소만사 최일훈 연구소장의 개인정보보호 기술적 보호조치 바로알기 칼럼을 총 4회에 걸쳐 연재할 예정이다. 짧고 쉬운 문체로 설명한 만큼, 개인정보 기술적 보호조치에 대한 이해도를 높이고 개인정보유출방지를 목적으로 개인정보보호 솔루션 도입을 고려하고 있는 기업들에게 작은 도움이 되길 바란다. 우선, 어디 있는지 알아야 보호할 수 있겠지. 어디 있는지도 모르면서 보호한다고 주장하는 건 눈감고 칼 휘두르는 것과 똑같아. 당연한 이야기하지 말라고? ‘개인정보가 어디에 있나?’라는 질문에 자신있게 답변할 수 있는 조직은 말이야,

8월 1일 안행부에서는 개인정보보호법 금융기관가이드라인이 발표됐다. 이는 금융 관계자들에게는 직접적 영향을 미치는 발표라 더욱 관심이 높았다. 데일리시큐에서 주최하고 소만사(대표 김대환)에서 후원한 ‘금융기관 개인정보보호 100분 토론’에서 안행부 개인정보보호과 한순기 과장의 직접 발표를 들을 수 있는 자리가 있었다. 여기서 발표된 내용을 영상으로 담았다.데일리시큐 장성협 기자 shjang@dailysecu.com

대한민국은 전세계에서 정보보호와 관련 법규가 가장 엄격하고 구체적인 것인 나라 중에 하나로 알려져 있다. 이러한 환경 속에서 기업 보안 담당자는 항상 컴플라이언스에 대해서 부족한 부분이 있다고 생각이 들 수 밖에 없으며 최근에 떠오르는 이슈에 대해서 항상 민감할 수 밖에 없게 된다. 컴플라이언스, 즉 법률은 기업 내의 법무 담당자만의 역할이라고 생각할 수 있겠지만 정보보호와 관련해서 실제 기업 보안담당자가 법률을 준수해야 되는 책임을 질 수 밖에 없기 때문에 관련 법률을 항상 주목하고 관련 내용을 잘 알고 있어야 한다.(사진. SK

미래창조과학부(장관 최문기)가 주최하고 한국정보기술연구원(원장 유준상)이 주관하는 정보보안 분야의 우수한 재능을 갖춘 120명을 제2기 “차세대 보안리더 양성 프로그램(Best of the Best)” 교육생으로 선발하고, 9월 6일, 발대식을 성황리에 개최했다. 발대식에는 유준상 원장, 정우택 의원, 정세균 의원, 이주영 의원, 장병완 의원, 권은희 의원, 주영순 의원, 이운룡 의원, 유수택 새누리당 최고위원, 오정소 한국정보기술연구원 이사장, 김명환 한국자유총연맹 총재, 김상철 한컴 회장, 정경원 시만텍코리아 대표, 이정식 뉴스

영화 ‘고지전’을 보신 분이라면 애록고지를 놓고 매일같이 싸운 악어중대와 북한군을 기억하실 겁니다. 고지점령에 성공했다 싶으면 바로 상대편에게 빼앗기고, 다시 되찾기 위해 또다시 전투를 시작합니다. 이 과정에서 상대의 전술을 확인하고 자신의 전력을 가다듬던 장면들이 생생하게 기억납니다. 악성코드와 백신기술은 마치 이들과 닮아 있습니다. 이들은 서로의 진화에 맞서 발전해 왔기 때문입니다. 특정 악성코드가 발견되면 이를 막기 위해 백신 프로그램이 개발되었습니다. 결국 서로에 대한 공격과 방어 과정이 백신 기술의 발전을 이끌어 가고 있습

제11회 CONCERT(한국침해사고대응팀협의회) 정회원 워크샵이 6일~7일, 1박2일간 제주 대명리조트에서 정부 및 기업 정보보호 담당자 100여 명이 참석한 가운데 성황리에 개최됐다. 이날 워크샵에는 미래창조과학부 오승곤 과장의 ‘사이버침해 산학연 협력방안’ 발표를 시작으로 다양한 주제 발표와 이벤트로 진행됐다. 오승곤 과장은 “2011년 미국에서만 사이버범죄로 인한 피해가 600억불에 달한다는 조사결과가 나왔다. 이 수치는 같은 해 교통사고로 발생한 피해액과 맞먹는 액수다”라며 “한편 올해 한국에서 발생한 3.20 사이버테러로

지난 8월말 국내 모 대학병원의 의료정보가 유출되는 사건이 발생했다. 의료정보는 개인정보 중 가장 민감한 정보들로 유출되면 심각한 프라이버시 침해로 이어질 수 있어 병원들의 각별한 주의가 필요하다. 한편 서울아산병원 홈페이지에 디렉터리 리스팅 취약점이 존재하는 것이 발견됐다. 간단한 구글 검색만으로도 해당 병원의 디렉터리 리스팅이 되는 상황이라 조치가 필요하다. 이번 취약점을 발견하고 조치를 요청하며 데일리시큐에 제보한 한국디지털미디어고등학교 해킹방어과 서승완(청소년 해킹.보안팀 Team Pure

