태그검색
찾고 싶은 것이 있나요?
보안에 대한 207개의 태그 검색결과가 있습니다.
- 블로그 [보안동향] 이젠 선택이 아닌 필수! DX 필수템 ‘전자문서’ 2편 지난 글에서는 전자문서의 긍정적, 부정적 요인과 전자문서의 전망을 살펴봤습니다. 이번 글에서는 전자문서 관련 인증 및 평가 제도에 관해 알아보겠습니다. 전자문서 관련 인증 및 평가 제도 전자문서는 전자문서법을 기반으로 3가지 제도로 나뉩니다. 1) 전자문서를 생성하는 전자화작업장, 2) 공신력을 기반으로 전자문서를 보관하는 공인전자문서센터, 3) 공신력 있는 전자문서를 유통하는 공인전자문서중계자입니다. 1. 전자화작업장‘전지화작업장’이란 종이 문서를 스캔해 생성되는 전자화 문서와 종이 문서 원본의 내용 및 형태의 동일성 요건을 준수해 전자화문서를 신뢰성 있게 생성하는 곳입니다. 즉,...
- 블로그 [보안동향] 이젠 선택이 아닌 필수! DX 필수템 ‘전자문서’ 1편 ‘전자문서’란 정보처리시스템에 의해 전자적 형태로 작성, 송·수신, 저장, 검색할 수 있는 정보로 생성된 문서를 뜻합니다. 코로나19로 인해 비대면∙원격근무 전환이 급속도로 이뤄지고 있는데요. 이러한 디지털 트랜스포메이션(DX) 흐름 속에서 종이가 사라지는 페이퍼리스(Paperless) 트렌드가 빠르게 확산되고 있습니다. 더불어, 전자문서 관련 법인 ‘전자문서 및 전자거래 기본법’ (이하 ‘전자문서법’) 개정∙시행 시기가 함께 맞물리면서 전자문서 산업이 더욱 주목받고 있습니다. 전자문서의 전망 1. 긍정적 요인 전자문서법 개정을 통한 전자문서 효력 강화전자문서법이 2020년 6월 일부 개정되고 같은 해...
- 블로그 [클라우드보안] AWS 계정을 ‘철통방어’하는 세 가지 방법 L사에 다니는 A 선임은 AWS 아키텍처입니다. 현재 대규모 프로젝트에 참여하고 있는 A 선임은 업무를 마치고 기분 좋게 퇴근했습니다. 그런데 다음날 A 선임은 AWS 리소스의 권한이 변경되거나 삭제된 것을 알게 됐습니다. 이 사실을 PM에 보고하니 PM은 화를 냈습니다. A 선임은 개발자들에게 사고 발생 사실을 알리고 사과 메일을 돌렸고, 여기저기서 한숨 소리가 들렸습니다. A 선임은 경위서와 야근을 준비해야 했습니다. 혹시 A 선임과 비슷한 경험을 하신 적 있나요? 없더라도 A 선임과 같은 일을...
- 블로그 [보안동향] 네트워크망 보안을 책임질 ‘삼총사’는 누구? 네트워크팀에 근무하는 김 과장은 내부망을 구성하는 프로젝트를 진행하고 있습니다. 그런데 프로젝트가 끝나갈 무렵, 외부 보안감사에서 내부망 보안 조치 미흡으로 시정 요청을 받았습니다. 이때, 김 과장은 어떻게 조치해야 할까요? 이와 같은 상황에서 기업에 도입해야 하는 보안 장비 3가지에 대해 알아보도록 하겠습니다. 첫째, 정책에 따라 트래픽을 통제해주는 방화벽입니다. 방화벽은 L3 레이어에서 동작하는 장비로 IP, Port 기반으로 트래픽을 통제합니다. 정해진 규칙에 따라 동작하며, inbound/outbound 트래픽을 모니터링해 필터링합니다. 방화벽을 사용하면 승인받지 않은 사용자의 내부망...
