'2025/03/17'에 해당되는 글 2건

3월 15일 ~ 3월 16일 뉴스입니다.

개인정보위, 국민생활 밀접 분야 개인정보 처리방침 평가 결과 공개

개인정보보호위원회가 49개 기업의 개인정보 처리방침 평가 결과를 공개하며 개선이 필요한 점을 지적했다.
- 개인정보 처리방침 평가제는 기업의 개인정보 보호 수준을 개선하고 책임을 강화하기 위한 제도다.
- 49개 기업을 대상으로 적정성, 가독성, 접근성 등의 항목을 평가했다.
- 72%의 기업이 실제 운영 방식과 처리방침 내용이 불일치했다.
- 절반 이상의 기업이 개인정보 보유·이용기간을 모호하게 기재했다.
- 외국계 기업 일부는 국내대리인 제도를 형식적으로 운영하고 있었다.
- 처리방침 접근성이 낮아 일부 기업의 경우 50회 이상 스크롤해야 찾을 수 있었다.
- 네이버, 카카오 등 국내 포털사업자는 적정성 평가에서 높은 점수를 받았다.
- 개인정보위는 기업에 평가 결과를 통보하고 개선을 유도할 방침이다.

[방은주의 보안 산책] S-BOM에 대하여

S-BOM(소프트웨어 자재 명세서)이 글로벌 SW 공급망 보안 필수 요소로 자리 잡고 있다.
- S-BOM은 소프트웨어 구성 요소, 라이브러리, 의존성 등을 기록한 목록이다.
- 미국과 EU 등 주요국에서 S-BOM 제출 및 관리를 의무화하는 정책을 시행 중이다.
- 미국은 2021년 행정명령을 통해 S-BOM을 필수 요구사항으로 지정했다.
- S-BOM 도입 시 보안 강화, 라이선스 준수 관리, 효율적 유지보수 등이 가능하다.
- 솔라윈즈 해킹, Log4j 취약점 사태 등 공급망 공격 대응에 S-BOM이 중요하다.
- 한국 정부도 S-BOM 가이드라인을 발표했으며, 국내 기업의 도입이 필요하다.

AI 활용한 사이버 공격, 51초 만에 보안망 뚫는다

사이버 공격자가 네트워크를 침투하고 보안 시스템을 우회하는 데 평균 51초밖에 걸리지 않으며, AI를 활용한 해킹 기법이 점점 정교해지고 있다.
- 크라우드스트라이크 보고서에 따르면, 해커가 네트워크 침입 후 권한 상승과 횡적 이동을 시도하는데 걸리는 시간이 51초에 불과함.
- AI 기반 해킹 기법이 발전하면서 비싱(Vishing) 및 딥페이크를 이용한 공격이 급증하고 있음.
- 중국 및 북한 해커 그룹이 가짜 SNS 계정과 링크드인 프로필을 활용해 정보 수집 및 여론 조작을 시도함.
- 기업들은 AI 기반 보안 시스템 도입과 세션 토큰 무효화 기술을 활용하여 대응 전략을 강화하고 있음.
- 보안 전문가들은 제로 트러스트 보안 모델, AI 기반 위협 탐지, 클라우드 및 엔드포인트 보안 강화를 핵심 방어 전략으로 제시함.

全 분야 마이데이터 시행···국민 데이터 주권 시대 열린다

국민이 본인의 개인정보를 직접 관리하고 활용할 수 있도록 하는 마이데이터 사업이 본격 추진된다.
- 개인정보보호위원회가 마이데이터 사업을 의료, 통신 분야부터 시작해 점진적으로 확대할 계획임.
- 정보주체는 본인의 개인정보를 직접 전송하거나 제3자에게 전송하도록 요구할 수 있음.
- 기존에는 기업과 기관이 개인정보를 보유하며, 정보주체가 관리하기 어려운 구조였음.
- 마이데이터 사업이 확대되면 개인이 데이터 활용 권한을 가지며, 데이터 경제 활성화가 기대됨.
- 정부는 ‘범정부 마이데이터 지원 플랫폼’을 구축하여 정보주체의 데이터 관리 및 활용을 지원할 계획임.

