공부

국내에서 운영 중인 총 257개 인증이 통폐합, 삭제 등의 과정을 거쳐 189개로 축소되었다. 유사성, 중복성, 실효성을 따져 개선 조치되었다는 것이 국무조정실의 설명이다. 실제로 다른 선진국의 상황을 살펴보았을 때, 다른 나라는 법정인증은 안전, 의료, 보건으로 한정하기에 우리나라에 비하면 확실히 적은 편이다. 미국 93개, EU 40개, 중국 18개, 일본 14개니 말이다. 뭐 그렇다 한들, 사실 나야 여기서 관심있는 것은 ISMS 뿐이기야 하다. ISMS의 경우, 연매출 100억 이상 의무 → 연매출 300억 이상 의무에 심사 항목과 기간마저 축소하여 엄청난 완화가 되었다. 당장 이 항목만 보면, 아니 그럼 기업 좋은 짓만 시켜주는 것 아니냐는 생각이 들 수밖에 없다. 보안에 있어서 마치 양보를 한..

Gartner 시니어 디렉터 리차드 애디스콧 曰 “생성형 AI는 보안 리더들이 관리해야 할 주요 과제로 강조되고 있지만, 동시에 운영 측면에서는 보안을 강화할 수 있는 기회로 작용하기도 한다. 생성형 AI의 불가피한 영향에도 불구하고 리더들은 올해도 무시하거나 통제할 수 없는 다른 외부 요인들에 계속해서 대응해야 할 것이다." 보안 리더는 이러한 요소의 복합적인 영향에 대응하기 위해, 기업의 회복탄력성과 사이버 보안 기능의 성과를 개선하고자 하는 목표를 가져야 한다. 그들의 보안 프로그램 내에서 다양한 조치, 기술 역량 및 구조적 개혁을 실행할 전망이다. 이에 따라 Gartner가 보안 및 위험 관리 리더에게 광범위한 영향을 미칠 것으로 전망한 6가지 사항은 다음과 같다. 1. 생성형 AI 보안 리더는 ..

늘 그러하듯, 새로운 해에는 새로운 기술을 기반으로 한 새로운 공격이 있기 마련이다. 이에 따라 구글 클라우드에서는 2024 보안 위협에 대한 전망은 물론, 사이버위협 국가 빅4에 대한 보고서를 발표했다. 아래 출처에서 볼 수 있는데, 그냥 아무렇게나 기입해도 다운로드 받을 수 있으니 입력해야 하는 폼을 보고 뒤로가기를 누르지 않아도 좋다. 오늘은 빅4 국가에 대한 내용만 기술하도록 한다. 1. 중국 중국으로부터의 위협은 대만과 관련된 문제, 중국의 지역 패권과 영향력, 주요 시장에 대한 경제적 영향력을 포함한 내부 안정과 영토 통합과 같은 장기적인 우선순위에 의해 계속 추진될 것이라고 한다. 중국의 제국주의적 태도는 2024년에도 당연히 지속될 것이다. 그렇기에 중국 사이버 공격자들은 계속해서 탐지를 ..

과학기술정보통신부가 클라우드 보안인증 등급제를 본격적으로 시행한다. 상중등급 평가기준이 반영된 개정안은 2월 6일부터 2월 26일까지 행정예고 예정이다. 상등급: 기존 평가 기준을 보완 및 강화 - ① 외부 네트워크 차단 ② 보안감사 로그 통합관리 ③ 계정 및 접근권한 자동화 ④ 보안패치 자동화 중등급: 현행 수준 유지 - ① 시스템 격리 ② 물리적 영역 분리. 2가지 평가 항목에 대해 일부 수정 하등급: 합리적으로 완화 하는 것이 기본 골자이다. 과기정통부의 행정 내부시스템을 민간 클라우드로 전환하여 실제적인 환경을 구축하였고, 이를 대상으로 국정원이 보안 진단을 실시하여 등급의 평가 기준을 마련한 것이다. 또한, ISO 27001(정보보안), ISO 27017(클라우드 보안), FedRAMP(미 연방..

최근 그야말로 재해라고 할 수 있을 만큼의 엄청난 규모의 유출이 발생했다. 유출 건만 하더라도 260억에 달하기에, 이 사건은 모든 침해 사건의 어머니(Mother Of All Breaches), 줄여서 모압(MOAB)이라고 부르기로 했다. 세간의 관심이 쏠릴 수밖에 없던 것은, 260억이라는 어마무시한 숫자 때문이었다. 이 거대 유출은 Security Discovery의 공동 창립자이자 사이버 위협 정보 책임자인 Bob Diachenko와 Cybernews팀이 처음으로 발견했다고 한다. 그럼 이 260억 건의 유출에는 과연 어떤 데이터들이 있을까? 과거에 발생한 침해 사건들로부터 유출된 데이터는 물론, 이전에 유출된 적 없는 새로운 데이터들도 포함되어 있다고 한다. MOAB에는 총 4,145개의 데이터..

