'2025/03'에 해당되는 글 27건

3월 29일 ~ 3월 30일 뉴스입니다.

개인정보위, 개인정보 작성지침 개정본 발간..해외사업자 의견 수렴

개인정보보호위원회, 해외사업자의 개인정보 처리방침 실효성 강화를 위한 지침 개정 추진
- 개인정보보호위원회, 해외사업자 12개사와 간담회 개최
- 개인정보 처리방침 평가제 도입, 해외사업자 평가결과 국내 기업 대비 저조
- 해외사업자, 국내 제도의 세부 규정 준수에 어려움 토로
- 개인정보위, 4월 중 ‘개인정보 처리방침 작성지침 개정본’ 발간 예정
- 정보주체 권리 강화를 위한 지속적인 정책 개선 추진

AI 모델 안전성 확보는 '설명성·데이터·강건성'에 달려

AI 안전성을 확보하기 위해 설명 가능성, 데이터 품질관리, 강건성 테스트 필요
- AI 의사결정 과정의 설명 가능성을 확보해야 함
- 공정하고 신뢰할 수 있는 데이터 품질 관리 필요
- AI의 예상치 못한 상황 대응을 위한 강건성 테스트 강조
- AI 모델의 신뢰성, 윤리적 정렬성, 책임성을 높여야 함
- AI 거버넌스 구축 및 모니터링 강화 필요
- AI 기술의 산업 활용 사례 및 적용 범위 확대 논의

우리카드, 개인정보 무단 활용으로 134억원 과징금 처분

우리카드, 가맹점주 개인정보 무단 활용으로 134억 과징금 부과
- 개인정보위, 우리카드의 개인정보법 위반 조사 후 과징금 부과 결정
- 가맹점주 20만여 명의 개인정보를 카드 모집 마케팅에 무단 사용
- 법적 근거 없이 주민등록번호 처리 규정 위반
- 데이터베이스 접근권한 및 다운로드 권한 과도 위임 문제 지적
- 우리카드에 내부통제 강화 및 개인정보 보호조치 준수 명령

[특별인터뷰] 고학수 개보위원장 '마이데이터, 세계가 한국 주시'

개인정보보호위원회 고학수 위원장, AI 시대에 맞춘 개인정보 보호정책 추진
- 개인정보 보호와 데이터 활용의 균형을 강조
- 개인정보보호법 개정 및 디지털 잊힐 권리 지원사업 시행
- 마이데이터 제도 도입으로 의료·통신 정보 활용 강화
- AI 기술 발전에 따른 개인정보 보호정책의 중요성 언급
- 개인정보 보호와 AI 발전을 함께 고려한 정책 수립 목표

취준생 개인정보유출 인크루트, 과징금 취소 소송 1심 패소

인크루트, 2020년 개인정보 유출 사건 관련 과징금 취소 소송에서 패소
- 인크루트는 2020년 해킹으로 3만5천여 건의 개인정보 유출 사고 발생
- 개인정보보호위원회는 보안 조치 미흡을 이유로 과징금 7,060만원과 과태료 360만원 부과
- 인크루트는 과징금이 부당하다며 2023년 10월 행정소송 제기
- 서울행정법원은 개인정보보호위원회의 처분이 정당하다고 판결
- 인크루트의 소송 패소로 인해 기업의 보안 조치 강화 필요성 대두

메타는 왜 반복적으로 과징금을 받는가[안성훈 변호사의 ‘행정법 파보...

메타, 반복적인 개인정보 보호법 위반으로 총 1000억 원 과징금 부과
- 2020년 11월, 페이스북 로그인 과정에서 이용자 동의 없이 개인정보 제공하여 67억 원 과징금 부과
- 2021년 8월, 얼굴 인식 정보 무단 수집으로 64억 원 과징금 부과
- 2022년 9월, 온라인 행태정보를 동의 없이 수집하여 308억 원 과징금 부과
- 2023년 11월, 98만 명의 민감정보를 동의 없이 광고 타겟팅에 활용하여 216억 원 과징금 부과
- 법원은 메타의 항변을 인정하지 않고 개인정보보호위원회의 결정을 지지
- 메타는 데이터 기반 광고 사업 모델로 인해 지속적인 법적 리스크에 직면
- 개인정보 보호 규제가 강화될수록 글로벌 플랫폼 기업들의 법적 책임 증가 예상
- 국내 기업들도 개인정보 보호가 기업 경쟁력과 직결된다는 점을 인식할 필요

개인정보 손배책임 보장제도 재조정···의무대상 매출 기준 낮춘다

개인정보 손해배상책임 보장제도, 매출 기준을 1500억 원 이상으로 조정
- 개인정보보호위원회, 개인정보 손해배상책임 보장제도 개선 방안 발표
- 기존 의무대상 기준(매출 10억 원 이상, 정보주체 1만 명 이상)에서 완화(매출 1500억 원 이상, 정보주체 100만 명 이상)
- 보험료 인하 및 보장 범위 확대 추진, 일부 보험상품에서만 제공되는 과징금 보험특약 확대 계획
- 개인정보 분쟁조정제도를 통해 손해배상금 지급을 활성화하여 피해자 보호 강화
- 한국개인정보보호책임자협의회 등과 협력해 제도 안내 및 인식 제고 추진
- 기존 제도의 실효성 문제(보험료 부담, 인지도 부족 등) 개선 필요성 제기

웨스턴디지털 '응답자 87, 데이터 자동 또는 수동 백업 중'

데이터 백업 중요성에 대한 인식 증가, 87%가 데이터 백업 수행
- 웨스턴디지털 조사에 따르면 87%의 응답자가 데이터를 백업한다고 응답
- 주요 백업 이유는 데이터 손실 우려(83%), 저장 공간 확보(67%), 사이버 공격 대비(42%)
- 데이터 손실 경험이 있는 응답자는 63%에 달함
- 세계 백업의 날(World Backup Day)을 통해 데이터 보호 중요성 강조
- 백업을 하지 않는 이유로는 필요성을 못 느낌(36%), 저장 공간 부족(30%), 백업 시간 부담(29%) 등이 제시됨
- 백업 방법을 몰라서 하지 않는 비율도 23%로 나타남
- 기업과 개인 모두 데이터 보호 전략을 강화할 필요 있음

개인정보위, 개인정보 작성지침 개정본 발간..해외사업자 의견 수렴 구글, MS, 스타벅스, 알리 등 해외사업자 CPO 간담회 진행개인정보 처리방침의 실효성 높일 작성 우수사례 등 관련 지침 보완[보안뉴스 조재호 기자] 개인정보보호위원회(위원장 고학수)는 해외사업자들의 ‘개인정보...

AI 모델 안전성 확보는 '설명성·데이터·강건성'에 달려 보안 거버넌스를 준수, 각사별·개인별 데이터가 보호되는 AI 서비스 제공이 특징이다. 오현식 롯데이노베이트 인공지능테크랩 실장은 “AI 시대 기업 경쟁력 강화를 위해 AI 전략이 중요하다”며 “롯데이노베이트는...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

3월 28일 뉴스입니다.

개인정보위, '개인정보 처리 현황 파악 등에 시민단체와 협력'

IP 카메라 개인정보 보호를 위해 시민 사회의 참여를 확대하는 방안이 추진된다.
- 개인정보보호위원회가 소비자 및 시민단체와 개인정보 보호 협력 방안을 논의하는 간담회를 개최했다.
- IP 카메라의 개인정보 처리 현황 분석 및 침해 요소 모니터링이 협업 대상에 포함됐다.
- AI 및 디지털 전환으로 인한 프라이버시 침해 우려 해소가 주요 논의 주제였다.
- 시민단체는 개인정보 침해 구제 수단의 실효성 확보를 요구했다.
- 개인정보보호위원회는 시민단체와 협력해 신뢰할 수 있는 개인정보 보호 환경을 조성할 계획이다.

2025년 2월, 하루 평균 27만 건 웹 공격 발생…SQL 인젝션이 전체 공격의...

