'보안 이야기/뉴스'에 해당되는 글 1488건

4월 3일 뉴스입니다.

국정원, '병원 사이버 공격 막는다'...병원정보시스템 보안 가이드라인...

국가정보원이 병원 전산 시스템을 보호하기 위한 보안 가이드라인을 발표했다.
- 북한 등 사이버 위협 세력이 의료정보 탈취를 시도하고 있음.
- 국정원은 교육부·보건복지부 등과 협력해 '병원보안 모델 연구'를 완료.
- 가이드라인은 병원정보시스템 6개 영역에 대한 보안 표준을 제시.
- 정보보안 정책, 시스템 운영, 환자 개인정보 보호 등 보안 대책 포함.
- 국립대병원뿐 아니라 민간 종합병원 보안 담당자도 활용 가능.
- 병원 정보보호 협회 세미나에서 가이드라인 활용법을 설명.
- 가이드라인은 국가사이버안보센터 홈페이지에서 확인 가능.

크라우드스트라이크, '2025 글로벌 위협 보고서' 발표

크라우드스트라이크가 글로벌 사이버 위협 증가를 분석한 '2025 글로벌 위협 보고서'를 발표했다.
- 중국 연계 사이버 작전이 150% 증가, 주요 산업 대상 공격 최대 300% 급증.
- AI 기반 사회 공학적 공격 증가, 보이스피싱이 전년 대비 442% 상승.
- 이란 해커들이 AI를 활용한 취약점 연구 및 악용 시도 강화.
- 악성코드 없이 자격 증명 탈취 후 침입하는 공격이 79%에 달함.
- 북한 해킹 조직이 내부자 위협 방식으로 기업 시스템 침입 시도.
- 평균 사이버 공격 시간 48분으로 단축, 최단 51초 만에 침입 가능.
- 클라우드 환경에서 계정 탈취 공격 증가, 신규 클라우드 침입 26% 상승.
- 크라우드스트라이크는 AI 기반 보안 플랫폼으로 위협 인텔리전스를 제공.

[긴급] 시스코 CSLU 보안취약점 악용한 실제 사이버공격 확인…관리자 ...

시스코 CSLU 소프트웨어의 보안 취약점이 실제 공격에 악용되고 있어 패치가 시급하다.
- 취약점 CVE-2024-20439로 인해 원격 공격자가 관리자 권한 획득 가능.
- CVE-2024-20440은 디버그 로그에 민감 정보가 저장되는 문제를 포함.
- 취약점은 CSLU 2.0.0~2.2.0 버전에 영향을 미치며, 수동 실행 시 악용 가능.
- 2025년 3월, 해당 취약점이 실제 공격에 사용된 사례가 확인됨.
- 미국 CISA는 해당 취약점을 ‘이미 악용된 취약점 목록’에 추가.
- 연방 기관은 2025년 4월 21일까지 취약점 해결을 지시받음.
- 시스코는 패치 적용을 강력히 권고하며, 임시 보안 조치도 필요함.

“제대로 알고 쓰자” VPN으로 지킬 수 있는 것과 지킬 수 없는 것

VPN은 인터넷 프라이버시를 보호하지만, 100% 익명성을 보장하지 않는다.
- VPN은 트래픽을 암호화해 프라이버시 보호 수준을 높임.
- 그러나 완전한 익명성 제공은 불가능하며, 디지털 흔적이 남을 수 있음.
- ISP 등으로부터 사용자의 활동을 숨길 수 있는 점은 장점.
- 로그 정책, 암호화 수준에 따라 VPN 서비스 간 보안 수준이 다름.
- 최고 수준의 VPN 툴은 여전히 강력한 보안 도구로 활용 가능.

AI 기반 사이버공격 심상치 않네…'보이스피싱 442% 증가'

인공지능(AI) 기반 보이스피싱 공격이 급증하고 있으며, 중국 연계 사이버 공격이 증가하는 추세다.
- 크라우드스트라이크 보고서에 따르면, AI 기반 사회공학적 공격이 확산 중이다.
- 중국 연계 사이버 공격이 300% 증가했으며, 금융·미디어·제조업이 주요 표적이다.
- AI를 활용한 피싱 및 사칭 전술이 정교화되었고, 보이스피싱이 442% 증가했다.
- 공격자들은 원격 세션을 설정하여 탐지를 회피하고, 신원정보 탈취를 시도한다.
- 보안 대응을 위해 실시간 위협 인텔리전스 및 AI 기반 분석이 필수적이라는 평가가 나왔다.

[AI 이슈] AI 크롤러로 과도한 데이터 수집... 위키미디어, 인프라 심각...

AI 크롤러의 무차별적인 데이터 수집으로 위키미디어 인프라가 과부하되고 있다.
- AI 크롤러로 인해 위키미디어의 멀티미디어 다운로드 트래픽이 50% 이상 증가했다.
- 기존 인프라는 인간 사용자의 접속 패턴에 맞춰 설계됐으나, AI 크롤러는 지속적인 과부하를 유발한다.
- 일부 AI 크롤러는 robots.txt 규칙을 무시하고 차단을 회피하는 방식으로 접근하고 있다.
- 봇 트래픽은 전체 페이지뷰의 35%를 차지하지만, 인프라 부담의 65%를 유발한다.
- 위키미디어 재단은 ‘책임 있는 인프라 사용(WE5)’ 이니셔티브를 발표하며 대책을 마련 중이다.
- AI 기업과 인프라 제공자 간 협력 없이 무분별한 데이터 수집이 지속되면, 오픈 플랫폼이 유료화될 가능성이 커진다.

국정원, '병원 사이버 공격 막는다'...병원정보시스템 보안 가이드라인... 지난달 국립대학병원 사이버보안 협의회에서 가이드라인을 처음 소개했고, 3일 병원 정보보호 협회 춘계 세미나에서 가이드라인의 주요 내용과 활용법 등을 설명했다. 국정원 관계자는 “북한 등 불순한 해킹 세력들이...

[2025 디도스 대응 솔루션 리포트] 지속적인 디도스 공격 대응 프로세스... 시큐아이[보안뉴스 원병철 기자] 2024년 11월 국방부와 환경부, 법원 등 공공기관은 물론 민간기업까지... 종합적인 보안을 제공하며, 과정별로 다양한 기술을 활용해 네트워크와 애플리케이션을 보호한다....

크라우드스트라이크, '2025 글로벌 위협 보고서' 발표 크라우드스트라이크는 작년에만 7개의 신규 중국 연계 해킹 그룹을 추가로 발견했다. ◇사회 공학을 강화하는 생성형 AI AI 기반의 피싱 및 사칭 전술로 인해 2024년 하반기 보이스피싱(vishing)은 상반기 대비 442%나...

2024년 비밀정보 3,900만 건 유출 된 깃허브, 보안 기능 대폭 강화 나서 계기로 보안 기능을 대폭 강화했다. API 키와 사용자 인증 정보 등 민감한 데이터가 저장소에 노출되며 사용자와 기업 모두 심각한 보안 위험에 노출된 것으로 나타났다. 비밀정보 유출은 최근 소프트웨어 개발...

[긴급] 시스코 CSLU 보안취약점 악용한 실제 사이버공격 확인…관리자 ... 시스코(Cisco) 스마트 라이선싱 유틸리티(CSLU)에서 발견된 심각한 보안 취약점이 실제 공격에 악용되고 있는 것으로 확인돼, 보안 패치가 시급한 상황이다. 시스코는 해당 취약점으로 인해 공격자가 관리자...

<보안뉴스>

<사고소식>

<IT소식>

4월 2일 뉴스입니다.

개인정보위, 손해배상 책임제도 정비..보험료↓·보장범위↑

개인정보 손해배상책임 보장제도의 의무 가입 대상이 축소되지만 관리가 강화된다.
- 개인정보위는 손해배상책임 보장제도의 합리화 방안을 마련했다.
- 기존 의무 가입 대상 기준(매출 10억, 정보주체 1만명 이상)이 각각 1500억, 100만명 이상으로 상향된다.
- 의무대상이 아닌 기업은 인센티브 활성화를 통해 자발적 가입을 유도한다.
- 보험료를 50% 인하하고 보장 범위를 확대한다.
- 단체 보험 활성화 및 과징금 특약 상품 확대를 추진한다.

기업 자산 보호할 방법은? '사전 대응 전략 필요'

기업들은 사후 대응이 아닌 선제적 보안 전략을 강화해야 한다.
- 트렌드마이크로의 CREM 솔루션 도입 기업은 사이버 위험 지수가 감소했다.
- 사후 대응 방식만으로는 핵심 자산을 보호하기 어렵다.
- CREM 솔루션은 외부 공격표면관리, 자산공격 표면관리, 취약점 리스크 관리 등을 통합 제공한다.
- 솔루션 도입 시 평균 탐지 시간이 99% 단축되고 사고 대응 속도가 65% 향상된다.
- 선제적 보안 전략의 필요성이 강조되며 관련 웨비나도 개최될 예정이다.