- 블로그 [보안동향] ‘정보보호 공시’ 분석부터 작성까지 한 번에 끝내세요! 지난 글에서는 정보보호 공시 개요와 대응 업무 절차, 정보보호 공시 준비 자료를 살펴보았습니다. 이번 글에서는 정보보호 공시 자료 분석 및 작성에 관해 알아보겠습니다. 정보보호 공시 자료 분석 및 작성 정보보호 공시 투자 영역 집계는 자산 대장과 비용 원장을 기반으로 분석을 진행합니다. 아래는 분석과 관련된 한국인터넷진흥원(KISA)의 가이드와 공시 실무교육 자료를 요약한 내용입니다. 앞에서 언급한 기본적인 분류 기준 방안을 기반으로 아래 세부 항목별 작성을 진행해 보도록 하겠습니다. 자산 분류, 집계와 관련해 KISA...
- 블로그 [보안동향] 정보보호도 ESG! 어떻게 진행해야 할지 막막하다면? 지난 글에서는 정보보호 공시 배경과 정보보호 관련 ESG 동향에 관해 알아보았습니다. 이번 글에서는 정보보호 공시 개요와 함께 대응 업무 범위 및 수행 절차를 살펴보겠습니다. 정보보호 공시 배경 정보보호 공시는 아래의 의무 대상 기업이 정보보호 투자액, 인력, 정보보호 인증, 정보보호 활동을 공시하도록 규정하고 있습니다. 정보보호 공시 진행 시에 회계법인 또는 감리법인을 통해 정보보호 공시 사전 점검자료를 제출한 후 공시하는 경우에는 사후 검증 면제의 혜택이 제공됩니다. 사후 검증의 경우, 공시 후 제출 기업 중 20% 표본 기업을 대상으로 제출한 공시 내용에 대한 사후 점검을 수행합니다. 제출 기업의 정확한 공시 작성은 물론 제출된 공시 자료를 검증해 신뢰도를 높이고자 하는 검증 절차상의 단계입니다. 다수의 기업이 전문 회계 법인이나 감리 법인을 통해 정보보호 공시를 준비하는데요. 이는 보안 관련한 공시 작성 분야지만 회계, 인사의 인건비 회계 처리 등과 관련한 전문성이 필요하기 때문입니다. 또한, 고객 현업팀의 경우 수행 업무의 부담을 최소화하고 사후 검증에 대한 부담을 줄이고자 전문 회계법인, 감리법인을 통해 수행하고 있음을 알게 됐습니다. 정보보호 공시를 진행할 때 주의해야 하는 사항이 몇 가지 있습니다. 이 중 첫 번째가 정보보호 공시 시스템의 선정입니다. 아래의 표와 같이 기본은 과학기술정보통신부에서 운영하는 전자공시시스템(ISDS)에 공시하는 것이 원칙인데요. 특히 주의사항으로 한국거래소 상장공시시스템(KIND)에 자율 공시하는 경우, 예를 들어 정정 공시 처리 규정 등에 따라 공시 위반 제재를 받을 수 있습니다. 따라서 정보보호 ISDS를 통해 공시를 진행해야 합니다. 정보보호 공시 준비/대응 업무 범위 및 수행 절차 공시 대응과 준비를 위해서 제일 먼저 해야 하는 업무는 설명회를 기반으로 한 착수 회의의 진행입니다. 회계팀, 정보기술팀, 인사팀, 기타 유관 부서를 식별하고 관련 부서장과 실무자를 대상으로 한 설명회를 진행하는데요. 이를 통해 제도 및 필요한 자료 요청에 대한 설명, 진행 일정을 공유해 효율적으로 수행할 수 있습니다. 