2월 한 달간 AI 기반 웹 방화벽이 하루 평균 27만 건의 웹 공격을 탐지했다.
- SQL 인젝션이 전체 공격의 36.99%를 차지하며 가장 높은 비율을 기록했다.
- 공격 발생 IP는 한국, 중국, 미국, 루마니아 등 다양한 국가에서 탐지됐다.
- Apache OFBiz의 RCE 취약점(CVE-2024-38856)이 패치 우회를 통해 악용되었다.
- AIWAF 전용 패턴이 추가되었으며, 최신 버전 업데이트가 권고됐다.
- 보안 전문가들은 글로벌 보안 위협에 대한 종합적인 대응 전략이 필요하다고 강조했다.

[웨비나 영상] 제로트러스트 확산을 위한 정책 추진 방향과 적용 솔루션...

제로트러스트 2.0의 민간 확산을 위한 제도적 방향성과 기술적 구현 전략이 제시됐다.
- 데일리시큐와 아카마이코리아가 공동 주최한 웨비나에 250여 명의 정보보호 담당자가 참석했다.
- KISA는 제로트러스트 보안 모델의 필요성과 가이드라인 2.0의 주요 내용을 설명했다.
- 가이드라인 2.0은 4단계 성숙도 모델과 6대 핵심 요소를 중심으로 세부 역량을 정의했다.
- 2025년부터 민간 부문 확산을 위한 시범사업 및 컨설팅 지원이 추진된다.
- 아카마이코리아는 동적 정책 기반 보안으로 공격 표면을 99.93% 감소시키는 방안을 소개했다.

AI로 진화하는 피싱 공격… 사이버 범죄자의 소셜 엔지니어링 전략 변화

사이버 범죄자들은 AI를 활용해 피싱 기법을 더욱 정교하게 발전시키고 있다.
- 피싱 공격이 AI 기술을 활용하여 더욱 정교하고 개인화된 방식으로 진화하고 있음.
- AI 기반 챗봇과 생성형 AI를 이용해 문법적으로 완벽하고 신뢰할 수 있는 피싱 이메일 제작 가능.
- 딥페이크 기술을 활용하여 음성 및 영상 기반의 피싱 공격이 증가하는 추세.
- 공격자들은 기존 이메일 쓰레드를 가로채어 더욱 신뢰할 수 있는 형태로 변조하여 피싱 수행.
- 클릭픽스 기법을 사용해 파워셸 명령어 실행을 유도하는 공격 방식이 확산 중.
- 신뢰할 수 있는 브랜드를 사칭한 피싱 기법이 더욱 정교해지고 있음.
- 합법적인 파일 공유 및 서명 서비스 등을 악용하여 피싱 링크를 전파하는 사례 증가.
- QR 코드를 활용한 ‘퀴싱(Quishing)’ 공격이 보안 필터를 우회하는 방법으로 급증하고 있음.

개인정보위, '개인정보 처리 현황 파악 등에 시민단체와 협력' 개인정보보호위원회는 28일 서울 광화문에서 ‘소비자·시민단체 개인정보 정책간담회’를 열고, 주요 개인정보 이슈에 소비자와 시민단체가 참여하는 방안을 제안했다. IP 카메라 같은 IT 기기의 개인정보 처리 현황...

2025년 2월, 하루 평균 27만 건 웹 공격 발생…SQL 인젝션이 전체 공격의... 특히 2월 28일과 30일에 공격이 집중되었으며, 이는 보안 대응 시점을 사전에 예측해 선제적 조치가... 그 외에도 내부 IP 대역(10.x.x.x)에서 수십만 건의 공격이 발생해 내부 시스템 보안 점검의 필요성도...

[웨비나 영상] 제로트러스트 확산을 위한 정책 추진 방향과 적용 솔루션... 이번 웨비나는 제로트러스트 보안 모델의 국내 도입을 위한 제도적 방향성과 기술적 구현 전략을 구체적으로 다뤄 보안담당자들의 큰 관심을 모았고 웨비나 내내 많은 질문들이 올라왔다. 제로트러스트 사업총괄을...

<보안뉴스>

<IT소식>

3월 27일 뉴스입니다.

[사람과 보안] 숨기면서도 드러내야만 하는 보안의 패러독스

보안은 기밀성과 개방성이 균형을 이루어야 강해질 수 있다.
- 보안의 핵심 요소는 기밀성, 무결성, 가용성(CIA 3요소)이다.
- 기밀성은 보안의 기본이지만 지나치게 폐쇄적이면 오히려 위험을 초래한다.
- 기업들은 보안 정보를 공유하지 않으면 최신 보안 위협에 취약해질 수 있다.
- 사이버 위협 정보와 기술 트렌드는 적극적으로 공유되어야 한다.
- 보안 엑스포와 컨퍼런스는 실무적 보안 정보를 공유하는 중요한 기회이다.
- 현장에서 발생한 보안 위협 사례는 빠르게 공유될수록 효과적인 대응이 가능하다.
- 기업의 보안은 외부 피드백을 받아들여야 더욱 강해질 수 있다.
- 보안의 개방성을 인정하고 위협을 공유하는 것이 실질적인 보안 강화로 이어진다.

개인정보위, 우리카드에 과징금 134억 부과…'최소 20만 명 가맹점주 개...

우리카드는 가맹점주의 개인정보를 동의 없이 마케팅에 활용해 134억 원의 과징금을 부과받았다.
- 개인정보위는 우리카드의 개인정보보호법 위반을 확인하고 과징금 및 시정명령을 결정했다.
- 우리카드는 최소 20만 명의 가맹점주 개인정보를 카드 마케팅에 무단 활용했다.
- 주민등록번호를 이용해 신용카드 보유 여부를 조회하고 모집인과 공유했다.
- 개인정보가 카카오톡 단체 채팅방과 이메일을 통해 전달되는 등 관리가 부실했다.
- 7만 명 이상의 가맹점주가 마케팅 활용에 동의하지 않았음에도 정보가 사용됐다.
- 개인정보보호법 제18조(목적 외 이용 제한) 및 주민등록번호 처리 규정을 위반했다.
- 우리카드는 내부 통제 미흡으로 대량의 개인정보 유출을 초래했다.
- 개인정보위는 기업의 무단 개인정보 활용에 대한 강력한 제재를 예고했다.

개인정보위, 손해배상책임 보장제도 대폭 손질…의무대상 상향 조정·보...

개인정보 유출 사고에 대비한 손해배상책임 보장제도의 기준이 대폭 변경되어 보험료 인하 및 보장범위 확대가 추진된다.
- 개인정보 보호법 시행령 개정을 통해 의무대상을 ‘매출 1,500억 원·정보주체 100만 명 이상’으로 상향 조정
- 보험료를 최대 50% 인하하고 보장범위를 확대하여 실질적인 피해 구제 강화
- 개인정보 분쟁조정 절차를 통해 결정된 합의금도 보험 보장 대상에 포함
- 개인정보보호위원회가 기업 및 국민의 인식 제고를 위한 홍보 강화 추진
- 보험 가입 확대를 위해 한국개인정보보호책임자협의회 및 유관 협단체와 협력 예정

박정훈 국민의힘 의원 '커지는 기업 해킹 위협, 사이버보험이 안전판'[...

