'보안 이야기/뉴스'에 해당되는 글 1489건

3월 24일 뉴스입니다.

[박나룡 보안칼럼] 자율적인 정보보호는 자체적인 위험평가부터

조직은 효과적인 위험관리 체계를 구축함으로써 정보보호 역량을 강화할 수 있다.
- 정보보호 위험을 효과적으로 관리하려면 위험 식별 및 분석이 선행되어야 한다.
- 위험관리는 기업의 지속가능성을 결정짓는 중요한 요소다.
- ISO 31000 프레임워크를 활용하면 정보보호 리스크를 체계적으로 평가하고 대응할 수 있다.
- 거버넌스 체계를 구축하고 정보보호 책임을 명확히 하면 조직의 보안 수준을 높일 수 있다.
- 사이버 사고 대응 및 복구 계획을 마련하여 랜섬웨어 등의 위협에 신속히 대처할 수 있다.
- 지속적인 모니터링 및 개선을 통해 보안 환경 변화에 유연하게 대응할 수 있다.
- 법률적 요구사항과 자율적 위험관리가 결합되어 기업의 보안 역량이 강화될 수 있다.

보안 프레임워크의 3가지 빈틈과 공급망 지키는 10가지 필수 수칙

기존 보안 프레임워크는 공급망 공격을 완벽히 방어하지 못하며 추가적인 대응이 필요하다.
- 연구팀은 기존 보안 프레임워크가 최근 주요 침해 사건(솔라윈즈, 로그4j, XZ 유틸즈)에서 사용된 공격 기법을 완벽히 차단하지 못했다고 분석했다.
- NIST 등 10가지 보안 프레임워크에서 제안한 권장 작업과 실제 공격 기법을 비교 분석했다.
- 오픈소스 소프트웨어의 지속 가능성 확보, 환경 스캐닝 도구 도입, 협력사의 취약점 보고 체계 마련이 주요 누락 요소로 지적되었다.
- 연구팀은 단일 프레임워크로 모든 취약점을 막을 수 없으며, 보안 공백을 보완하는 협력적 접근이 필요하다고 강조했다.
- SANS 연구소는 기존 프레임워크가 완벽하지 않지만, 보안 논의를 시작하는 데 유용한 출발점이 될 수 있다고 평가했다.
- 오픈소스 소프트웨어도 일정 수준의 계약 관계를 갖는 것으로 간주해야 한다는 의견이 제시되었다.
- 환경 스캐닝 도구의 활용이 보안 체계를 보완하는 중요한 요소로 언급되었다.

고객 개인정보, 정말 동의 없이 수집해도 될까?

개인정보보호법 개정으로 서비스 제공을 위한 필수 정보는 동의 없이 수집 가능하나, 기업의 법적 책임이 더욱 강화됨.
- 2023년 개인정보보호법 개정으로 서비스 제공을 위한 필수 정보는 동의 없이 수집 가능해짐.
- 동의 없이 수집 가능한 정보는 서비스 제공과 직접 관련된 정보로 제한됨.
- 기업은 동의 없이 처리하는 개인정보 범위를 명확히 설정하고 이를 공개해야 함.
- 법 위반 시 매출액의 최대 3%까지 과징금 부과 가능.
- GDPR 위반 벌금의 57%가 동의 절차 문제에서 발생했으며, 동의 절차 준수가 중요함.
- 개인정보 수집 시 자유로운 동의 여부 결정, 명확한 언어 사용 등 준수 필요.
- 마케팅 및 기획 부서는 필수 정보와 추가 동의가 필요한 정보를 명확히 구분해야 함.
- 기업은 변경된 규제 환경에 맞춰 개인정보 수집 및 이용 방식을 점검해야 함.

장기간 지속되는 공격 급증…보안사고 중 35.2%, 1개월 이상 지속

카스퍼스키 보고서에 따르면 장기간 지속되는 사이버 공격이 증가하며, 기업은 지속적인 위협 대응 전략을 강화해야 함.
- 2024년 카스퍼스키 보안사고 대응 분석 보고서 발표.
- 사이버 공격의 평균 지속 기간이 253일, 대응 소요 시간 중앙값은 50시간으로 확인됨.
- 공격자들은 즉각적인 피해보다 장기적인 거점 구축에 집중하는 경향을 보임.
- 공급망 취약성과 사회 공학 기술을 악용한 공격이 증가함.
- 기업은 탐지-대응-복구 프레임워크를 채택하고 위협 인텔리전스 공유 플랫폼을 활용해야 함.
- 주요 공격 벡터는 공개 애플리케이션 익스플로잇, 신뢰할 수 있는 관계 활용, 유효한 계정 사용 등임.
- 기업은 MDR(매니지드 탐지 및 대응) 및 IR(사고 대응) 서비스 도입을 고려해야 함.
- 보안 서비스는 회피형 공격 방어 및 인시던트 조사에 필수적임.

