금융보안포럼 정기총회가 3월 29일 서울 가든호텔에서 개최됐다. 이날 주요 안건은 임원 선임건이었다. 회장에는 김광식 금융보안연구원 원장, 부회장에는 황만성 중소기업은행 부행장, 임종인 고려대학교 교수, 조규곤 지식정보보안 산업협회장이 선임됐고 감사에는 박춘식 서울여자대학교 교수가 선임됐다. 금융보안포럼 설립목적은 IT신기술 지원, 주요 금융보안 이슈 등에 대해 금융보안 이해 관계자들 간 의견교류 기회 제공 및 공동 대응방안과 기술 논의를 통해 금융보안 정보공유 및 논의체계를 구축하자는데 있다. 포럼 회원 현황은 총 92개 회원사로

[박춘식 교수의 보안이야기] 일본 경제산업성은 지난 19일, 발전소나 공장 등의 동작을 관리하고 있는 제어시스템에 대한 사이버 공격을 막기 위해. 제어시스템에 대한 평가·인증을 실시하는 시큐리티 검증 시설을 미야자키현에 설치한다고 발표했다. 산업기술종합연구소나 도시바, 히다찌 등에서 만든 기술연구조합 제어시스템 시큐리티 센터가 시설을 운영하며 경제산업성은 20억엔을 지원한다. 신설되는 시설에는 발전소 등의 동작을 제어하는 시스템에 대해서 모의적 사이버 공격을 가해 시큐리티 대응 기술의 효과 등을 검증한다. (일본경제신문. 2012.

[박춘식 교수의 보안이야기] 안전한 웹 액세스 서비스 제공업체인 미국의 Trusteer가, 스마트폰 디바이스를 노린 새로운 위협을 보고하고 있다. 대부분의 온라인 뱅킹 서비스에서 채용되고 있는 원타임패스워드(OTP）인증을 빠져나가는 2종류의 새로운 사기 공격 수법이다. 종래의 공격에서는 공격자가 타켓의 전화번호를 변경해서, OTP 정보가 자신들에게 송신되도록 획책하는 것이 일반적이었다. 이번에 보고된 공격수법은 종래의 것과는 아주 다르다. “이번의 새로운 사기 수법에는 공격자는 타켓을 가진 모바일 디바이스의 SIM 카드 그 자체를

[박춘식 교수의 보안이야기] 미국의 주식회사는 앞으로, 사이버 공격 피해에 관해서 보다 신중한 자세를 취하지 않으면 안 될 것이다. 2011년 10월 중순에 미국증권거래위원회(SEC)가 새로운 가이드라인을 발표하였기 때문이다. SEC의 기업 금융 부문이 책정한 이 가이드라인은 사이버 공격을 받은 사실이나 그러한 공격이 사업에 미치는 위험 규모를 언제 발표하면 좋은 지, 그 결단을 기업이 내려야 할 때에 도움이 되는 것이다. 미국의 주식공개회사는 일반적으로 비즈니스에 물리적인 영향을 미치려고 하는 사건에 대해서 정보를 공개하는 의무를

[박춘식 교수의 보안이야기] 2월 23일, 일본 와세다대학전자정부·지자체연구소는 제8회째인 ‘와세다대학 전자정부 세계랭킹 2012’의 조사·연구 결과를 발표했다. 주요 55개국을 대상으로 전자정부진척도를 조사·연구한 결과, 상위 10은 1위가 미국, 싱가포르, 3위는 한국, 4위는 핀란드, 덴마크, 스웨덴, 호주, 일본, 영국 그리고 10위는 대만과 캐나다였다. 본 연구 결과의 특징을 주요 키워드로 표시하면 「소셜미디어」、「오픈·정부」、「시민참?묀⇒많堧?CP」、「사이버 시큐리티」、「BigData」、「모바일정부」、「클라우드·컴퓨팅」이

[박춘식 교수의 보안이야기] SDA(Security and Defense Agenda)는 ‘사이버 시큐리티: 세계 Rule의 주요 쟁점(Cyber Security: The vexed question of global rules)’이라는 주제의 사이버방위보고서를 2월29일 발표했다. 사이버 위협에 대한 세계인의 생각을 들어보고, 취해야만 하는 대책을 제시하는 등 향후 전망을 논의한 최초의 보고서이다. 본 보고서는 맥아피가 SDA에, 세계 사이버 방위에 관한 현시점에서 최고로 상세한 보고서 작성을 의뢰 받고 만들어진 것으로, SDA는

[박춘식 교수의 보안이야기] 미국 Verizon은 정보 유출에 관한 조사 결과를 정리한 년차보고서 개요판을 발표했다. 안이한 패스워드 이용이 정보 유출을 일으키는 첫 번째 원인이 되며 많은 조직에서는 정보가 유출되었다는 사실을 아는데 까지 수개월부터 수년이 소요되었다는 것도 알게 되었다. 개요판에서는 2011년에 발견된 정보 유출사건 가운데, Verizon이 조사한 90건에 대해서 분석하고 있다. 이것에 의하면 정보 유출의 원인은 외부로부터의 공격에 의한 것이 대부분을 차지하였으며 2004~2007년에는 80%정도, 2011년에는

