IEM의 현장 단계는 직접적인 기술 작업이 이루어지는 핵심 구간으로, 다양한 탐지(discovery), 스캔(scan), 평가(evaluation) 작업을 수행합니다. 모든 결과물은 신뢰성 확보를 위해 직접 검증됩니다.
마지막으로 사후 진단 단계는 IAM과 유사한 방식으로 전체 과정을 마무리합니다. 생성된 모든 데이터를 취합하여 결과, 권고 사항, 보안 로드맵을 상세히 담은 최종 문서로 정리하는 것이 이 단계의 역할입니다.
보안 사고 정책 집행 시스템(SIPES)
Security Incident Policy Enforcement System(SIPES)은 보안 사고 정책 집행 시스템을 정의하고 구현하기 위한 방법론을 제공하는 것을 목표로 하며, 완결성을 갖춘 형태로 준비되어 있습니다.
SIPES 초안은 사고 대응 관리의 복잡성을 해결하기 위한 비교적 추상적인 접근 방식을 제시합니다. 이 문서는 먼저 내부 IT 시스템의 장애(failure)에 대한 정의 간 충돌을 해소한 뒤, 이를 바탕으로 '상태 기반(stateful)' 방법론을 구축해 나가는 순서로 전개됩니다.