기업들의 해킹 피해를 줄이고 회복력을 높이기 위해 사이버보험 활용 방안을 논의하는 토론회가 열린다.
- AI, 빅데이터, 클라우드 발전과 함께 사이버 공격 증가로 기업 피해 심화
- 사이버보험은 해킹, 랜섬웨어 등으로 인한 경제적 손실을 보상하는 중요한 안전장치
- 중소기업 및 비영리기관이 주요 공격 대상이며, 보안 관리 역량이 취약한 상황
- 정보보호 공시제도 강화 및 사이버 사고 피해 공유 시스템 구축 필요
- 보험료 부담 문제를 해결하기 위해 인센티브 요율제 및 국가 지원 검토
- 국가 차원에서 사이버 사고 데이터를 수집·분석하여 기업과 보험업계에 제공 필요

개인정보위, 가명 처리 안 한 개인정보 AI 개발 활용 추진

개인정보보호위원회가 AI 개발을 위해 익명·가명 처리하지 않은 개인정보 활용을 허용하는 법 개정을 추진한다.
- 특정 요건을 충족하는 경우 개인정보를 AI 개발에 활용 가능하도록 법 개정 추진
- 개인정보보호위원회 심의를 거쳐 활용 여부를 결정하는 방식
- 산업계에서는 요건 충족이 어렵다는 지적과 함께 규제 완화를 요구
- 개인정보 자기결정권 제한 문제로 법 개정 초기에는 신중한 접근이 필요
- 시행 후 점진적으로 규제를 완화하는 방향도 고려 중

고학수 위원장 'AI·데이터청? 굉장히 어려운 조직될 것'

고학수 개인정보보호위원장은 AI·데이터청 설립에 대해 실효성 문제를 지적하며 부정적 입장을 표명함.
- 고 위원장은 AI·데이터청이 인사, 예산, 입법에서 독립성을 확보하기 어려운 구조라고 설명함.
- 데이터 거버넌스 및 정책 방향 설정의 실효성을 높이는 방안을 고민해야 한다고 강조함.
- 한국적 현실에서는 대통령 어젠다로 채택될 경우 추진력이 높아질 수 있다고 언급함.
- 중국 생성형 AI '딥시크'가 한국법을 준수하려는 의사를 보였다고 밝힘.
- 딥시크의 개인정보 수집 및 활용 방식에 대한 한국 소비자의 우려가 크다고 지적함.
- 개인정보위는 딥시크의 개인정보 보호 실태를 조사 중이나, 구체적 결과는 아직 발표할 단계가 아님.
- 트럼프 행정부 출범 이후 개인정보 정책 대응 방안을 논의 중이며, 4월 본격적인 논의가 시작될 전망임.
- 개인정보위와 메타 간 소송에서 최종 승소했으나, 미국 정부의 공식 반응은 없는 상태임.
- 개인정보위의 조사 강제력이 부족하다는 지적에 대해, 자료 제출 지연 시 부담금 부과 방안을 검토 중임.

[사람과 보안] 숨기면서도 드러내야만 하는 보안의 패러독스 기밀 유지와 폐쇄성이 보안 핵심이지만 개방성과 정보공유 중요성 점증 실전적 보안은 ‘지식 생태계’ 속에서 성장...감추고 닫는 게 능사 아냐 보안 엑스포는 현장의 각종 ‘전투 기록’들이 공유되는 유일한 실체적...

개인정보위, 우리카드에 과징금 134억 부과…'최소 20만 명 가맹점주 개... [K-CTI 2025] 국내 최대 사이버위협·침해사고대응 인텔리전스 컨퍼런스 개최(7시간 교육이수) -주최: 데일리시큐 -일시 2025년 4월 15일(화) / 오전 9시~오후 5시 ★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading...

개인정보위, 손해배상책임 보장제도 대폭 손질…의무대상 상향 조정·보... [K-CTI 2025] 국내 최대 사이버위협·침해사고대응 인텔리전스 컨퍼런스 개최(7시간 교육이수) -주최: 데일리시큐 -일시 2025년 4월 15일(화) / 오전 9시~오후 5시 ★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading...

<보안뉴스>

<IT소식>

3월 26일 뉴스입니다.

해외사업자에도 개인정보 전송요구권 적용…목적범위 내 타분야 정보 전...

마이데이터 제도 전 분야 확대에 맞춰 개인정보 전송요구권 가이드라인이 공개됨.
- 마이데이터 제도는 국민이 본인 개인정보를 직접 전송하거나 제3자에게 전송 요구할 수 있도록 하는 제도.
- 의료·통신 분야부터 시행되었으며, 에너지 등 10대 중점 분야로 단계적 확대 예정.
- 개인정보 전송요구권이 해외사업자에도 적용되며, 우리 국민을 대상으로 한 서비스에 의무 부과.
- 일반수신자는 본인 고유 업무 분야 외에도 특정 목적 범위 내에서 다른 분야 정보 수신 가능.
- 개인정보관리 전문기관 및 전송 지원 플랫폼 운영 기준, 수수료 등의 상세 내용 포함.
- 개인정보보호법과 신용정보법 적용 범위가 다르므로 개별법 절차에 따라 전송 및 활용 필요.
- 질의응답 형식으로 실제 사례를 들어 전송요구권 개념과 절차 설명.

AI 시대를 주도할 기업 필수 '데이터 활용 및 보안 솔루션'

AI 기반 데이터 분석과 보안 기술이 고도화되며, 통합 플랫폼 중심으로 발전 중.
- 자연어 분석 도구와 시각화 기술 발전으로 비전문가도 쉽게 데이터 분석 가능.
- 생성AI 최적화된 모니터링 솔루션 확산, AI 성능 분석 및 운영 효율화 지원.
- AI 기반 자동화 보안, 이상 탐지, 규제 준수 중심의 데이터 보안 기술 고도화.
- 데이터 활용과 보안이 통합된 프레임워크로 발전하며, 정책 중심 자동화 기술 중요.
- 데이터독, 데이터 클리닉, IBM 가디엄 DSC 등 주요 AI 및 데이터 보안 솔루션 부상.
- 데이터독은 AI 모델 성능 분석 및 보안 관리를 통합 제공하는 모니터링 플랫폼.
- 데이터 클리닉은 데이터 품질 최적화 및 합성 데이터 생성 기술을 활용한 AI 성능 향상 지원.
- IBM 가디엄 DSC는 AI 및 데이터 보안을 통합 관리하는 플랫폼으로, 규제 준수 자동화 기능 제공.

[초점] 생성형 AI 정보 유출 불안…대안 모색 나선 국내외 보안 업체들

생성형 AI 서비스 확산에 따라 개인정보 유출 우려가 커지며, 기업들은 보안 정책 강화 및 AI 사용 제한을 검토하고 있다.
- 중국 AI 기업 딥시크(DeepSeek)의 개인정보 유출 논란이 불거지며, 개인정보위가 조사에 착수함.
- 딥시크는 개인정보 수집 방식에 대한 문제를 인정하고 국내 서비스 중단을 결정함.
- 기업 및 기관에서는 생성형 AI 사용을 제한하거나 보안 정책을 강화하는 조치를 시행함.
- 생성형 AI 서비스 이용 시, 입력된 데이터가 학습에 활용될 가능성이 높아 개인정보 유출 위험이 존재함.
- 일부 기업은 프롬프트 글자 수 제한 및 특정 부서에서만 AI 사용을 허용하는 방식으로 대응 중임.
- 해외 보안 기업들은 생성형 AI 보호를 위한 새로운 솔루션을 출시하며 시장 선점에 나섬.
- 국내 기업들도 AI 보안 솔루션 개발을 시작했으나, 해외 대비 시장 성숙도가 낮은 상황임.
- 이스트시큐리티, 지란지교데이터 등 국내 기업이 AI 기반 데이터 보호 솔루션을 개발하고 있음.

[이성엽의 IT프리즘]평판 조회의 법적 이슈와 과제

평판 조회는 기업이 구직자의 업무 능력과 태도를 확인하는 과정으로, 개인정보보호법과 명예훼손 등의 법적 이슈가 발생할 수 있다.
- 평판 조회는 구직자의 성격, 업무 태도 등을 평가하는 절차로 인사 채용에서 중요한 역할을 한다.
- 개인정보보호법에 따라 구직자의 동의 없이 평판 조회가 가능한지 여부가 논란이 된다.
- 평판이 개인정보에 해당하는지 여부와, 동의 없이 수집할 수 있는지에 대한 법적 근거가 명확하지 않다.
- 허위 평판 제공으로 인해 구직자의 명예가 훼손될 경우 형법상 명예훼손죄가 적용될 수 있다.
- 일부 기업에서는 비공식적으로 전직 동료나 업계 커뮤니티를 통해 평판을 확인하는 경우가 많다.
- 현재 평판 조회 관련 법적 규제가 모호하여, 명확한 가이드라인 정비가 필요하다.

