정부 기관을 위한 공공 부문 데이터 보안
싱가포르 권고안

규정 개요

싱가포르 정부는 데이터 보안의 중요성을 재확인하면서 "데이터 보호를 강화하기 위한 기술적 조치를 권고하기 위해 업계와 전 세계 전문가의 견해를 구하고 있습니다."

이는 2019년 3월 리셴룽 총리가 소집한 공공 부문 데이터 보안 검토 위원회에서 발표된 내용입니다. 위원회는 데이터 유출 위험 영역과 일반 원인을 식별하기 위해 94개 공공 기관의 336개 시스템에 대해 종합적인 검토와 검사를 실시했습니다. 2019년 11월에 이를 완료한 위원회는 공공 부문 데이터 보안 검토 위원회(PSDSRC) 보고서에 공공 부문에 대한 5가지 주요 권장안을 포함했습니다. 이 권장안을 구현하게 되는 경우 다음과 같은 효과가 나타납니다.

1. 데이터 보안 위협을 효과적으로 방지하고 데이터 사고 발생을 최소화합니다.
2. 데이터 사고를 신속하고 단호하게 감지, 대응하고 모든 사고를 통해 학습합니다. (c) 데이터 보안 역량을 구축하고, 데이터를 안전하게 공유, 사용하는 면에서 탁월한 문화를 고취합니다.
3. 데이터 보안 역량을 구축하고, 데이터를 안전하게 공유, 사용하는 면에서 탁월한 문화를 고취합니다.
4. 공공 부문 데이터 보안 제도의 책임과 투명성을 높입니다.
5. 높은 수준의 보안을 유지하고 새로운 문제에 적응할 수 있는 조직 구조를 마련합니다.

기술이 발전하고 더욱 많은 시스템이 더욱 통합되고 위험이 점점 다각화되면서 이러한 위원회의 권장안은 기존 격차를 해결하고 탄력적인 데이터 보안 제도를 구축할 것입니다.

싱가포르 정부는 2021년 말까지 정부 시스템의 80%에 이 조치를 시행하는 것을 목표로 삼고 있습니다. 복잡하거나 상당한 재설계가 필요한 시스템을 포함하는 나머지 20% 시스템의 추진 일정은 2023년 말입니다. 그동안 기관은 관련 데이터 위험을 관리하는 데 필요한 적절한 조치를 시행할 예정입니다.

권고안 설명

1.1: 데이터 수집, 데이터 보존, 데이터 액세스 및 데이터 다운로드를 최소화하여 공격 노출 영역을 줄입니다.

• 필요한 경우에만 데이터 수집 및 보관
• 엔드포인트 장치로의 데이터 확산 최소화
• 당면한 작업에 대해 데이터 접근 및 사용

1.2: 데이터 트랜잭션의 로깅 및 모니터링을 강화하여 위험도가 높거나 의심스러운 활동을 감지합니다.

• 로그와 기록을 강화하여 고위험 활동을 더욱 정확하게 찾아내고 대응하고 개선하도록 지원합니다.
• 의심스러운 활동을 감지하고 사용자에게 경고하거나 승인되지 않은 활동을 자동 중지합니다.

1.3: 데이터가 추출되거나 가로채더라도 사용할 수 없도록 저장 및 배포되는 데이터를 직접 보호합니다.

• 데이터가 저장소에서 유출되더라도 사용할 수 없게 렌더링합니다.
• 전체 데이터를 부분적으로 숨깁니다.
• 배포 과정에서 데이터를 보호합니다.

1.4: 고급 기술 조치에 대한 전문성을 개발하고 유지합니다.

1.5: 데이터 보안 감사 프레임워크를 강화하여 데이터 사고가 발생하기 전에 관행과 정책의 차이를 감지합니다.

1.6: 제3자가 적절한 보호를 통해 정부 데이터를 처리할 수 있도록 제3자 관리 프레임워크를 강화합니다.

또한, 위원회는 광범위한 구현을 실행하기에는 아직 이르거나 쉽게 통합할 수 없는 6가지 고급 기술 수단도 식별했으며 이는 (i) 동형 암호화 (ii) 다자간 승인 (iii) 차등 개인정보 (iv) 동적 데이터 난독화와 마스킹 (v) 데이터 파일의 전자 서명 (vi) 안전한 파일 형식입니다.