설명회 전에는 정보기술 전담 조직 식별 및 정보보호 조직의 식별을 선행해야 합니다. 이후 설명회 시에 인사팀을 통해 인원, 인건비와 관련한 자료 작성을 요청해야 합니다. 이때 아래 가이드와 같이 전담 조직의 경우, 조직 즉 상위 부서 또는 팀 단위 전체를 대상으로 요청하면 작업이 좀 더 쉽습니다. 정보보호 조직의 경우, 정보보호 업무를 전담으로 하는 인원을 대상으로 인원별 인건비 산정을 진행해야 합니다. 만약 보안 전담 부서는 아니지만, 정보보호 직무를 100% 전담하고 있는 인원이 있는 경우는 정보보호 부문 직무기술서를 작성하고 CEO 또는 CISO(Chief Information Security Officer)의 서명을 받아 증거자료를 준비하고, 인원수와 인건비 산정을 진행해야 합니다. 근무 인원수와 인건비 산정 시 월별로 대상 연도에 근무한 인원의 수와 해당 인원의 급여, 상여, 퇴직급여, 급여성 복리후생비의 합계를 급여 대장을 통해 비용 산정해야 합니다. 또한, 비용 원장 분석 시 인사팀을 통해 별도 산정을 진행하게 되면 비용원장에서 급여성 비용 계정을 제외해 중복으로 합산되지 않도록 진행해야 합니다. 정보보호 공시 준비 자료 요청 투자액 산정 시 사용되는 자산 대장과 비용원장 분석은 가장 많은 시간이 소요되는 작업입니다. 두 자료 모두 회계팀을 통해 입수하게 되는데요. 사전 설명회를 통해 원하는 데이터를 정확하게 받기 위해 템플릿과 샘플 양식(KISA 가이드 참조)을 기반으로 사전 요청을 진행해야 합니다. 자산 대장의 경우 자산 유형 중 정보기술이나 정보보호와 관련된 유형을 식별해서 요청할 수도 있지만, 누락 등이 발생할 수 있으므로 전체 자산대장을 입수해 분석하는 것을 권장합니다. 비용원장의 경우, 자산 대장보다는 정보기술/정보보호 비용이 회계기준에 따라 처리되는 계정이 비교적 명확합니다. 따라서 KISA에서 요구하는 주요 정보기술과 관련한 비용 계정을 중심으로 입수해 분석을 진행합니다. 외주 용역비 내역의 경우 비용원장상에서 수수료-외주용역 또는 수수료-전산 용역을 통해 정보기술의 비용 분류가 가능하지만, 대부분의 경우 정보보안관련 내역이 포함돼 있습니다. 따라서 용역과 관련 기안서 및 계약서를 확보해 관련 비용 중 정보보안 관련한 인원, 비용 금액을 별도로 확인해야 합니다. [출처 및 참고...
- 블로그 [보안동향] 이것도 ESG? 이젠 ‘정보보호 공시’도 챙겨야 할 때! 정보보호 공시 배경 정보보호 공시제도는 2021년 처음으로 시행됐습니다. 정보보호산업의 진흥에 관한 법률 개정에 따라 공시의무대상 기업은 작년 6월 30일 전까지 정보보호 투자/인력/인증/활동 현황을 공시시스템상에서 의무 공시를 하게 됐습니다. 제도가 시행되기 전인 2016년부터 한국인터넷진흥원(KISA)에서는 사전 정보보호 공시 모의 수행 및 검증 지원 사업을 진행해 왔는데요.