제우스나 스파이아이와 같은 기존 악성코드 보다 더욱 진보된 기능을 갖춘, 전혀 새로운 금융정보 탈취형 악성코드가 발견됐다. ‘헤스퍼봇’이라고 명명된 이 악성코드는 유럽과 아시아의 인터넷뱅킹 사용자를 타깃으로 하고 있다. 이를 처음으로 발견한 보안업체 에셋(ESET)에 따르면, 헤스퍼봇은 키로깅, 화면 캡쳐, 녹음 기능 등을 가지고 있으며, 감염된 시스템에 원격 프록시와 VNC 서버를 몰래 설치할 수도 있는 ‘강력한’ 악성코드다. 물론 네트워크 트래픽 가로채기, HTML 인젝션 등은 금융정보 탈취형 악성코드가 갖고 있는 기본적인 기능

에디워드 스노우든이 워싱턴 포스트지에 공개한 비밀 예산 문서에는 미국 정부가 2011년에 231 공격 사이버 작전을 시작했다고 밝혔다. 이 문서는 해외 네트워크에 침투를 하기 위한 상세한 예산이 있으며, 그래서 해외 네트워크를 미국 정부가 통제할 수 있도록 한다는 것이다. 목표 국가는 중국, 러시아, 이란 및 북한이다. 이 문서는 미국 국가보안국(NSA)이 대부분의 소프트웨어를 개발하고, 약 2,520만 달러를 투입해 "민간 연구회사로부터 소프트웨어 취약점을 비밀 구매"한다고 정리되어 있다. NSA는 워싱턴 포스트로 보낸 이메일

미국 정부 기관들이 이메일 서비스를 기반으로 사용자를 감시한 것에 대한 반응으로, 인도정부는 미국에서 제공하는 이메일 서비스에 대해서 공식 정부용으로는 금지할 계획이라고 밝혔다. 이것이 금지되면 정부 공무원들은 공무용으로는 공식 인도 정부 이메일 서버만 사용해야 한다. 정부 부처를 포함하여 많은 직원들은 공식 이메일 시스템보다 더 많은 기능을 가지고 있고 사용하기에 편리한 외부 이메일 계정을 사용하고 있다. 인도의 IT 장관인 카필 시발은 미국에서 인도의 인터넷 데이터에 접근했다는 증거는 없다고 밝혔다. -article

개인들의 사이버보안 기술에 수요가 증가함에 대해, 영국은 새로운 학위 수준의 사이버 아카데미를 개설했다. 이 사이버 아카데미는 기업, 정부, 아카데미 기관이 협력해 젊은 사람들에게 사이버 보안 경력 경로를 제공한다. 최근의 조사 결과에 의하면 영국 사이버 보안 인력 중 29세 이하가 7% 뿐이다. 영국의 내무부의 데이비드 윌렛은 아카데미를 시작한 것에 대해서 "사이버 아카데미는 정부에서 필요로 하는 전문가들을 개발해 중요한 문제를 해결을 해결할 수 있도록 하고 글로벌 경쟁에서 영국이 앞서가는 것이다. 우리는 사이버 보안의 견습생을

올해 6월 마이크로소프트와 구글 양사는 미국 정부를 상대로 미국정부 기관으로부터 받는 감시 요청에 대해서 좀더 자세한 내용을 발표할 수 있게 허가해 달라는 소송을 제기했다. 하지만 양사와 미국 정부 대표간의 협상이 결렬되었으며 양사는 소송으로 진행되고 있다. 마이크로소프트사의 블로그에서 MS의 법무 담당인 브래드 스미스는 "우리는 모두 정부에서 계속해서 해외첩보감시법(FISA) 명령과 관련하여 충분한 데이터를 공개하지 못하도록 하는 것에 대해 우려하고 있다. 우리는 미국 헌법에 따라 더 많은 정보들을 공개할 수 있는 분명한 권리를

금융보안연구원과 금융정보보호협의회가 주최한 제7회 금융정보보호 컨퍼런스 FISCON 2013이 4일 한국과학기술회관에서 700여 명의 금융정보보호 관계자들이 모인 가운데 성황리에 개최됐다. 김광식 금융보안연구원 원장은 개회사에서 “3.20, 6.25 사이버테러 등 보안위협은 지속되고 있다. 이러한 위협을 방어하기 위해서는 시스템, 기술, 인력 모든 부분에서 보안이 잘 이루어져야 가능하다”며 “금융당국의 제도와 각 금융사들의 시스템, 보안기업들의 기술, 학계의 인력양성 등이 조화롭게 이루어

