태그검색
찾고 싶은 것이 있나요?
보안tech에 대한 96개의 태그 검색결과가 있습니다.
- 블로그 [보안동향] 이것도 ESG? 이젠 ‘정보보호 공시’도 챙겨야 할 때! 정보보호 공시 배경 정보보호 공시제도는 2021년 처음으로 시행됐습니다. 정보보호산업의 진흥에 관한 법률 개정에 따라 공시의무대상 기업은 작년 6월 30일 전까지 정보보호 투자/인력/인증/활동 현황을 공시시스템상에서 의무 공시를 하게 됐습니다. 제도가 시행되기 전인 2016년부터 한국인터넷진흥원(KISA)에서는 사전 정보보호 공시 모의 수행 및 검증 지원 사업을 진행해 왔는데요.정보보호에 대한 객관적인 기업의 투자와 정보보호 활동을 판단할 수 있는 기준을 제시했습니다. 이를 통해 투자자/이용자에게 기업 신뢰도 평가와 이용자 보호를 위한 객관적 정보를 제공받아 평가할 수 있게 됐습니다. 최근 ESG 경영과 기업의 ESG 평가에 국내외 정보보호 항목이 포함됐습니다. 기업 경영에서 고려해야 할 중요한 변수로 정보보호 투자 및 인력 현황과 같은 보안과 관련된 비재무적 요소가 포함된 것이죠. 이러한 흐름 속에서 정보보호 공시제도와 정보보호의 중요성이 급부상하게 됐습니다. 작년 첫 시행된 정보보호 공시제도를 통해 기업 고객과 서비스 사용자는 기업이 어느 정도 정보보호에 투자하고 있고, 정보보호 전담 인력을 얼마나 보유하고 있는지 알 수 있게 됐습니다. 기업 경영에 있어 보안을 얼마나 중요시하는지 객관적인 공시 자료를 통해 살펴볼 수 있게 된 것인데요. 특히 개인정보를 다수 보유하고 있는 서비스 기업의 보안 관련 투자와 전담 인력 보유 수준 등은 향후 제품이나 서비스 선택에 있어 하나의 기준이 될 수 있음을 보여줬습니다. 또한, ESG 경영이나 평가에 있어 정보보호 준수 및 수준 향상 등이 앞으로의 기업 경영과 향후 예상되는 공시 의무화 및 제품 서비스의 해외 수출에 있어서 리스크가 될 수 있는데요. 따라서 중 장기적인 관점에서 ESG 경영의 일환 및 평가지표로서 정보보호 공시제도의 중요성이 더욱 커질 것으로 예상됩니다. 아래는 제도 첫 시행 후 다수 언론을 통해 보도된 기사입니다. 전과 달리 정보보호 투자액과 비중, 그리고 전담인력의 수준을 기업별로 한눈에 확인할 수 있습니다. 한 가지 놀라운 사실은 국내에서 대규모의 사용자와 서비스를 제공하는 해외 서비스임에도 불구하고 정보보호 인력을 보유하고 있지 않거나 투자액을 공개하지 않는 다국적 기업이 있다는 사실이었습니다. 과연 내년에는 인력을 채용하거나 투자현황을 공개하게 될지 궁금해집니다. 정보보호 공시를 통한 ESG경영 기여 및 대외 신뢰도 향상 정보보호 자율 공시를 통해 정보를 공개하는 기업의 경우, K-ESG 점검 항목 충족을 통해 ESG 평가 지수가 향상될 수 있습니다. 이를 통해 기업의 대외 신뢰도 향상 및 사이버 대응 신뢰도와 대응 능력을 향상시킬 수 있죠. 또한 이용자 보호와 국내...
- 블로그 LG CNS 보안 공개 강의에 여러분을 초대합니다! LG CNS 보안사업담당에서 現 보안 회사 재직자와 정보보호학과 대학생을 대상으로 무료 보안 강연을 진행합니다! 이번 강연은 오는 21일 LG사이언스파크 ISC동에서 오프라인으로 진행되며, 참석 인원은 최대 40명 규모로 진행될 예정입니다. 이번 강연 주제로는 보안 취약점 점검, 보안 심사, 모의해킹 사례, BLACKHAT 2022 USA 참관후기 등 실무와 관련된 다양한 주제를 다룰 예정입니다. 보안 분야에 관심있는 분들의 많은 신청 부탁드립니다. 최종 참석자분들께는 자세한 내용에 대해 추후 개별 통보 드릴 예정입니다. 글 ㅣ LG...