정보보호에 대한 객관적인 기업의 투자와 정보보호 활동을 판단할 수 있는 기준을 제시했습니다. 이를 통해 투자자/이용자에게 기업 신뢰도 평가와 이용자 보호를 위한 객관적 정보를 제공받아 평가할 수 있게 됐습니다. 최근 ESG 경영과 기업의 ESG 평가에 국내외 정보보호 항목이 포함됐습니다. 기업 경영에서 고려해야 할 중요한 변수로 정보보호 투자 및 인력 현황과 같은 보안과 관련된 비재무적 요소가 포함된 것이죠. 이러한 흐름 속에서 정보보호 공시제도와 정보보호의 중요성이 급부상하게 됐습니다. 작년 첫 시행된 정보보호 공시제도를 통해 기업 고객과 서비스 사용자는 기업이 어느 정도 정보보호에 투자하고 있고, 정보보호 전담 인력을 얼마나 보유하고 있는지 알 수 있게 됐습니다. 기업 경영에 있어 보안을 얼마나 중요시하는지 객관적인 공시 자료를 통해 살펴볼 수 있게 된 것인데요. 특히 개인정보를 다수 보유하고 있는 서비스 기업의 보안 관련 투자와 전담 인력 보유 수준 등은 향후 제품이나 서비스 선택에 있어 하나의 기준이 될 수 있음을 보여줬습니다. 또한, ESG 경영이나 평가에 있어 정보보호 준수 및 수준 향상 등이 앞으로의 기업 경영과 향후 예상되는 공시 의무화 및 제품 서비스의 해외 수출에 있어서 리스크가 될 수 있는데요. 따라서 중 장기적인 관점에서 ESG 경영의 일환 및 평가지표로서 정보보호 공시제도의 중요성이 더욱 커질 것으로 예상됩니다. 아래는 제도 첫 시행 후 다수 언론을 통해 보도된 기사입니다. 전과 달리 정보보호 투자액과 비중, 그리고 전담인력의 수준을 기업별로 한눈에 확인할 수 있습니다. 한 가지 놀라운 사실은 국내에서 대규모의 사용자와 서비스를 제공하는 해외 서비스임에도 불구하고 정보보호 인력을 보유하고 있지 않거나 투자액을 공개하지 않는 다국적 기업이 있다는 사실이었습니다. 과연 내년에는 인력을 채용하거나 투자현황을 공개하게 될지 궁금해집니다. 정보보호 공시를 통한 ESG경영 기여 및 대외 신뢰도 향상 정보보호 자율 공시를 통해 정보를 공개하는 기업의 경우, K-ESG 점검 항목 충족을 통해 ESG 평가 지수가 향상될 수 있습니다. 이를 통해 기업의 대외 신뢰도 향상 및 사이버 대응 신뢰도와 대응 능력을 향상시킬 수 있죠. 또한 이용자 보호와 국내...
- 블로그 LG CNS 보안 공개 강의에 여러분을 초대합니다! LG CNS 보안사업담당에서 現 보안 회사 재직자와 정보보호학과 대학생을 대상으로 무료 보안 강연을 진행합니다! 이번 강연은 오는 21일 LG사이언스파크 ISC동에서 오프라인으로 진행되며, 참석 인원은 최대 40명 규모로 진행될 예정입니다. 이번 강연 주제로는 보안 취약점 점검, 보안 심사, 모의해킹 사례, BLACKHAT 2022 USA 참관후기 등 실무와 관련된 다양한 주제를 다룰 예정입니다. 보안 분야에 관심있는 분들의 많은 신청 부탁드립니다. 최종 참석자분들께는 자세한 내용에 대해 추후 개별 통보 드릴 예정입니다. 글 ㅣ LG...
