Domino 보안 개요
조직의 보안 설정은 아주 중요한 태스크입니다. 조직의 IT 자원 및 자산 보호를 위해 보안 하부 구조가 반드시 필요하며 관리자는 서버 또는 사용자를 설정하기 전에 조직의 보안 요구사항에 대해 신중히 고려해야 합니다. 사전 보안 계획으로 절충안을 채택한 보안상의 위험을 최소화할 수 있습니다.
보안 계획의 안내를 받으려면 다음 태스크를 수행하십시오.
- 업무를 파악합니다.
- 자산과 위협 식별합니다(위험 분석).
- 사용자의 컴퓨터 환경을 보호하기 위한 전략을 개발합니다.
- 인시던트 처리 절차를 작성합니다.
- 직원 교육을 계획 및 실행합니다.
- 프로세스를 최신으로 유지합니다.
업무 파악
조직의 업무상 요구되는 사항 및 필요한 서비스 레벨을 이해하기 위한 과정입니다. 직접적인 책임이 없는 업무를 포함하여 모든 업무 컴포넌트를 파악하고, 새롭게 합병된 사항 및 최근의 스핀오프도 함께 파악하십시오. 이 과정의 일부로, 신뢰된 네트워크와 신뢰되지 않은 네트워크를 분별합니다. 익스트라넷이 신뢰된 네트워크의 확장된 형태가 되는 경우도 있습니다.
비즈니스 요구사항을 파악한 후 다음을 포함하여 Domino® 인프라의 세부사항을 계획할 수 있습니다.
- Domino® 도메인이 두 개 이상 필요합니까, 아니면 새 도메인이 기존 도메인과 상호작용되어야 합니까?
- 인터넷에 Domino® 데이터를 노출시키는 최상의 방법은 무엇입니까?
- 업무 지원에 필요한 서비스 레벨은 어떤 것입니까?
- Domino® 디렉토리에 대해 누가 어떤 레벨의 액세스 권한을 가지고 있어야 합니까?
자산과 위협 식별(위험 분석)
보호하려는 자산의 가치를 구분하십시오. 조직의 애플리케이션에 서로 다른 가치가 적용됩니다. 예를 들어 대부분의 조직에서 이메일 하부 구조의 가용성은 업무에 필수적이지만, 이전의 모든 이메일에 대한 즉각적인 가용성은 중요도가 떨어집니다. 다음으로 외부 및 내부적인 차원에서 위협을 식별하십시오. 위협이 실제 위험 요소가 되는 경우 조직에 발생하는 잠재 손실에 대해 파악하고 있어야 합니다. 마지막으로 위협의 발생 가능성을 파악하십시오. 예를 들어 위험에 노출된 시스템으로 인한 자동 공격 가능성은 매우 높고, 물로 인한 서버 룸 손상 가능성은 희박하며, 데이터 센터 서버의 하드 드라이브를 훔치려는 도둑이 들어올 가능성은 일반적으로 거의 없습니다.
컴퓨터 하부 구조에 대한 위협의 종류는 다양합니다.
- 환경 파괴
- 인터넷의 자동 공격 또는 해커
- 인트라넷에서 위험에 노출된 시스템의 자동 공격
- 안전성이 떨어지는 시스템과의 인터페이스
- 경험이 거의 없거나 전무한 사용자 및 관리자의 실수
- 데이터 가로채기 또는 변경
- 퇴사한 직원의 악의적인 사용
또한 보호해야 하는 Domino® 자산과 이 자산을 보호할 수 있는 방법을 제대로 파악하려면 Domino® 보안 모델을 이해해야 합니다.
사용자의 컴퓨터 환경을 보호하기 위한 전략 개발
Domino® 환경에 대한 잠재적인 위협을 파악하고 나면, 정책을 작성하여 Domino® 컴퓨팅 인프라의 각 파트를 보호할 수 있습니다. 다음 영역에 대한 정책 개발이 포함됩니다.
- 서버에 대한 물리적 액세스 제한
- 네트워크 액세스 및 보호
- ECL 및 바이러스 퇴치 제품 사용을 통한 메시징 하부 구조
- 암호화 및 ACL 관리를 통한 애플리케이션 보안
- ID 복구를 포함한 암호화 키 관리
- Domino® Change Manager 사용을 통한 변경 제어(또는 자신의 프로그램 빌드)
- 조직의 보안 규칙 및 기술에 대한 사용자 교육
- 보안 사고 보고
변경 제어에 대한 자세한 정보는 관련 항목을 참조하십시오.
사고 처리 절차 개발
사고란 계획되지 않았고 예상치 못한 사건으로써, 업무, 자산, 또는 공신력을 잃지 않도록 즉시 대처해야 합니다. 모든 보안 계획은 사고 처리 방법에 대한 피드백 컴포넌트와 사고 처리 컴포넌트를 가지고 있어야 합니다. 피드백은 보안 계획 및 정책을 최신 상태로 유지하는데 유용합니다.
사고 처리에는 다음 사항이 포함됩니다.
- 사고 보고 계획 및 방법
- 각 사고 종류에 대한 대응 절차
- 사고 대응 검사
일단 적절한 사고 처리 계획이 준비되면, 다음 사항에 대한 요구사항 결정을 보다 효율적으로 할 수 있습니다.
- Domino® 로깅
- Domino® HTTP 로깅
- Domino® 백업 및 복원
- Domino® 이벤트 모니터링을 위한 매개변수
직원 교육 계획 및 실행
모든 사람이 보안에 책임이 있다는 것을 귀하의 사용자가 깨닫도록 해야 합니다. 업무 필요사항에 기초하여 다음 사항에 대해 사용자를 교육해야 합니다.
- Domino® 보안 기본사항
- Notes® ID 및 보호 방법
- Notes® 실행 제어 목록 및 실행 보안 경보
- 암호화 사용 및 메일 메시지 암호화 방법
- 문제 발생 또는 보안 사고 시 문의처
프로세스를 최신으로 유지
일반적으로 이 단계가 가장 어렵지만 다른 어떤 단계만큼이나 중요합니다. 시간을 할애하여 정기적으로 보안 과정 및 절차를 검토할 수 있는 프로그램을 구축하십시오. 검토 결과와 직원 교육을 연계해야 하며, 변경 사항이 있으면 직원 교육 내용도 업데이트해야 합니다.