- 블로그 [보안동향] 효율적인 ‘방화벽 정책 관리’ 두 가지만 기억하세요! 2편 지난 글에서는 방화벽 정책 관리의 주요 문제점을 알아보았습니다. 이번 글에서는 방화벽 정책의 효율적인 관리 방안을 살펴보겠습니다. 방화벽 정책의 효율적인 관리 방안은 무엇일까요? 그렇다면 방화벽 정책의 효율적인 관리 방안은 무엇일까요? 1. 먼저 기업, 기관의 업무환경에 맞는 정책관리 기준과 절차를 수립하고 이행하는 것입니다. 기업과 기관에서는 수년간 운영해오던 수많은 방화벽 정책에서 단 한개의 잘못된 삭제가 서비스 중단으로 이어지진 않을까 하는 불안감 때문에 정책 관리를 포기할 수 있습니다. 이러한 사태를 예방하기 위해, 네트워크 Zone 분리를 위한 내/외부 방화벽 서비스 용도에 맞은 운영 기준을 설정해야 합니다. 또한 서비스, 관리/운영, 테스트, 차단 룰 등의 룰 관리 정책을 수립하고 정기적으로 적정성 검토를 수행하는 절차가 필요합니다. 아래 정책 관리 라이프 사이클과 같이 정기적으로 위험분석을 수행한다면 내부 보안 강화에 많은 도움이 될 것입니다. 2. 방화벽의 정책 관리 계획을 수립했다면, 먼저 내부 인프라 환경과 업무 서비스의 정확한 이해가 뒷받침돼야 합니다. 이처럼 다양한 업무 서비스 유형, 네트워크 구성 현황, IP 주소 관리체계 등 인프라 환경에 대한 변경 사항과 업무 이해도를 바탕으로 적용된 정책 분석이 필요합니다. 또한 적용된 정책을 어느 정도의 수준까지 개선할지 목표와 범위를 설정하고 분석해야 합니다. 마지막으로 방화벽 정책 최적화 컨설팅을 수행하면서 느낀 점은 고객사가 방화벽 정책 관리에 대한 니즈는 있으나, 정책의 수정으로 인해 발생할 수 있는 업무 영향 범위에 대한 부담을 공통으로 느끼고 있다는 것이었습니다. 상용 솔루션을 통해 방화벽 정책 관리 솔루션을 도입해 운영하는 것은 좋은 대안입니다. 하지만 방화벽 정책 관리 솔루션을 도입했다고 해서 방화벽 정책이 자동으로 최적화되는 것은 아닙니다. 결국 솔루션에서 검출된 레포트 내용을 이해하고, 판단해 적용하는 것은 보안 담당자의 중요한 역할이기 때문이죠. 앞서 설명한 것처럼 기업 내 인프라 환경과 업무 서비스의 이해도가 낮아 정책 개선을 위한 판단의 어려움을 겪고, 도입된 솔루션을 운영하지 못하는 사례도 있었습니다. 따라서 기업 내 도입된 보안솔루션 운영을 위한 위탁업체와의 업무 프로세스, 업무 R&R을 재점검하고, 보안 솔루션별로 적용된 정책의 적정성을 정기적으로 검토하고 개선해야 합니다. 이러한 보안관리 프로세스를 업무에 적용해 수많은 보안장비의 정책을 더 효율적으로 관리하는 방안을 수립할 수 있습니다. 네트워크 접근통제의 컴플라이언스 요건에 대해 살펴볼까요? – 개인정보보호법: 개인정보 수집 및 활용 시 개인정보보호법 준수 (제29조, 안전성 확보조치 기준 제6조(접근통제)– 정보통신망법: 대외서비스용 시스템의 정보통신망법 준수 (제28조, 기술적 관리적 보호조치 기준 제4조(접근통제)– ISMS-P: 대외서비스용 시스템의 정보통신망법 준수 (제28조, 기술적 관리적 보호조치 기준 제4조(접근통제) 보이지 않는 사각지대에 보안 홀과 위협이 있는지 사전에 점검하고 개선한다면, 내부 비즈니스 환경 변화와 고도화되고 있는 외부 위협에 효과적으로 대응할 수 있을 것입니다. 글 ㅣ LG CNS 사이버시큐리티팀 신용의 책임
- 블로그 [보안동향] 효율적인 ‘방화벽 정책 관리’ 두 가지만 기억하세요! 1편 AI(인공지능), IoT(사물인터넷), 클라우드 등 빠르게 변하는 IT 환경 속에서 해킹 기술 또한 날로 지능화·고도화되고 있습니다. 보안사고도 매일 끊임없이 발생하고 있죠. 이번 글에서는 기업, 기관의 보안담당자와 정보보호 책임자가 간과하기 쉬운 네트워크 접근통제 보안영역 중 ‘방화벽 정책 관리’에 대해 고민해 보고, 대응 방향을 제시하고자 합니다. 방화벽 정책 관리는 왜 필요하고, 왜 중요한 걸까요? 보안관리 절차에 따라 검토, 승인된 정책만 적용하고 있다면 보안에 문제가 없는 걸까요? 방화벽 정책 수립과 최적화 컨설팅을 몇 차례 수행하면서 알게된 점이 있습니다. 통제·보호해야 할 대상을 정확하게 식별해 보호 대상 시스템 변화에 따른 정책을 관리하고, 불필요하게 허용된 정책은 없는지 정기적으로 점검하고 관리하는 기업과 기관이 많지 않다는 것입니다. 방화벽 정책 관리의 주요 문제점은 무엇일까요? 방화벽 정책 관리의 첫 번째 문제점은 기업마다 방화벽 정책 적용을 위한 승인 절차는 있으나, 정기적으로 정책을 점검하고 개선하는 절차가 없다는 것입니다. A사(ISMS-P 인증 기업)의 사례를 살펴보겠습니다. A사는 인터넷 대민서비스망 방화벽에 약 1,600개의 룰을 적용해 운영하고 있습니다. 한국인터넷진흥원(KISA)의 ISMS-P(개인정보 보호관리체계 인증제도) 인증심사 결과 매년 방화벽 정책의 관리에 대한 결함이 있었으나, 해당 룰에 대한 조치만 수행해 왔음을 확인할 수 있었습니다. B사의 사례를 보겠습니다. B사는 사용자 인터넷 서비스망에 UTM(Unified Threat Management, 통합 위협 관리) 기능이 탑재된 방화벽의 부가 기능인 유해사이트 차단, 악성코드 탐지 기능을 효율적으로 적용해 운영하고 있었는데요. 적용된 방화벽 정책 수는 약 1,200개에 달했습니다....
- 블로그 [보안동향] 개인정보 해외 이전, ‘이것’만 체크하면 걱정 끝! 2편 지난 글에서는 CBPR(Cross Border Privacy Rules)의 장점과 함께 적용 사례를 살펴보았습니다. CBPR은 ‘국경 간 프라이버시 규칙’이라는 의미로, 회원국 간 데이터 활용을 장려하기 위한 개인정보보호 자율인증제도입니다. 이번 글에서는 CBPR과 ISMS-P(개인정보 보호관리체계 인증제도)의 차이점과 CBPR 인증 심사 절차에 관해 알아보겠습니다. CBPR 인증기준, ISMS-P와의 차이는? 인증기준은 아래와 같습니다. CBPR은 개인정보 항목만 다루고 있습니다. ISMS-P에서 개인정보 관련 부분이 CBPR과 유사한데요. 실제로 CBPR을 신청할 때 ISMS-P 획득 여부를 기입하도록 하고 있습니다. CBPR 인증기준이 ISMS-P 보다 낮기 때문에 ISMS-P 인증기업이라면 CBPR도 어렵지 않게 인증 받을 수 있는데요, CBPR 인증 심사 절차는? 인증 심사를 신청하기 위해서는 인증기관에 필요한 서류를 준비해 이메일로 제출해야 합니다. 서류는 개인정보보호 국제협력센터에서 다운로드(https://www.privacy.go.kr/pic/cbpr_reference.do) 받을 수 있습니다....