LLM을 학습한 추출 모델, 작아도 위험은 동일

모델 추출 기술은 AI의 접근성을 높이는 동시에 보안 취약성을 증가시킬 수 있다.
- 모델 추출은 대형 언어 모델(LLM)의 고비용과 높은 지연 시간을 해결하는 기술이다.
- 학생 모델은 교사 모델의 보안 위험을 그대로 물려받을 가능성이 크다.
- 모델이 작아질수록 반전 공격 등 보안 위협에 더 취약해진다.
- 악의적 행위자는 모델 추출을 통해 보안 조치를 우회하거나 악용할 가능성이 있다.
- AI 모델의 보안 가드레일 우회 문제와 더불어, 추출 모델이 공격 도구로 사용될 위험성이 존재한다.

AI 시대, 데이터가 재산인데...전문가들 '익명·가명 정보 활용 가능해야...

AI 시대 데이터 활용 촉진을 위해 익명·가명 정보 활용과 신뢰 확보가 필요함.
- 국회에서 ‘AI 시대의 개인정보 보호와 활용’에 대한 세미나 개최.
- 강력한 개인정보 보호법이 데이터 활용을 어렵게 만드는 구조적 문제로 지적됨.
- 익명 정보 기술 확보를 통해 AI 선도국으로 도약 가능성 언급.
- 국가 익명정보 인증센터 설립 및 표준 절차 마련 필요성 강조.
- 가명 정보 활용 종합 대책 발표 예정, 법적·제도적 개선 추진.
- 공공데이터 활용 활성화를 위한 법률 개정 및 가명 정보 제공 확대 추진.
- 데이터 안심 구역 확장 및 국가 데이터 포털 구축 계획 발표.
- AI 발전을 위한 개인정보 보호와 데이터 활용 간 균형이 중요함.

AI로 더 거세진 사이버 공격...각 산업별 대응전략은

AI 발전과 함께 사이버 보안 위협이 증가하며, AI 기반 보안 대응이 필수적임.
- AI의 확산으로 사이버 보안 환경이 더욱 복잡해질 전망.
- AI를 악용한 사이버 공격이 증가하며, 주요 인프라가 공격 대상이 됨.
- AI 보안 위협에는 데이터 조작, 모델 탈취, AI 교란 등의 방법 포함.
- 기존 보안 방식(비밀번호, OTP 등)은 AI 기반 공격에 취약해질 가능성 있음.
- AI가 보안 위협을 감지하고 대응하는 ‘방어하는 AI’ 기술 발전 중.
- AI 기반 사이버 공격은 실시간 학습·적응을 통해 자동화되고 정교해짐.
- 사이버 보안은 기존의 ‘차단’ 방식에서 ‘예측’과 ‘복원력’ 중심으로 변화 중.
- 기업과 국가의 생존력을 좌우하는 핵심 요소는 AI 보안 기술 운영 능력임.

[배종찬의 보안 빅데이터] 의료 공백보다 천 배 더 무서운 ‘의료 해킹... 오라클 “해커가 회사 서버에 접속, 환자 데이터를 빼내갔다” 발표 국내외 막론하고 의료 서비스 해킹으로 인해 환자 개인정보 유출 ‘빈번’ [보안뉴스= 배종찬 인사이트케이 연구소장] 의대 정원을 둘러싼 의료...

KISA, “계정 탈취형 스미싱 급증”.. 2차 피해 주의 당부 높아”[보안뉴스 조재호 기자] 최근 텔레그램을 비롯한 SNS 계정을 탈취하려는 악성 메시지가 기승을... 최근 KISA는 명절 연휴에 보안공지를 통해 사이버사기 예방을 위한 범정부 차원의 주의를 당부하고, 이동통신...

개인정보위, 손해배상 책임제도 정비..보험료↓·보장범위↑ 의무대상 매출1500억·정보주체 100만명 이상으로 조정하고 자발적 가입 유도“의무 대상 200곳으로 줄어들고, 과징금 감경 및 특약 상품 확대 요청할 것”[보안뉴스 조재호 기자] 개인정보 유출 사고가 터졌을 때 피해를...

[카드뉴스] 보안 담당자가 제일 듣기 싫은 말 BEST 5 www.boannews.com) 무단전재-재배포금지>

<보안뉴스>

<IT소식>

<행사/교육소식>

4월 1일 뉴스입니다.

[김경환 변호사의 디지털법] 〈49〉챗GPT의 잘못된 정보 생성은 개인정...

생성형 AI의 허위정보 제공이 개인정보보호법 위반에 해당하는지 논란이 발생했다.
- 챗GPT가 한 개인에 대한 허위정보를 생성하여 개인정보자기결정권 침해 사례가 발생했다.
- 유럽 시민단체 Noyb는 GDPR을 근거로 챗GPT의 데이터 정확성 원칙 위반을 주장했다.
- 우리 개인정보보호법도 개인정보의 정확성을 보장할 의무를 명시하고 있다.
- 생성형 AI의 환각 현상은 기술적으로 완전히 제거하기 어렵다.
- 챗GPT의 시정 방안으로 프롬프트 차단과 면책조항 추가 등이 논의되고 있다.
- Noyb는 허위정보 삭제 및 LLM의 미세조정을 요구하고 있다.
- 오픈AI는 허위정보 생성을 AI 시스템의 구조적 문제로 보고 있다.
- AI의 정보 정확성 논란이 향후 AI 규제와 발전에 중요한 영향을 미칠 전망이다.

KISA, 소프트웨어 공급망 보안 강화… SBOM 기반 지원 사업 본격화

KISA가 공급망 보안 강화를 위한 지원 사업과 국제 규제 대응 전략을 발표했다.
- KISA는 공급망 보안 강화를 위해 두 가지 신규 지원 사업을 추진한다.
- 첫 번째 사업은 전체 공급망 내 보안 체계 구축을 지원하는 프로그램이다.
- 두 번째 사업은 개별 소프트웨어 개발사의 보안 역량 점검 및 컨설팅 제공을 목표로 한다.
- SBOM(소프트웨어 명세 목록)이 공급망 보안 관리의 핵심 요소로 주목받고 있다.
- 미국과 EU는 소프트웨어 보안성을 입증하도록 하는 규제를 강화하고 있다.
- 미국은 정부 납품 소프트웨어의 보안성을 의무화하고 있다.
- EU는 2027년부터 사이버 회복력 법(CRA)을 시행할 계획이다.
- KISA는 국내 기업의 글로벌 경쟁력 강화를 위해 전방위적 지원을 강화할 방침이다.

데이터 보안의 판도를 바꾸는 최첨단 암호화 기술 7가지

데이터 보안과 공정성을 강화하기 위한 새로운 접근 방식이 주목받고 있다.
- 데이터 보호를 위한 알고리즘이 보안뿐만 아니라 공정성 및 신뢰 확보에도 활용된다.
- 블록체인은 보안성을 기반으로 다양한 산업에서 신뢰를 구축하는 기술로 확장되고 있다.
- 강력한 암호화 체인을 통해 거래 및 데이터 처리를 안전하게 관리할 수 있다.
- 개인 정보 검색 보안과 데이터 프라이버시 보호 기술이 점점 발전하고 있다.
- 공정한 의사 결정과 투명한 데이터 처리를 보장하는 알고리즘이 개발되고 있다.
- 경쟁적 환경에서도 신뢰를 유지할 수 있는 기술적 방안이 연구되고 있다.
- 기업 IT 인프라 보안을 강화하기 위한 7가지 주요 접근 방식이 소개되었다.
- 미래에는 데이터 보안 기술이 예상치 못한 방식으로 산업 전반에 적용될 가능성이 높다.

[기고] EU 데이터법과 인공지능 산업의 발전 방향

EU 데이터법이 9월부터 시행되며, 커넥티드 제품 및 관련 서비스의 데이터 접근 및 공유에 대한 의무를 강화함.
- EU 데이터법은 커넥티드 제품 및 서비스에서 생성되는 데이터에 적용됨.
- 사용자에게 데이터 접근 권한을 부여하고, 제3자와 공유할 수 있도록 의무화함.
- 데이터 보유자는 사용자 요청 시 관련 데이터를 제공해야 함.
- 법 위반 시 제재 규정이 명확하지 않으나, 과징금 부과는 가능함.
- AI 산업에서도 데이터법 준수가 필요하며, 학습용 데이터 활용 시 주의가 요구됨.
- 글로벌 기업은 GDPR과 유사한 규제로 인해 EU 데이터법을 전 세계적으로 준수할 가능성이 높음.
- 데이터 수집 및 제공에 대한 의무가 강화되며, 기업의 데이터 활용 방식에 변화가 예상됨.

韓 개인정보보호법 지적한 美…'국가 간 서비스 저해'

미국 무역대표부가 한국의 개인정보보호법을 지적하며 글로벌 디지털 시장에 장벽을 조성한다고 주장함.
- 미국 무역대표부(USTR)는 한국의 개인정보 국외 이전 제한을 문제로 지적함.
- 2024년 3월 시행된 개정 개인정보보호법이 글로벌 기업에 과징금을 부과할 수 있도록 변경됨.
- 보고서는 데이터 국외 이전 제한이 국가 간 서비스 제공에 장벽이 된다고 주장함.
- 한국의 산업기술보호법이 외국 클라우드 서비스 사용을 제한하는 점도 비판함.
- 미국 정부는 한국 정부와 협력해 클라우드 컴퓨팅 지침 개정을 추진 중임.