[박춘식 교수의 보안이야기] 일본 경찰청은 3월1일, 사이버시큐티에 관한 최근 정세를 발표했다. 이 발표에 의하면 표적형 메일 공격의 파악 상황으로는 2011년 10월부터 12월까지의 3개월 동안에 합계 161건의 표적형 메일이 일본 민간 기업 등에 보내졌다고 파악하고 있다. 사업자 등에 있어서 새로운 대책 상황으로는 사이버 인텔리전스 정보 공유 네트워크을 구성하는 약 4,000개 사업자 등에 대해서 방위산업관련 사업자 등에 대한 표적형 메일 공격에 대해 새롭게 마련한 대책에 대한 조사였다. 그 결과 전직원에 대해서 표적형 메일 공

구글이 1일에 도입하는 개인정보 수집이나 이용에 대한 새로운 지침에 대해 세계에서 우려의 소리가 확대되고 있다. 검색이나 전자 메일, 동영상 배송 등 약 60개의 서비스별로 관리하고 있는 개인정보를 합쳐서 이용자 요구를 상세하게 파악. 상세한 검색을 가능하게 하며 타켓별 광고를 활용하는 방식. 단지 인터넷상의 행동이 그대로 관리되어 개인정보보호 침해 위험이 높아질 수 있다. 편리성과 정보 유출 위험이라는 “양날의 칼”의 현실을 이용자에게 내밀고 있다. 새로운 지침에는 주력 검색 외에 전자메일 Ｇ메일、동영상 유튜브 등 복수의 서비스에

[박춘식 교수의 보안이야기] 미국 캘리포니아주 법무장관은 2012년 2월 22일, 모바일 어플리케이션을 사용하는 사용자 보호를 위해 구글, 애플을 시작으로 모바일 대기업 6개사와 합의했다고 발표했다. 각사는 플랫폼을 통해서 제공하는 모바일 어플리케이션에 개인정보보호정책 제시를 의무화한다. 구글과 애플 외에 Microsoft、Amazon.com、Hewlett-Packard, 캐나다 Research In Motion(RIM)이 합의한 개인정보보호 원칙에서는 모바일 어플리케이션에 대해서 캘리포니아주 법의 ‘California Online

[박춘식 교수의 보안이야기] 프랑스 데이터보호에 관한 감독기관인 정보처리·자유전국위원회(CNIL: Commission nationale de l'informatique et des liberte)은 현지시간 2012년 2월27일, Google의 새로운 개인정보보호정책에 대해서, 유럽데이터보호지령에 위반될 가능성이 있다는 견해를 밝혔다. Google은 1월24일, 제품 및 서비스를 통일하는 조합으로 개인정보보호정책을 정리 통합하는 방침을 발표했다. Google계정을 가진 이용자가 복수의 Google서비스를 사용하고 있는 경우,

[박춘식 교수의 보안이야기] 트랜트마이크로는 2월23일, 불법 프로그램이나 피싱에 의해서 훔친 개인정보의 거래 가격에 대한 흥미로운 조사 결과, ‘Facebook 1000개 계정이 15달러? 암거래 개인정보 가격’을 자사 블로그에 발표했다. 수상한 네트워크 범죄자들의 웹 사이트에서 판매되고 있는 데이터를 수집하여 트랜드마이크로가 집계하여 평균적인 가격을 산출한 것으로 2011년 8월부터 2012년 1월까지의 조사한 결과이다. 신용카드 번호 1건 당 가격은 미국 내에서는 1~3달러, 중미, 호주, 유럽에서는 3~8 달러, 아시아, 중

[박춘식 교수의 보안이야기] 해커그룹 어나니머스(Anonymous) 이름으로、”3월31일에 인터넷을 다운시킨다”라고 예고하는 성명이 인터넷에 게재되었다. 이것에 대해서 시큐리티 기업에서는 공격은 사실상 불가능하다고 예상하고 있다. 어나니머스 이름의 성명에서는, 이 공격을 ‘글로벌 블랙아웃 작전’이라고 명명하고 있다. “SOPA(해적행위방지법안), 월가, 무책임한 지도자 및 은행재벌에 대항하기 위해”라고 칭하면서 인터넷의 Root DNS 서버를 3월31일에 다운시킨다고 선언했다. 이것에 의해 “누구도 도메인명의 참조가 될 수 없게 된