프라이버시가 중요하다는 것을 부인하는 사람은 거의 없을 것이다. 하지만 막연하게 그렇다고 생각하는 것과 실제로 그것을 잘 실천하는 것은 분명 다르다. 2024년에는 이전보다 더욱 데이터 프라이버시를 지킬 수 있도록 실천하는 한 해가 될 것으로 보인다. 개인정보 보호는 비즈니스 관점에서 볼 때 신뢰를 만들기 위한 중요한 고리가 된다. 흔히 의사들이 환자와 친해지며 일종의 '라뽀'를 형성한다고 치면, 기업은 개인정보를 완벽하게 다루고 보호하고 있음을 고객들에게 보여줌으로써 기업만의 라뽀를 형성하는 것이다. 이에 따라 최고 프라이버시 책임자(ADP)인 제이슨 알버트는 3가지 측면에서 데이터 프라이버시 동향을 예상했다. 1. 세계적인 규제의 확대 미국, 캐나다는 물론이거니와, 세계 곳곳에서 개인정보 보호와 관련..

IT 칼럼니스트인 브랜든 테일러는 최고 복구 책임자(Chief Resilience Officer)인 CRO의 필요성이 대두되고 있다고 주장한다. 이 '복구'라는 업무는 기존에 CISO 또는 CIO가 담당하는 것이었는데, 그대로 두기에는 갈수록 복구에 관한 업무의 비중과 양이 너무 늘어나고 있다는 것이다. 그래서 복구에만 집중할 수 있는 책임자가 필요하다는 것이다. 실제로 eSentire라는 회사에는 CRO라는 직책이 등장하여 인사가 임명된 바 있다. 그리고 그 회사의 CRO인 홉킨스는 CRO의 필요성에 대해 다음과 같이 말했다. "소비자는 더이상 말로만 하는 기업을 신뢰하지 않는다. 그들은 보안에 진심인 증거를 보고싶어 한다." "CRO의 신설은 그것을 가시적으로 보여줄 수 있는 증거의 일환으로 소비자에..

중국 해커 니옌은 지난 1월 28일에 국토부, 청와대를 공격하라는 공지를 텔레그램에 띄우며 다른 해커들의 참여를 유도하였다. 용산의 사무실이 아닌 청와대를 공격하라고 지시한 것으로 볼 때 해커는 윤 대통령의 사무실 이전을 몰랐던 것으로 보인다. 그리고 1월 29일에는 국내 여러 웹사이트의 해킹 정황을 공유하였고, 그 과정을 본인의 유투브에 공개하기도 했다. 해커가 공개한 IP 개수는 1만 개가 넘는 숫자였고, 이와 관련하여 통신사에서 일부 장애가 발생했다고 한다. 실제로 해커는 유투브를 통해 공격에 사용한 도구와 공격에 성공한 IP 명단을 발표하기도 했다. 해당 동영상에는 취약점이 자세히 써있었다고 하며, 현재는 지워진 상태이다. 개인이 지웠는지, 유투브 측에서 지웠는지는 알 수 없는 상태다. 하지만 이..

지난해 국내 공공기관이 하루 평균 162만 건의 공격을 받은 것으로 드러났다. 이는 2022년의 119만 건에 비하면 36%가 증가한 것이다. 그렇다면 공격의 주체는 누구일까? 누구나 쉽게 예상할 수 있듯, 북한이 80%로 압도적인 1위이다. 그 뒤를 중국, 러시아 등이 차지했다. 개인적으로 북한에 대해서는 특히나 인터넷 여론에 비해 더 나쁘게 생각해야 하고, 실제 국민 반응도 그럴 것이라 생각하는 이유가 이것이다. 사이버 공격을 밥먹듯 하는 나라가 북한이고, 그중에는 디도스 같은 공격도 있겠다만, 여론 공작도 분명 상당수가 있을 것이다. 그리고 포탈 사이트와 친근한 상당수의 국민들은 이러한 사실에 대해 정확히는 모르더라도, 어렴풋이는 인지하고 있을 것이다. 특히나 여기가 중국인가? 북한인가? 싶은 수준..

최근 몇 년 사이, 중국발 공격자의 해킹에 따른 가정용 IP 카메라 유출이 화제되고 있다. 내가 무방비로 있을 수 있는 공간이 노출된다는 것은 정말이지 끔찍한 일이다. 아파트에 입주할 때부터 이미 설치되어 있는 월패드 같은 것들은 선택사항이 아니겠다만, 노인을 위한 홈 IP 카메라, 반려동물을 위한 펫 IP 카메라의 설치를 위해 소비자들은 고민을 할 수밖에 없다. 누군가는 가성비를 위해 저렴한 카메라를 고를 것이고, 누군가는 그래도 대기업이면 믿을 수 있겠다는 생각에 대기업 제품을 구매할 수도 있다. 그런데 현재 IoT 인증 현황을 확인한 결과, IP 카메라 인증 취득 기업은 단 1곳에 불과한 것으로 드러났다. IoT 인증은 Internet of Things 제품에 대해 보안인증제도를 운영하여 안전과 산..