탈레스 CPL은 다음과 같은 수단을 통해 조직이 정부 기관의 공공 부문 데이터 보안을 준수하도록 지원합니다.

• 데이터 액세스 제어
• 저장 데이터의 암호화 및 토큰화(가명화)
• 사용자 액세스 로그 유지 및 모니터링

이러한 권장안은 공공 서비스를 제공하고 운영 절차를 실행하거나 정책 기획을 위한 컨설팅 서비스를 제공하고자 공공 부문 데이터를 처리하는 정부 기관과 비정부 기관을 대상으로 합니다.

데이터 액세스 제어

• 탈레스 CPL의 CipherTrust Transparent Encryption(CTE)를 이용하는 조직은 민감한 정보를 포함하는 정보 시스템의 사용자 특권 액세스를 제한할 수 있습니다. CTE는 중단, 작업, 비용을 최소화하면서 데이터 보안 규정 준수 요건과 모범 사례 요건을 충족하도록 만들어졌습니다. FIPS 140-2 레벨 3 인증 제품인 CipherTrust Manager와 함께 작동하여 CipherTrust Data Security Platform (CDSP)의 암호키, 정책 관리를 일원화합니다.
• 클라우드 기반 액세스 관리 서비스인 SafeNet Trusted Access(STA)는 클라우드 및 웹 싱글 사인온(SSO)의 편리성과 세분화된 액세스 보안을 결합한 제품입니다. 신원을 검증하고, 접근 정책을 시행하며, 스마트 싱글 사인온을 적용하는 기업은 탐색이 간편한 하나의 콘솔을 이용해 수많은 클라우드 애플리케이션에 안전하고 편리하게 접근할 수 있습니다.
• 탈레스의 SafeNet CBA(인증서 기반 인증) 스마트카드 솔루션을 IT 인프라의 구성 요소로 추가하면 다중 인증을 요구함으로써 클라이언트 로그온 보안을 크게 향상할 수 있습니다. 여러 요소를 추가하면 워크스테이션과 엔터프라이즈 네트워크에서의 보안 로그인을 보장할 수 있으며 복잡하고 값비싼 암호를 제거하고 헬프데스크 문의를 크게 줄일 수 있습니다.
• SafeNet 인증 및 액세스 관리 솔루션을 이용하면 온프레미스, 클라우드 기반 서비스를 위한 통합 인증 인프라를 활용하여 모든 액세스 정책을 일원화하여 종합 관리할 수 있습니다. 사용자는 기존 SafeNet 인증 메커니즘을 통해 Office 365, Salesforce.com 또는 GoogleApps와 같은 엔터프라이즈 클라우드 서비스에 로그인할 수 있습니다.

암호화 및 토큰화

• CipherTrust Transparent Encryption(CTE)는 중앙 집중식 키 관리, 권한 사용자 액세스 제어, 상세한 데이터 액세스 감사 로깅을 통해 저장 데이터 암호화를 제공합니다. 이를 통해 온프레미스 환경이나 멀티 클라우드 환경, 빅데이터 및 컨테이너 환경 등 데이터 위치가 어디든지 보호할 수 있습니다. CTE는 중단, 작업, 비용을 최소화하면서 데이터 보안 규정 준수 요건과 모범 사례 요건을 충족하도록 만들어졌습니다. FIPS 140-2 레벨 3 인증 제품인 CipherTrust Manager와 함께 작동하여 CipherTrust Data Security Platform (CDSP)의 암호키, 정책 관리를 일원화합니다.
  또한 Kubernetes용 CTE는 암호화, 사용자 및 프로세스 기반 액세스 제어, 데이터 액세스 로깅을 통해 영구 볼륨의 민감한 데이터를 보호할 수 있습니다. 개발자는 이 솔루션으로 컨테이너 내부에 보안 제어를 구축할 수 있습니다. 이 CTE 확장 프로그램을 사용하면 컨테이너 내부의 데이터와 컨테이너에서 액세스할 수 있는 외부 스토리지 모두를 대상으로 컨테이너별 데이터 보호를 적용할 수 있습니다.
• CipherTrust Tokenization은 획기적으로