'2024/08'에 해당되는 글 29건

8월 19일 뉴스입니다.

새로운 공격 단체 등장해 랜섬웨어인 듯 보이기도 하고 아니기도 한 공격 실시 요약 : 보안 외신 블리핑컴퓨터에 의하면 새로운 사이버 공격 조직이 등장했다고 한다. 이름은 매드리버레이터(Mad Liberator)이며, 현재는 애니데스크(AnyDesk)의 사용자들을 겨냥하여 공격을 이어가는 중이라고 한다....

클라우드 설정 오류와 비밀번호 관리 실패로 협박 받는 11만 개 도메인 요약 : 보안 외신 시큐리티위크에 의하면 클라우드 설정 오류로 11만 개의 도메인이 노출되는 사건이... 말말말 : “보안 내에서 고질적으로 나타나는 문제들이 종합적으로 발현된 공격이라고도 할 수 있습니다. 결국...

[오늘의 보안 영어] back-to-back 그래서 back-to-back house라고 하면 영국에서는 그리 좋지 않은 뉘앙스를 가집니다.※ 이 코너는 보안뉴스에서 발간하는 프리미엄 리포트의 [데일리 보안뉴스+] 콘텐츠를 통해 2주 빨리 만나실...

랜섬웨어 등 보안 사고 피해자들에 대한 지원, 어떻게 해야 하나 공공과 민간 부문의 전문가들에서부터 피해자 본인에까지 이르러 취해야 할 행동들을 정리해 보았다.[보안뉴... 그래야 그들이 비슷한 상황에서나 또 다른 보안 사고 상황에서 좀 더 올바른 결정을 내리고 행동할 확률이...

여전히 활발한 라자루스, 멀웨어 퍼트리고 윈도 드라이버 제로데이 공략하고 북한의 해킹 조직이 배후에 있는 것으로 추정되며, 이 캠페인에 사용되고 있는 멀웨어는 비버테일(BeaverTail)이라고 보안 업체 그룹IB(Group-IB)가 밝혔다. 주요 공격 대상은 구직자들이라고 한다. 북한의 해킹 조직은...

최근 노출된 .env 파일 악용해 수천 개 기업 사이버공격한 정황 포착 특히, 이번 공격은 전통적인 보안취약점이나 클라우드 제공업체의 잘못된 설정을 이용한 것이 아니라... 이번 사건은 환경 변수 파일의 보안 관리와 클라우드 보안 조치의 중요성을 다시 한번 상기시켰다. 기업들은...

[ET톡] 카카오페이 정보유출 여론심판 '유감' 금융감독원이 고객 동의 없이 중국 알리페이에 개인신용정보를 넘겼다는 혐의를 받는 카카오페이에 대해 이번 주 검사의견서를 보내 공식 제재 절차에 착수한다. 이상한 일이다. 금감원이 절차에 착수하기도 전에 심판은...

[뉴스줌인]국내 기업·기관 노리는 사이버 공격 기승…“주기적 취약점 점검을... 국제 해킹조직이 국내 기업·기관을 해킹했다며 몸값을 요구하거나 국내에서 빼돌린 정보를 판매하는 사례가 늘어난다. 보안 전문가들은 사이버 위협 모니터링뿐만 아니라 취약점 관리 등을 강화할 것을 제언한다....

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

전체기사보기

1. 침해사고 발생 시 24시간 이내 신고 의무 신설 및 조치 이행 의무 개정

- 침해사고 발생 시 24시간 이내 다음 내용을 과기부장관 또는 KISA에 신고해야 합니다. 또한 추가로 확인되는 사실이 있는 경우 확인 시점으로부터 24시간 이내에 신고해야 합니다.
  . 침해사고의 발생 일시, 원인, 피해내용
  . 침해사고에 대한 조치사항 등 대응 현황
  . 침해사고 대응업무를 담당하는 부서 및 연락처

- 침해사고 발생 시 과기부장관이 정보통신서비스제공자에게 필요한 조치를 이행하도록 명령할 수 있습니다. 기존 권고에서 명령으로 강화되었습니다. 또한 해당 내용에 대해 이행 여부를 점검하고 보완이 필요한 사항에 대해 시정을 명할 수 있습니다.