[박춘식 교수의 보안이야기] Doctor Web Pacific(Dr.WEB)은 2월15일, 새로운 백도어 ‘BackDoor.Webcam.9’을 발견했다고 발표했다. 이 트로이목마는 공격자의 원격서버로부터 받은 다양한 코맨드를 감염한 컴퓨터상에서 실행하여 그 컴퓨터에 접속된 웹카메라의 영상을 몰래 촬영하는 기능이 탑재되어 있다. 동작되면 일시 파일을 보존하는 시스템 폴더 내에 자신을 복사하여 어플리케이션의 자동 실행에 관여하는 레지스트리 브랜치의 하나로 등록한다. 그리고 감염된 컴퓨터상에서 자신의 복재가 존재하는 지를 확인한다. 그

[박춘식 교수의 보안이야기] IT기업 등 약 140개사에서 만든 「일본네트워크시큐리티협회」는 14일에 사이버공격대책 등 정보시큐리티분야에 필요한 인재 육성을 위한 인턴십제도 설립 검토회를 만들었다. IT 관련 등의 기업이 일정 기간, 학생을 받아들여 정보유출이나 바이러스 감염 대처법 등을 제일선에서 배울 기회를 제공한다. 이 협회에 의하면 정보시큐리티 분야에 특화한 인턴십 제도는 일본에서 처음이라고 한다. 검토회는 6월말까지 제도의 윤곽을 보고서로 정리해 7월부터 운영을 목표로 하고 있다. 이번에 설립된 ‘산학정보시큐리티인재육성 검

[박춘식 교수의 보안이야기] 일본 외무성은 14일, 사이버 공격 대책 등에 대응하는 외무성내의 팀 최고책임자를 과장급에서 대사로 승격했다. 시노쯔카 국제테러대책조직범죄대책협력담당 대사가 14일 취임했다. 각국이 사이버공격 대책을 강화하고 있어 일본도 체제를 강화한다고 밝혔다.(일본경제신문, 2012.02.14)[박춘식 서울여자대학교 정보보호학과 교수]

[박춘식 교수의 보안이야기] 일본 정부는 전력, 항공 등 사회의 중요 인프라를 사이버 공격으로부터 지키기 위한 대책 조성에 나선다. 인프라 설비를 관리하는 시스템을 외부 네트워크로부터 격리하도록 기업에 의무화하는 것을 검토하고 있다. 그래도 피해가 나올 경우를 대비하여 지금까지 고려하지 않았던 시스템의 정지·이상에 대처하는 대규모 연습을 2012년 내에 시작할 예정이다. 일본은 민관 모두 미국이나 유럽에 비해서 늦었지만 인프라 방위를 서두를 예정이다. 대상이 되는 것은 전력, 가스, 항공, 정보통신, 금융, 의료 등 10개 분야.

[박춘식 교수의 보안이야기] 일본네트워크시큐리티협회（JNSA）는 2월 3일, 「2010～2011년도 정보 시큐리티 시장 조사 보고서」를 발표하였다. 본 보고서는 일본의 정보 시큐리티 시장의 실태를 정량적으로 파악하여 정보 시큐리티를 둘러싸고 있는 사회적 동향을 적절하게 분석한 것이다. 2010년 3월 31일 시점에서 일본 국내 정보 시큐리티에 관한 툴이나 서비스 제공을 사업으로 행하고 있다고 판단되는 사업자를 조사 대상으로 하여 2011년 1월부터 2011년 12월까지 앙케이트를 조사, 각종 통계 자료 조사, 청취조사, 표본조사를

[박춘식 교수의 보안이야기] 기업 사원이 개인이 소유하는 디바이스를 사내로 가져와서, 임의의 어플리케이션서비스를 선택하여 사용하는 경우가 늘어나고 있어 이것이 기업 데이터의 시큐리티 리스크를 증대시키고 있다. 시큐리티 업체인 팔로알토 네트웍스(Palo Alto Networks)가 1600이상 조직의 네트워크 및 어플리케이션·트래픽을 분석한 결과 이러한 결론을 얻었다고 한다. 사원이 업무용든 개인 용도든 돋보이는 모바일 디바이스를 사용하고 싶다고 생각하는 것에서부터 일어나며 소위 IT 컨슈머화에 의해서 사원이 개인 소유 디바이스를 사

[박춘식 교수의 보안이야기] 일본 특허청은 7일, 정보 유출을 일으킬 우려가 있는 바이러스 메일이 송부된 사이버 공격을 받았다고 발표하였다. 특허청 내의 컴퓨터 3대가 바이러스에 감염되어 컴퓨터의 IP 주소 등 단말 정보가 외부로 유출된 가능성은 있지만 특허 출원 중의 미공개 정보의 유출은 확인되고 있지 않다. 특허청에 의하면 2월1일 밤, 일본 내각관방정보시큐리티센터(ＮＩＳＣ)로 부터의 정보 제공에 기인하여 특허청 내 4000대의 전 단말의 조사를 개시했다. 4일에 특허청내의 데스크탑형 컴퓨터 3대가 첨부된 파일을 열람하면 바이러