법원서 받은 판결문 개인적 이용…대법 '개인정보법 위반 아냐'

대법원이 판결문을 개인적 용도로 사용한 경우 개인정보보호법 위반이 아니라고 판결함.
- A씨는 본인의 형사 사건 판결문을 열람하고 공동피고인의 개인정보가 포함된 사본을 받음.
- 이후 해당 판결문을 민사소송 탄원서에 첨부해 개인정보보호법 위반으로 기소됨.
- 1, 2심에서는 법원이 개인정보 처리자로 간주되어 A씨에게 벌금형을 선고함.
- 대법원은 재판 사무를 담당하는 법원은 개인정보 처리자로 볼 수 없다고 판결함.
- 이에 따라 A씨의 유죄 판결이 파기되고 사건이 대전지법으로 환송됨.

7만5000명 개인정보 무단 유출...우리카드, 134억 과징금

우리카드가 7만5000명의 개인정보를 무단 유출하고 마케팅에 활용해 134억원의 과징금을 부과받음.
- 우리카드 인천영업센터가 가맹점주의 개인정보를 조회해 마케팅에 활용함.
- 최소 13만 명의 가맹점주 개인정보를 카드 모집인들과 공유함.
- 7만5000명 이상의 개인정보가 이메일 및 카카오톡 단체채팅방을 통해 유출됨.
- 가맹점주 개인정보를 이용해 신규 카드발급 마케팅을 진행함.
- 개인정보 열람 권한이 영업센터에 위임되었으나 내부 통제가 부족했음.
- 개인정보보호위원회가 우리카드에 134억5100만원의 과징금을 부과함.
- 우리카드는 내부 보안 조치를 강화하고 재발 방지 대책을 마련하겠다고 발표함.

국민 70% AI로 인한 개인정보 침해 '심각하게 우려'

국민 대다수가 개인정보 보호의 중요성을 인식하지만, AI로 인한 침해 우려도 큼.
- 성인 92.7%, 청소년 95.0%가 개인정보 보호를 중요하게 인식.
- AI로 인한 개인정보 위험을 "심각하다"고 답한 비율은 성인 76.1%, 청소년 76.2%.
- AI 서비스의 개인정보 처리 방식 공개 필요성을 성인 72.1%, 청소년 71.0%가 지적.
- 개인정보 제공 시 동의 내용을 확인하는 비율은 성인 55.4%, 청소년 37.4%로 낮음.
- 공공기관의 개인정보 보호조치 이행률은 99.5%, 민간기업은 59.9%에 그침.
- 개인정보 보호 교육 이행률도 공공기관 90% 이상, 민간 부문 10% 미만으로 차이.
- 공공·민간기업 모두 정부의 개인정보 보호 기술 개발 및 보급 촉진을 최우선 과제로 선정.
- 개인정보보호위원회는 법령·제도 개선과 기술지원 및 점검 강화를 추진 예정.

테라폼이 코드형 인프라를 진화시키는 방법

하시코프, 테라폼을 중심으로 인프라 라이프사이클 전반을 지원하는 전략 강화.
- 하시코프는 테라폼을 기업용 경쟁 제품으로 발전시키며 시장 지배력 유지.
- 테라폼은 IaC 시장에서 강력한 영향력을 유지하며, AWS 클라우드포메이션 등과 경쟁.
- 하시코프는 테라폼 외에도 볼트, 컨설, 노마드 등과의 통합을 통해 보안 및 관리 강화.
- BT 그룹 등 대기업이 테라폼을 활용하여 인프라 배포 시간을 단축하고 효율성 향상.
- 오픈토푸, 풀루미 등 오픈소스 대안이 있지만, 하시코프의 통합 전략이 경쟁 우위 제공.
- IBM이 하시코프를 인수하면서 하이브리드 멀티클라우드 관리 플랫폼으로 발전 가능성 증가.
- 테라폼의 라이선스 모델 변화에도 불구하고, 강력한 기능과 파트너십으로 시장 지배력 유지.

AI 기본법 시행령 앞두고… 스타트업계 '규제 불확실성·이중규제 우려...

2026년 시행될 AI 기본법의 세부 시행령 초안을 두고 산업계의 우려와 개선 요구 제기.
- AI 기본법은 AI 기술 개발 지원과 신뢰 기반 조성을 위한 규제 틀을 포함.
- 산업계는 시행령 내용에 따라 과도한 규제 부담과 시장 불확실성이 발생할 것을 우려.
- '고영향 AI' 정의가 불명확하여 기업들이 규제 예측 어려움.
- '생성형 AI 표시 의무' 대상이 광범위하여 기술 혁신 저해 가능성.
- 기존 개인정보보호법과의 중복·충돌로 인해 법적 혼란 및 이중 규제 문제 발생 가능.
- 불명확한 사실조사 요건이 산업 현장에 과도한 부담을 초래할 우려.
- AI 검·인증 권한이 특정 기관에 집중될 경우 시장 경쟁을 저해할 위험 존재.
- 스타트업얼라이언스는 정부가 산업계 의견을 충분히 반영하여 시행령을 마련해야 한다고 제언.

2025년 4월 물리·정보보안 기업 어떤 인재 찾고 있나? CCTV 조달 영업부터 해외 영업 담당자까지, 다양한 보안 인재 모집[보안뉴스 원병철 기자] 나무들의 푸르름이 짙어지고 화사한 꽃향기가 일렁이는 4월이 다가왔다. 보안업계는 3월 19일부터 21일까지 열린 ‘세계 보안...

[김경환 변호사의 디지털법] 〈49〉챗GPT의 잘못된 정보 생성은 개인정... 챗GPT 등의 생성형 인공지능(AI)을 이용해 특정인을 검색했는데, 생성형 AI가 잘못된 정보를 제공하고 그로 인해서 개인정보자기결정권을 침해했다면, 생성형 AI는 개인정보보호법에 의거한 법적 책임을 지는가?...

<보안뉴스>

<IT소식>

<정보보호 신간/신제품 소개>

3월 31일 뉴스입니다.

[한국정보공학기술사 보안을 論하다-12] 스타트업도 보안 전략이 필요하...

FAANG 기업이 여전히 테크 산업의 중심을 차지하지만, 유니콘 기업의 성장이 시장의 판도를 바꾸고 있다.
- FAANG(Facebook, Apple, Amazon, Netflix, Google)이 글로벌 테크 산업을 주도하고 있음.
- 인공지능, 전기차, 공유 경제, 반도체 등 혁신 분야에서 새로운 유니콘 기업이 성장 중.
- 국내에서도 네이버, 카카오, 쿠팡, 우아한형제들 등 스타트업 중심의 빅테크 기업이 성장.
- 스타트업은 MVP 검증 및 투자 유치를 통해 확장하며, 보안 조치는 종종 후순위로 밀림.
- 보안 사고는 기업 신뢰를 훼손하고, 고객 및 기업 고객에게도 피해를 줄 수 있음.
- 스타트업의 보안 투자는 필수가 되며, 경영진의 보안 인식이 중요함.
- 제로트러스트 모델을 적용하여 클라우드 및 업무 인프라의 보안을 강화할 필요가 있음.
- 성장 단계별 보안 전략을 수립하여 보안 부채를 효과적으로 관리해야 함.

“SW공급망 보안, 수출장벽 우려”…KISA, 개발사 무료 보안 점검

미국과 EU의 SW 공급망 보안 강화 정책이 국내 SW 기업의 수출에 장벽이 될 가능성이 있다.
- 미국·EU 등 주요국이 SW 공급망 보안 규제를 강화하고 있음.
- 한국인터넷진흥원(KISA)이 국내 SW 개발사를 대상으로 공급망 보안 점검을 실시.
- SW 자재명세서(SBOM) 기반 공급망 보안 구축 지원사업을 추진 중.
- 4월부터 SW 개발기업을 대상으로 보안 점검 및 기술지원 사업 신청 접수 예정.
- SW 개발·설계·배포·업데이트 전 과정에서 보안 위협이 증가하고 있음.
- SW 공급망 보안이 미흡할 경우, 주요국 수출이 제한될 가능성이 있음.
- 국내 SW 기업은 보안 규제 대응을 위해 사전 대비가 필요함.