하나만 있어도 연봉 다르다…미국에서 인기 있는 사이버보안 자격증 11...

사이버보안 자격증은 높은 연봉과 커리어 성장에 도움을 주며, 시장 수요에 맞춰 적절한 자격증을 선택하는 것이 중요함.
- IT 전문가들은 최신 시장 수요에 맞춰 적절한 자격증을 선택해야 함.
- 푸트 파트너스 보고서에 따르면 가장 가치 있는 IT 보안 자격증이 분석됨.
- 자격증의 평균 급여 프리미엄과 시장 가치 상승률을 고려해 선택해야 함.
- 장기적인 커리어 목표와 교육/시험 비용, 특정 업체 종속 여부도 중요한 고려 요소임.
- CDPSE는 개인정보 보호 솔루션을 위한 자격증으로 ISACA에서 제공함.
- 시험은 객관식 120문항이며, 자격 유지에는 연간 20시간의 CPE 이수가 필요함.
- 기업 및 기관에서 개인정보 보호 관련 전문가의 수요가 증가하는 추세임.
- 자격증 선택 시 경력 이동성과 시장 가치 변화를 함께 고려해야 함.

[한장TECH] 기업과 기관이 대비해야 할 보안위협 TOP. 10

씨큐비스타, '해킹3.0' 시대의 주요 사이버 보안 위협 16가지 분석 보고서 발표
- AI 및 사회공학적 기법을 활용한 공격 증가로 기업 및 기관의 보안 강화 필요
- 공급망 보안 취약점 증가로 관계사의 보안 수준 정기 점검 및 데이터 암호화 필요
- 보안 설정 오류가 심각한 위협이 되어 자동 탐지 및 수정 시스템 도입 필요
- 내부자 위협이 증가하고 있어 접근권한 최소화 및 모니터링 강화 필수
- 랜섬웨어와 트로이 목마 등 전통적 공격 방식도 여전히 주요 보안 위협으로 작용

개인정보위, “오픈소스 AI 스타트업 데이터 활용 불안 덜겠다”..中 딥... 개인정보위, 인공지능 중소·스타트업과 만나 발전 방안 논의오픈소스 AI 생태계 점검[보안뉴스 한세희 기자] 고학수 개인정보보호위원회 위원장은 24일 “개인정보위는 중국 딥시크와 소통하며 개인정보 불안 요소를...

[박나룡 보안칼럼] 자율적인 정보보호는 자체적인 위험평가부터 사이버 보안, 데이터 유출, 시스템 장애, 개인정보보호 등 다양한 정보보호 위험이 상존하는 세상에 노출된... 위험관리 및 보안 정책을 수립하고, 이를 전사적으로 적용할 책임자를 지정함으로 서 책임성을 강화할 수...

대만 핵심 기반시설 겨냥한 중국 연계 해킹 캠페인…'UAT-5918' 활동 포착 UAT-5918은 인터넷에 노출된 취약한 웹 및 애플리케이션 서버의 보안 취약점을 악용해 초기 침투에 성공한 뒤, 오픈소스 도구를 이용해 내부망을 탐색하며 관리자 권한을 확보하고 자격 증명을 탈취하는 방식으로...

방통위, 본인확인기관 지정 심사 설명회 개최 신영규 방송통신이용자정책국장은 “비대면 거래 확산과 온라인 플랫폼 등 다양한 서비스 활성화로 온라인 상의 본인확인 서비스 수요가 지속 늘고 있다”며 “앞으로도 본인확인기관이 개인정보 보호를 철저히...

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

3월 22일 ~ 3월 23일 뉴스입니다.