- 블로그 [보안동향] 효율적인 ‘방화벽 정책 관리’ 두 가지만 기억하세요! 2편 지난 글에서는 방화벽 정책 관리의 주요 문제점을 알아보았습니다. 이번 글에서는 방화벽 정책의 효율적인 관리 방안을 살펴보겠습니다. 방화벽 정책의 효율적인 관리 방안은 무엇일까요? 그렇다면 방화벽 정책의 효율적인 관리 방안은 무엇일까요? 1. 먼저 기업, 기관의 업무환경에 맞는 정책관리 기준과 절차를 수립하고 이행하는 것입니다. 기업과 기관에서는 수년간 운영해오던 수많은 방화벽 정책에서 단 한개의 잘못된 삭제가 서비스 중단으로 이어지진 않을까 하는 불안감 때문에 정책 관리를 포기할 수 있습니다. 이러한 사태를 예방하기 위해, 네트워크 Zone 분리를 위한 내/외부 방화벽 서비스 용도에 맞은 운영 기준을 설정해야 합니다. 또한 서비스, 관리/운영, 테스트, 차단 룰 등의 룰 관리 정책을 수립하고 정기적으로 적정성 검토를 수행하는 절차가 필요합니다. 아래 정책 관리 라이프 사이클과 같이 정기적으로 위험분석을 수행한다면 내부 보안 강화에 많은 도움이 될 것입니다. 2. 방화벽의 정책 관리 계획을 수립했다면, 먼저 내부 인프라 환경과 업무 서비스의 정확한 이해가 뒷받침돼야 합니다. 이처럼 다양한 업무 서비스 유형, 네트워크 구성 현황, IP 주소 관리체계 등 인프라 환경에 대한 변경 사항과 업무 이해도를 바탕으로 적용된 정책 분석이 필요합니다. 또한 적용된 정책을 어느 정도의 수준까지 개선할지 목표와 범위를 설정하고 분석해야 합니다. 마지막으로 방화벽 정책 최적화 컨설팅을 수행하면서 느낀 점은 고객사가 방화벽 정책 관리에 대한 니즈는 있으나, 정책의 수정으로 인해 발생할 수 있는 업무 영향 범위에 대한 부담을 공통으로 느끼고 있다는 것이었습니다. 상용 솔루션을 통해 방화벽 정책 관리 솔루션을 도입해 운영하는 것은 좋은 대안입니다. 하지만 방화벽 정책 관리 솔루션을 도입했다고 해서 방화벽 정책이 자동으로 최적화되는 것은 아닙니다. 결국 솔루션에서 검출된 레포트 내용을 이해하고, 판단해 적용하는 것은 보안 담당자의 중요한 역할이기 때문이죠. 앞서 설명한 것처럼 기업 내 인프라 환경과 업무 서비스의 이해도가 낮아 정책 개선을 위한 판단의 어려움을 겪고, 도입된 솔루션을 운영하지 못하는 사례도 있었습니다. 따라서 기업 내 도입된 보안솔루션 운영을 위한 위탁업체와의 업무 프로세스, 업무 R&R을 재점검하고, 보안 솔루션별로 적용된 정책의 적정성을 정기적으로 검토하고 개선해야 합니다. 이러한 보안관리 프로세스를 업무에 적용해 수많은 보안장비의 정책을 더 효율적으로 관리하는 방안을 수립할 수 있습니다. 네트워크 접근통제의 컴플라이언스 요건에 대해 살펴볼까요? – 개인정보보호법: 개인정보 수집 및 활용 시 개인정보보호법 준수 (제29조, 안전성 확보조치 기준 제6조(접근통제)– 정보통신망법: 대외서비스용 시스템의 정보통신망법 준수 (제28조, 기술적 관리적 보호조치 기준 제4조(접근통제)– ISMS-P: 대외서비스용 시스템의 정보통신망법 준수 (제28조, 기술적 관리적 보호조치 기준 제4조(접근통제) 보이지 않는 사각지대에 보안 홀과 위협이 있는지 사전에 점검하고 개선한다면, 내부 비즈니스 환경 변화와 고도화되고 있는 외부 위협에 효과적으로 대응할 수 있을 것입니다. 글 ㅣ LG CNS 사이버시큐리티팀 신용의 책임