- 침해사고의 신고를 하지 않은 경우 1천만원 이하의 과태료 처분에서 3천만원 이하의 과태료 처분으로 강화되었습니다.
  또한 조치 이행 여부 점검 후 보완이 필요한 사항에 대해 시정을 명했으나 시정명령을 이행하지 아니한 경우 3천만원 이하의 과태료 처분이 신설되었습니다.

- 근거법령

정보통신망법 제48조의3(침해사고의 신고 등) 제4항 신설
④ 제1항에 따른 신고의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다.

정보통신망법 시행령 제58조의2(침해사고 신고의 시기, 방법 및 절차) 신설
① 정보통신서비스 제공자는 법 제48조의3제1항 전단에 따라 침해사고를 신고하려는 경우에는 침해사고의 발생을 알게 된 때부터 24시간 이내에 다음 각 호의 사항을 과학기술정보통신부장관 또는 한국인터넷진흥원에 신고해야 한다.
  1. 침해사고의 발생 일시, 원인 및 피해내용
  2. 침해사고에 대한 조치사항 등 대응 현황
  3. 침해사고 대응업무를 담당하는 부서 및 연락처
② 정보통신서비스 제공자는 제1항에 따라 신고한 후 침해사고에 관하여 추가로 확인되는 사실이 있는 경우에는 확인한 때부터 24시간 이내에 신고해야 한다.
③ 제1항 및 제2항에 따른 신고는 서면, 전자우편, 전화, 인터넷 홈페이지 입력 등의 방법으로 할 수 있다.

정보통신망법 제48조의4(침해사고의 원인 분석 등) 제2항, 제3항 신설
② 과학기술정보통신부장관은 정보통신서비스 제공자의 정보통신망에 침해사고가 발생하면 그 침해사고의 원인을 분석하고 피해 확산 방지, 사고대응, 복구 및 재발 방지를 위한 대책을 마련하여 해당 정보통신서비스 제공자(공공기관등은 제외한다)에게 필요한 조치를 이행하도록 명령할 수 있다.
③ 과학기술정보통신부장관은 제2항에 따른 조치의 이행 여부를 점검하고, 보완이 필요한 사항에 대하여 해당 정보통신서비스 제공자에게 시정을 명할 수 있다.

정보통신망법 시행령 제58조의3(침해사고 조치의 이행점검 절차) 신설
과학기술정보통신부장관은 법 제48조의4제3항에 따라 같은 조 제2항에 따른 조치의 이행 여부를 점검하려는 경우에는 점검 목적ㆍ일시ㆍ방법ㆍ내용 등이 포함된 점검계획을 점검 7일 전까지 해당 정보통신서비스 제공자에게 알려야 한다. 다만, 추가 침해사고의 발생이 예상되는 등 긴급한 경우 또는 사전에 알리면 증거인멸 등으로 점검 목적을 달성할 수 없다고 인정되는 경우에는 미리 알리지 않을 수 있다.

8월 17일 ~ 8월 18일 뉴스입니다.

[한 주를 관통하는 보안 소식] 2024년 8월 3주차, ‘Value’ 식당 주인들이 가장 선호하는 단어...이란의 고민 깊어지고...세르비아에서는 기묘한 가치 충돌이[보안뉴스 문가용 기자] 2024년 8월 3주차 가 선정한 키워드는 ‘Value’다. 여기 저기서 가치라는 말들이 남용, 오용, 혼용되고...

명령 스크립트 파일로 압축해 유포되는 다운로더 악성코드 ‘DBatLoader’ 주... 유지해야[보안뉴스 박은주 기자] 최근 CMD 파일 형태로 유포되는 ‘DBatLoader(ModiLoader)’라는 이름의... 백신 프로그램을 사용하고 운영체제 보안 업데이트를 최신 상태로 유지하는 것이 안전하다. 응용...

금감원, 네이버페이와 토스 대상으로 개인신용정보 제3자 제공 여부 점검 네이버페이와 토스 대상으로 카카오페이와 유사한 사례 있는지 점검 나서[보안뉴스 김경애 기자] 금융감독원(이하 금감원)이 네이버페이와 토스를 대상으로 개인신용정보를 제3자에게 제공했는지 여부에 대해...

<보안뉴스>

<IT소식>

전체기사보기

8월 16일 뉴스입니다.