전 세계 데이터 유출 36%는 '서드파티 침해'...기업 보안 비상

전 세계 데이터 유출 사고의 36%가 서드파티를 통한 침해로 발생했으며, 공급망 보안 강화를 위한 실시간 모니터링이 필요하다.
- 2024년 발생한 데이터 침해 사고 중 36%가 서드파티 관련 공격으로 분석되었다.
- 랜섬웨어 조직과 국가 지원 해커들이 공급망을 주요 침투 경로로 악용하고 있다.
- 소매 및 숙박업(52%), 기술 산업(47%), 에너지·유틸리티(47%) 부문에서 서드파티 침해 비율이 높았다.
- 국가별로는 싱가포르(71%), 네덜란드(70%), 일본(60%) 순으로 서드파티 침해 비율이 높게 나타났다.
- 전문가들은 주기적인 벤더 평가를 넘어 실시간 모니터링 강화를 강조하고 있다.
- 기업들은 맞춤형 서드파티 보안 체계를 구축하고, 다중 인증 및 랜섬웨어 몸값 지급 거부 원칙을 유지해야 한다.

저작권과 데이터 윤리 [김윤명박사의 AI 웨이브]

AI 학습을 위한 데이터 수집과 저작권법 적용 범위에 대한 논란이 지속되며, 공정 이용과 데이터 윤리의 조화가 필요하다.
- 저작권법은 창작자의 권리 보호와 공정 이용의 균형을 맞추는 역할을 한다.
- AI 학습을 위한 데이터 수집 과정에서 저작권법과의 충돌이 발생하고 있다.
- 텍스트·데이터 마이닝(TDM) 입법화 여부와 적용 기준이 주요 쟁점이다.
- 일부 국가에서는 AI 학습 데이터 사용과 관련해 공정 이용이 인정되지 않는 경우가 많다.
- 독일에서는 저작권법을 적용하여 TDM에 대한 무죄 판결을 내린 사례가 있다.
- 데이터 윤리는 AI 학습의 공정성을 보장하는 중요한 요소지만 법적 규제와의 조화가 필요하다.

‘EU AI법에 이어 데이터법도 임박…’ 효율적인 컴플라이언스 조직 구...

유럽연합(EU)의 AI 및 데이터 법안이 단계적으로 시행되며, 기업들은 이에 따른 규제 준수를 위한 준비가 필요하다.
- EU AI 법안은 2025년 2월부터, EU 데이터법은 2025년 가을부터 단계적으로 시행될 예정이다.
- AI 및 데이터 관련 규제 준수는 기업들에게 추가적인 비용과 시간 부담을 초래할 수 있다.
- 자동차 산업을 포함한 다양한 산업에서 AI 기술 적용 시 규제 준수를 위한 추가 조치가 필요하다.
- 기업들은 IT, 법무, 규제 준수, 데이터 보호 부서를 중심으로 법적 요구 사항을 충족해야 한다.
- 규제 준수를 위한 효과적인 조직 설계 및 IT 시스템 도입이 중요하다.
- 규제 준수 플랫폼 도입 및 아웃소싱을 통해 비용 절감과 효율성 향상을 기대할 수 있다.
- 기업이 규제 준수를 통해 경쟁력을 확보하고 시장 참여 기회를 확대할 수 있다.

디지털세상, 법과 윤리 강화 필요해

디지털 기술 의존도가 증가하면서 정보 습득 및 생활 방식이 급격히 변화하고 있다.
- 디지털 기술은 세상을 변화시키는 조용한 혁명으로 자리 잡고 있다.
- 정보 습득 방식이 전통적인 독서 및 교육에서 디지털 플랫폼 중심으로 이동하고 있다.
- 내비게이션, AI 기반 챗봇 등 디지털 서비스에 대한 의존도가 증가하고 있다.
- 전문가 의견보다 인터넷상의 정보를 신뢰하는 경향이 강화되고 있다.
- 디지털 세상의 발전이 새로운 형태의 지배구조를 형성할 가능성이 제기되고 있다.
- 기술 발전에 따라 인간의 사고방식과 학습 패턴도 변화하고 있다.
- 디지털 의존도가 증가함에 따라 전통적인 지식 습득 방식의 중요성이 감소하고 있다.

멀티 플랫폼 앱 개발 도구 악용한 안드로이드 말웨어 공격 포착 맥아피는 마이크로소프트(MS) ‘.NET MAUI’를 사용해 보안 솔루션의 탐지를 피하는 악성 안드로이드 앱을... 비공식 앱스토어 사용을 피하고, 보안 소프트웨어를 사용해 피해를 예방할 것이 권장된다. [한세희 기자...

해외사업자에도 개인정보 전송요구권 적용…목적범위 내 타분야 정보 전... 개인정보보호위원회는 최근 전 분야 마이데이터 개인정보 전송요구권 제도 안내서(초안)를 공개했다. 마이데이터 제도는 정보주체(국민)가 본인 개인정보를 개인정보 보유 사업자 등으로부터 직접 전송(본인전송요구)받을...

AI 시대를 주도할 기업 필수 '데이터 활용 및 보안 솔루션' 한편 중요도가 높아지는 데이터 보안 기술은 AI 기반 자동화, 리스크 사전 대응, 규제 준수 중심으로 고도화되고 있다. 데이터 수명주기 전반을 통합 관리하는 보안 플랫폼과 섀도 AI 탐지, 이상 행동 기반 위협 분석 등...

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

3월 25일 뉴스입니다.

[배종찬의 보안 빅데이터] ‘민감국가’보다 백 배 더 민감한 AI 보안

미국 에너지부가 한국을 '민감국가'로 지정한 배경과 AI 보안의 중요성이 부각되었다.
- 미국 DOE 연구소 도급업체 직원이 원자로 설계 소프트웨어를 한국으로 유출 시도하다 적발됨.
- 해당 사건으로 인해 한국이 DOE의 '민감국가' 리스트에 포함됨.
- 미국 측은 해당 지정이 에너지부 연구소에만 국한된다고 해명.
- 중국 AI 모델 '딥시크'가 보안 문제로 미국 내 사용이 금지될 가능성이 제기됨.
- AI 보안의 핵심 이슈는 개인정보 유출 및 중국 법 적용 가능성.
- AI 보안이 기술 개발보다 더 중요하다는 논의가 확산됨.
- 빅데이터 분석 결과 AI 보안이 산업 전반에서 중요한 요소로 떠오름.
- 한국이 AI 보안 역량을 갖춘다면 글로벌 경쟁력 강화에 기여할 수 있음.

Next.js서 발견된 치명적 취약점, 공격자 인증 우회 가능성 제기

Next.js에서 발견된 취약점(CVE-2025-29927)이 인증 우회를 초래할 수 있어 개발자들의 신속한 대응이 필요하다.
- Next.js 15.2.3에서 치명적 취약점이 발견되어 긴급 패치가 배포됨.
- 취약점 악용 시 미들웨어 기반 인증 우회 및 시스템 접근 가능성이 제기됨.
- 보안 연구원들이 CVSS 9.1점의 높은 심각도로 평가.
- 공격자는 간단한 코드 조작을 통해 인증을 우회할 수 있음.
- 해당 취약점을 이용한 콘텐츠 보안 우회 및 캐시 포이즈닝 공격 가능.
- Next.js의 보안 취약점은 수년간 존재해왔으며 지속적으로 진화 중.
- 보안 패치 배포 후 공식 발표가 3일 지연되어 대응이 늦었다는 지적이 나옴.
- Vercel은 소통 부족을 인정하고 향후 대응 개선을 약속함.

[배종찬의 보안 빅데이터] ‘민감국가’보다 백 배 더 민감한 AI 보안 AI 보안, AI 생태계에서 경쟁력을 갖추는데 매우 중요한 요소 [보안뉴스= 배종찬 인사이트케이 연구소장] 미국 에너지부(DOE)가 한국을 ‘민감국가’로 지정했다고 해서 온 나라가 며칠 간 큰 홍역을 치렀다. 민감국가로...