국민 10명 중 7명, AI 확산 따른 개인정보 침해 우려

AI 확산으로 인해 국민 10명 중 7명이 개인정보 침해를 우려하고 있으며, AI 서비스의 개인정보 처리 현황 공개 필요성이 제기됨.
- 개인정보보호위원회, '2024년 개인정보보호 및 활용조사' 결과 발표
- 국민 76% 이상이 AI로 인한 개인정보 위험을 심각하게 인식
- AI 서비스의 개인정보 처리 현황 공개를 원하는 응답자 비율 70% 이상
- 개인정보 제공 시 동의 내용을 확인하는 비율은 성인 55.4%, 청소년 37.4%로 낮음
- 공공기관의 개인정보 보호조치 이행률 99.5%, 민간기업은 59.9%
- 정부 정책 우선 과제로 '개인정보 보호 기술 개발 및 보급 촉진' 선정
- 개인정보보호위원회, 법령 개선 및 기술 지원 등을 통해 개인정보 보호 정책 강화 계획 발표

무작위 비밀번호로는 부족하다…더 강력한 온라인 보안 습관

무작위 비밀번호뿐만 아니라 사용자 이름도 무작위로 설정하면 보안성이 더욱 강화됨.
- 동일한 사용자 이름을 사용하면 계정 해킹 가능성이 높아짐
- 크리덴셜 스터핑 공격 방지에 무작위 사용자 이름이 효과적
- 이메일 마스킹을 활용하면 개인정보 보호 강화 가능
- 비밀번호 관리자를 활용하면 사용자 이름 관리도 가능
- 금융, 의료 서비스 등 중요한 계정부터 보안 조치 적용 권장
- 데이터 유출 증가로 인해 추가적인 프라이버시 보호 조치 필요
- 주요 이메일 계정의 로그인 정보는 비밀번호 관리자에 저장하지 않는 것이 안전함

[한국정보공학기술사 보안을 論하다-12] 스타트업도 보안 전략이 필요하... [글_ 이아람 기술사]필자소개_- 한국정보공학기술사회 미래융합기술원 부원장- 정보관리기술사, 정보시스템 수석감리원, ISMS-P 인증심사원, 개인정보 영향평가 전문인력www.boannews.com) 무단전재-재배포금지>

카스퍼스키, 구글 크롬서 ‘제로데이’ 취약점 발견 권장”[보안뉴스 조재호 기자] 카스퍼스키가 크롬(Chrome) 브라우저의 샌드박스 보호 시스템을 우회하는... 회사는 즉시 구글 보안팀에 이를 알리고 패치를 지원했다. 이번 취약점에 대한 보안 패치는 지난 25일...

전 세계 태양광 인버터 46개 보안취약점 발견…전력망 위협 현실화 우려 전 세계 에너지 전환의 핵심으로 주목받는 태양광 발전 설비에서 심각한 보안취약점이 다수 발견됐다. 사이버보안 전문기업 포어스카우트 베데레랩스(Forescout Vedere Labs)는 썬그로우(Sungrow), 그로왓(Growatt), SMA 등...

“SW공급망 보안, 수출장벽 우려”…KISA, 개발사 무료 보안 점검 실제 북한 해킹그룹 라자루스는 지난 2022년 국내 금융SW의 취약점을 악용해 국가·공공기관 등 61곳을... 또 SW 실행 환경에서 발생하는 보안취약점을 탐지하고 대응방안을 마련하는 모의해킹도 수행한다. SW 보안 체계...

국민 10명 중 7명, AI 확산 따른 개인정보 침해 우려 개인정보보호위원회는 개인정보처리자의 개인정보 보호·활용 실태와 정보주체의 개인정보보호 인식 등을 담은 '2024년 개인정보보호 및 활용조사' 결과를 발표했다. 이번 조사는 공공기관·민간기업·국민을...

<보안뉴스>

<IT소식>

<행사/교육소식>

3월 29일 ~ 3월 30일 뉴스입니다.

개인정보위, 개인정보 작성지침 개정본 발간..해외사업자 의견 수렴

개인정보보호위원회, 해외사업자의 개인정보 처리방침 실효성 강화를 위한 지침 개정 추진
- 개인정보보호위원회, 해외사업자 12개사와 간담회 개최
- 개인정보 처리방침 평가제 도입, 해외사업자 평가결과 국내 기업 대비 저조
- 해외사업자, 국내 제도의 세부 규정 준수에 어려움 토로
- 개인정보위, 4월 중 ‘개인정보 처리방침 작성지침 개정본’ 발간 예정
- 정보주체 권리 강화를 위한 지속적인 정책 개선 추진

AI 모델 안전성 확보는 '설명성·데이터·강건성'에 달려

AI 안전성을 확보하기 위해 설명 가능성, 데이터 품질관리, 강건성 테스트 필요
- AI 의사결정 과정의 설명 가능성을 확보해야 함
- 공정하고 신뢰할 수 있는 데이터 품질 관리 필요
- AI의 예상치 못한 상황 대응을 위한 강건성 테스트 강조
- AI 모델의 신뢰성, 윤리적 정렬성, 책임성을 높여야 함
- AI 거버넌스 구축 및 모니터링 강화 필요
- AI 기술의 산업 활용 사례 및 적용 범위 확대 논의

우리카드, 개인정보 무단 활용으로 134억원 과징금 처분

우리카드, 가맹점주 개인정보 무단 활용으로 134억 과징금 부과
- 개인정보위, 우리카드의 개인정보법 위반 조사 후 과징금 부과 결정
- 가맹점주 20만여 명의 개인정보를 카드 모집 마케팅에 무단 사용
- 법적 근거 없이 주민등록번호 처리 규정 위반
- 데이터베이스 접근권한 및 다운로드 권한 과도 위임 문제 지적
- 우리카드에 내부통제 강화 및 개인정보 보호조치 준수 명령

[특별인터뷰] 고학수 개보위원장 '마이데이터, 세계가 한국 주시'

개인정보보호위원회 고학수 위원장, AI 시대에 맞춘 개인정보 보호정책 추진
- 개인정보 보호와 데이터 활용의 균형을 강조
- 개인정보보호법 개정 및 디지털 잊힐 권리 지원사업 시행
- 마이데이터 제도 도입으로 의료·통신 정보 활용 강화
- AI 기술 발전에 따른 개인정보 보호정책의 중요성 언급
- 개인정보 보호와 AI 발전을 함께 고려한 정책 수립 목표

취준생 개인정보유출 인크루트, 과징금 취소 소송 1심 패소

인크루트, 2020년 개인정보 유출 사건 관련 과징금 취소 소송에서 패소
- 인크루트는 2020년 해킹으로 3만5천여 건의 개인정보 유출 사고 발생
- 개인정보보호위원회는 보안 조치 미흡을 이유로 과징금 7,060만원과 과태료 360만원 부과
- 인크루트는 과징금이 부당하다며 2023년 10월 행정소송 제기
- 서울행정법원은 개인정보보호위원회의 처분이 정당하다고 판결
- 인크루트의 소송 패소로 인해 기업의 보안 조치 강화 필요성 대두

메타는 왜 반복적으로 과징금을 받는가[안성훈 변호사의 ‘행정법 파보...

메타, 반복적인 개인정보 보호법 위반으로 총 1000억 원 과징금 부과
- 2020년 11월, 페이스북 로그인 과정에서 이용자 동의 없이 개인정보 제공하여 67억 원 과징금 부과
- 2021년 8월, 얼굴 인식 정보 무단 수집으로 64억 원 과징금 부과
- 2022년 9월, 온라인 행태정보를 동의 없이 수집하여 308억 원 과징금 부과
- 2023년 11월, 98만 명의 민감정보를 동의 없이 광고 타겟팅에 활용하여 216억 원 과징금 부과
- 법원은 메타의 항변을 인정하지 않고 개인정보보호위원회의 결정을 지지
- 메타는 데이터 기반 광고 사업 모델로 인해 지속적인 법적 리스크에 직면
- 개인정보 보호 규제가 강화될수록 글로벌 플랫폼 기업들의 법적 책임 증가 예상
- 국내 기업들도 개인정보 보호가 기업 경쟁력과 직결된다는 점을 인식할 필요

개인정보 손배책임 보장제도 재조정···의무대상 매출 기준 낮춘다

개인정보 손해배상책임 보장제도, 매출 기준을 1500억 원 이상으로 조정
- 개인정보보호위원회, 개인정보 손해배상책임 보장제도 개선 방안 발표
- 기존 의무대상 기준(매출 10억 원 이상, 정보주체 1만 명 이상)에서 완화(매출 1500억 원 이상, 정보주체 100만 명 이상)
- 보험료 인하 및 보장 범위 확대 추진, 일부 보험상품에서만 제공되는 과징금 보험특약 확대 계획
- 개인정보 분쟁조정제도를 통해 손해배상금 지급을 활성화하여 피해자 보호 강화
- 한국개인정보보호책임자협의회 등과 협력해 제도 안내 및 인식 제고 추진
- 기존 제도의 실효성 문제(보험료 부담, 인지도 부족 등) 개선 필요성 제기

웨스턴디지털 '응답자 87, 데이터 자동 또는 수동 백업 중'

데이터 백업 중요성에 대한 인식 증가, 87%가 데이터 백업 수행
- 웨스턴디지털 조사에 따르면 87%의 응답자가 데이터를 백업한다고 응답
- 주요 백업 이유는 데이터 손실 우려(83%), 저장 공간 확보(67%), 사이버 공격 대비(42%)
- 데이터 손실 경험이 있는 응답자는 63%에 달함
- 세계 백업의 날(World Backup Day)을 통해 데이터 보호 중요성 강조
- 백업을 하지 않는 이유로는 필요성을 못 느낌(36%), 저장 공간 부족(30%), 백업 시간 부담(29%) 등이 제시됨
- 백업 방법을 몰라서 하지 않는 비율도 23%로 나타남
- 기업과 개인 모두 데이터 보호 전략을 강화할 필요 있음

개인정보위, 개인정보 작성지침 개정본 발간..해외사업자 의견 수렴 구글, MS, 스타벅스, 알리 등 해외사업자 CPO 간담회 진행개인정보 처리방침의 실효성 높일 작성 우수사례 등 관련 지침 보완[보안뉴스 조재호 기자] 개인정보보호위원회(위원장 고학수)는 해외사업자들의 ‘개인정보...