[긴급] 깃허브 액션스 공급망 공격 발생…218개 저장소 비밀정보 유출돼

GitHub Actions에서 공급망 공격이 발생하여 218개 오픈소스 저장소의 민감한 비밀정보가 유출됨.
- 공격자는 tj-actions/changed-files에 악성 커밋을 삽입해 CI/CD 워크플로우 로그에 비밀정보를 출력하도록 조작함.
- 인증 토큰 유출로 인해 reviewdog/action-setup@v1이 간접적으로 침해되었을 가능성이 제기됨.
- 공격 시점에 614개 저장소가 영향을 받았으며, 그중 218개 저장소의 비밀정보가 노출됨.
- 유출된 정보에는 AWS, DockerHub, npm 토큰 등 다양한 서비스의 자격 증명이 포함됨.
- 일부 인기 프로젝트가 공격을 받아 악성코드 유포 가능성이 제기됨.
- GitHub 보안 모범 사례 준수 여부에 따라 일부 저장소는 피해를 면함.
- 전문가들은 Action 버전 고정, 워크플로우 로그 제한, 토큰 권한 최소화 등의 보안 조치를 권고함.
- GitHub 커뮤니티는 추가적인 보안 점검을 진행 중이며, 유사 공격 발생 가능성을 조사 중임.

지난해 개인정보 유출 신고 '307건'···원인 과반수 '해킹'

2024년 개인정보 유출 신고 307건 중 절반 이상이 해킹으로 발생했으며, 공공기관 신고 건수는 전년 대비 2배 증가함.
- 해킹이 전체 유출 원인의 56%를 차지하며, 관리자 페이지 비정상 접속과 SQL 인젝션이 주요 유형으로 나타남.
- 업무 과실로 인한 유출은 주로 게시판 및 이메일 발송 과정에서 발생함.
- 시스템 오류로 인한 유출 사고는 소스코드 오류와 API 연동 문제에서 주로 발생함.
- 공공기관의 유출 신고는 34%로 증가했으며, 개인정보보호법 개정으로 신고 기준이 강화된 영향이 큼.
- 민간기업의 유출 신고는 66%로 전년 대비 감소했으나, 중소기업이 가장 높은 비율을 차지함.
- 개인정보위는 크리덴셜 스터핑 및 SQL 인젝션 대응 강화를 위한 보호조치를 강조함.
- 이메일 발송 시 개인별 발송 설정, 개인정보 포함 자료 업로드 시 사전 점검 등의 업무 과실 방지 조치를 권장함.
- 보고서를 활용해 기관·기업의 개인정보 보호 교육 및 개선을 지원할 계획임.

개인정보위도 찬성하는 오픈소스…中 정보 유출 논란은 여전

개인정보보호위원장이 중국 오픈소스 AI 모델 활용을 긍정적으로 평가하며 국내 AI 생태계 확대를 강조함.
- 크라우드웍스는 딥시크 한국어 모델 개발 보도에 대해 직접 계약이 아닌 일본 법인과의 협업임을 해명함.
- 한국어 특화 모델은 해외 시장을 목표로 하며, 금융·공공·국방 등 보안이 중요한 산업에는 공급되지 않음.
- 개인정보보호위원장은 오픈소스 AI 모델이 글로벌 기업이 아닌 기업에도 기회를 제공한다고 긍정적으로 평가함.
- 미국에서는 중국 AI 모델이 국가 지원을 받는다는 우려로 사용 제한을 주장하는 목소리가 나옴.
- 오픈AI는 중국 AI 모델을 '티어1' 국가에서 금지해야 한다고 제안하며 한국도 포함됨.
- 오픈소스 커뮤니티 허깅페이스는 오히려 AI 생태계 강화를 강조하며 개방성을 주장함.

AI 시대에서 살아남기…'적극 활용 vs 무관한 기술 쌓기'

AI 시대가 도래하면서 일자리 시장이 AI 활용과 기피로 양분되고 있으며, 정부는 AI 교육을 강화하고 있음.
- AI 관련 강의가 인기를 끌며 직장인과 취업준비생들의 관심이 높아지고 있음.
- 일부 창작자들은 AI의 표절 문제로 인해 새로운 직업을 찾는 경우도 발생함.
- 정부는 올해 280억 원을 투입해 청년 맞춤형 AI 교육을 강화할 계획임.
- AI·SW 전문 인재 양성, 동기 부여 프로그램, 진로 체험, 생성형 AI 전문가 과정 등이 포함됨.
- 글로벌 AI 경쟁이 심화되면서 정부도 AI 인력 양성에 적극 나서고 있음.
- 채용 시장이 어려워지면서 AI 기술 습득이 구직자들에게 중요한 요소로 떠오르고 있음.
- 신광영 교수는 AI 활용뿐만 아니라 표절 및 개인정보 보호 문제도 함께 고려해야 한다고 강조함.