Next.js서 발견된 치명적 취약점, 공격자 인증 우회 가능성 제기 3에서 해당 취약점을 패치한 뒤, 21일 보안 권고문을 발표했다. 해당 취약점은 보안 연구원 알람 라시드(Allam Rachid)와 알람 야서(Allam Yasser)가 발견해 지난달 27일 Vercel에 보고했으며, CVSS(공통 취약점 평가...

'정교해지는 사이버 위협, 위협 인텔리전스로 맞서야'…카스퍼스키 조찬... 최근 보안 위협 동향과 대응방안에 대한 인사이트를 공유했다. 이효은 카스퍼스키코리아 지사장은 인사말을 통해 '카스퍼스키는 25년 이상의 글로벌 보안 경험을 바탕으로 세계 200여 개국, 4억 명 이상의 사용자에게...

KISA, 해킹 진단도구 신버전 발표…리눅스용 추가 한국인터넷진흥원(KISA)이 과학기술정보통신부와 함께 민간기업이 해킹 사고 여부를 원클릭으로 확인할 수 있는 '해킹 진단 도구' 신규 버전을 발표했다. KISA는 2023년 기업이 자체적으로 해킹 진단 도구를 활용해 해킹...

[전문가기고] AI 기술 근간 '데이터', 묻을 것인가 활용할 것인가 견고한 플랫폼의 구축은 IT 중심이 아닌 비즈니스 중심으로 논의돼야 하는데, 데이터 액세스, 보안, 비용... 최근 1년 동안 보안, 비용 문제로 인해 워크로드를 프라이빗 클라우드로 다시 되돌리는 기업이 증가하고 있다....

[보안칼럼]우리 기업에 닥칠 소프트웨어 공급망 보안 규제 지난해 12월 EU는 디지털 제품에 대한 사이버보안 적합성 평가 규칙을 사이버 복원력 법(Cyber Resilience Act... CRA는 발효 즉시 모든 EU 회원국에 적용되며, EU 시장에 제품을 판매하려는 제조사는 공급망 사이버보안 점검...

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

3월 24일 뉴스입니다.

[박나룡 보안칼럼] 자율적인 정보보호는 자체적인 위험평가부터

조직은 효과적인 위험관리 체계를 구축함으로써 정보보호 역량을 강화할 수 있다.
- 정보보호 위험을 효과적으로 관리하려면 위험 식별 및 분석이 선행되어야 한다.
- 위험관리는 기업의 지속가능성을 결정짓는 중요한 요소다.
- ISO 31000 프레임워크를 활용하면 정보보호 리스크를 체계적으로 평가하고 대응할 수 있다.
- 거버넌스 체계를 구축하고 정보보호 책임을 명확히 하면 조직의 보안 수준을 높일 수 있다.
- 사이버 사고 대응 및 복구 계획을 마련하여 랜섬웨어 등의 위협에 신속히 대처할 수 있다.
- 지속적인 모니터링 및 개선을 통해 보안 환경 변화에 유연하게 대응할 수 있다.
- 법률적 요구사항과 자율적 위험관리가 결합되어 기업의 보안 역량이 강화될 수 있다.

보안 프레임워크의 3가지 빈틈과 공급망 지키는 10가지 필수 수칙

기존 보안 프레임워크는 공급망 공격을 완벽히 방어하지 못하며 추가적인 대응이 필요하다.
- 연구팀은 기존 보안 프레임워크가 최근 주요 침해 사건(솔라윈즈, 로그4j, XZ 유틸즈)에서 사용된 공격 기법을 완벽히 차단하지 못했다고 분석했다.
- NIST 등 10가지 보안 프레임워크에서 제안한 권장 작업과 실제 공격 기법을 비교 분석했다.
- 오픈소스 소프트웨어의 지속 가능성 확보, 환경 스캐닝 도구 도입, 협력사의 취약점 보고 체계 마련이 주요 누락 요소로 지적되었다.
- 연구팀은 단일 프레임워크로 모든 취약점을 막을 수 없으며, 보안 공백을 보완하는 협력적 접근이 필요하다고 강조했다.
- SANS 연구소는 기존 프레임워크가 완벽하지 않지만, 보안 논의를 시작하는 데 유용한 출발점이 될 수 있다고 평가했다.
- 오픈소스 소프트웨어도 일정 수준의 계약 관계를 갖는 것으로 간주해야 한다는 의견이 제시되었다.
- 환경 스캐닝 도구의 활용이 보안 체계를 보완하는 중요한 요소로 언급되었다.

고객 개인정보, 정말 동의 없이 수집해도 될까?

개인정보보호법 개정으로 서비스 제공을 위한 필수 정보는 동의 없이 수집 가능하나, 기업의 법적 책임이 더욱 강화됨.
- 2023년 개인정보보호법 개정으로 서비스 제공을 위한 필수 정보는 동의 없이 수집 가능해짐.
- 동의 없이 수집 가능한 정보는 서비스 제공과 직접 관련된 정보로 제한됨.
- 기업은 동의 없이 처리하는 개인정보 범위를 명확히 설정하고 이를 공개해야 함.
- 법 위반 시 매출액의 최대 3%까지 과징금 부과 가능.
- GDPR 위반 벌금의 57%가 동의 절차 문제에서 발생했으며, 동의 절차 준수가 중요함.
- 개인정보 수집 시 자유로운 동의 여부 결정, 명확한 언어 사용 등 준수 필요.
- 마케팅 및 기획 부서는 필수 정보와 추가 동의가 필요한 정보를 명확히 구분해야 함.
- 기업은 변경된 규제 환경에 맞춰 개인정보 수집 및 이용 방식을 점검해야 함.

장기간 지속되는 공격 급증…보안사고 중 35.2%, 1개월 이상 지속

카스퍼스키 보고서에 따르면 장기간 지속되는 사이버 공격이 증가하며, 기업은 지속적인 위협 대응 전략을 강화해야 함.
- 2024년 카스퍼스키 보안사고 대응 분석 보고서 발표.
- 사이버 공격의 평균 지속 기간이 253일, 대응 소요 시간 중앙값은 50시간으로 확인됨.
- 공격자들은 즉각적인 피해보다 장기적인 거점 구축에 집중하는 경향을 보임.
- 공급망 취약성과 사회 공학 기술을 악용한 공격이 증가함.
- 기업은 탐지-대응-복구 프레임워크를 채택하고 위협 인텔리전스 공유 플랫폼을 활용해야 함.
- 주요 공격 벡터는 공개 애플리케이션 익스플로잇, 신뢰할 수 있는 관계 활용, 유효한 계정 사용 등임.
- 기업은 MDR(매니지드 탐지 및 대응) 및 IR(사고 대응) 서비스 도입을 고려해야 함.
- 보안 서비스는 회피형 공격 방어 및 인시던트 조사에 필수적임.

하나만 있어도 연봉 다르다…미국에서 인기 있는 사이버보안 자격증 11...

사이버보안 자격증은 높은 연봉과 커리어 성장에 도움을 주며, 시장 수요에 맞춰 적절한 자격증을 선택하는 것이 중요함.
- IT 전문가들은 최신 시장 수요에 맞춰 적절한 자격증을 선택해야 함.
- 푸트 파트너스 보고서에 따르면 가장 가치 있는 IT 보안 자격증이 분석됨.
- 자격증의 평균 급여 프리미엄과 시장 가치 상승률을 고려해 선택해야 함.
- 장기적인 커리어 목표와 교육/시험 비용, 특정 업체 종속 여부도 중요한 고려 요소임.
- CDPSE는 개인정보 보호 솔루션을 위한 자격증으로 ISACA에서 제공함.
- 시험은 객관식 120문항이며, 자격 유지에는 연간 20시간의 CPE 이수가 필요함.
- 기업 및 기관에서 개인정보 보호 관련 전문가의 수요가 증가하는 추세임.
- 자격증 선택 시 경력 이동성과 시장 가치 변화를 함께 고려해야 함.