- 블로그 [보안동향] 개인정보 해외 이전, ‘이것’만 체크하면 걱정 끝! 1편 CBPR(Cross Border Privacy Rules)은 ‘국경 간 프라이버시 규칙’이라는 의미로, 회원국 간 데이터 활용을 장려하기 위한 개인정보보호자율인증제도입니다. CBPR은 개인정보 보호를 위한 법체계 개발에 고려해야 할 국제 원칙과 지침으로 USMCA(US-Mexico-Canada Agreement, 미국-멕시코-캐나다 협정), SADEA(Singapore-Australia Digital Economy Agreement, 싱가포르-호주 디지털 경제 협정)에 포함됐는데요. 국경 간 데이터 이전에 CBPR의 효율성이 인정받고 있습니다. CBPR은 어떤 기업이 인증받는 게 좋을까요? GDPR(General Data Protection Regulation, 일반 개인정보 보호법)은 CBPR보다 높은 요건으로 국경간 이전과 관련해 개인정보 보호의 관점에서...
- 블로그 [보안동향] 잊지 마세요! 개인정보 수집보다 중요한 ‘OO’ 2편 지난 글에서는 개인정보 파기 관련 법령과 개인정보 파기 시점에 관해 알아보았습니다. 이번 글에서는 개인정보 삭제 방법과 개인정보 분리∙보관을 함께 살펴보겠습니다. 5. 개인정보 삭제 방법 개인정보를 파기할 때는 개인정보보호법 제21조 2항에 의거해 복구 또는 재생되지 않도록 조치해야 하는데요. 이에 대한 구체적인 방법으로 4항에 의거한 시행령과 행정규칙을 알아보겠습니다. 개인정보 수집은 서면, 우편, 통화 등 다양한 방법으로 이뤄집니다. 그렇기 때문에 파기 대상도 이에 따라 종이 문서, 전자우편, 음성녹음 파일, 전자문서, 데이터베이스 등으로 다양하죠. 데이터베이스에 저장된 데이터뿐만 아니라 각종 매체에 존재하는 개인정보도 파기 대상이 되는데요. 이때 매체별로 보존기간이 다를 수 있고, 파기 방법도 달라질 수 있습니다. 앞서 언급한 대로, 개인정보의 파기는 기본적으로 재생과 복구가 불가능한 방법으로 파기해야 하는데요. ‘복원이 불가능한 방법’이란 사회 통념상 적정한 비용을 통해 개인정보의 복원이 불가능하도록 파기하는 조치 방법을 말합니다. 개인정보의 안전성 확보 조치 기준 해설서에 따르면, 개인정보 파기 전문 업체를 활용할 수 있습니다. 다만 개인정보 파기의 시행 및 파기 결과의 확인은 개인정보보호 책임자의 책임하에 수행돼야 하고, 파기에 관한 사항을 기록∙관리해야 합니다. 6. 정보통신서비스의 장기 미사용 이용자 보호를 위한 파기 다음은 정보통신서비스 이용자 중 장기 미사용 시 파기 또는 분리∙보관에 대한 특례 조항을 살펴보겠습니다. 정보통신서비스 제공자는 서비스를 1년 또는 이용자의 요청으로 정한 특정 기간 이상 미사용한 이용자의 개인정보에 대해 파기 등 보호 조치를 취해야 합니다. 파기의 경우 미사용 기간 만료 30일 전 ‘개인정보가 파기되는 사실, 기간 만료일 및 파기되는 개인정보의 항목’을 이용자에게 통지하고, 마지막 사용 후 미사용 기간이 만료되면 개인정보를 파기 조치합니다. 통신비밀보호법시행령, 의료법, 근로기준법 등 다른 법령에 따라 이용자의 개인정보를 분리∙보관하는 경우에는 미사용 기간 만료 30일 전 ‘개인정보가 분리돼 저장∙관리되는 사실, 기간 만료일 및 분리∙저장돼 관리되는 개인정보의 항목’을 이용자에게 통보해야 합니다.이후 미사용 기간이 도래하면 다른 법령에서 정한 보존기간이 경과할 때까지 다른 이용자의 개인정보와 분리해 별도로 저장∙관리해야 합니다. 정보 생명주기 관리 솔루션을 사용해 거래 종료된 고객의 개인신용정보를 파기 데이터 보관 시스템으로 구축할 수 있는데요. 이를 통해 인가된 관리자, 승인된 사용자만 접근하도록 제한할 수 있습니다. 주의할 점은 분리∙보관하는 개인정보는 해당 법령에서 규정하는 경우를 제외하고는 개인정보를 이용하거나 제공하지 않아야 한다는 점입니다. 7. 법령에 따른 파기 대상 개인정보의 분리보관 개인정보보호법 제21조 3항에서는 보존 대상 개인정보를 분리∙보관할 것을 명시하고 있습니다.보관기간은 해당 사업 영역에 적용되는 관련 법령에서 정의하고 있는 보존 기한을 따르는데요. 법령에서 정한 보유 기간에는 파기 대상 개인정보를 원본에서 분리해 보관해야 합니다. 그렇지 않으면 파기 대상 정보 주체가 전체 개인정보를 대상으로 하는 메일 발송에 포함되는 등 정보 주체의 권리 침해가 발생할 수 있기 때문입니다. 아래는 보존기간을 정의하고 있는 법령의 예시입니다. 개인정보 분리는 별도의 데이터베이스나 저장매체에 할 수 있습니다. 같은 테이블 스페이스 내 별도 테이블에 저장하는 논리적 분리도 가능하죠. 데이터 저장 단위 중 가장 상위에 있는 단위를 테이블 스페이스라고 합니다. 다만, 원본과 동일한 접근권한을 가지고 동일 애플리케이션을 통해 접근하는 것은 허용하지 않는데요. 분리보관 대상 정보에 대해서는 별도의 권한으로 접근 통제가 이뤄져야 합니다. 대량의 개인정보를 다룰 경우, 파기 대상 개인정보를 별도 디스크로 옮겨주는 솔루션을 이용할 수 있습니다. 솔루션은 애플리케이션에서 운영 스토리지와 아카이빙 스토리지로 분리 저장하는 S/W 방식, 운영 스토리지에 저장된 정보를 아카이빙 스토리지로 옮겨주는 H/W 방식이 있습니다. 아카이빙 스토리지는 고객사에서 생성되고 있는 비즈니스 문서, 이메일, 콘텐츠 등과 같이 한번 생성이 되면 변경되지 않는 고정 콘텐츠를 장기간 위변조 없이 안정적으로 보관할 수 있는 스토리지라고 정의할 수 있습니다. 8. 분리보관 개인정보의 삭제 관련 법령에 의해 개인정보를 분리·보관할 때도 보유 기간을 지켜야 합니다.분리보관 데이터는 영구 보관 대상이 아니며, 법령에 명시된 기간이 경과하면 차례대로 파기하도록 구현해야 합니다. 개인정보를 사용할 때는 수집∙저장∙이용∙제공뿐만 아니라 파기까지 관리해야 완전하게 라이프 사이클상에서의 보호조치를 다 했다고 할 수 있습니다.지금까지 개인정보 처리자가 소홀히 다루기 쉬운 개인정보의 파기에 대해 알아보았습니다. 글 ㅣ LG CNS 사이버시큐리티팀 권영미 책임
