다섯 살도 알 수 있게 · 보안

보안 정책이 뭐예요?

보안 정책(Security Policy)을 사람마다 제각각이던 성에 왕이 규칙 두루마리를 써서 걸어두는 이야기로 풀어봤어요.

성 사람마다 다르게 해요. 누구는 잠그고, 누구는 안 잠가요.종이를 책상에 두고 가는 사람도, 열쇠를 빌려주는 사람도 있어요. 다들 '그건 그 사람 방식'이래요.

도둑은 제일 헐렁한 문으로 와요. 새 사람은 누굴 따라야 할지 몰라요.잘 잠근 아홉 문은 소용없어요. 정한 게 없으면 성 전체가 제일 헐렁한 사람만큼만 안전해요. 도둑 수업도 가르칠 규칙이 있어야 해요.

보안 정책은 왕이 쓴 규칙 두루마리예요. 무엇을, 어떻게, 예외는 도장으로.'무엇을'이 정책이에요 — 문은 늘 잠근다. '어떻게'는 표준과 절차예요 — 쇠 자물쇠로, 나갈 때마다. 예외는 왕의 도장이 있을 때만이에요.

무엇을 — 정책문은 늘 잠근다

어떻게 — 표준·절차쇠 자물쇠, 나갈 때마다

예외는 도장으로'이번만'도 종이에

읽히고 연습돼야안 그러면 종이예요

두루마리는 읽히고 연습돼야 해요. 예외는 왕의 도장으로만이에요.안 읽힌 두루마리는 그냥 종이예요. 그래서 도둑 수업에서 같이 읽어요. "이번만"도 종이에 남겨요 — 나중에 왜 열려 있었는지 알 수 있게요.

이제 누가 와도 같은 답이에요. 검사관도, 새 사람도요.규칙이 있으니 지킬 수 있고, 지켰는지 잴 수도 있어요. 검사관은 두루마리부터 봐요. 열쇠를 누가 갖는지는 열쇠 꾸러미가 정해요.

한 줄로

보안 정책 = 왕이 써서 도장 찍은 규칙 두루마리. 무엇을(정책) → 어떻게(표준·절차) → 예외는 도장으로. 읽히고 연습돼야 종이가 아니에요.

Security Policy. 경영진이 승인한 '무엇을 지킬지'의 문서예요. 그 아래 표준(구체적 기준)과 절차(순서)가 따르고, 예외는 승인 기록을 남겨요. 정기적으로 검토하고, 교육으로 전파해야 실제로 작동해요.

정책 Policy: 무엇을. '문은 늘 잠근다.' 왕이 쓰고 도장 찍은 한 줄. 잘 안 바뀌어요.
표준 / 절차 / 가이드라인 Standard / Procedure / Guideline: 어떻게. 표준은 '쇠 자물쇠로', 절차는 '나갈 때 1) 닫고 2) 잠그고 3) 열쇠는 경비실에', 가이드라인은 '이렇게 하면 좋아요'.
허용 사용 정책 Acceptable Use Policy (AUP): 성 안에서 해도 되는 것. 성의 도구를 뭐에 써도 되고 뭐에 쓰면 안 되는지. 새 사람이 제일 먼저 읽는 두루마리예요.
예외 승인 Exception approval: 왕의 도장. '이번만'은 종이에 적고 도장을 받아요. 언제까지인지도요.
정책 검토 주기 Policy review cycle: 매년 다시 읽기. 성이 바뀌면 두루마리도 바뀌어야 해요. 보통 1년마다 다시 봐요.
인식 교육 Security awareness training: 두루마리 읽는 수업. 안 읽힌 두루마리는 종이예요. → 성 사람 모두가 듣는 도둑 수업
규정 준수 Compliance: 검사관이 두루마리를 봐요. 이웃 나라 규칙과 우리 두루마리가 맞는지. → 이웃 나라 규칙 검사관
최소 권한 Least privilege: 필요한 열쇠만. 두루마리의 단골 규칙 — 열쇠는 일에 필요한 만큼만. → 모자마다 열쇠 꾸러미

다음 이야기

다른 용어도 그림책으로 보고 싶다면 요청하기 →