[보안&영화] 영화 <코코>가 상상하는 사후 세계와 자꾸만 죽는 CISO 늘 커리어의 죽음에 직면하고 있는 CISO들...함부로 죽여서는 안 되는 이유[보안뉴스 문가용 기자] 죽음... 보안을 담당하는 자들에게 있어서 죽음이란 진짜 죽음일 수도 있고 일어나지 말아야 할 ‘보안 사고’ 그 자체일...

한국, ‘사이버 보안’ 인식 세계 최하위... 프라이버시 문제 인식 부족 노드VPN, ‘2024년 사이버 보안 인식 테스트 결과’ 발표작년에 이어 한국인의 사이버 보안 및 개인정보 보호 인식 부족 드러나강력한 비밀번호 생성법은 잘 알지만, AI 사용 시 프라이버시 문제 이해도 낮아...

랜섬웨어 감염으로 출판 주문·배송 마비시킨 모아시스, 어떤 조치 취했나 랜섬웨어 해킹 사고가 발생한 이후 2주가 흘렀다. 모아시스 형남석 대표는 최근 홈페이지를 통해... 8월 7일에는 사이버수사대와 한국인터넷진흥원(KISA)에 해킹 공격을 신고했고, 8월 8일에 사이버수사대에서 현장...

국가안보실, 중소 방산협력업체 사이버 보안 실태 긴급 점검회의 개최 최근 북한 해킹조직의 국내 첨단 방산기술 노린 해킹 공격 급증 대응 방안 마련신용석 사이버안보비서관 주재, 방산업계 보안 사각지대 해소 및 보안관리역량 강화 추진[보안뉴스 김영명 기자] 국가안보실은 8월 16일...

'가상자산 거래소로 몰리는 해커…피해액 84% 급증' 공격의 주요 배후에는 북한과 연계된 해킹 그룹이 있다. 이들은 점점 더 정교해지는 사회공학적 기법을 활용해 가상자산을 탈취하고 있다. 이들은 복잡한 사이버 공격을 실행할 뿐만 아니라 전문적인 자금 세탁...

'랜섬허브, EDR 보안솔루션 무력화시키는 신종 악성코드 유포중' 통해 보안 소프트웨어를 비활성화하고 시스템 제어권을 확보하는 데 사용된다. ■랜섬허브의 새로운... 상승시키고 보안 솔루션을 비활성화하는 데 사용된다고 밝혔다. 이 악성코드는 공격자가 타겟 시스템에서...

MS, 펌웨어 문제로 비트락커 보안 업데이트 중단…수동 완화 권장 배포한 보안 업데이트를 일시 중단했다. 이번 취약점(CVE-2024-38058)은 공격자가 물리적 접근을 통해 비트락커의 암호화를 우회하고 민감한 데이터를 탈취할 수 있는 심각한 보안 문제로 평가받았다. 그러나 업데이트 적용...

[긴급] 솔라윈즈, 웹 헬프 데스크 소프트웨어의 치명적 보안취약점 주의...침... 솔라윈즈(SolarWinds)가 자사의 웹 헬프 데스크(Web Help Desk, WHD) 소프트웨어에서 발견된 치명적인 보안... 이 취약점을 악용하면 공격자가 호스트 시스템에서 임의의 명령을 실행할 수 있어 심각한 보안 침해로 이어질 수...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

전체기사보기

8월 15일 뉴스입니다.

[긴급] 하우리 바이로봇 취약점 발견... 관리서버 해킹 및 악성코드 유포 취약점이 해킹에 악용돼 임시 보안조치 권고가 내려졌다. 백신 관리서버를 해킹한 후 악성코드를 유포하는 공격이 이어지고 있다. 취약점은 백신 중앙관리 솔루션 ‘바이로봇 매니저 1.0’과 백신 통합 중앙관리...

지난 1년간 전 세계 ‘데이터 유출 비용’, 488만 달러에 달해 (갈취·랜섬웨어 공격 또는 갈취 및 데이터 유출만 해당)의 특성 △데이터, 시스템 또는 서비스가 유출 이전의 상태로 복구되기까지의 소요 시간 △기업이 유출 사실을 보고하기까지 소요된 시간(유출 사실 보고가...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

전체기사보기

8월 14일 뉴스입니다.

[카드뉴스] 인증 우회 취약점 악용한 공격 과정 분석해보니 이는 악의적인 공격자가 보안 메커니즘을 우회하고 시스템의 인증 절차를 회피해 권한을 획득할 수 있는 경로를 제공하는 취약점을 말한다. 이러한 취약점은 API 오용, 인증 및 접근 제어 결함, 보안...