- 블로그 [보안동향] 잊지 마세요! 개인정보 수집보다 중요한 ‘OO’ 1편 개인정보를 이용∙제공하기 위해 이를 수집하고 저장하는 시스템이 바로 ‘개인정보처리시스템’입니다. 개인정보는 수집/저장/이용/제공돼 파기에 이르기까지 일정한 라이프사이클을 따라 흐르게 되는데요. 정보주체의 동의를 받아서 개인정보를 안전하게 저장하고 이용하는 것도 중요하지만, 이에 못지않게 잘 파기하는 것 역시 중요합니다. 적법하게 수집한 정보라도 정보의 이용 기한이 만료되면 즉시 삭제해야 하죠. 개인정보는 관련 법령에 따라 필요시 분리보관의 대상이 되기도 합니다. 개인정보 파기 기능을 구현하지 않고 시스템을 운영하는 경우도 종종 있습니다. 개인정보 파기 기능이란 보유기간의 경과, 개인정보의 처리 목적 달성 등 개인정보가 불필요하게 되었을 때 지체없이 개인정보를 파기하는 기능을 의미합니다. 오래된 시스템에서 그동안 개인정보를 삭제하지 않고 사용하는 경우나, 아직 삭제 주기가 도래하지 않았다는 이유로 새로운 시스템에 파기 기능을 구현하지 않고 운영해온 경우입니다. 하지만, 개인정보 파기 기능을 시스템으로 구현해 놓지 않으면, 삭제 주기가 도래한 후에 운영자가 해당 개인정보의 저장소를 확인하고 대상을 선별해 일일이 삭제 처리해야 합니다. 이때, 잘못된 판단으로 일부 개인정보가 파기에서 누락되는 일이 발생할 수도 있죠. 그러므로 시스템 설계부터 이를 고려해 구축하는 것이 바람직합니다. 개인정보의 보유기간과 같은 파기 정책이 없을 수도 있는데요. 파기해야 하는 정보를 잘 모르거나, 올바른 파기 방법을 모르는 경우에도 개인정보 파기에 어려움을 겪을 수 있습니다. 파기 대상이 되는 개인정보가 무엇인지부터 개인정보 분리보관에 대한 법적 근거와 함께 조치 방법까지, 개인정보 파기에 필요한 요소를 살펴보겠습니다. 1. 파기 대상 개인정보 개인정보처리시스템에서 수집∙저장∙이용하는 개인정보는 주로 서비스를 이용하기 위해 가입한 회원이나 외부 고객의 정보입니다. 하지만 그 외에도 내부 시스템에서 업무를 처리하기 위해 등록된 사용자로 관리자, 운영자, 협력업체 또는 외부 거래처 담당자의 개인정보가 포함될 수 있는데요. 빠뜨리기 쉬운 개인정보가 바로 이런 정보입니다. 개인정보의 유형으로는 사번(시스템 키), 성명 외에 이메일, 전화번호와 같은 연락처가 있습니다. 개인정보는 시스템에 저장된 정보 외에도 수집경로에 따라 종이 문서, 우편, 전자메일, 팩스, 전자문서, 통화 녹음 파일, 사진이나 영상 파일 등 다양한 형식으로 존재할 수 있습니다. 이렇게 데이터베이스에 저장된 데이터뿐만 아니라 각종 매체에 존재하는 개인정보도 파기 대상이 되는데요. 파기할 때는 복구 불가능한 방법으로 파기해야 한다는 점을 기억해야 합니다. 저장 매체에 따른 올바른 삭제 방법에 대해서 알아보겠습니다. 2. 개인정보 파기 관련 법령 위에서 살펴본 바와 같이 개인정보를 다루는 시스템이라면 개인정보 수집 목적 달성 또는 보유기간 종료에 따라 개인정보를 파기해야 합니다. 이에 대한 법적 근거는 아래와 같습니다. 정보통신서비스를 제공하는 시스템이라면 추가로 적용해야 할 특례조항도 있습니다. – 개인정보보호법 제21조(개인정보의 파기) – 개인정보보호법 제39조의7(이용자의 권리 등에 대한 특례) – 시행령 제16조(개인정보의 파기방법) – 개인정보의 안전성 확보조치 기준 고시 제13조(개인정보의 파기) – 개인정보보호법 제39조의6(개인정보의 파기에 대한 특례) – 개인정보보호법 시행령 제48조의5(개인정보의 파기 등에 관한 특례) 3. 개인정보의 파기 시점 개인정보 파기에 관련된 아래 조항에서 1항을 보면, 개인정보를 파기해야 하는 시점을 알 수 있습니다. 개인정보 수집 동의 시 명시한 보유기간이 경과됐거나 이용목적의 달성으로 해당 개인정보가 불필요하게 되면 이를 지체없이 파기해야 합니다. 임직원의 퇴사, 이벤트 종료, 숙박 예약 후 체크아웃과 같이 이용목적이 달성된 경우가 그 예시입니다. 또한, 생체정보(얼굴, 지문 등) 추출을 위한 영상정보는 특징점 도출 이후 원본 데이터를 삭제해야 합니다. 보유기간이 정해지지 않은 경우가 바로 삭제 정책이 미흡해 파기할 수 없는 경우인데요. 그렇기 때문에 반드시 해당 정보가 필요한 기간을 정해 정보주체에게 수집동의 받을 때 이를 명시한 후 홈페이지의 개인정보처리방침에도 게시해야 합니다. 이후 보유기간이 지났는지 확인하면서 주기적으로 개인정보를 파기해야 합니다. 또한, 개인정보보호법 제36조, 제37에 의거해 정보 주체가 개인정보의 삭제나 처리정지 등을 요구했을 때에도 지체없이 파기해야 합니다. 개인정보보호법 제39조의7에 의하면 정보통신서비스 이용자가 개인정보 제공에 대한 동의 철회 시에도 이와 마찬가지입니다. 4. 개인정보 삭제 주기에 따른 삭제 프로그램 운영 개인정보의 파기 시점이 도래하거나 정보주체가 개인정보 삭제를 요구하면 파기는 ‘지체없이’...