- 블로그 [보안동향] 효율적인 ‘방화벽 정책 관리’ 두 가지만 기억하세요! 1편 AI(인공지능), IoT(사물인터넷), 클라우드 등 빠르게 변하는 IT 환경 속에서 해킹 기술 또한 날로 지능화·고도화되고 있습니다. 보안사고도 매일 끊임없이 발생하고 있죠. 이번 글에서는 기업, 기관의 보안담당자와 정보보호 책임자가 간과하기 쉬운 네트워크 접근통제 보안영역 중 ‘방화벽 정책 관리’에 대해 고민해 보고, 대응 방향을 제시하고자 합니다. 방화벽 정책 관리는 왜 필요하고, 왜 중요한 걸까요? 보안관리 절차에 따라 검토, 승인된 정책만 적용하고 있다면 보안에 문제가 없는 걸까요? 방화벽 정책 수립과 최적화 컨설팅을 몇 차례 수행하면서 알게된 점이 있습니다. 통제·보호해야 할 대상을 정확하게 식별해 보호 대상 시스템 변화에 따른 정책을 관리하고, 불필요하게 허용된 정책은 없는지 정기적으로 점검하고 관리하는 기업과 기관이 많지 않다는 것입니다. 방화벽 정책 관리의 주요 문제점은 무엇일까요? 방화벽 정책 관리의 첫 번째 문제점은 기업마다 방화벽 정책 적용을 위한 승인 절차는 있으나, 정기적으로 정책을 점검하고 개선하는 절차가 없다는 것입니다. A사(ISMS-P 인증 기업)의 사례를 살펴보겠습니다. A사는 인터넷 대민서비스망 방화벽에 약 1,600개의 룰을 적용해 운영하고 있습니다. 한국인터넷진흥원(KISA)의 ISMS-P(개인정보 보호관리체계 인증제도) 인증심사 결과 매년 방화벽 정책의 관리에 대한 결함이 있었으나, 해당 룰에 대한 조치만 수행해 왔음을 확인할 수 있었습니다. B사의 사례를 보겠습니다. B사는 사용자 인터넷 서비스망에 UTM(Unified Threat Management, 통합 위협 관리) 기능이 탑재된 방화벽의 부가 기능인 유해사이트 차단, 악성코드 탐지 기능을 효율적으로 적용해 운영하고 있었는데요. 적용된 방화벽 정책 수는 약 1,200개에 달했습니다....
- 블로그 [보안동향] 개인정보 해외 이전, ‘이것’만 체크하면 걱정 끝! 2편 지난 글에서는 CBPR(Cross Border Privacy Rules)의 장점과 함께 적용 사례를 살펴보았습니다. CBPR은 ‘국경 간 프라이버시 규칙’이라는 의미로, 회원국 간 데이터 활용을 장려하기 위한 개인정보보호 자율인증제도입니다. 이번 글에서는 CBPR과 ISMS-P(개인정보 보호관리체계 인증제도)의 차이점과 CBPR 인증 심사 절차에 관해 알아보겠습니다. CBPR 인증기준, ISMS-P와의 차이는? 인증기준은 아래와 같습니다. CBPR은 개인정보 항목만 다루고 있습니다. ISMS-P에서 개인정보 관련 부분이 CBPR과 유사한데요. 실제로 CBPR을 신청할 때 ISMS-P 획득 여부를 기입하도록 하고 있습니다. CBPR 인증기준이 ISMS-P 보다 낮기 때문에 ISMS-P 인증기업이라면 CBPR도 어렵지 않게 인증 받을 수 있는데요, CBPR 인증 심사 절차는? 인증 심사를 신청하기 위해서는 인증기관에 필요한 서류를 준비해 이메일로 제출해야 합니다. 서류는 개인정보보호 국제협력센터에서 다운로드(https://www.privacy.go.kr/pic/cbpr_reference.do) 받을 수 있습니다....
- 블로그 [보안동향] 개인정보 해외 이전, ‘이것’만 체크하면 걱정 끝! 1편 CBPR(Cross Border Privacy Rules)은 ‘국경 간 프라이버시 규칙’이라는 의미로, 회원국 간 데이터 활용을 장려하기 위한 개인정보보호자율인증제도입니다. CBPR은 개인정보 보호를 위한 법체계 개발에 고려해야 할 국제 원칙과 지침으로 USMCA(US-Mexico-Canada Agreement, 미국-멕시코-캐나다 협정), SADEA(Singapore-Australia Digital Economy Agreement, 싱가포르-호주 디지털 경제 협정)에 포함됐는데요. 국경 간 데이터 이전에 CBPR의 효율성이 인정받고 있습니다. CBPR은 어떤 기업이 인증받는 게 좋을까요? GDPR(General Data Protection Regulation, 일반 개인정보 보호법)은 CBPR보다 높은 요건으로 국경간 이전과 관련해 개인정보 보호의 관점에서...