2024년 2분기 피싱 메일 현황... 결제·구매로 주의 끌고, 가짜 페이지로 정보... 2024년 2분기 피싱 이메일, 키워드 유형·악성 첨부파일·첨부파일 확장자·등 분석[보안뉴스 박은주 기자]... 및 보안 패치 적용 등 보안 수칙을 실천해야 한다. 안랩 시큐리티 인텔리전스 센터(ASEC) 양하영 실장은...

[한국정보공학기술사 보안을 論하다-4] 블록체인의 쓸모와 보안 주요 보안 이슈에 대한 의견들을 들어보고자 합니다. 10회 연재로 진행되는 [한국정보공학기술사 보안을 論하다] 시리즈에 많은 관심 부탁드립니다. [편집자주][연재 목차]1. 클라우드 보안의 허와 실2. LLM 위협과...

MS, 정기 패치 통해 여섯 개의 제로데이 취약점 해결 요약 : 보안 외신 시큐리티위크에 의하면 MS가 여섯 개의 제로데이 취약점에 대한 경고를 발표했다고 한다. 이 때문에 이 취약점들에 대한 패치를 긴급히 적용해야 할 과제가 소비자들에게 부여됐다. 이...

[bnTV] 개인정보 보호법 개정 그 이후, D사와 G사의 사건으로 본 핵심은? 개인정보 포함된 서비스 및 제품은 적용 가능성 높아■ 방송 : 보안뉴스TV(bnTV) 13화■ 진행 : 이소미 보안뉴스 기자■ 출연 : 김진환 변호사 □ 이소미 기자bnTV 구독자 여러분, 안녕하세요. 보안뉴스와 김진환 변호사가...

'한국, 사이버 보안 인식 세계 최하위권…프라이버시 문제 인식 부족' 글로벌 인터넷 보안기업 노드VPN이 진행한 '사이버 보안 인식 테스트(National Privacy Test, NPT)'에서 한국이 전 세계적으로 보안 인식이 가장 낮은 순위를 기록했다고 14일 발표했다. 노드VPN에 따르면, 사이버 보안 인식...

2024년 DDoS 공격 46% ↑…게임·기술 산업 집중 타격 보안전문가들은 DDoS 공격에 대응하기 위해 다음과 같은 방안을 제시했다: ▶클라우드 기반 방어 시스템에... DDoS 공격이 더욱 정교해지고 빈번해지면서, 기업들은 선제적이고 적응력 있는 보안 조치를 통해 운영과...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

전체기사보기

8월 13일 뉴스입니다.

데프콘에서 발견된 취약점, 구글이 빠르게 패치해 요약 : 보안 외신 핵리드에 의하면 구글이 퀵쉐어(Quick Share)에서 발견된 초고위험도 취약점을 패치했다고 한다. 다행히 보안 전문가들이 먼저 발견한 것으로, 아직까지 이 취약점으로 야기된 실제 피해 사례는...

MS, 오픈VPN에서 네 가지 취약점 발견해 요약 : 보안 블로그 시큐리티어페어즈에 의하면 MS가 오픈VPN(OpenVPN)에서 네 개의 취약점을 발견해 제보했다고 한다. 이는 최근 열린 보안 행사인 블랙햇에서 발표된 것으로, 이 취야기점들을 연쇄적으로...

[오늘의 보안 영어] in the wild (해커들이 현재 이미 컴파일링이 된 V8 자바스크립트를 활용하여 멀웨어를 퍼트리는 중이다.) * Palo Alto Networks is warning that a critical flaw is being actively exploited in the wild....

과기정통부, ‘정보통신망법’ 개정안 시행... 사이버 침해사고 대응 실효성 ... 현재 조치사항 ‘권고’ 개선[보안뉴스 김영명 기자] 과학기술정보통신부(장관 이종호, 이하 과기정통부)는... 또한 침해사고 원인 분석을 통해 도출된 보안체계 강화 등 재발방지 조치가 제대로 이행돼 사고가 발생한...