[긴급] 깃허브 액션스 공급망 공격 발생…218개 저장소 비밀정보 유출돼 보안 전문가들과 깃허브 커뮤니티에 따르면, 이번 공격은 tj-actions/changed-files 자체의 취약점보다는 이... 이 과정에서 보안에 민감하지 않은 워크플로우 설정을 가진 저장소들이 영향을 받게 됐다. 깃허브에...

메두사 랜섬웨어 조직, 도난 인증서로 서명된 악성 드라이버 악용해 보... 메두사(Medusa) 랜섬웨어 서비스형(RaaS) 운영자들이 도난된 인증서로 서명된 악성 드라이버를 활용해 엔드포인트 보안 솔루션을 우회하는 정교한 공격 수법을 사용하고 있는 것으로 나타났다. 보안 전문가들은...

유명무실한 '털린 내 정보 찾기'…이용자 '뚝' 실효성도 '의문' 다크웹 전문 보안기업 '스텔스모어 인텔리전스' 조사 결과, 이달 초 다크웹에서 유통되는 한국인 개인정보는 4억6704만8278건에 달했다. 한 사이버위협인텔리전스(CTI) 기업 관계자는 “다크웹에 유료로 올라온 한국인...

<보안뉴스>

<IT소식>

3월 21일 뉴스입니다.

[사람과 보안] AI가 보안이고 보안이 AI가 되는 세상

AI는 강력한 도구이지만 인간의 직관적 인지 능력을 대체하기 어려우며, 보안 위협을 초래할 가능성이 있다.
- AI는 업무 자동화를 넘어 자율적으로 복잡한 결정을 내릴 수 있는 기술로 발전 중이다.
- 인간은 직관적 인식을 통해 위험을 감지하지만, AI는 데이터 기반 분석만 가능해 보안 취약점이 존재한다.
- AI 보안이 미흡할 경우, 학습 데이터 조작(데이터 포이즈닝) 등의 공격에 쉽게 노출될 수 있다.
- 자율주행차, AI 챗봇 등 다양한 분야에서 보안 취약점을 악용한 공격 사례가 증가하고 있다.
- 2025년 AI 특화 사이버 공격이 매일 4,700만 건 발생하며, 헬스케어 분야의 환자 데이터 유출이 급증하고 있다.
- AI 보안 시장은 2025년 600억 달러 규모로 성장할 전망이며, 보안이 AI 시대의 핵심 요소로 부각되고 있다.

[사람과 보안] AI가 보안이고 보안이 AI가 되는 세상 AI 의존도 높아지고 역할 커질수록 보안 리스크도 커져 인간의 직관 능력 부족, 프로그래밍된 역할만 수행 한계 보안 이슈 해결하지 못하면 AI 시대는 도래하지 못할 수도 AI가 발산하는 신세계의 빛은 실로 찬란할...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>

3월 20일 뉴스입니다.

가트너 'AI 에이전트 활용한 계정 탈취 위협 증가...다중 인증(MFA) 도입...

AI 에이전트가 자동화된 범죄 활동을 통해 계정 탈취 시간을 단축하며, 기업의 보안 대응이 시급해지고 있다.
- AI 에이전트는 피싱, 사회 공학, 멀웨어 등을 활용해 자동화된 계정 탈취 공격을 수행한다.
- 기업들은 AI 기반 공격을 탐지하고 방어하기 위한 보안 솔루션을 도입해야 한다.
- 피싱 방지 다중 인증(MFA) 도입이 비밀번호 기반 인증의 취약점을 보완할 핵심 대책으로 제시됐다.
- 딥페이크 기술을 이용한 사회 공학 공격이 증가하며 기업 보안에 새로운 위협을 가하고 있다.
- 보안 리더들은 직원 대상 교육과 정책 강화를 통해 AI 기반 공격에 대비해야 한다.
- AI 기반 공격은 점점 정교해지며, 기업들은 지속적인 보안 전략 재정비가 필요하다.