[한장TECH] 기업과 기관이 대비해야 할 보안위협 TOP. 10

씨큐비스타, '해킹3.0' 시대의 주요 사이버 보안 위협 16가지 분석 보고서 발표
- AI 및 사회공학적 기법을 활용한 공격 증가로 기업 및 기관의 보안 강화 필요
- 공급망 보안 취약점 증가로 관계사의 보안 수준 정기 점검 및 데이터 암호화 필요
- 보안 설정 오류가 심각한 위협이 되어 자동 탐지 및 수정 시스템 도입 필요
- 내부자 위협이 증가하고 있어 접근권한 최소화 및 모니터링 강화 필수
- 랜섬웨어와 트로이 목마 등 전통적 공격 방식도 여전히 주요 보안 위협으로 작용

개인정보위, “오픈소스 AI 스타트업 데이터 활용 불안 덜겠다”..中 딥... 개인정보위, 인공지능 중소·스타트업과 만나 발전 방안 논의오픈소스 AI 생태계 점검[보안뉴스 한세희 기자] 고학수 개인정보보호위원회 위원장은 24일 “개인정보위는 중국 딥시크와 소통하며 개인정보 불안 요소를...

[박나룡 보안칼럼] 자율적인 정보보호는 자체적인 위험평가부터 사이버 보안, 데이터 유출, 시스템 장애, 개인정보보호 등 다양한 정보보호 위험이 상존하는 세상에 노출된... 위험관리 및 보안 정책을 수립하고, 이를 전사적으로 적용할 책임자를 지정함으로 서 책임성을 강화할 수...

대만 핵심 기반시설 겨냥한 중국 연계 해킹 캠페인…'UAT-5918' 활동 포착 UAT-5918은 인터넷에 노출된 취약한 웹 및 애플리케이션 서버의 보안 취약점을 악용해 초기 침투에 성공한 뒤, 오픈소스 도구를 이용해 내부망을 탐색하며 관리자 권한을 확보하고 자격 증명을 탈취하는 방식으로...

방통위, 본인확인기관 지정 심사 설명회 개최 신영규 방송통신이용자정책국장은 “비대면 거래 확산과 온라인 플랫폼 등 다양한 서비스 활성화로 온라인 상의 본인확인 서비스 수요가 지속 늘고 있다”며 “앞으로도 본인확인기관이 개인정보 보호를 철저히...

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

3월 22일 ~ 3월 23일 뉴스입니다.

[긴급] 깃허브 액션스 공급망 공격 발생…218개 저장소 비밀정보 유출돼

GitHub Actions에서 공급망 공격이 발생하여 218개 오픈소스 저장소의 민감한 비밀정보가 유출됨.
- 공격자는 tj-actions/changed-files에 악성 커밋을 삽입해 CI/CD 워크플로우 로그에 비밀정보를 출력하도록 조작함.
- 인증 토큰 유출로 인해 reviewdog/action-setup@v1이 간접적으로 침해되었을 가능성이 제기됨.
- 공격 시점에 614개 저장소가 영향을 받았으며, 그중 218개 저장소의 비밀정보가 노출됨.
- 유출된 정보에는 AWS, DockerHub, npm 토큰 등 다양한 서비스의 자격 증명이 포함됨.
- 일부 인기 프로젝트가 공격을 받아 악성코드 유포 가능성이 제기됨.
- GitHub 보안 모범 사례 준수 여부에 따라 일부 저장소는 피해를 면함.
- 전문가들은 Action 버전 고정, 워크플로우 로그 제한, 토큰 권한 최소화 등의 보안 조치를 권고함.
- GitHub 커뮤니티는 추가적인 보안 점검을 진행 중이며, 유사 공격 발생 가능성을 조사 중임.

지난해 개인정보 유출 신고 '307건'···원인 과반수 '해킹'

2024년 개인정보 유출 신고 307건 중 절반 이상이 해킹으로 발생했으며, 공공기관 신고 건수는 전년 대비 2배 증가함.
- 해킹이 전체 유출 원인의 56%를 차지하며, 관리자 페이지 비정상 접속과 SQL 인젝션이 주요 유형으로 나타남.
- 업무 과실로 인한 유출은 주로 게시판 및 이메일 발송 과정에서 발생함.
- 시스템 오류로 인한 유출 사고는 소스코드 오류와 API 연동 문제에서 주로 발생함.
- 공공기관의 유출 신고는 34%로 증가했으며, 개인정보보호법 개정으로 신고 기준이 강화된 영향이 큼.
- 민간기업의 유출 신고는 66%로 전년 대비 감소했으나, 중소기업이 가장 높은 비율을 차지함.
- 개인정보위는 크리덴셜 스터핑 및 SQL 인젝션 대응 강화를 위한 보호조치를 강조함.
- 이메일 발송 시 개인별 발송 설정, 개인정보 포함 자료 업로드 시 사전 점검 등의 업무 과실 방지 조치를 권장함.
- 보고서를 활용해 기관·기업의 개인정보 보호 교육 및 개선을 지원할 계획임.

개인정보위도 찬성하는 오픈소스…中 정보 유출 논란은 여전

개인정보보호위원장이 중국 오픈소스 AI 모델 활용을 긍정적으로 평가하며 국내 AI 생태계 확대를 강조함.
- 크라우드웍스는 딥시크 한국어 모델 개발 보도에 대해 직접 계약이 아닌 일본 법인과의 협업임을 해명함.
- 한국어 특화 모델은 해외 시장을 목표로 하며, 금융·공공·국방 등 보안이 중요한 산업에는 공급되지 않음.
- 개인정보보호위원장은 오픈소스 AI 모델이 글로벌 기업이 아닌 기업에도 기회를 제공한다고 긍정적으로 평가함.
- 미국에서는 중국 AI 모델이 국가 지원을 받는다는 우려로 사용 제한을 주장하는 목소리가 나옴.
- 오픈AI는 중국 AI 모델을 '티어1' 국가에서 금지해야 한다고 제안하며 한국도 포함됨.
- 오픈소스 커뮤니티 허깅페이스는 오히려 AI 생태계 강화를 강조하며 개방성을 주장함.

AI 시대에서 살아남기…'적극 활용 vs 무관한 기술 쌓기'

AI 시대가 도래하면서 일자리 시장이 AI 활용과 기피로 양분되고 있으며, 정부는 AI 교육을 강화하고 있음.
- AI 관련 강의가 인기를 끌며 직장인과 취업준비생들의 관심이 높아지고 있음.
- 일부 창작자들은 AI의 표절 문제로 인해 새로운 직업을 찾는 경우도 발생함.
- 정부는 올해 280억 원을 투입해 청년 맞춤형 AI 교육을 강화할 계획임.
- AI·SW 전문 인재 양성, 동기 부여 프로그램, 진로 체험, 생성형 AI 전문가 과정 등이 포함됨.
- 글로벌 AI 경쟁이 심화되면서 정부도 AI 인력 양성에 적극 나서고 있음.
- 채용 시장이 어려워지면서 AI 기술 습득이 구직자들에게 중요한 요소로 떠오르고 있음.
- 신광영 교수는 AI 활용뿐만 아니라 표절 및 개인정보 보호 문제도 함께 고려해야 한다고 강조함.

[긴급] 깃허브 액션스 공급망 공격 발생…218개 저장소 비밀정보 유출돼 보안 전문가들과 깃허브 커뮤니티에 따르면, 이번 공격은 tj-actions/changed-files 자체의 취약점보다는 이... 이 과정에서 보안에 민감하지 않은 워크플로우 설정을 가진 저장소들이 영향을 받게 됐다. 깃허브에...

메두사 랜섬웨어 조직, 도난 인증서로 서명된 악성 드라이버 악용해 보... 메두사(Medusa) 랜섬웨어 서비스형(RaaS) 운영자들이 도난된 인증서로 서명된 악성 드라이버를 활용해 엔드포인트 보안 솔루션을 우회하는 정교한 공격 수법을 사용하고 있는 것으로 나타났다. 보안 전문가들은...