- 블로그 [보안동향] 컴플라이언스 보안을 지키고 싶다면, 세 가지만 기억하세요! IT 정보시스템 보안점검을 하다 보면, 이제 애플리케이션 취약점은 어느 정도 잘 관리되고 있다고 느끼실 겁니다. 초기 개발단계에서는 시큐어코딩(Secure Coding) 가이드를 만들어 배포하고, 소스 취약점 점검 툴을 통해 소스상 여러 가지 취약포인트를 해결합니다. 시큐어코딩이란 개발하는 소프트웨어가 복잡해짐으로 인해 보안상 취약점이 발생할 수 있는 부분을 보완해 프로그래밍하는 것을 의미합니다. 또한, 테스트 단계에서는 모의 해킹을 통해 기술적 취약점을 제거하는 프로세스가 일반화됐죠. 컴플라이언스(준법경영)관점에서 IT정보시스템에 요구하는 사항들이 잘 지켜지고 있는지 살펴보면 그렇지 못한 것이 현실입니다. 미준수 시 처벌조항이 법률에 명시돼 있음에도 불구하고, 고객 기능요구사항 구현에만 집중한 나머지 보안요구사항이 있었는지도 모르는 프로젝트 현장이 있을 수 있습니다. 특히, 개인정보를 다루는 시스템은 이러한 컴플라이언스에 명시된 요구사항에 더욱 주의를 기울일 필요가 있습니다. 1. 컴플라이언스 요구사항은 언제 식별하는 게 좋을까요? 컴플라이언스 요구사항, 특히 보안요구사항은 분석단계에서 식별한 후 설계 단계에 반영돼야 합니다. 개발이 어느 정도 진행된 상태나 테스트 단계에서 수정해 반영하려고 하면 수정 영향도가 너무 크기 때문입니다. 따라서 프로젝트 초기에 컴플라이언스 요구사항을 식별해 대응하는 것이 무엇보다 중요합니다. 개인정보보호법 개인정보 안정성 확보 조치에서는 아래와 같이 명시하고 있습니다. 제8조(접속기록의 보관 및 점검) ① 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관ㆍ관리해야 한다.다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관ㆍ관리해야 한다. 개인정보를 다루는 담당자가 업무를 수행할 때 개인정보를 보유하고 처리하는 시스템은 누가, 언제, 어디서, 무엇을, 무슨 사유로 활용했는지 기록을 남겨야 합니다. 이를 지키지 않았는데 개인정보 유출이 발생했다면 2년 이하의 징역 또는 2,000만원 이하의 벌금이 부과되는데요. 개인정보 유출이 발생하지 않았더라도 이러한 미조치가 적발된다면 3,000만원 이하의 과태료 처분을 받을 수 있습니다. 개인정보 접속기록을 보관해야 한다는 점은 분석단계에서 인지돼야 합니다. 이후 설계단계에서는 이러한 기능을 응용 프레임워크 단계에서 구현할지 공통함수를 만들어 처리할지 설계해야 하죠. 그리고서 개발단계에서 관련 담당자에게 구현사항을 가이드한다면 이러한 요구사항이 매끄럽게 구현될 수 있습니다. 개인정보 접속기록이 남지 않았다는 사실을 프로젝트 마지막 단계인 테스트 단계에서 인지한다면 두 세배의 시간과 노력을 들여 수정해야 합니다. 급하게 개인정보처리 화면을 식별하고, 기존 설계사항을 분석하고 검토해서 해당 프로그램을 수정해야 하죠. 따라서 컴플라이언스 보안요구사항은 프로젝트 조기에 식별하고 설계, 개발에 반영하는 것이 무엇보다 중요합니다. 2. 컴플라이언스 보안요구사항은 어떻게 식별해야 할까요? 컴플라이언스 보안요구사항 분석은 식별 경험이 많고, 요구사항별로 대응 방안을 수립한 경험이 있는 보안 전문인력이 수행하는 것이 중요합니다. 개인정보보호법 개인정보 안정성 확보조치를 보면 개인정보 접속기록을 남기는 것에서 그치지 않는다는 것을 알 수 있는데요. 아래와 같이 추가로 보관 및 점검을 요구하고 있습니다. 제8조(접속기록의 보관 및 점검) ②개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위해 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부관리 계획으로 정하는 바에 따라 그 사유를 반드시 확인해야 한다. ③ 개인정보처리자는 개인정보취급자의 접속기록이 위ㆍ변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관해야 한다. 먼저 ③번 조항을 살펴보면, 개인정보 접속 기록이 위변조 및 도난, 분실되지 않도록 요구하고 있습니다. 그렇다면 이러한 위협을 막기 위해서는 어떻게 해야 할까요? 