금융위 발표 ‘금융분야 망분리 개선 로드맵’, 어떤 내용 담겼나 금융권 망분리 10년, 금융권도 생성형 AI 활용 혁신 금융서비스 출시 가능‘자율보안-결과책임’ 원칙 입각한 신 금융보안체계 구축[보안뉴스 김영명 기자] 금융위원회(위원장 김병환)는 8월 13일 김병환 금융위원장...

엘세븐시큐리티, 개선되는 망분리 환경에서 개인정보보호 핵심 역할 망연계 제품과 연동해 개인정보 유출탐지 필요[보안뉴스 박은주 기자] 망분리 규제를 완화하면서 데이터... 제로트러스트 및 MLS(다단계 보안)와 같은 고급 보안 프레임워크가 구현되더라도 솔루션만으로는 개인정보 유출...

카카오페이, 中 알리페이에 4,045만명 신용정보 넘겨... 금감원 제재 착수 제재 돌입할 것”카카오페이 “정상 고객정보 위탁, 개인신용정보 처리 위탁으로 이전 동의 필요 없어”[보안뉴스 박은주 기자] 카카오페이가 중국 핀테크 기업 알리페이에 개인신용정보 약 542억건을 고객 동의 없이...

마이데이터 확대 '유통'은 제외된다…개보위 “규개위 권고 수용” 민감한 사생활 정보가 보안이 취약한 소규모 기업을 통해 보이스피싱 등 범죄와 해킹의 위험에 노출되는 우려가 있다고도 지적했다. 업계 관계자는 “이번 결정으로 e커머스 등 분야의 기술 유출, 영업기밀 유출 우려는...

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

전체기사보기

8월 12일 뉴스입니다.

최근 사이버 공격자들 사이에서 유행하고 있는 데이터 유출 도구 셋 앞으로 더 많은 정보 탈취 도구들이 암시장에 등장할 가능성도 높아지고 있다.말말말 : “유명 랜섬웨어 그룹들도 최근에는 랜섬웨어보다 데이터 유출 도구를 벼리는 데에 더 집중하고 있을 정도입니다....

숙박결제 인증샷 주의... ‘여름 휴가철 개인정보보호 캠페인’ 고속열차(KTX) 서울역 맞이방에서 여행객 대상 여름 휴가철 개인정보보호 캠페인개인정보 유출 경각심 높이고, 일상생활 속 개인정보보호 실천방안 안내[보안뉴스 박은주 기자] 개인정보보호위원회(위원장 고학수...

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

전체기사보기

1. 법 제23조의5(연계정보의 생성·처리 등) 신설

제1항에서는 CI를 사용할 수 있는 조건에 대해 다음과 같이 명시하고 있습니다.
- 이용자 식별 및 인증을 위해 사용하는 경우
- 공공기관이 이용자 식별 또는 고유식별정보 처리 목적 범위에서 사용하는 경우
- 개인정보 전송요구권에 따른 전송의무를 위해 사용하는 경우
- 주민등록번호의 처리가 허용된 경우 대통령령으로 정하는 정보통신서비스를 제공하기 위하여 본인확인기관과 정보통신서비스제공자가 함께 방송통신위원회의 승인을 받은 경우
대부분의 경우 CI를 이용자 식별 및 인증을 위해 사용할 것이기 때문에 현업에서 특별히 이슈는 없어 보입니다만 혹시 다른 목적으로 사용하고 계셨다면 CI 사용에 대해 검토해볼 필요는 있겠습니다.
이 조항의 위반에 대해 5년 이하의 징역 또는 5천만원 이하의 벌금이 부과됩니다.

제2항 및 제3항에서는 연계정보 생성 처리의 승인/취소에 관한 사항을 명시하고 있으며
제4항에서는 연계정보 이용기관은 연계정보를 제공받은 목적 범위를 벗어나 연계정보를 사용할 수 없음을 명시하고 있습니다.
제4항 위반 시 5년 이하의 징역 또는 5천만원 이하의 벌금이 부과됩니다.
제5항에서는 상세한 내용에 대해 대통령령에 위임하고 있으나 아직 대통령령은 해당 내용에 대해 신설된 바가 없습니다.