9월 첫주에 발견된 전체 악성링크는 8월 4주차 보다 조금 감소했다. 하지만 신규 악성링크는 8월 2주부터 계속 증가했으며 신규 악성링크 파급력은 8월 관찰기간 중 최대의 영향력을 준 것으로 조사됐다. 빛스캔(대표 문일준) 측은 9월 1주차 주간동향을 발표하고 “8월부터 나타나기 시작한 맬웨어넷을 활용해 최종적으로 하나의 악성코드로 연결되는 현상은 이번주에 더욱 활발하게 이루어지고 있다”며 “이는 공격 방식이 대규모로 커지면서 보다 효율적으로 변화하고 있는 것으로 추정된다”고 밝혔다. 또 “이번주

최근 스마트폰을 이용한 금융사기가 사회문제로 대두되고 있다. 특히 스미싱 공격에 의한 이용자 피해가 크다. 예를 들어 돌잔치 초대장을 가장한 스미싱 공격으로 악성코드를 감염시키고 이를 통해 감염자 스마트폰의 각종 개인정보와 금융정보를 빼내 금융사기에 이용하고 있다. 날로 지능적인 기법으로 발전하고 있는 스미싱 해킹. 스마트폰 내의 개인정보는 물론 금융정보까지 통째로 해커에게 노출돼 악용되고 있다. 과연 스미싱 공격은 어떻게 이루어지고 실제 피해는 어떤 과정을 통해 발생하는 것일까. 금융정보보호의 중요성과 최근 보안 트렌드, 정책방향

국내 특정 은행을 겨냥한 APT 공격용 악성문서가 발견돼 주의가 요구된다. 워드 문서의 취약점을 이용해 악성코드 감염을 시도한 정황이 포착됐다. 하우리 관계자는 “특정 은행을 겨냥해 발송된 해킹 메일은 지난 주 28일 해외에서 배송되는 송장 형태로 발송되었으며, 메일에 첨부된 악성 워드문서를 열람할 경우 워드 문서 취약점에 의해 악성코드가 다운로드 되도록 제작되어 있다”고 설명했다. 해당 악성코드에 감염되면 네트워크 방화벽 등록, 각종 정보 절취, C&C 서버에 접속해 악의적인 명령 수행이 이루어지기 때문에 은행 내부에 감염되면 치

최근 많은 이용자를 보유하고 있는 특정 동영상 플레이어 프로그램을 악용한 악성코드 유포가 발견되어 사용자들의 주의가 필요하다. 안랩에 따르면, 이번 악성코드는 특정 동영상 플레이어의 최신 버전을 위장해 해당 동영상 플레이어의 업데이트 기능을 악용하는 것으로 추정된다. 먼저, 해당 프로그램 사용자에게 새로운 버전으로 업데이트하라는 허위 알림 창이 나타난다. 사용자가 이를 무심코 클릭하면, 업데이트 기능을 이용해 악성코드가 다운로드 되는 방식이다. 현재 해당 동영상 플레이어 제공사는 이 문제가 해결된 최신버전을 배포 중이다.

악성코드 ‘넷트레블러(NetTraveler)’가 공격을 재개한 것으로 보인다. 긴밀한 데이터를 훔치는 것은 물론 파일 시스템 목록, PDF 문서 등을 검색하도록 설계된 이 악성코드는 지난 8년간 40개 국가에서 그 피해가 확인됐으며, 350여개의 보안 사고를 일으킨 주범이기도 하다. 공격을 가장 많이 받은 국가는 몽골과 러시아, 인도였으며, 한국 역시 상위 8위를 기록한 바 있다. 최근 이 악성코드의 활동을 포착한 카스퍼스키랩에 따르면, 공격 방식에 변화가 있는 것으로 확인됐다. 정부나 정부기관, 대사관, 군사청부기업, 석유회사,

지난 몇 년간 기업과 보안 전문가들의 무력화 노력에도 불구하고 P2P 기반의 봇넷인 켈리호스(Kelihos)가 다시 등장했다. 새롭게 추가된 기능을 통해 자가 생존력이 강화됐으며, 스팸 메일 발송 및 개인정보 수집, 비트코인(Bitcoin) 탈취 등과 같은 방식으로 경제적인 이득을 취하는 것으로 나타났다. 켈리호스는 잠재적인 피해자의 IP 주소가 이전에 스팸 메일 발송지 혹은 프록시로 등록된 적이 있는지의 여부를 확인하기 위해 CBL(composite blocking list)을 제공하는 합법적인 무료 보안 서비스를 이용한다. CB

안전행정부(장관 유정복)는 공공정보 개방·공유시 개인정보의 처리 원칙과 기준을 정한 ‘공공정보 개방·공유에 따른 개인정보보호 지침’을 마련·배포했다. 이 지침에 따라 개인정보는 원칙적으로 삭제·비식별화 처리 후 개방·공유하는 등 개인정보 보호 방법이 명확히 규정되었다. 그간 일선에서는 공공정보를 개방·공유하거나 정책 수립을 위해 빅데이터 분석을 하는 경우 개인정보를 어떻게 처리할지에 대한 명확한 기준이 없어 어려움을 호소해 왔고, 일부에서는 개인정보 침해 위험에 대한 우려도 제기되어 왔다. 이에 안행부는 올해 3월부터 각 분야 전문