지난해 개인정보 유출 신고 307건…해킹 사고 절반 넘어

2024년 개인정보 유출 신고 건수가 307건으로 집계되었으며, 해킹이 주요 원인으로 나타났다.
- 개인정보 유출 원인은 해킹(56%), 업무 과실(30%), 시스템 오류(7%) 순으로 분석됐다.
- 해킹 유형으로는 관리자 페이지 비정상 접속, SQL 인젝션, 악성 코드, 크리덴셜 스터핑 등이 포함됐다.
- 업무 과실로 인한 유출 사례로는 게시판 및 이메일을 통한 개인정보 노출이 주요 원인으로 나타났다.
- 공공기관의 유출 신고 건수가 전년 대비 2배 이상 증가했다.
- 개인정보 유출 방지를 위해 크리덴셜 스터핑 탐지 및 차단 조치가 필요하다.
- 웹 방화벽(WAF) 도입을 통한 SQL 인젝션 공격 방어가 권장된다.
- 게시판 및 이메일을 통한 개인정보 노출 방지를 위해 보안 점검이 필수적이다.
- 개인정보가 포함된 업무용 기기에 대한 보안 조치를 강화해야 한다.

[변승규의 스타트업 법률 CASE STUDY] #34. 개인정보 수집 동의

2023년 개인정보 보호법 개정으로 정보통신서비스 제공자의 개인정보 수집 및 이용 기준이 완화되었다.
- 개정 전에는 정보통신서비스 제공자가 이용자의 개인정보를 수집할 때 반드시 동의를 받아야 했다.
- 개정 후, 계약 이행을 위한 개인정보 수집이 불가피하고 동의 절차가 뚜렷하게 곤란한 경우, 동의 없이 수집이 가능해졌다.
- 인터넷 쇼핑몰 등 온라인 서비스 제공자의 개인정보 활용 범위가 확대되었다.
- 기업들은 새로운 법적 기준에 맞춰 개인정보 처리 방침을 개정해야 한다.
- 개인정보 보호법 개정으로 동의 절차가 간소화되었으나, 개인정보 보호 조치는 여전히 중요하다.
- 이용자들은 개인정보 제공 여부에 대해 더 신중한 접근이 필요하다.
- 정보통신서비스 제공자는 개인정보 활용 범위 확대에 따른 책임 강화가 요구된다.

KISA 'AI 기반 보안 기술로 자동화된 공격 대응 구현'

AI 기반 보안 기술을 활용하면 사이버 공격 그룹을 보다 신속하고 정밀하게 식별하고 대응할 수 있다.
- 기존의 수작업 기반 보안 대응 방식에는 한계가 발생하고 있음.
- AI 기반 사이버 공격 그룹 식별 기술이 보안 대응의 패러다임을 변화시키고 있음.
- 공격 그룹 단위의 추적을 통해 보다 근본적인 보안 대응이 가능함.
- AI가 보안 이벤트의 위험도를 자동 평가하고 사전 대응 시나리오를 생성함.
- 보안 관제 자동화를 통해 대응 속도를 개선하고 인력 부담을 줄일 수 있음.
- AI 기반 보안 기술이 산업 전반의 효율성을 극대화할 것으로 기대됨.

안랩, “유명 증권사 사칭 악성 앱 유포...주의 필요” 기본 보안 수칙을 준수할 것을 권고했다. 장연철 안랩 엔진개발팀 선임은 “공격자는 사용자를 속이기... 안랩은 보안뉴스·시큐리티월드가 선정한 2025 Global Security TOP 100 기업이다. Global Security TOP 100은 물리보안...

가트너 'AI 에이전트 활용한 계정 탈취 위협 증가...다중 인증(MFA) 도입... 이에 따라 기업과 개인의 보안 대응이 더욱 시급해질 것으로 보인다. 제레미 드호인(Jeremy D'Hoinne) 가트너... 있는 보안 솔루션을 도입할 것으로 예상된다. ◆비밀번호 기반 인증의 위험…다중 인증(MFA) 도입 필요...

[주의] 심각한 윈도우 제로데이 취약점, 2017년부터 11개 국가 지원 해킹... 그러나 마이크로소프트는 해당 취약점이 보안 업데이트를 통해 즉시 해결할 필요가 있는 수준이... 보안 전문가들은 해당 취약점이 아직 패치되지 않은 만큼, 개별 사용자 및 기업이 자체적인 보안 조치를...