유명무실한 '털린 내 정보 찾기'…이용자 '뚝' 실효성도 '의문' 다크웹 전문 보안기업 '스텔스모어 인텔리전스' 조사 결과, 이달 초 다크웹에서 유통되는 한국인 개인정보는 4억6704만8278건에 달했다. 한 사이버위협인텔리전스(CTI) 기업 관계자는 “다크웹에 유료로 올라온 한국인...

<보안뉴스>

<IT소식>

3월 21일 뉴스입니다.

[사람과 보안] AI가 보안이고 보안이 AI가 되는 세상

AI는 강력한 도구이지만 인간의 직관적 인지 능력을 대체하기 어려우며, 보안 위협을 초래할 가능성이 있다.
- AI는 업무 자동화를 넘어 자율적으로 복잡한 결정을 내릴 수 있는 기술로 발전 중이다.
- 인간은 직관적 인식을 통해 위험을 감지하지만, AI는 데이터 기반 분석만 가능해 보안 취약점이 존재한다.
- AI 보안이 미흡할 경우, 학습 데이터 조작(데이터 포이즈닝) 등의 공격에 쉽게 노출될 수 있다.
- 자율주행차, AI 챗봇 등 다양한 분야에서 보안 취약점을 악용한 공격 사례가 증가하고 있다.
- 2025년 AI 특화 사이버 공격이 매일 4,700만 건 발생하며, 헬스케어 분야의 환자 데이터 유출이 급증하고 있다.
- AI 보안 시장은 2025년 600억 달러 규모로 성장할 전망이며, 보안이 AI 시대의 핵심 요소로 부각되고 있다.

[사람과 보안] AI가 보안이고 보안이 AI가 되는 세상 AI 의존도 높아지고 역할 커질수록 보안 리스크도 커져 인간의 직관 능력 부족, 프로그래밍된 역할만 수행 한계 보안 이슈 해결하지 못하면 AI 시대는 도래하지 못할 수도 AI가 발산하는 신세계의 빛은 실로 찬란할...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

3월 20일 뉴스입니다.

가트너 'AI 에이전트 활용한 계정 탈취 위협 증가...다중 인증(MFA) 도입...

AI 에이전트가 자동화된 범죄 활동을 통해 계정 탈취 시간을 단축하며, 기업의 보안 대응이 시급해지고 있다.
- AI 에이전트는 피싱, 사회 공학, 멀웨어 등을 활용해 자동화된 계정 탈취 공격을 수행한다.
- 기업들은 AI 기반 공격을 탐지하고 방어하기 위한 보안 솔루션을 도입해야 한다.
- 피싱 방지 다중 인증(MFA) 도입이 비밀번호 기반 인증의 취약점을 보완할 핵심 대책으로 제시됐다.
- 딥페이크 기술을 이용한 사회 공학 공격이 증가하며 기업 보안에 새로운 위협을 가하고 있다.
- 보안 리더들은 직원 대상 교육과 정책 강화를 통해 AI 기반 공격에 대비해야 한다.
- AI 기반 공격은 점점 정교해지며, 기업들은 지속적인 보안 전략 재정비가 필요하다.

지난해 개인정보 유출 신고 307건…해킹 사고 절반 넘어

2024년 개인정보 유출 신고 건수가 307건으로 집계되었으며, 해킹이 주요 원인으로 나타났다.
- 개인정보 유출 원인은 해킹(56%), 업무 과실(30%), 시스템 오류(7%) 순으로 분석됐다.
- 해킹 유형으로는 관리자 페이지 비정상 접속, SQL 인젝션, 악성 코드, 크리덴셜 스터핑 등이 포함됐다.
- 업무 과실로 인한 유출 사례로는 게시판 및 이메일을 통한 개인정보 노출이 주요 원인으로 나타났다.
- 공공기관의 유출 신고 건수가 전년 대비 2배 이상 증가했다.
- 개인정보 유출 방지를 위해 크리덴셜 스터핑 탐지 및 차단 조치가 필요하다.
- 웹 방화벽(WAF) 도입을 통한 SQL 인젝션 공격 방어가 권장된다.
- 게시판 및 이메일을 통한 개인정보 노출 방지를 위해 보안 점검이 필수적이다.
- 개인정보가 포함된 업무용 기기에 대한 보안 조치를 강화해야 한다.

[변승규의 스타트업 법률 CASE STUDY] #34. 개인정보 수집 동의

2023년 개인정보 보호법 개정으로 정보통신서비스 제공자의 개인정보 수집 및 이용 기준이 완화되었다.
- 개정 전에는 정보통신서비스 제공자가 이용자의 개인정보를 수집할 때 반드시 동의를 받아야 했다.
- 개정 후, 계약 이행을 위한 개인정보 수집이 불가피하고 동의 절차가 뚜렷하게 곤란한 경우, 동의 없이 수집이 가능해졌다.
- 인터넷 쇼핑몰 등 온라인 서비스 제공자의 개인정보 활용 범위가 확대되었다.
- 기업들은 새로운 법적 기준에 맞춰 개인정보 처리 방침을 개정해야 한다.
- 개인정보 보호법 개정으로 동의 절차가 간소화되었으나, 개인정보 보호 조치는 여전히 중요하다.
- 이용자들은 개인정보 제공 여부에 대해 더 신중한 접근이 필요하다.
- 정보통신서비스 제공자는 개인정보 활용 범위 확대에 따른 책임 강화가 요구된다.

KISA 'AI 기반 보안 기술로 자동화된 공격 대응 구현'

AI 기반 보안 기술을 활용하면 사이버 공격 그룹을 보다 신속하고 정밀하게 식별하고 대응할 수 있다.
- 기존의 수작업 기반 보안 대응 방식에는 한계가 발생하고 있음.
- AI 기반 사이버 공격 그룹 식별 기술이 보안 대응의 패러다임을 변화시키고 있음.
- 공격 그룹 단위의 추적을 통해 보다 근본적인 보안 대응이 가능함.
- AI가 보안 이벤트의 위험도를 자동 평가하고 사전 대응 시나리오를 생성함.
- 보안 관제 자동화를 통해 대응 속도를 개선하고 인력 부담을 줄일 수 있음.
- AI 기반 보안 기술이 산업 전반의 효율성을 극대화할 것으로 기대됨.

안랩, “유명 증권사 사칭 악성 앱 유포...주의 필요” 기본 보안 수칙을 준수할 것을 권고했다. 장연철 안랩 엔진개발팀 선임은 “공격자는 사용자를 속이기... 안랩은 보안뉴스·시큐리티월드가 선정한 2025 Global Security TOP 100 기업이다. Global Security TOP 100은 물리보안...

가트너 'AI 에이전트 활용한 계정 탈취 위협 증가...다중 인증(MFA) 도입... 이에 따라 기업과 개인의 보안 대응이 더욱 시급해질 것으로 보인다. 제레미 드호인(Jeremy D'Hoinne) 가트너... 있는 보안 솔루션을 도입할 것으로 예상된다. ◆비밀번호 기반 인증의 위험…다중 인증(MFA) 도입 필요...

[주의] 심각한 윈도우 제로데이 취약점, 2017년부터 11개 국가 지원 해킹... 그러나 마이크로소프트는 해당 취약점이 보안 업데이트를 통해 즉시 해결할 필요가 있는 수준이... 보안 전문가들은 해당 취약점이 아직 패치되지 않은 만큼, 개별 사용자 및 기업이 자체적인 보안 조치를...

구글 플레이에서 6천만 회 다운로드된 악성 안드로이드 'Vapor' 앱 발견 이후 보안업체 비트디펜더가 조사한 결과, 악성 앱의 수는 331개로 늘어났으며, 브라질, 미국, 멕시코... 또한, 각 퍼블리셔가 다른 광고 SDK를 사용해 보안 탐지를 피하는 방법을 활용했다. 이 앱들은 2024년...