AI 모델 안전성 확보는 '설명성·데이터·강건성'에 달려 보안 거버넌스를 준수, 각사별·개인별 데이터가 보호되는 AI 서비스 제공이 특징이다. 오현식 롯데이노베이트 인공지능테크랩 실장은 “AI 시대 기업 경쟁력 강화를 위해 AI 전략이 중요하다”며 “롯데이노베이트는...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

3월 28일 뉴스입니다.

개인정보위, '개인정보 처리 현황 파악 등에 시민단체와 협력'

IP 카메라 개인정보 보호를 위해 시민 사회의 참여를 확대하는 방안이 추진된다.
- 개인정보보호위원회가 소비자 및 시민단체와 개인정보 보호 협력 방안을 논의하는 간담회를 개최했다.
- IP 카메라의 개인정보 처리 현황 분석 및 침해 요소 모니터링이 협업 대상에 포함됐다.
- AI 및 디지털 전환으로 인한 프라이버시 침해 우려 해소가 주요 논의 주제였다.
- 시민단체는 개인정보 침해 구제 수단의 실효성 확보를 요구했다.
- 개인정보보호위원회는 시민단체와 협력해 신뢰할 수 있는 개인정보 보호 환경을 조성할 계획이다.

2025년 2월, 하루 평균 27만 건 웹 공격 발생…SQL 인젝션이 전체 공격의...

2월 한 달간 AI 기반 웹 방화벽이 하루 평균 27만 건의 웹 공격을 탐지했다.
- SQL 인젝션이 전체 공격의 36.99%를 차지하며 가장 높은 비율을 기록했다.
- 공격 발생 IP는 한국, 중국, 미국, 루마니아 등 다양한 국가에서 탐지됐다.
- Apache OFBiz의 RCE 취약점(CVE-2024-38856)이 패치 우회를 통해 악용되었다.
- AIWAF 전용 패턴이 추가되었으며, 최신 버전 업데이트가 권고됐다.
- 보안 전문가들은 글로벌 보안 위협에 대한 종합적인 대응 전략이 필요하다고 강조했다.

[웨비나 영상] 제로트러스트 확산을 위한 정책 추진 방향과 적용 솔루션...

제로트러스트 2.0의 민간 확산을 위한 제도적 방향성과 기술적 구현 전략이 제시됐다.
- 데일리시큐와 아카마이코리아가 공동 주최한 웨비나에 250여 명의 정보보호 담당자가 참석했다.
- KISA는 제로트러스트 보안 모델의 필요성과 가이드라인 2.0의 주요 내용을 설명했다.
- 가이드라인 2.0은 4단계 성숙도 모델과 6대 핵심 요소를 중심으로 세부 역량을 정의했다.
- 2025년부터 민간 부문 확산을 위한 시범사업 및 컨설팅 지원이 추진된다.
- 아카마이코리아는 동적 정책 기반 보안으로 공격 표면을 99.93% 감소시키는 방안을 소개했다.

AI로 진화하는 피싱 공격… 사이버 범죄자의 소셜 엔지니어링 전략 변화

사이버 범죄자들은 AI를 활용해 피싱 기법을 더욱 정교하게 발전시키고 있다.
- 피싱 공격이 AI 기술을 활용하여 더욱 정교하고 개인화된 방식으로 진화하고 있음.
- AI 기반 챗봇과 생성형 AI를 이용해 문법적으로 완벽하고 신뢰할 수 있는 피싱 이메일 제작 가능.
- 딥페이크 기술을 활용하여 음성 및 영상 기반의 피싱 공격이 증가하는 추세.
- 공격자들은 기존 이메일 쓰레드를 가로채어 더욱 신뢰할 수 있는 형태로 변조하여 피싱 수행.
- 클릭픽스 기법을 사용해 파워셸 명령어 실행을 유도하는 공격 방식이 확산 중.
- 신뢰할 수 있는 브랜드를 사칭한 피싱 기법이 더욱 정교해지고 있음.
- 합법적인 파일 공유 및 서명 서비스 등을 악용하여 피싱 링크를 전파하는 사례 증가.
- QR 코드를 활용한 ‘퀴싱(Quishing)’ 공격이 보안 필터를 우회하는 방법으로 급증하고 있음.

개인정보위, '개인정보 처리 현황 파악 등에 시민단체와 협력' 개인정보보호위원회는 28일 서울 광화문에서 ‘소비자·시민단체 개인정보 정책간담회’를 열고, 주요 개인정보 이슈에 소비자와 시민단체가 참여하는 방안을 제안했다. IP 카메라 같은 IT 기기의 개인정보 처리 현황...

2025년 2월, 하루 평균 27만 건 웹 공격 발생…SQL 인젝션이 전체 공격의... 특히 2월 28일과 30일에 공격이 집중되었으며, 이는 보안 대응 시점을 사전에 예측해 선제적 조치가... 그 외에도 내부 IP 대역(10.x.x.x)에서 수십만 건의 공격이 발생해 내부 시스템 보안 점검의 필요성도...

[웨비나 영상] 제로트러스트 확산을 위한 정책 추진 방향과 적용 솔루션... 이번 웨비나는 제로트러스트 보안 모델의 국내 도입을 위한 제도적 방향성과 기술적 구현 전략을 구체적으로 다뤄 보안담당자들의 큰 관심을 모았고 웨비나 내내 많은 질문들이 올라왔다. 제로트러스트 사업총괄을...

<보안뉴스>

<IT소식>

3월 27일 뉴스입니다.

[사람과 보안] 숨기면서도 드러내야만 하는 보안의 패러독스

보안은 기밀성과 개방성이 균형을 이루어야 강해질 수 있다.
- 보안의 핵심 요소는 기밀성, 무결성, 가용성(CIA 3요소)이다.
- 기밀성은 보안의 기본이지만 지나치게 폐쇄적이면 오히려 위험을 초래한다.
- 기업들은 보안 정보를 공유하지 않으면 최신 보안 위협에 취약해질 수 있다.
- 사이버 위협 정보와 기술 트렌드는 적극적으로 공유되어야 한다.
- 보안 엑스포와 컨퍼런스는 실무적 보안 정보를 공유하는 중요한 기회이다.
- 현장에서 발생한 보안 위협 사례는 빠르게 공유될수록 효과적인 대응이 가능하다.
- 기업의 보안은 외부 피드백을 받아들여야 더욱 강해질 수 있다.
- 보안의 개방성을 인정하고 위협을 공유하는 것이 실질적인 보안 강화로 이어진다.

개인정보위, 우리카드에 과징금 134억 부과…'최소 20만 명 가맹점주 개...

우리카드는 가맹점주의 개인정보를 동의 없이 마케팅에 활용해 134억 원의 과징금을 부과받았다.
- 개인정보위는 우리카드의 개인정보보호법 위반을 확인하고 과징금 및 시정명령을 결정했다.
- 우리카드는 최소 20만 명의 가맹점주 개인정보를 카드 마케팅에 무단 활용했다.
- 주민등록번호를 이용해 신용카드 보유 여부를 조회하고 모집인과 공유했다.
- 개인정보가 카카오톡 단체 채팅방과 이메일을 통해 전달되는 등 관리가 부실했다.
- 7만 명 이상의 가맹점주가 마케팅 활용에 동의하지 않았음에도 정보가 사용됐다.
- 개인정보보호법 제18조(목적 외 이용 제한) 및 주민등록번호 처리 규정을 위반했다.
- 우리카드는 내부 통제 미흡으로 대량의 개인정보 유출을 초래했다.
- 개인정보위는 기업의 무단 개인정보 활용에 대한 강력한 제재를 예고했다.

개인정보위, 손해배상책임 보장제도 대폭 손질…의무대상 상향 조정·보...

개인정보 유출 사고에 대비한 손해배상책임 보장제도의 기준이 대폭 변경되어 보험료 인하 및 보장범위 확대가 추진된다.
- 개인정보 보호법 시행령 개정을 통해 의무대상을 ‘매출 1,500억 원·정보주체 100만 명 이상’으로 상향 조정
- 보험료를 최대 50% 인하하고 보장범위를 확대하여 실질적인 피해 구제 강화
- 개인정보 분쟁조정 절차를 통해 결정된 합의금도 보험 보장 대상에 포함
- 개인정보보호위원회가 기업 및 국민의 인식 제고를 위한 홍보 강화 추진
- 보험 가입 확대를 위해 한국개인정보보호책임자협의회 및 유관 협단체와 협력 예정

박정훈 국민의힘 의원 '커지는 기업 해킹 위협, 사이버보험이 안전판'[...