구글 플레이에서 6천만 회 다운로드된 악성 안드로이드 'Vapor' 앱 발견 이후 보안업체 비트디펜더가 조사한 결과, 악성 앱의 수는 331개로 늘어났으며, 브라질, 미국, 멕시코... 또한, 각 퍼블리셔가 다른 광고 SDK를 사용해 보안 탐지를 피하는 방법을 활용했다. 이 앱들은 2024년...

지난해 개인정보 유출 신고 307건…해킹 사고 절반 넘어 개인정보위는 개인정보 유출을 예방하기 위한 보안 체계 점검을 당부했다. 먼저 해킹기법 중 하나인 크리덴셜 스터핑 공격으로 인한 개인정보 유출을 방지하기 위해선 아이디·비밀번호 반복 대입 행위를 탐지...

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

3월 19일 뉴스입니다.

CISA, 깃허브 액션 공급망 공격 경고…민감한 정보 유출 우려

미국 CISA가 GitHub 액션을 통한 공급망 공격이 진행 중이라며 CVE-2025-30066 취약점에 대한 긴급 패치를 권고했다.
- tj-actions/changed-files 액션이 악용되어 CI/CD 환경 내 민감 정보 유출 가능성이 제기됨.
- 공격자는 CI/CD 러너의 메모리 데이터를 덤프하여 AWS 키, GitHub PAT 등 비밀 정보를 노출시킴.
- reviewdog 액션이 최초 감염 경로로 사용되며, 공급망 공격의 일환으로 분석됨.
- CISA는 CVE-2025-30066을 발표하고, 4월 4일까지 최신 버전(46.0.1)으로 업데이트할 것을 권고함.
- 보안을 위해 사용 중인 GitHub 액션 점검, 비밀 키 변경, 로그 검토 등의 조치 필요.

[IT 트렌드 인사이트] 생성형 AI 시대 보안의 역할과 의미

중국 기반 생성형 AI 모델 DeepSeek R1이 개인정보 및 기술 정보를 중국 서버에 저장한다는 이유로 국내 주요 기관 및 기업에서 차단 조치되었다.
- DeepSeek R1은 강화 학습과 Mixture of Experts 아키텍처를 활용한 생성형 AI 모델.
- 행정안전부, MBC, 카카오 등 국내 기관 및 기업에서 보안 우려로 사용 금지.
- 생성형 AI 시장이 급격히 성장하며 보안 리스크(데이터 유출, 환각 현상 등)도 증가.
- 기업들은 생성형 AI 보안 강화를 위해 DLP 적용 및 정보보호 기능을 확장 중.
- 보안 조직은 AI 거버넌스 구축 및 전문가 조직(CoE) 확보가 필요.

2017년 바로가기 파일 취약점 재등장···북한 그룹이 적극 악용

윈도우 바로가기 파일(.lnk) 취약점이 다시 악용되며, 북한을 포함한 국가 배후 공격그룹이 주요 정부 및 금융 기관을 대상으로 정보 탈취 공격을 수행 중이다.
- 2017년에 악용된 .lnk 취약점(ZDI-CAN-25373)이 재등장하며 대량 공격이 발견됨.
- 공격의 70% 이상이 스파이 활동 및 정보 탈취를 목적으로 수행됨.
- 북한, 이란, 러시아, 중국 등의 해킹 그룹이 주요 타깃을 공격.
- 정부, 금융, 통신, 군사, 에너지 부문에서 피해가 발생할 가능성이 높음.
- 보안 패치 적용, 실행 가능한 파일 검토 및 대응 강화가 필요함.