지난해 개인정보 유출 신고 307건…해킹 사고 절반 넘어 개인정보위는 개인정보 유출을 예방하기 위한 보안 체계 점검을 당부했다. 먼저 해킹기법 중 하나인 크리덴셜 스터핑 공격으로 인한 개인정보 유출을 방지하기 위해선 아이디·비밀번호 반복 대입 행위를 탐지...

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

그동안 말만 많았던 개인정보 전송요구권(마이데이터)가 시행되었습니다.
이와 관련해 법과 시행령의 많은 조항이 시행되었습니다.

개인적으로 유통과 IT서비스가 제외된 마이데이터가 얼마나 실효성이 있을지 의문이긴 합니다만
개보위에서도 확장해 나가겠다고 하니 기대를 해봐야 하지 않을까 싶습니다.

개인정보보호위원회에서는 마이데이터 시행과 관련하여 3월 18일에 설명회를 개최한다고 하니
관심있으신 분들께서는 설명회 가보시면 상세하게 들으실 수 있을 것 같습니다.(관련 개보위 보도자료)

개정된 조항별 구체적인 내용입니다.

시행령 제15조의2(개인정보 수집 출처 등 고지 대상ㆍ방법ㆍ절차)

> 개인정보 전송요구권이 시행됨에 따라 개인정보 수집 출처 등 통지 시 함께 전송할 수 있는 통지 내용이 기존 개인정보의 이용ㆍ제공 내역의 통지에 전송요구대상정보 전송 내역의 통지가 추가되었습니다. 어차피 통지해야 하는 부분이라면 일괄적으로 진행하는게 아무래도 현업 입장에서는 부담이 덜 가지 않을까 싶기는 합니다만 어찌됐든 마이데이터 시스템 개발 시 함께 고려해야 할 요소입니다.

시행령 제29조의4(결합전문기관의 관리ㆍ감독 등)

> 결합전문기관의 관리•감독을 위해 제출해야 하는 상세 내용을 개보위의 고시에 따른다는 내용으로 구체적인 내용이 없어 해설할만한 내용은 없습니다.

법 제35조의2(개인정보의 전송 요구)

시행령 제42조의2(정보전송자 기준)

시행령 제42조의3(일반수신자 기준)

시행령 제42조의4(전송 요구 대상 정보의 범위)

시행령 제42조의5(전송 요구의 방법 등)

제42조의6(개인정보 전송의 기한 및 방법 등)

시행령 제42조의7(전송 요구 시 적용이 배제되는 법률의 규정)

시행령 제42조의8(전송 요구의 거절 및 전송 중단 등)

> 정보주체는 시행령 제42조의2의 보건의료정보전송자, 통신정보전송자, 에너지정보전송자에게 다음의 개인정보를 자신에게 전송하도록 요구할 수 있습니다.
  - 수집·이용 동의 또는 제공 동의를 받아 처리하는 개인정보, 민감정보, 고유식별정보와 계약 체결을 위해 처리하는 개인정보, 법령에 따라 처리하는 개인정보
  - 단, 개인정보처리자가 분석·가공하여 별도로 생성한 정보는 제외됩니다.
  - 또한 전송을 요구하는 개인정보는 컴퓨터 등 정보처리장치로 처리되는 개인정보여야 합니다. 수기로 작성된 개인정보는 해당되지 않습니다.
  - 본인전송요구 시 전송 요구 목적 및 전송을 요구하는 개인정보를 특정해야 합니다.

> 또한 정보주체는 시행령 제42조의2의 보건의료정보전송자, 통신정보전송자, 에너지정보전송자에게 시행령 제42조의4에 명시된 정보에 대해 개인정보관리 전문기관 또는 일반수신자에게 전송하도록 요구할 수 있습니다.
  - 제3자전송요구시 다음 사항을 특정해야 합니다.
    1. 전송 요구 목적
    2. 전송 요구를 받는 자
    3. 개인정보를 전송받는 자
    4. 전송을 요구하는 개인정보
    5. 정기적 전송을 요구하는지 여부 및 요구하는 경우 그 주기
    6. 전송 요구의 종료시점
    7. 전송을 요구하는 개인정보의 보유 및 이용기간

> 정보주체는 시행령 제42조의8 제1항에 해당하는 경우 정보전송 요구를 거절하거나 중단할 수 있으나 이 경우 지체없이 그 사실 및 사유를 정보주체에게 통지해야 합니다.

> 정보전송자, 개인정보관리전문기관, 일반수신자는 본인들이 전송하거나 수신할 수 있는 정보를 특정짓고 이를 관리하는 시스템을 만드는 등의 큰 작업이 이미 진행중이지 않을까 싶습니다. 부디 개인정보가 마이데이터를 핑계로 남용되지 않고 담당자 입장에서는 관리공수가 많이 들어가지 않아도 되는 그런 시스템으로 확립되기를 바래봅니다. 마이데이터를 한다고 개인정보보호 담당자를 더 채용할지는 저는 개인적으로 부정적이라서요...

시행령 제42조의9(개인정보관리 전문기관의 업무 등)

제42조의10(개인정보관리 전문기관의 지정 신청 등)

시행령 제42조의11(개인정보관리 전문기관의 지정요건 세부기준)

시행령 제42조의12(개인정보관리 전문기관의 지정 등)

시행령 제42조의13(개인정보관리 전문기관의 금지행위)

시행령 제42조의14(개인정보관리 전문기관의 지정취소 등)

> 개인정보 관리 전문기관의 업무나 지정, 신청 등에 대해 시행령에서 상세히 다루고 있습니다. 전문기관 신청하시는 분들은 상세히 알아보시고 서류를 준비하셔야 할 것으로 보입니다.

시행령 제42조의15(개인정보 전송 요구에 대한 보호위원회의 관리ㆍ감독)

> 마이데이터에 연관된 정보전송자와 전문기관, 일반수신자는 개보위의 관리감독을 받아야 합니다. 이 대상에 포함되는 많은 사업자 분들이 개인정보 관리 실태점검이며 주민등록번호 관리 실태점검이며 위치정보 관리 실태점검이며 많은 실태점검을 받고 있지 않을까 싶은데 하나가 더 늘어나게 되네요... 담당자 입장에서는 이 모든 실태점검이 하나로 일원화 되었으면 하는 바램입니다.

시행령 제42조의16(개인정보전송지원플랫폼의 구축 및 운영 등)

> 마이데이터는 플랫폼을 이용해야 하는데 이 부분에 대해서는 법령에서 상세히 다룬다기보다는 플랫폼에서 어떻게 구현되어 있는지를 검토하는게 담당자 입장에서 가장 중요하고 결국 마이데이터로 인해 담당자, 개발자에게 가장 중요한건 이 플랫폼에서 요구하는 사항들이 아닐까 싶습니다. 물론 담당자는 그 외에 관리해야할게 한두개가 아니기는 하지만요...

시행령 제46조(정보주체 또는 대리인의 확인)

> 시행령에서 표현하는 '열람등요구'에 마이데이터 시행에 따른 전송 요구가 포함되었습니다.

> 또한 3항이 신설되어 마이데이터를 위해 주민등록전산정보자료를 이용할 수 있게 되었습니다.

시행령 제47조(수수료 등의 금액 등)

> 정보전송자가 일반전문기관, 특수전문기관, 일반수신자에게 수수료를 청구할 수 있는 기준이 생겼습니다.

> 업무가 늘어나고 마이데이터가 정보주체를 위함이기는 하지만 전문기관 또는 일반수신자 입장에서도 결국 이것을 하는 이유는 본인들의 이익이기 때문에 정보전송자가 이들에게 수수료를 청구하는 것은 합당하다고 생각됩니다.

시행령 제62조(권한의 위탁)

> 결국 마이데이터도 실무는 KISA가 하는군요.. 키사 화이팅입니다...

시행령 제62조의2(민감정보 및 고유식별정보의 처리)

시행령 제62조의3(규제의 재검토)

> 마이데이터 시행에 따른 부수적인 내용으러 설명할만한 내용은 아니기에 생략합니다.