매일 악성코드 31만 개 잡는 ‘사이버 방패’…30살 안랩 '1조 기업 될 것...

안랩이 창립 30주년을 맞아 국내 1세대 보안기업으로서의 성과를 돌아보고 글로벌 확장을 추진하고 있다.
- 안랩은 1995년 안철수 창업자가 설립한 국내 대표적인 보안기업으로, 30년간 꾸준히 성장해옴.
- CIH 바이러스, SQL 웜, 디도스 공격 등 주요 사이버 보안 사건에 신속 대응하며 입지를 다져옴.
- 클라우드 기반 악성코드 자동 대응 기술(ASD)을 도입해 12억 건 이상의 악성코드를 탐지함.
- 최근 사우디 보안기업과 합작해 글로벌 사업 확장을 추진 중임.
- 지난해 매출 2605억 원을 기록하며, 장기적으로 1조 원 기업 도약을 목표로 설정함.

개인정보위, 국민생활 밀접 분야 개인정보 처리방침 평가 결과 공개 개인정보보호위원회가 빅테크·온라인플랫폼·엔터테인먼트 등 7개 분야 49개 기업을 대상으로 한 '2024년 개인정보 처리방침 평가' 결과를 공개했다. 개인정보 처리방침 평가제는 개인정보처리자가 수립·공개하고 있는...

<보안뉴스>

<IT소식>

<행사/교육소식>

3월 14일 뉴스입니다.

[사람과 보안] AI 에이전트가 지켜주는 보안의 미래는?

AI 에이전트 간 협업(A2A) 시대 도래로 기업 효율성 및 보안 혁신 기대
- AI 에이전트는 인간의 업무를 병렬로 처리하며 다수의 AI를 고용하는 시대가 도래
- 기존 AI는 개별적으로 운영되었으나, 향후 AI 간 협업을 통해 유기적인 업무 수행 가능
- AI 보안 시스템은 기존 서명 기반 탐지 및 SIEM의 한계를 극복하고 자율적 대응을 수행
- AI는 위협을 실시간 분석해 탐지 속도를 60% 향상하고 자동 대응 기능을 제공
- 오탐률 감소 및 예측적 보안 기능 강화로 보안 담당자의 업무 부담 경감 가능
- AI 간 신뢰 프로토콜이 필수적이며, 악의적 AI 활용 가능성에 대한 대비 필요
- AI 도입이 노동시장에 미칠 영향과 인간의 역할 변화에 대한 논의 필요

마이데이터 시행…금융업계, '실효성 있는 데이터 활용' 촉구

금융업계, 마이데이터 활성화를 위해 데이터 결합 및 활용 범위 확대 필요성 제기
- 마이데이터 제도가 의료·통신 분야까지 확장되었으나 활용 제한이 많다는 지적
- 금융·통신·데이터 업계는 데이터 결합 및 가공 제한 완화 필요성 강조
- 의료 데이터는 공익적 목적 외 금융 데이터와 결합이 제한되는 문제 존재
- 통신 데이터 활용에서도 개인 스마트폰 수집 데이터가 제외되어 한계 발생
- 데이터 간 결합을 원활하게 하려면 비식별 조치 강화 및 법적 개선 필요
- 마이데이터 대상을 유통, 인터넷 등 부가통신 분야로 확대할 것을 업계가 요청
- 데이터 산업 활성화를 위한 폭넓은 생태계 조성이 필요