여러 방법이 있겠지만 접속기록을 파일 또는 DB에 저장할 경우, 해시함수를 이용해서 로그 데이터 건별로 해시값을 이용한 MAC값을 만들어 별도 테이블에 보관하고, 접근을 통제해 위변조 여부를 확인하는 방법이 있습니다. 다소 비용이 들지만 간편한 웜(Write Once Read Many,WORM) 디스크를 이용하는 방법도 있는데요. WORM 디스크는 한 번 기록된 정보는 수정할 수 없는 데이터 스토리지를 말합니다. 이렇게 비인가자가 접근할 수 없도록 접근통제 솔루션을 이용해 접속 이력 테이블 또는 파일을 보호하는 것이 중요합니다. 개인정보처리자는 이처럼 보안요구사항을 종합해서 빈틈없이 보안요건을 정의하고, 대응 방안을 설계자들에게 다각도로 제시해 해당 시스템에 가장 적합한 대응 방안을 수립해야 합니다. 다음으로 ②번 조항을 살펴보면 개인정보처리자가 개인정보 접속기록을 월 1회 이상 점검해야 한다고 명시하고 있습니다. 하지만 이를 시스템 구축단계가 아닌 운영단계에서 지켜야 할 사항이라고 생각해 넘어가는 경우가 많은데요. 곰곰이 생각해보면 그렇지 않습니다. 구축단계에서 개인정보 접속이력을 잘 저장해야 운영단계에서 원활하게 모니터링이 진행될 수 있죠. 편하게 조회할 수 있도록 화면을 설계하고, 일정 기간 동안 일정 횟수 이상 조회하거나 업무시간 외에 조회하는 상황을 확인하는 기능을 구현하면 운영단계에서 개인정보를 편리하게 사용할 수 있습니다....
- 블로그 [보안동향] 편하면 끝? 생체정보 활용 시 주의해야 할 3가지! 스마트폰과 같은 모바일 기기의 사용이 증가하면서 지문이나 얼굴, 홍채, 정맥 등의 생체정보를 활용한 기능이 대중화되고 있습니다. 생체정보는 안전하면서도 따로 기억하거나 가지고 다닐 필요가 없어 편리하다는 장점이 있는데요. 이러한 장점으로 인해 잠금 해제, 출입 통제, AI 음성인식 서비스 등 여러 분야에서 자주 활용되고 있습니다. 그러나, 생체정보는 변경이 불가능하다는 특성이 있기 때문에 유출될 경우 심각한 피해를 볼 수도 있습니다. 이러한 피해를 예방하기 위해 개인정보위원회에서는 ‘21년 9월 개정한 “생체정보 보호 가이드라인’에서 생체인식정보 보호 조치를 통해 생체정보의 안전한 활용 방법을 제시하고 있습니다. 여기서 ‘생체인식정보‘란, 생체정보 중 특정 개인을 인증·식별하기 위한 목적으로 처리되는 정보를 말합니다. 생체인식정보는 다시 ‘원본정보’와 ‘특징정보’로 나뉘는데요. 개인을 인증 또는 식별하기 위한 목적으로 입력장치 등을 통해 수집·입력되는 것이 ‘원본정보’이고, 이로부터 특징점을 추출하는 등의 기술적 수단을 통해 생성되는 것이 ‘특징정보’입니다.「개인정보 보호법」 시행령 제18조 제3호에서는 민감정보를 ‘개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보’라고 규정하고 있습니다. 이에 따라 특징정보는 민감정보에 해당하므로 「개인정보 보호법」 제23조(민감정보의 처리 제한)이 적용됩니다. 이번 글에서는 개인정보보호 위원회의 ‘생체정보 보호 가이드라인’ 중 ‘생체인식정보 보호조치’ 내용을 개인정보의 흐름에 따라 단계별로 알아보겠습니다. 1. 수집 단계 “특징정보는 별도의 동의를 받아야” 특징정보는 민감정보로 분류되기 때문에 수집 시 다른 개인정보와는 별도로 동의를 받아야 합니다. 수집·이용 동의서에는 ①수집·이용 목적, ②수집 항목, ③보유·이용기간, ④동의를 거부할 권리가 있다는 내용이 들어있어야 하는데요. 동의 거부에 따른 불이익이 있는 경우, 그 불이익의 내용이 포함돼야 합니다. 원본정보는 개인정보 침해 위험성이 크기 때문에, 특징정보 생성이 완료돼 원본정보의 수집·이용 목적이 달성되면 이를 지체 없이 파기하는 것이 원칙힙니다.그러나 필요에 따라 원본정보를 보관해야 하는 경우, 수집·이용 동의를 받을 때 목적과 보유기간 등을 구분해서 안내해야 하는데요.다른 필수 동의 사항과 같이 일괄 동의 받는 것도 가능합니다. 법적 의무 사항은 없지만, 생체인식정보가 수집·입력될 때 위·변조된 생체인식정보를 이용한 공격에 대한 보안대책을 마련하는 것이 권고됩니다. 여기서 말하는 위·변조된 생체인식정보의 예시로는 인공 지문, 캡처된 얼굴·홍채 이미지, 녹음된 음성 등이 있습니다. 생체인식정보의 위·변조 여부를 탐지하는 방법은 하드웨어 방식과 소프트웨어 방식이 있는데요. 하드웨어 방식으로는 온도와 맥박을 감지하거나,...