2. 법 제23조의6(연계정보의 안전조치 의무 등) 신설

제1항에서 연계정보 생성 및 처리 시 안전성 확보를 위한 물리적·기술적·관리적 조치를 할 것을 요구하고 있습니다.. 다만 이 부분은 연계정보 역시 개인정보의 일부로 개인정보보호법에서 요구하고 있는 사항이기 때문에 본 조항 신설에 따라 사업자 입장에서 신규로 요구되는 사항은 아닙니다.
제2항에서 연계정보는 주민등록번호와 분리하여 보관·관리할 것을 요구하고 있으며 안전조치를 할 것을 요구하고 있습니다. 안전조치야 1항과 마찬가지로 개인정보보호법에서 요구되던 사항이라 크게 변화될 것은 없습니다만 주민등록번호와 분리해야 한다는 부분은 조치가 필요할 것으로 보입니다. 다만, 이를 테이블 단위로 분리할 것인지 DB 단위로 분리할 것인지에 대한 가이드는 필요할 것으로 보입니다.
제1항 및 제2항의 조치사항에 대해 대통령령에 위임하고 있으나 아직 대통령령은 해당 내용에 대해 신설된 바가 없습니다.
제1항 및 제2항 위반 시 3천만원 이하의 과태료가 부과됩니다.
제3항 및 제4항에서는 본인확인기관 및 연계정보 이용기관의 안전조치에 대한 운영·관리 실태를 점검할 수 있음을 명시하고 있습니다. 결국 CI를 사용하는 경우 실태점검이 늘어난다는 내용인데요 실태점검은 관리가 잘 되고 있는 기업에게도 행정적 부담이 적지 않은 만큼 기업에게 크게 부담가지 않는 수준에서 진행했으면 하는 바램입니다.

3. 법 제44조의7(불법정보의 유통금지 등) 제5항 신설

국내에서 캐시서버를 운영하는 일정규모 이상의 정보통신서비스 제공자의 경우 불법 정보의 접근 제한, 유통 금지, 접근 제한 관리실태의 기록 등의 기술적·관리적 조치를 해야 합니다.
이는 어디까지나 서버가 국외에 있으면서 국내에는 캐시서버만 운영하는 사업자에게 적용되는 법령으로 대다수의 국내 기업은 적용되지 않는 조항입니다.
이반 시 1천만원 이하의 과태료가 부과됩니다.

4. 법 제47조(정보보호 관리체계의 인증) 제2항 개정 및 시행령 제49조(정보보호 관리체계 인증 대상자의 범위) 제2항 개정

ISMS 인증 의무대상자 선정 시 매출액 기준이 연간 매출액에서 전년도 매출액으로 명확해졌습니다.
또한 일일평균 이용자 수 기준 역시 전년도 말일 기준 3개월에서 전년도 전체로 변경되었습니다.
매출 기준은 명확해진 부분이기 때문에 큰 변화는 없을 것으로 예상됩니다만 이용자 수 기준이 4/4분기에서 전년도 전체로 변경되었기 때문에 대부분의 매출이나 이용자 방문이 4/4분기에 발생하는 사업자의 경우 인증 의무 대상자에서 제외될 수 있는 가능성이 생겼습니다.

5. 법 제47조의7(정보보호 관리체계 인증의 특례) 신설 및 시행령 제49조의2(정보보호 관리체계 인증의 특례 대상자의 범위) 신설

말 많은 간편인증제도가 신설되었습니다.
간편인증제도의 대상자는 다음과 같습니다.
- 소기업
- 정보통신부문 전년도 매출액 300억 미만의 중기업
- 정보통신부문 전년도 매출액 300억 이상인 자 중 주요 정보통신설비를 직접 설치 및 운영하지 않고 호스팅 서비스만을 이용하는 중기업
- 정보통신부문 전년도 매출액 300억 이상인 자 중 주요 정보통신설비를 직접 설치 및 운영하지 않고 클라우드서비스만을 이용하는 중기업
다만, 다음의 경우에는 간편인증대상자의 규모에 포함되더라도 간편인증대상자가 될 수 없습니다.
- 주요정보통신서비스제공자(서울특별시 및 모든 광역시에서 정보통신서비스를 제공하는 기간통신사업자)
- 집적정보통신시설 사업자
- 전년도 매출액 또는 세입이 1,500억원 이상인 상급종합병원 또는 재학생수가 1만명 이상인 고등교육학교
- 전년도 일일평균 이용자 수가 100만명 이상인 자
- 가상자산사업자
- 전자금융거래법에 따른 금융회사

간편인증을 만드는 것은 기업의 부담 완화 측면에서 동의합니다.
300억이라는 기준은 과도하다는 생각이 드는 것도 사실입니다만 호스팅 또는 서비스형 클라우드만 사용하는 기업의 경우 불필요한 통제항목이 너무나 많았던 것도 사실입니다.
다만, 고시로 위임하고 있는 통제항목 중 위험평가 등 반드시 필요한 항목이 삭제되어 기업 부담 완화에만 초점이 맞춰져 있고 보안수준 강화에 도움이 된다는 생각은 들지 않아 ISMS 간편인증 제도가 보안수준 강화보다는 보안사고 발생 시 면피용 제도가 되버리는 것이 아닐까 우려됩니다.

