보안 공학

보안 공학은 정보 시스템에 보안 제어를 통합하여 해당 제어가 시스템의 운영 능력의 필수적인 부분이 되도록 하는 과정이다.^[1] 다른 시스템 공학 활동과 유사하게, 주된 동기는 사전 정의된 기능적 요구 사항과 사용자 요구 사항을 충족하는 공학 솔루션 제공을 지원하는 것이지만, 오용 및 악의적인 행동을 방지하는 추가적인 차원을 포함한다. 이러한 제약과 제한은 종종 보안 정책으로 주장된다.

어떤 형태로든 보안 공학은 수세기 동안 비공식적인 연구 분야로 존재해 왔다. 예를 들어, 자물쇠 제조 및 보안 인쇄 분야는 오랫동안 존재했다. 현대 보안 공학과 컴퓨터 시스템에 대한 우려는 1967년 윌리스 H. 웨어(Willis H. Ware)의 RAND 보고서 "컴퓨터 시스템의 보안 및 개인 정보 보호(Security and Privacy in Computer Systems)"에서 처음으로 확고해졌다.^[2] 이후 1979년에 확장된 이 보고서는^[3] 클라우드 구현부터 임베디드 사물 인터넷까지 현대 컴퓨터 시스템에 영향을 미치는 오늘날 사이버 보안으로 불리는 많은 기본 정보 보안 개념을 제공했다.

가장 두드러진 9/11 테러와 같은 최근의 비극적인 사건들로 인해 보안 공학은 빠르게 성장하는 분야가 되었다. 실제로 2006년에 작성된 보고서에 따르면, 전 세계 보안 산업은 1,500억 미국 달러로 평가되었다.

보안 공학은 사회과학, 심리학 (예를 들어, 모든 오류 원인을 제거하려 하기보다 "잘 실패하도록" 시스템을 설계하는 것), 경제학뿐만 아니라 물리학, 화학, 수학, 범죄학, 건축 및 조경과 같은 측면을 포함한다.^[4] 사용되는 기술 중 일부는 결함수 해석과 같이 안전공학에서 파생되었다.

암호학과 같은 다른 기술들은 이전에는 군사 응용 분야로 제한되었다. 보안 공학을 공식적인 연구 분야로 확립한 선구자 중 한 명은 로스 J. 앤더슨이다.

자격 요건

보안 엔지니어가 되기 위한 단일 자격 요건은 없다.

하지만 일반적으로 컴퓨터 과학, 컴퓨터 공학 또는 보안 과학과 같이 물리적 보호에 중점을 둔 학사 및 석사 학위와 실무 경험(시스템, 네트워크 공학, 소프트웨어 개발, 물리적 보호 시스템 모델링 등)을 조합하면 이 분야에서 성공하는 데 가장 적합하다. 보안에 중점을 둔 다른 학위 자격도 존재한다. 컴퓨터 보안 인증 목록과 같은 여러 국제공인 정보시스템 보안전문가 또는 공인 물리 보안 전문가와 같은 자격증은 이 분야의 전문성을 입증할 수 있다. 자격에 관계없이, 해당 과정은 보안 시스템 동인, 심층 방어, 심층 보호, 상황별 범죄 예방 및 환경 설계를 통한 범죄 예방을 포함한 보안 이론 및 원칙에 대한 지식 기반을 포함해야 보호 전략(전문적 추론)을 설정하고, 공학적 처리 솔루션을 설계하고 의뢰하기 위한 물리학 및 수학을 포함한 기술 지식을 포함해야 한다. 보안 엔지니어는 사이버 보안 및 정보 보안에 대한 지식도 도움이 될 수 있다. 개인 정보 보호 및 컴퓨터 과학과 관련된 이전의 모든 업무 경험도 가치 있게 평가된다.

이러한 모든 지식은 강력한 의사소통 능력과 공학 보고서 작성에 필요한 높은 수준의 문해력을 포함한 전문적인 속성으로 뒷받침되어야 한다. 보안 공학은 보안 과학이라는 이름으로도 불린다.

방법론

주로 컴퓨터 분야의 기술 발전은 이제 훨씬 더 복잡한 시스템을 만들 수 있게 했고, 새로운 복잡한 보안 문제를 야기했다. 현대 시스템은 많은 인간 활동 분야를 아우르기 때문에 보안 엔지니어는 시스템의 수학적 및 물리적 특성뿐만 아니라 사회 공학 공격을 사용하여 해당 시스템을 사용하고 일부를 구성하는 사람들에 대한 공격도 고려해야 한다. 안전한 시스템은 기술적 공격뿐만 아니라 강제, 사기, 사기꾼에 의한 기만에도 저항해야 한다.

웹 애플리케이션

마이크로소프트 개발자 네트워크에 따르면 보안 공학의 패턴 및 관행은 다음 활동으로 구성된다.^[5]

보안 목표
보안 설계 가이드라인
보안 모델링
보안 아키텍처 및 설계 검토
보안 코드 검토
보안 테스트
보안 튜닝
보안 배포 검토

이러한 활동은 소프트웨어 수명 주기에서 보안 목표를 달성하는 데 도움이 되도록 설계되었다.