- 블로그 [융합보안] 입주사vs건물주, 물리보안 구축 시 고려사항은? 여러분의 현재 주거 형태는 아파트인가요, 아니면 단독 주택인가요? 물론 다세대 주택일 수도 있을 겁니다. 국토교통부가 발표한 서울시 주거실태 현황 자료를 보면 아파트에 거주하는 시민의 비율이 가장 높은 것으로 나타나는데요. 그렇다면 다른 주택 유형에 비해 아파트에 거주하는 비율이 높은 이유는 무엇일까요? 이는 투자가치, 보안성, 편의성 등 단독주택에 비해 아파트가 가진 장점 때문입니다. 이 중 보안성에 대해 살펴보겠습니다. 아파트에는 CCTV와 경비요원 등 기본적인 보안시스템이 갖춰져 있죠. 무엇보다 저층을 제외하고는 외부로부터 침입이 어려운 구조적 특성이 있습니다. 그런데 만약 여러분이 아파트의 보안수준에 만족하지 못한다면 어떨까요? 여러분이 공동 현관문에 최첨단 얼굴인식 시스템을 설치하고 싶다고 해서 바로 설치할 수는 없을 겁니다. 아파트에는 기본적인 보안시스템이 구축돼 있지만, 개인이 원한다고 해서 함부로 장비를 추가 설치하기는 어렵기 때문이죠. 반면, 단독 주택은 주인 마음대로 보안 시스템을 추가할 수 있습니다. 이러한 상황은 상업용 건물의 보안시스템 설치에도 유사하게 적용될 수 있습니다. 여러 회사가 입주해 있는 건물에 특정 회사를 위한 보안시스템을 구축해야 하는 경우가 발생할 수 있는데요. LG그룹사 사례를 통해 물리보안 시스템 구축 PM의 관점에서 고려해야 할 사항을 알아보겠습니다. 입주사 vs 건물주 하나의 회사가 전용으로 사용하는 건물과 다르게, 여러 회사가 입주한 건물에는 입주회사뿐만 아니라 건물주와 협의를 통한 의사결정이 필요합니다. 일반적으로 신규 입주 회사가 건물의 몇 층을 사용하게 될지 계획이 세워지면 입주 전에 보안시스템 구축이 완료돼야 하죠. 그러나 계약 당시에는 보안시스템 구축 같은 세부 사항까지는 고려하지 못하는 게 현실인데요. 그렇기 때문에 보안시스템 설계 또는 구축과정에서 예상치 못한 어려움에 직면할 수도 있습니다. 따라서 보안시스템 설계자는 주 출입구를 포함해 입주 층까지 임직원 동선은 어떻게 구성되는지 최우선으로 파악해야 합니다. 보통 오피스 건물은 고층 건물인 경우가 많기 때문에 엘리베이터를 운행하게 되는데요. 입주사 전용으로 엘리베이터를 사용할 수 있다면 다행이지만, 불가능한 상황에서는 건물 주 출입구에서 보안시스템 운영에 많은 제약이 발생할 수밖에 없습니다. 엘리베이터 등 출입 동선이 확인되면 X-Ray 등 보안 검색시스템 및 안내데스크 배치 도면을 바탕으로 입주사와 건물주 간 협의와 의사결정이 진행돼야 합니다. 최근 사례로 보면, 건물 시공단계에서부터 스피드게이트와 같은 기본 보안시스템을 고려해 설치했지만, 보안 검색 장비를 추가 배치하기에는 공간이 협소한 경우가 있었습니다. 이에 따라 입주사의 보안 검색 장비 구성 표준안을 적용치 못하게 됐는데요. 결국, 해당 구성의 취약점을 보완하기 위한 새로운 대안을 고민해야 하는 상황을 발생하게 됐고, 이로 인해 입주사와 건물주 간 협상 및 의사결정에 예상치 못한 시간을 소요하게 됐습니다. 이미 설치된 보안장비는 어찌할 것인가? 앞서 언급했지만, 어느 정도 규모가 있는 오피스 빌딩은 스피드게이트, 출입 통제 시스템, 영상감시시스템 등 기본적인 보안시스템이 건물 설계에 반영돼 있습니다. 기본으로 설치된 보안시스템만으로 입주사가 만족할 수도 있지만, 입주사 전용 보안 검색시스템, 출입 통제 시스템, 영상감시시스템 설치를 요구할 수도 있습니다. 만약, 입주사만의 독자적인 출입 통제 시스템을 구축해야 하는 경우, 기존에 설치된 스피드게이트를 재사용할지 철거할지 결정해야 하는데요. 이미 설치된 장비로 인해 장비 구성 변경 또는 추가가 어려울 수도 있습니다. 출입 단말기는 입주 층 주 출입구 비상계단 등에도 설치돼 있습니다. 기존 장비를 철거하지 않고 유지해야 한다면 신규 단말기 위치 선정에 어려움을 겪을 수 있습니다. 따라서 기존 장비와 신규단말기 간 도어락 컨트롤 및 문 상태 정보를 건물공통 출입시스템에 연계하는 방안을 마련해야 합니다. A사의 경우, 입주사가 독자적인 출입 통제 시스템을 구축했지만, 건물 전체를 관리하는 방재센터에서 출입문 상태 모니터링을 위해 건물 공통으로 기존 설치된 출입 단말기를 철거할 수 없도록 했습니다. 오피스건물은 보안 검색시스템 구축에 필요한 공간을 확보하기 어려울 수도 있는데요. 보안 검색시스템은 보통 빌딩의 공용구역과 입주사 전용 구역의 경계에 설치되기에 필연적으로 입주사와 건물주와 이해가 충돌할 수밖에 없습니다. 따라서 의사결정에 더욱 많은 시간이 소요될 수 있습니다. 그리고 일반적으로 임대인은 계약조건에 원상복구 조건을 포함하기도 합니다. 그래서 신규 장비 설치 또는 변경 시에도 향후 원상복구를 고려해 시공해야 하므로 예상치 못한 난관에 부딪히기도 하죠. 만약 철거한 장비가 있다면 향후 원상복구를 고려해 철거 장비 보관 및 인수인계 작업이 필요할 수도 있습니다. 마지막으로, 각 층에는 설비 관리를 위한 EPS실 및 TPS실이 존재하는데요. 대부분 빌딩 공통시설의 운영을 목적으로 하고 있습니다. 여기에 입주사만의 전용 장비를 설치할 수 있도록 허용한다고 하더라도 운영/유지보수 인력의 출입 권한 관리 등 문제 발생 시 책임소재의 리스크도 고려해야 합니다. A사는 각층에 전용 EPS, TPS실을 신설해 출입 통제 및 영상감시 장비를 운영하는 것으로 설계에 반영했습니다. 간과하기 쉬운 업체 관계 기존 장비가 설치돼 있는 경우, 해당 장비를 재사용하든 철거를 하든 해당 장비 설치업체의 협조는 필수적인데요. 이에 대한 비용도 사전에 반영해야 합니다. 예를 들어, 하자보수 기간 내에 있는 장비의 경우, 기설치업체의 협조 없이 스피드게이트의 카드리더기를 바꾼다면 해당 업체는 하자보수 면책 사유를 주장할 수도 있습니다. 또한, 유지보수 기간에 있더라도 문제처리 관련 책임소재 이슈가 발생할 수도 있죠. 이외에도 향후 원상복구를 고려한 장비 철거 또는 변경 작업에도 기존 설치업체의 협업이 요구됩니다. 따라서, 시스템 구축에 착수하기 전에 시공 작업에 참여한 협력업체들의 연락처를 확보하는 것이 중요합니다. 이번 글에서는 한 건물에 여러 회사가 입주한 경우 물리보안 시스템 구축 시 필요한 고려사항을 살펴보았습니다. 입주사 전용 건물에 보안시스템을 구축하는 것에 비해 더 복잡한 의사결정 구조와 다양한 이해관계자들이 존재한다는 것을 알 수 있었는데요. 물리보안 시스템 구축에는 보안시스템 설계자 또는 PM의 세심한 관심이 필요하다는 점을 기억해야 합니다....