기업들의 해킹 피해를 줄이고 회복력을 높이기 위해 사이버보험 활용 방안을 논의하는 토론회가 열린다.
- AI, 빅데이터, 클라우드 발전과 함께 사이버 공격 증가로 기업 피해 심화
- 사이버보험은 해킹, 랜섬웨어 등으로 인한 경제적 손실을 보상하는 중요한 안전장치
- 중소기업 및 비영리기관이 주요 공격 대상이며, 보안 관리 역량이 취약한 상황
- 정보보호 공시제도 강화 및 사이버 사고 피해 공유 시스템 구축 필요
- 보험료 부담 문제를 해결하기 위해 인센티브 요율제 및 국가 지원 검토
- 국가 차원에서 사이버 사고 데이터를 수집·분석하여 기업과 보험업계에 제공 필요

개인정보위, 가명 처리 안 한 개인정보 AI 개발 활용 추진

개인정보보호위원회가 AI 개발을 위해 익명·가명 처리하지 않은 개인정보 활용을 허용하는 법 개정을 추진한다.
- 특정 요건을 충족하는 경우 개인정보를 AI 개발에 활용 가능하도록 법 개정 추진
- 개인정보보호위원회 심의를 거쳐 활용 여부를 결정하는 방식
- 산업계에서는 요건 충족이 어렵다는 지적과 함께 규제 완화를 요구
- 개인정보 자기결정권 제한 문제로 법 개정 초기에는 신중한 접근이 필요
- 시행 후 점진적으로 규제를 완화하는 방향도 고려 중

고학수 위원장 'AI·데이터청? 굉장히 어려운 조직될 것'

고학수 개인정보보호위원장은 AI·데이터청 설립에 대해 실효성 문제를 지적하며 부정적 입장을 표명함.
- 고 위원장은 AI·데이터청이 인사, 예산, 입법에서 독립성을 확보하기 어려운 구조라고 설명함.
- 데이터 거버넌스 및 정책 방향 설정의 실효성을 높이는 방안을 고민해야 한다고 강조함.
- 한국적 현실에서는 대통령 어젠다로 채택될 경우 추진력이 높아질 수 있다고 언급함.
- 중국 생성형 AI '딥시크'가 한국법을 준수하려는 의사를 보였다고 밝힘.
- 딥시크의 개인정보 수집 및 활용 방식에 대한 한국 소비자의 우려가 크다고 지적함.
- 개인정보위는 딥시크의 개인정보 보호 실태를 조사 중이나, 구체적 결과는 아직 발표할 단계가 아님.
- 트럼프 행정부 출범 이후 개인정보 정책 대응 방안을 논의 중이며, 4월 본격적인 논의가 시작될 전망임.
- 개인정보위와 메타 간 소송에서 최종 승소했으나, 미국 정부의 공식 반응은 없는 상태임.
- 개인정보위의 조사 강제력이 부족하다는 지적에 대해, 자료 제출 지연 시 부담금 부과 방안을 검토 중임.

[사람과 보안] 숨기면서도 드러내야만 하는 보안의 패러독스 기밀 유지와 폐쇄성이 보안 핵심이지만 개방성과 정보공유 중요성 점증 실전적 보안은 ‘지식 생태계’ 속에서 성장...감추고 닫는 게 능사 아냐 보안 엑스포는 현장의 각종 ‘전투 기록’들이 공유되는 유일한 실체적...

개인정보위, 우리카드에 과징금 134억 부과…'최소 20만 명 가맹점주 개... [K-CTI 2025] 국내 최대 사이버위협·침해사고대응 인텔리전스 컨퍼런스 개최(7시간 교육이수) -주최: 데일리시큐 -일시 2025년 4월 15일(화) / 오전 9시~오후 5시 ★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading...

개인정보위, 손해배상책임 보장제도 대폭 손질…의무대상 상향 조정·보... [K-CTI 2025] 국내 최대 사이버위협·침해사고대응 인텔리전스 컨퍼런스 개최(7시간 교육이수) -주최: 데일리시큐 -일시 2025년 4월 15일(화) / 오전 9시~오후 5시 ★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading...

<보안뉴스>

<IT소식>

3월 26일 뉴스입니다.

해외사업자에도 개인정보 전송요구권 적용…목적범위 내 타분야 정보 전...

마이데이터 제도 전 분야 확대에 맞춰 개인정보 전송요구권 가이드라인이 공개됨.
- 마이데이터 제도는 국민이 본인 개인정보를 직접 전송하거나 제3자에게 전송 요구할 수 있도록 하는 제도.
- 의료·통신 분야부터 시행되었으며, 에너지 등 10대 중점 분야로 단계적 확대 예정.
- 개인정보 전송요구권이 해외사업자에도 적용되며, 우리 국민을 대상으로 한 서비스에 의무 부과.
- 일반수신자는 본인 고유 업무 분야 외에도 특정 목적 범위 내에서 다른 분야 정보 수신 가능.
- 개인정보관리 전문기관 및 전송 지원 플랫폼 운영 기준, 수수료 등의 상세 내용 포함.
- 개인정보보호법과 신용정보법 적용 범위가 다르므로 개별법 절차에 따라 전송 및 활용 필요.
- 질의응답 형식으로 실제 사례를 들어 전송요구권 개념과 절차 설명.

AI 시대를 주도할 기업 필수 '데이터 활용 및 보안 솔루션'

AI 기반 데이터 분석과 보안 기술이 고도화되며, 통합 플랫폼 중심으로 발전 중.
- 자연어 분석 도구와 시각화 기술 발전으로 비전문가도 쉽게 데이터 분석 가능.
- 생성AI 최적화된 모니터링 솔루션 확산, AI 성능 분석 및 운영 효율화 지원.
- AI 기반 자동화 보안, 이상 탐지, 규제 준수 중심의 데이터 보안 기술 고도화.
- 데이터 활용과 보안이 통합된 프레임워크로 발전하며, 정책 중심 자동화 기술 중요.
- 데이터독, 데이터 클리닉, IBM 가디엄 DSC 등 주요 AI 및 데이터 보안 솔루션 부상.
- 데이터독은 AI 모델 성능 분석 및 보안 관리를 통합 제공하는 모니터링 플랫폼.
- 데이터 클리닉은 데이터 품질 최적화 및 합성 데이터 생성 기술을 활용한 AI 성능 향상 지원.
- IBM 가디엄 DSC는 AI 및 데이터 보안을 통합 관리하는 플랫폼으로, 규제 준수 자동화 기능 제공.

[초점] 생성형 AI 정보 유출 불안…대안 모색 나선 국내외 보안 업체들

생성형 AI 서비스 확산에 따라 개인정보 유출 우려가 커지며, 기업들은 보안 정책 강화 및 AI 사용 제한을 검토하고 있다.
- 중국 AI 기업 딥시크(DeepSeek)의 개인정보 유출 논란이 불거지며, 개인정보위가 조사에 착수함.
- 딥시크는 개인정보 수집 방식에 대한 문제를 인정하고 국내 서비스 중단을 결정함.
- 기업 및 기관에서는 생성형 AI 사용을 제한하거나 보안 정책을 강화하는 조치를 시행함.
- 생성형 AI 서비스 이용 시, 입력된 데이터가 학습에 활용될 가능성이 높아 개인정보 유출 위험이 존재함.
- 일부 기업은 프롬프트 글자 수 제한 및 특정 부서에서만 AI 사용을 허용하는 방식으로 대응 중임.
- 해외 보안 기업들은 생성형 AI 보호를 위한 새로운 솔루션을 출시하며 시장 선점에 나섬.
- 국내 기업들도 AI 보안 솔루션 개발을 시작했으나, 해외 대비 시장 성숙도가 낮은 상황임.
- 이스트시큐리티, 지란지교데이터 등 국내 기업이 AI 기반 데이터 보호 솔루션을 개발하고 있음.

[이성엽의 IT프리즘]평판 조회의 법적 이슈와 과제

평판 조회는 기업이 구직자의 업무 능력과 태도를 확인하는 과정으로, 개인정보보호법과 명예훼손 등의 법적 이슈가 발생할 수 있다.
- 평판 조회는 구직자의 성격, 업무 태도 등을 평가하는 절차로 인사 채용에서 중요한 역할을 한다.
- 개인정보보호법에 따라 구직자의 동의 없이 평판 조회가 가능한지 여부가 논란이 된다.
- 평판이 개인정보에 해당하는지 여부와, 동의 없이 수집할 수 있는지에 대한 법적 근거가 명확하지 않다.
- 허위 평판 제공으로 인해 구직자의 명예가 훼손될 경우 형법상 명예훼손죄가 적용될 수 있다.
- 일부 기업에서는 비공식적으로 전직 동료나 업계 커뮤니티를 통해 평판을 확인하는 경우가 많다.
- 현재 평판 조회 관련 법적 규제가 모호하여, 명확한 가이드라인 정비가 필요하다.