6. 법 제48조(정보통신망 침해행위 등의 금지) 제4항 신설

해킹 도구를 판매하거나 유포하는 행위를 금지하는 내용입니다.
위반 시 5년 이하의 징역 또는 5천만원 이하의 벌금이 부과됩니다.

해킹도구의 판매 또는 유포를 금지하는 것에 대해 반대하는 사람은 범죄자가 아닌 이상 없지 않을까 생각됩니다.
RaaS 등 사이버 공격도 서비스 형태로 이뤄지는 시대인만큼 이는 반드시 필요하다고 생각되는 조항입니다.
다만, 모의해킹 도구가 결국 공격 도구일텐데 이를 판매 또는 구매하는 경우와 공격을 위해 판매 또는 구매하는 경우를 어떻게 가려낼지 일부 조심스러운 부분이 남아있기는 합니다.

7. 법 제48조의4(침해사고의 원인 분석 등) 제2항 개정, 제3항 신설

침해사고 발생 시 과기부에서 피해 확산 방지, 사고대응, 복구 및 재발방지를 위한 대책을 이행하도록 명령할 수 있도록 권고에서 상향 조정되었습니다.
또한 과기부에서 조치 이행 여부를 점검하고 시정을 명할 수 있다는 내용이 신설되었습니다.
제3항 위반 시 3천만원 이하의 과태료가 부과됩니다.

사실상 이미 권고라고 하지만 규제기관의 권고는 명령과 크게 다르지 않은 수준으로 받아들여지고 있었기 때문에 크게 변화된 내용은 없다고 생각됩니다.

8월 10일 ~ 8월 11일 뉴스입니다.

ESXi 인증 우회 취약점, 아키라 및 블랙바스타 조직에서 악용 정황 발견 이 같은 취약점은 아키라(Akira)와 블랙바스타(BlackBasta) 해킹그룹에서 공격에 사용한 정황이 발견됐다고 덧붙였다. 마이크로소프트 측은 이번 악용 정황과 관련해 VMware에서 발표한 보안 업데이트...

[한 주를 관통하는 보안 소식] 2024년 8월 2주차, ‘계기’ 한 순간에 정권 바뀐 방글라데시와, 한 순간에 서방 세계를 끊어내려는 일부 아프리카 국가들[보안뉴스 문가용 기자] 2024년 8월 2주차 가 선정한 키워드는 ‘계기’다. 독재자가 서둘러 나라를 떠나고, 정부가 진범을 밝혀도...

국민과 정부가 함께 하는 2024 을지연습 사이버 보안 수칙 5가지 과기정통부 관계자는 “최근 스피어 피싱, 관리가 소홀한 홈페이지 정보유출, 랜섬웨어 공격 등 다양한 형태의 사이버 공격들이 빈번히 발생하고 있다”고 설명했다. 이어 “이번 을지연습을 계기로 삼아 사이버 보안...

[긴급] '업데이트된 윈도우 시스템 보안 무너뜨릴 수 있는 2개 제로데이 취약... 시스템의 보안을 무너뜨릴 수 있는 제로데이 취약점을 공개했다. 레비에브는 복잡한 다운그레이드... 이로 인해 보안 패치가 완료된 시스템조차 공격자에게 쉽게 노출될 수 있는 상황이 되었다. 레비에브는...

[ET단상]국가 기반 시설 해킹 공격에 사이버 안보 위태롭다 마땅한 보안 방안이 없는 상황이다. 세계 산업제어시스템(ICS:Industrial Control System) 시장을 선도하는... 이런 상황 속에서 인증 고도화를 통해 OT 환경의 최우선 조건인 가용성을 떨어뜨리지 않으면서 보안 수준을 대거...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

전체기사보기