- 블로그 [보안동향] 아직도 신분증 들고 다니세요? 폰만 있으면 본인인증 가능! 여러분은 모바일기기에서 사용자 인증 수단으로 어떤 것을 사용하시나요? 우리는 오랜 기간 PC에서 아이디와 패스워드로 사용자 인증을 진행해 왔습니다. 공인인증서(현 공동인증서)를 PC에 저장해서 사용했고, 그러다가 USB 저장기기에도 인증서를 저장해 사용할 수 있게 됐죠. USB를 통해 지문인식기기 등도 연결해서 사용해 왔습니다. 이후, 스마트폰의 등장과 확산은 PC에만 있던 인증 수단을 모바일에서도 사용할 수 있도록 만들었습니다. 모바일 기기에 인증서를 저장할 수 있게 됐고, 별도의 장치 없이 스마트폰만 있으면 언제든지 지문인식, 안면인식을 수행할 수 있게 됐습니다. 신분증도 마찬가지입니다. 그동안 주민등록증, 운전면허증 등의 신분증과 함께 회사 사원증도 플라스틱으로 만들어진 실물을 가지고 다녀야 했죠. 신원 확인이 필요하면 신분증을 꺼내서 눈으로 직접 인증받아야 했습니다. 그러나, 최근에는 이러한 신분증도 스마트폰으로 들어가기 시작했습니다. 이제는 두꺼운 지갑을 들고 다니지 않아도 스마트폰만 있으면 신분을 증명하는 것이 가능해졌는데요. 모바일에서도 신분증을 보관, 사용할 수 있게 해주는 기술이 바로 ‘DID 인증’ 기술입니다. DID(Decentralized Identity/Distributed Identity, 탈중앙화 신원 증명) 는 블록체인 기술 기반으로 구축한 신원 증명 서비스입니다. 지갑에서 주민등록증을 꺼내듯 블록체인 지갑에서 DID를 제출해 신원을 증명할 수 있죠. 기존 중앙집권화된 방식과 비교해 신원 확인 과정에서 개인이 자기 정보에 완전한 통제권을 행사하는 것이 특징인데요. 이를 분산 아이디 또는 탈중앙화 신원확인(신원 증명), 자기 주권 신원 증명(Self-Sovereign Identity)이라고도 합니다. LG CNS는 라온시큐어와 함께 DID 플랫폼을 기반으로 한 우리나라 최초 디지털 신분증인 ‘모바일 운전면허증’ 구축을 완료하고 발급 및 시범 운영을 시작했습니다. 블록체인 기술을 기반으로 기존 플라스틱 신분증의 문제점인 분실 위험과 위·변조를 해결하는 동시에 온오프라인에서 사용할 수 있는 시스템 구축에 힘을 쏟았는데요, 이를 통해 상대방이 필요로 하는 정보만 제공할 수 있도록 지원해 개인정보 유출을 방지할 수 있습니다. 실제로 차량을 빌릴 때는 운전 자격 정보만, 담배나 주류를 구매할 때는 생년월일만 노출이 가능합니다. LG CNS외에도 다양한 국내외 기업들이 DID 인증 서비스를 개발·운영 중입니다. 이번 글에서는 최근 DID 인증 동향에 대해서 살펴보겠습니다. DID 인증, 누가 주도하고 있을까요? 국내에서는 이미 기업, 금융권, 공공영역까지 DID 인증 시장을 선점하기 위해 다양한 업체들이 경쟁을 벌이고 있습니다. △아이콘루프가 주도하는 마이아이디(MyID), △블록체인 기술기업 코인플러그가 이끄는 마이키핀(MyKeepin)이 주도하고 나머지 통신사가 합류한 이니셜DID, △보안기업 라온시큐어가 중심인 DID얼라이언스 등이 DID를 주도하는 대표적인 그룹입니다. 정부에서도 모바일 공무원증을 시작으로 운전면허증, 장애인 복지카드 등으로 DID 적용을 확대하고 있습니다. 이렇게 DID 관련 업체, 얼라이언스들은 각자가 가진 기술을 발전시키고, 다양한 서비스를 꾸준히 시장에 내놓으면서 영향력을 확대하고 있습니다. 또한, 호환성과 상호운용성을 확보해야 한다는 사실을 잘 알고 있기 때문에 W3C(World Wide Web Consortium) DIF(2017년 설립된 국제표준기구로, 분산 신원확인 기술의 표준화와...