전 세계 데이터 유출 36%는 '서드파티 침해'...기업 보안 비상

전 세계 데이터 유출 사고의 36%가 서드파티를 통한 침해로 발생했으며, 공급망 보안 강화를 위한 실시간 모니터링이 필요하다.
- 2024년 발생한 데이터 침해 사고 중 36%가 서드파티 관련 공격으로 분석되었다.
- 랜섬웨어 조직과 국가 지원 해커들이 공급망을 주요 침투 경로로 악용하고 있다.
- 소매 및 숙박업(52%), 기술 산업(47%), 에너지·유틸리티(47%) 부문에서 서드파티 침해 비율이 높았다.
- 국가별로는 싱가포르(71%), 네덜란드(70%), 일본(60%) 순으로 서드파티 침해 비율이 높게 나타났다.
- 전문가들은 주기적인 벤더 평가를 넘어 실시간 모니터링 강화를 강조하고 있다.
- 기업들은 맞춤형 서드파티 보안 체계를 구축하고, 다중 인증 및 랜섬웨어 몸값 지급 거부 원칙을 유지해야 한다.

저작권과 데이터 윤리 [김윤명박사의 AI 웨이브]

AI 학습을 위한 데이터 수집과 저작권법 적용 범위에 대한 논란이 지속되며, 공정 이용과 데이터 윤리의 조화가 필요하다.
- 저작권법은 창작자의 권리 보호와 공정 이용의 균형을 맞추는 역할을 한다.
- AI 학습을 위한 데이터 수집 과정에서 저작권법과의 충돌이 발생하고 있다.
- 텍스트·데이터 마이닝(TDM) 입법화 여부와 적용 기준이 주요 쟁점이다.
- 일부 국가에서는 AI 학습 데이터 사용과 관련해 공정 이용이 인정되지 않는 경우가 많다.
- 독일에서는 저작권법을 적용하여 TDM에 대한 무죄 판결을 내린 사례가 있다.
- 데이터 윤리는 AI 학습의 공정성을 보장하는 중요한 요소지만 법적 규제와의 조화가 필요하다.

‘EU AI법에 이어 데이터법도 임박…’ 효율적인 컴플라이언스 조직 구...

유럽연합(EU)의 AI 및 데이터 법안이 단계적으로 시행되며, 기업들은 이에 따른 규제 준수를 위한 준비가 필요하다.
- EU AI 법안은 2025년 2월부터, EU 데이터법은 2025년 가을부터 단계적으로 시행될 예정이다.
- AI 및 데이터 관련 규제 준수는 기업들에게 추가적인 비용과 시간 부담을 초래할 수 있다.
- 자동차 산업을 포함한 다양한 산업에서 AI 기술 적용 시 규제 준수를 위한 추가 조치가 필요하다.
- 기업들은 IT, 법무, 규제 준수, 데이터 보호 부서를 중심으로 법적 요구 사항을 충족해야 한다.
- 규제 준수를 위한 효과적인 조직 설계 및 IT 시스템 도입이 중요하다.
- 규제 준수 플랫폼 도입 및 아웃소싱을 통해 비용 절감과 효율성 향상을 기대할 수 있다.
- 기업이 규제 준수를 통해 경쟁력을 확보하고 시장 참여 기회를 확대할 수 있다.

디지털세상, 법과 윤리 강화 필요해

디지털 기술 의존도가 증가하면서 정보 습득 및 생활 방식이 급격히 변화하고 있다.
- 디지털 기술은 세상을 변화시키는 조용한 혁명으로 자리 잡고 있다.
- 정보 습득 방식이 전통적인 독서 및 교육에서 디지털 플랫폼 중심으로 이동하고 있다.
- 내비게이션, AI 기반 챗봇 등 디지털 서비스에 대한 의존도가 증가하고 있다.
- 전문가 의견보다 인터넷상의 정보를 신뢰하는 경향이 강화되고 있다.
- 디지털 세상의 발전이 새로운 형태의 지배구조를 형성할 가능성이 제기되고 있다.
- 기술 발전에 따라 인간의 사고방식과 학습 패턴도 변화하고 있다.
- 디지털 의존도가 증가함에 따라 전통적인 지식 습득 방식의 중요성이 감소하고 있다.

멀티 플랫폼 앱 개발 도구 악용한 안드로이드 말웨어 공격 포착 맥아피는 마이크로소프트(MS) ‘.NET MAUI’를 사용해 보안 솔루션의 탐지를 피하는 악성 안드로이드 앱을... 비공식 앱스토어 사용을 피하고, 보안 소프트웨어를 사용해 피해를 예방할 것이 권장된다. [한세희 기자...

해외사업자에도 개인정보 전송요구권 적용…목적범위 내 타분야 정보 전... 개인정보보호위원회는 최근 전 분야 마이데이터 개인정보 전송요구권 제도 안내서(초안)를 공개했다. 마이데이터 제도는 정보주체(국민)가 본인 개인정보를 개인정보 보유 사업자 등으로부터 직접 전송(본인전송요구)받을...

AI 시대를 주도할 기업 필수 '데이터 활용 및 보안 솔루션' 한편 중요도가 높아지는 데이터 보안 기술은 AI 기반 자동화, 리스크 사전 대응, 규제 준수 중심으로 고도화되고 있다. 데이터 수명주기 전반을 통합 관리하는 보안 플랫폼과 섀도 AI 탐지, 이상 행동 기반 위협 분석 등...

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

3월 25일 뉴스입니다.

[배종찬의 보안 빅데이터] ‘민감국가’보다 백 배 더 민감한 AI 보안

미국 에너지부가 한국을 '민감국가'로 지정한 배경과 AI 보안의 중요성이 부각되었다.
- 미국 DOE 연구소 도급업체 직원이 원자로 설계 소프트웨어를 한국으로 유출 시도하다 적발됨.
- 해당 사건으로 인해 한국이 DOE의 '민감국가' 리스트에 포함됨.
- 미국 측은 해당 지정이 에너지부 연구소에만 국한된다고 해명.
- 중국 AI 모델 '딥시크'가 보안 문제로 미국 내 사용이 금지될 가능성이 제기됨.
- AI 보안의 핵심 이슈는 개인정보 유출 및 중국 법 적용 가능성.
- AI 보안이 기술 개발보다 더 중요하다는 논의가 확산됨.
- 빅데이터 분석 결과 AI 보안이 산업 전반에서 중요한 요소로 떠오름.
- 한국이 AI 보안 역량을 갖춘다면 글로벌 경쟁력 강화에 기여할 수 있음.

Next.js서 발견된 치명적 취약점, 공격자 인증 우회 가능성 제기

Next.js에서 발견된 취약점(CVE-2025-29927)이 인증 우회를 초래할 수 있어 개발자들의 신속한 대응이 필요하다.
- Next.js 15.2.3에서 치명적 취약점이 발견되어 긴급 패치가 배포됨.
- 취약점 악용 시 미들웨어 기반 인증 우회 및 시스템 접근 가능성이 제기됨.
- 보안 연구원들이 CVSS 9.1점의 높은 심각도로 평가.
- 공격자는 간단한 코드 조작을 통해 인증을 우회할 수 있음.
- 해당 취약점을 이용한 콘텐츠 보안 우회 및 캐시 포이즈닝 공격 가능.
- Next.js의 보안 취약점은 수년간 존재해왔으며 지속적으로 진화 중.
- 보안 패치 배포 후 공식 발표가 3일 지연되어 대응이 늦었다는 지적이 나옴.
- Vercel은 소통 부족을 인정하고 향후 대응 개선을 약속함.

[배종찬의 보안 빅데이터] ‘민감국가’보다 백 배 더 민감한 AI 보안 AI 보안, AI 생태계에서 경쟁력을 갖추는데 매우 중요한 요소 [보안뉴스= 배종찬 인사이트케이 연구소장] 미국 에너지부(DOE)가 한국을 ‘민감국가’로 지정했다고 해서 온 나라가 며칠 간 큰 홍역을 치렀다. 민감국가로...

Next.js서 발견된 치명적 취약점, 공격자 인증 우회 가능성 제기 3에서 해당 취약점을 패치한 뒤, 21일 보안 권고문을 발표했다. 해당 취약점은 보안 연구원 알람 라시드(Allam Rachid)와 알람 야서(Allam Yasser)가 발견해 지난달 27일 Vercel에 보고했으며, CVSS(공통 취약점 평가...

'정교해지는 사이버 위협, 위협 인텔리전스로 맞서야'…카스퍼스키 조찬... 최근 보안 위협 동향과 대응방안에 대한 인사이트를 공유했다. 이효은 카스퍼스키코리아 지사장은 인사말을 통해 '카스퍼스키는 25년 이상의 글로벌 보안 경험을 바탕으로 세계 200여 개국, 4억 명 이상의 사용자에게...

KISA, 해킹 진단도구 신버전 발표…리눅스용 추가 한국인터넷진흥원(KISA)이 과학기술정보통신부와 함께 민간기업이 해킹 사고 여부를 원클릭으로 확인할 수 있는 '해킹 진단 도구' 신규 버전을 발표했다. KISA는 2023년 기업이 자체적으로 해킹 진단 도구를 활용해 해킹...