개인정보위, '메타 67억 과징금 취소 소송' 최종 승소

대법원, 메타의 개인정보위 처분 취소 소송 기각, 과징금 67억 원 확정
- 메타는 330만명 이상의 국내 페이스북 이용자 개인정보를 동의 없이 앱 사업자에게 제공
- 개인정보위는 2020년 11월 시정명령 및 과징금 67억 원 부과
- 메타는 2021년 3월 행정소송 제기, 1·2심 패소 후 대법원에서도 기각
- 소송 종료로 개인정보위의 처분 효력 재개, 메타의 시정명령 이행 촉구 예정
- 개인정보위는 메타의 이행 여부를 지속 점검 계획

‘생성형 AI 레드팀’ 운영에 대한 모든 것

OWASP, 생성형 AI 레드팀 운영을 위한 가이드 발표
- 생성형 AI 보안 강화를 위한 레드팀 운영 필요성 증가
- OWASP, AI 레드팀 운영 가이드를 통해 취약점 평가 방식 제시
- 주요 위험 요소로 프롬프트 인젝션, 편향성, 데이터 유출 등 강조
- 효과적인 운영을 위해 위협 모델링, 시스템 평가, 런타임 분석 필요
- NIST AI RMF 기반으로 AI 라이프사이클 전반의 보안 위험 분석 권장
- OWASP, 에이전틱 AI 관련 새로운 위협 모델 개요 보고서 발표
- 생성형 AI 보안 강화를 위한 핵심 기법과 성숙도 모델 제공
- 기업은 지속적인 개선과 보안 역량 강화를 위한 협업 필요

[사람과 보안] AI 에이전트가 지켜주는 보안의 미래는? AI 에이전트끼리 '협업'해 인간과 기업의 효율성 극대화기존 보안 시스템 뒤엎는 '자율적 행동양식'으로... 그런데 이 AI 에이전트들이 보안 분야에 적용된다면 가히 혁명적인 수준의 변화가 올 것이다. 먼저 지금까지...

PHP 원격 코드 실행 취약점, 전 세계적으로 악용 사례 급증...주의 또한, 랜섬웨어 조직인 'TellYouThePass' 그룹은 취약점 공개 후 48시간 만에 이를 악용해 웹셸을 배포하고 피해자의 시스템을 암호화하는 공격을 감행했다. 더욱 심각한 문제는 공격자들이 단순한 침입에서 끝나지...

北 해커그룹 ScarCruft, 'KoSpy' 악성코드로 안드로이드 사용자 타깃 첩보... 북한 정부가 지원하는 해킹 그룹 ScarCruft(APT37)가 새로운 안드로이드 스파이웨어 'KoSpy'를 배포하며... 기존 북한 해킹 그룹과의 연관성...킴수키가 이전에 사용했던 캠페인과 유사 연구진은 KoSpy의 공격 인프라가...

불법 소프트웨어 사용자 노리는 MassJacker 멀웨어 유포...가상화폐 탈취... 보안 기업 사이버아크(CyberArk)에 따르면, 이번 공격에서 새롭게 확인된 클리퍼(Clipper) 멀웨어 MassJacker가... 보안 전문가들은 소프트웨어를 다운로드할 때 신뢰할 수 있는 공식 사이트를 이용해야 한다고...

'호텔업계 노린 'ClickFix' 피싱 공격 심각'…부킹닷컴 사칭 이메일 주의 공격자는 사용자가 직접 악성코드를 실행하도록 유도함으로써 보안 시스템의 탐지를 우회할 수 있다.... 보안 전문가들은 이 같은 공격을 방어하기 위해 기업이 피싱 공격을 탐지하고 대응하는 능력을 강화해야...

마이데이터 시행…금융업계, '실효성 있는 데이터 활용' 촉구 개인정보보호위원회는 올해 마이데이터 안착을 위한 마중물이 될 선도서비스를 단계적으로 출시한다. 의료 분야 △맞춤형 만성질환 예방 관리 △해외 체류 국민 의료 기록 연동 △복약 관리·약물 처방 지원을 비롯해 통신...

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>