물리적

일반적인 위협과 사람 및 재산에 대한 일반적인 위험 이해.
위협과 대응책 모두에 의해 생성된 동기 이해.
위험 및 위협 분석 방법론과 시설의 물리 보안에 대한 경험적 연구의 이점 이해.
건물, 중요 기반 시설, 항구, 대중교통 및 기타 시설/단지에 방법론을 적용하는 방법 이해.
일반적인 물리적 및 기술적 보호 방법 개요 및 억제, 탐지 및 완화에서의 역할 이해.
보안 요구 사항을 결정하고 우선순위를 지정하며 인식된 위협 및 사용 가능한 예산과 일치시킨다.

제품

제품 보안 공학은 조직이 생성, 배포 및 판매하는 제품에 특별히 적용되는 보안 공학이다. 제품 보안 공학은 조직이 사업을 수행하는 데 사용하는 기업 네트워크 및 시스템을 보호하는 데 중점을 두는 기업/엔터프라이즈 보안과는 다르다.^[6]

제품 보안에는 다음 사항에 적용되는 보안 공학이 포함된다.

휴대폰, 컴퓨터, 사물인터넷 장치, 카메라와 같은 하드웨어 장치.
운영 체제, 애플리케이션, 펌웨어와 같은 소프트웨어.

이러한 보안 엔지니어는 종종 기업 보안 팀과 별도의 팀에 고용되어 제품 엔지니어링 팀과 긴밀하게 협력한다.

대상 강화

어떤 대상이든 원치 않거나 승인되지 않은 사람이 침투하는 것을 막는 여러 가지 방법이 있다. 방법에는 저지 장벽, 계단 또는 기타 견고한 장애물을 높거나 정치적으로 민감한 건물 외부에 설치하여 차량 및 트럭 폭탄 공격을 방지하는 것이 포함된다. 방문객 관리 방법을 개선하고 일부 새로운 전자 자물쇠는 지문 스캔, 홍채 또는 망막 스캔, 성문 인식과 같은 기술을 활용하여 사용자를 인증한다.

같이 보기

각주

↑ “Security Engineering - an overview | ScienceDirect Topics”. 《www.sciencedirect.com》. 2020년 10월 27일에 확인함.
↑ Ware, Willis H. (January 1967). “Security and Privacy in Computer Systems”.
↑ Ware, Willis H. (January 1979). “Security Controls for Computer Systems: Report of Defense Science Board Task Force on Computer Security”.
↑ “Landscaping for security”. 《Sunset》. 1988. 2005년 10월 13일에 원본 문서에서 보존된 문서. 2025년 10월 30일에 확인함.
↑ “patterns & practices of Security Engineering”.
↑ Watson, Philip (2013년 5월 20일). “Corporate vs. Product Security”. 《SANS Institute Information Security Reading Room》. SANS Institute. 2020년 10월 13일에 확인함.

추가 자료

Ross Anderson (2001). 《Security Engineering》. Wiley. ISBN 0-471-38922-6.
Ross Anderson (2008). 《Security Engineering - A Guide to Building Dependable Distributed Systems》. Wiley. ISBN 978-0-470-06852-6.
로스 J. 앤더슨 (2001). 〈Why Information Security is Hard - An Economic Perspective〉 (PDF). 《Proc. Annual Computer Security Applications Conference》. doi:10.1109/ACSAC.2001.991552. 2006년 10월 11일에 원본 문서 (PDF)에서 보존된 문서.
Bruce Schneier (1995). 《Applied Cryptography》 2판. Wiley. ISBN 0-471-11709-9.
Bruce Schneier (2000). 《Secrets and Lies: Digital Security in a Networked World》. Wiley. ISBN 0-471-25311-1.
David A. Wheeler (2003). “Secure Programming for Linux and Unix HOWTO”. 《리눅스 문서화 프로젝트》. 2007년 4월 28일에 원본 문서에서 보존된 문서. 2005년 12월 19일에 확인함.
론 로스, 마이클 맥이빌리, 재닛 캐리어 오렌 (2016). “Systems Security Engineering” (PDF). 《사물인터넷》. 2016년 11월 22일에 확인함. CS1 관리 - 여러 이름 (링크)

기사 및 논문

[1] “Security Engineering - an overview | ScienceDirect Topics”. 《www.sciencedirect.com》. 2020년 10월 27일에 확인함.

[2] Ware, Willis H. (January 1967). “Security and Privacy in Computer Systems”.

[3] Ware, Willis H. (January 1979). “Security Controls for Computer Systems: Report of Defense Science Board Task Force on Computer Security”.

[4] “Landscaping for security”. 《Sunset》. 1988. 2005년 10월 13일에 원본 문서에서 보존된 문서. 2025년 10월 30일에 확인함.

[5] “patterns & practices of Security Engineering”.

[6] Watson, Philip (2013년 5월 20일). “Corporate vs. Product Security”. 《SANS Institute Information Security Reading Room》. SANS Institute. 2020년 10월 13일에 확인함.

[1]

[2]

[3]

[4]

[5]

[6]