[전문가기고] AI 기술 근간 '데이터', 묻을 것인가 활용할 것인가 견고한 플랫폼의 구축은 IT 중심이 아닌 비즈니스 중심으로 논의돼야 하는데, 데이터 액세스, 보안, 비용... 최근 1년 동안 보안, 비용 문제로 인해 워크로드를 프라이빗 클라우드로 다시 되돌리는 기업이 증가하고 있다....

[보안칼럼]우리 기업에 닥칠 소프트웨어 공급망 보안 규제 지난해 12월 EU는 디지털 제품에 대한 사이버보안 적합성 평가 규칙을 사이버 복원력 법(Cyber Resilience Act... CRA는 발효 즉시 모든 EU 회원국에 적용되며, EU 시장에 제품을 판매하려는 제조사는 공급망 사이버보안 점검...

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

3월 24일 뉴스입니다.

[박나룡 보안칼럼] 자율적인 정보보호는 자체적인 위험평가부터

조직은 효과적인 위험관리 체계를 구축함으로써 정보보호 역량을 강화할 수 있다.
- 정보보호 위험을 효과적으로 관리하려면 위험 식별 및 분석이 선행되어야 한다.
- 위험관리는 기업의 지속가능성을 결정짓는 중요한 요소다.
- ISO 31000 프레임워크를 활용하면 정보보호 리스크를 체계적으로 평가하고 대응할 수 있다.
- 거버넌스 체계를 구축하고 정보보호 책임을 명확히 하면 조직의 보안 수준을 높일 수 있다.
- 사이버 사고 대응 및 복구 계획을 마련하여 랜섬웨어 등의 위협에 신속히 대처할 수 있다.
- 지속적인 모니터링 및 개선을 통해 보안 환경 변화에 유연하게 대응할 수 있다.
- 법률적 요구사항과 자율적 위험관리가 결합되어 기업의 보안 역량이 강화될 수 있다.

보안 프레임워크의 3가지 빈틈과 공급망 지키는 10가지 필수 수칙

기존 보안 프레임워크는 공급망 공격을 완벽히 방어하지 못하며 추가적인 대응이 필요하다.
- 연구팀은 기존 보안 프레임워크가 최근 주요 침해 사건(솔라윈즈, 로그4j, XZ 유틸즈)에서 사용된 공격 기법을 완벽히 차단하지 못했다고 분석했다.
- NIST 등 10가지 보안 프레임워크에서 제안한 권장 작업과 실제 공격 기법을 비교 분석했다.
- 오픈소스 소프트웨어의 지속 가능성 확보, 환경 스캐닝 도구 도입, 협력사의 취약점 보고 체계 마련이 주요 누락 요소로 지적되었다.
- 연구팀은 단일 프레임워크로 모든 취약점을 막을 수 없으며, 보안 공백을 보완하는 협력적 접근이 필요하다고 강조했다.
- SANS 연구소는 기존 프레임워크가 완벽하지 않지만, 보안 논의를 시작하는 데 유용한 출발점이 될 수 있다고 평가했다.
- 오픈소스 소프트웨어도 일정 수준의 계약 관계를 갖는 것으로 간주해야 한다는 의견이 제시되었다.
- 환경 스캐닝 도구의 활용이 보안 체계를 보완하는 중요한 요소로 언급되었다.

고객 개인정보, 정말 동의 없이 수집해도 될까?

개인정보보호법 개정으로 서비스 제공을 위한 필수 정보는 동의 없이 수집 가능하나, 기업의 법적 책임이 더욱 강화됨.
- 2023년 개인정보보호법 개정으로 서비스 제공을 위한 필수 정보는 동의 없이 수집 가능해짐.
- 동의 없이 수집 가능한 정보는 서비스 제공과 직접 관련된 정보로 제한됨.
- 기업은 동의 없이 처리하는 개인정보 범위를 명확히 설정하고 이를 공개해야 함.
- 법 위반 시 매출액의 최대 3%까지 과징금 부과 가능.
- GDPR 위반 벌금의 57%가 동의 절차 문제에서 발생했으며, 동의 절차 준수가 중요함.
- 개인정보 수집 시 자유로운 동의 여부 결정, 명확한 언어 사용 등 준수 필요.
- 마케팅 및 기획 부서는 필수 정보와 추가 동의가 필요한 정보를 명확히 구분해야 함.
- 기업은 변경된 규제 환경에 맞춰 개인정보 수집 및 이용 방식을 점검해야 함.

장기간 지속되는 공격 급증…보안사고 중 35.2%, 1개월 이상 지속

카스퍼스키 보고서에 따르면 장기간 지속되는 사이버 공격이 증가하며, 기업은 지속적인 위협 대응 전략을 강화해야 함.
- 2024년 카스퍼스키 보안사고 대응 분석 보고서 발표.
- 사이버 공격의 평균 지속 기간이 253일, 대응 소요 시간 중앙값은 50시간으로 확인됨.
- 공격자들은 즉각적인 피해보다 장기적인 거점 구축에 집중하는 경향을 보임.
- 공급망 취약성과 사회 공학 기술을 악용한 공격이 증가함.
- 기업은 탐지-대응-복구 프레임워크를 채택하고 위협 인텔리전스 공유 플랫폼을 활용해야 함.
- 주요 공격 벡터는 공개 애플리케이션 익스플로잇, 신뢰할 수 있는 관계 활용, 유효한 계정 사용 등임.
- 기업은 MDR(매니지드 탐지 및 대응) 및 IR(사고 대응) 서비스 도입을 고려해야 함.
- 보안 서비스는 회피형 공격 방어 및 인시던트 조사에 필수적임.

하나만 있어도 연봉 다르다…미국에서 인기 있는 사이버보안 자격증 11...

사이버보안 자격증은 높은 연봉과 커리어 성장에 도움을 주며, 시장 수요에 맞춰 적절한 자격증을 선택하는 것이 중요함.
- IT 전문가들은 최신 시장 수요에 맞춰 적절한 자격증을 선택해야 함.
- 푸트 파트너스 보고서에 따르면 가장 가치 있는 IT 보안 자격증이 분석됨.
- 자격증의 평균 급여 프리미엄과 시장 가치 상승률을 고려해 선택해야 함.
- 장기적인 커리어 목표와 교육/시험 비용, 특정 업체 종속 여부도 중요한 고려 요소임.
- CDPSE는 개인정보 보호 솔루션을 위한 자격증으로 ISACA에서 제공함.
- 시험은 객관식 120문항이며, 자격 유지에는 연간 20시간의 CPE 이수가 필요함.
- 기업 및 기관에서 개인정보 보호 관련 전문가의 수요가 증가하는 추세임.
- 자격증 선택 시 경력 이동성과 시장 가치 변화를 함께 고려해야 함.

[한장TECH] 기업과 기관이 대비해야 할 보안위협 TOP. 10

씨큐비스타, '해킹3.0' 시대의 주요 사이버 보안 위협 16가지 분석 보고서 발표
- AI 및 사회공학적 기법을 활용한 공격 증가로 기업 및 기관의 보안 강화 필요
- 공급망 보안 취약점 증가로 관계사의 보안 수준 정기 점검 및 데이터 암호화 필요
- 보안 설정 오류가 심각한 위협이 되어 자동 탐지 및 수정 시스템 도입 필요
- 내부자 위협이 증가하고 있어 접근권한 최소화 및 모니터링 강화 필수
- 랜섬웨어와 트로이 목마 등 전통적 공격 방식도 여전히 주요 보안 위협으로 작용

개인정보위, “오픈소스 AI 스타트업 데이터 활용 불안 덜겠다”..中 딥... 개인정보위, 인공지능 중소·스타트업과 만나 발전 방안 논의오픈소스 AI 생태계 점검[보안뉴스 한세희 기자] 고학수 개인정보보호위원회 위원장은 24일 “개인정보위는 중국 딥시크와 소통하며 개인정보 불안 요소를...

[박나룡 보안칼럼] 자율적인 정보보호는 자체적인 위험평가부터 사이버 보안, 데이터 유출, 시스템 장애, 개인정보보호 등 다양한 정보보호 위험이 상존하는 세상에 노출된... 위험관리 및 보안 정책을 수립하고, 이를 전사적으로 적용할 책임자를 지정함으로 서 책임성을 강화할 수...

대만 핵심 기반시설 겨냥한 중국 연계 해킹 캠페인…'UAT-5918' 활동 포착 UAT-5918은 인터넷에 노출된 취약한 웹 및 애플리케이션 서버의 보안 취약점을 악용해 초기 침투에 성공한 뒤, 오픈소스 도구를 이용해 내부망을 탐색하며 관리자 권한을 확보하고 자격 증명을 탈취하는 방식으로...

방통위, 본인확인기관 지정 심사 설명회 개최 신영규 방송통신이용자정책국장은 “비대면 거래 확산과 온라인 플랫폼 등 다양한 서비스 활성화로 온라인 상의 본인확인 서비스 수요가 지속 늘고 있다”며 “앞으로도 본인확인기관이 개인정보 보호를 철저히...

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>