기술 도입 지연과 보안 교육 축소, 사이버 위험 키운다

보안 예산 삭감이 기업 보안에 미치는 영향이 크며, CISO는 이를 비즈니스 관점에서 정당화해야 한다.
- 보안 예산이 부족하면 기술 업그레이드, 교육, 비즈니스 이니셔티브 지원이 축소되어 보안 취약성이 증가한다.
- 기술 업그레이드를 연기하면 구식 시스템에 의존하게 되어 보안 부채가 증가하고 공격에 취약해진다.
- 보안 교육 축소는 인적 오류를 증가시키며, 피싱 공격과 같은 보안 위협에 대한 대응 능력을 저하시킨다.
- 비즈니스 이니셔티브 지원 부족은 보안을 고려하지 않은 프로젝트 진행으로 보안 침해 가능성을 높인다.
- CISO와 이사회 간 보안 예산에 대한 인식 차이가 존재하며, 보안 투자 가치를 비즈니스 성과와 연결 지어 설명해야 한다.
- 예산 삭감은 경보 피로 및 운영 부담을 증가시켜 보안팀의 효율성을 저하시킬 수 있다.
- 효과적인 사이버보안 전략을 수립하고, 핵심 영역을 지속적으로 평가하는 것이 중요하다.
- 기술, 프로세스, 인력 간 균형을 유지하는 것이 강력한 보안 태세를 유지하는 핵심 요소이다.

AI가 만든 코드, 왜 ‘아직은 아닐’까?

AI 생성 코드의 조기 표준화가 논란이 되고 있으며, 보안 및 품질 문제 해결이 필요하다.
- AI 생성 코드의 사용이 증가했지만, 여전히 신뢰성과 품질에 대한 우려가 존재한다.
- AI가 생성한 코드에는 중복과 기술적 부채가 증가하는 경향이 있다.
- AI는 패턴을 인식하는 데 강하지만, 전체적인 코드 구조와 비즈니스 논리를 이해하는 데 한계가 있다.
- AI가 자신 있게 잘못된 정보를 제공하는 환각 현상이 보안상 문제를 유발할 수 있다.
- AI가 생성한 코드에서 보안 취약점이 발견될 가능성이 높으며, 개발자의 검토가 필수적이다.
- 기업들은 AI가 생성한 코드의 소유권과 법적 문제에 대한 명확한 기준이 필요하다고 지적한다.
- AI의 신뢰성을 높이기 위해 자동화된 테스트와 엄격한 코드 검토가 필수적이다.
- AI의 장점을 활용하되, 인간의 감독과 품질 검증을 병행하는 것이 중요하다.

“원하는 데이터에서 최적의 답 찾기” 생성형 AI 툴 4종 비교 분석

구글 노트북LM, 챗GPT 프로젝트 등 4가지 생성형 AI 플랫폼을 비교하여 정보 검색 및 요약 기능을 분석.
- 구글 노트북LM, 챗GPT 프로젝트, 클로드 프로젝트, 퍼플렉시티 스페이스 4가지 생성형 AI 플랫폼을 비교 분석.
- 노트북LM은 무료로 제공되며 출처 표시 기능이 강점, 챗GPT 프로젝트는 체계적인 답변을 제공하지만 유료 구독 필요.
- 클로드 프로젝트는 R 코드 작성 및 지침 준수 능력이 뛰어나지만 저장 용량이 제한적.
- 퍼플렉시티 스페이스는 웹 기반 정보 검색에 강점이 있으나 파일 업로드 및 최상위 LLM 사용은 유료 기능.
- 각 플랫폼의 성능을 소프트웨어 문서 검색, 소셜 미디어 검색, 변수 ID 검색, 컨퍼런스 정보 확인 등의 테스트를 통해 비교.
- 노트북LM과 챗GPT 프로젝트가 5점 만점에 4.5점으로 공동 1위, 퍼플렉시티 스페이스는 2.5점으로 가장 낮은 평가를 받음.
- 퍼플렉시티는 웹 검색 기능이 강점이지만, 자체 AI 성능은 타 플랫폼 대비 부족.
- AI 도구 선택 시 무료 제공 여부, 개인정보 보호 정책, 공유 기능 등도 고려해야 함.

‘정확한 성과 측정에 필수’··· IT 혁신의 핵심 지표 9가지

IT 부서는 성과를 측정하기 위한 다양한 지표 속에서 혼란을 겪으며, 핵심 KPI를 선별하는 것이 중요하다.
- IT 성과를 측정할 때 핵심 KPI를 선별하여 분석해야 한다.
- ROI, 창출된 비즈니스 가치, 변화 속도 등이 주요 지표로 활용된다.
- 변화 속도는 실패를 두려워하지 않는 문화 조성에 기여한다.
- 애플리케이션 제공 성공률은 IT 서비스 품질을 평가하는 데 필수적이다.
- IT 및 비즈니스 팀의 협업 수준이 혁신 성공에 큰 영향을 미친다.
- 고객 경험 수준과 최종 사용자 만족도도 IT 성과의 중요한 평가 기준이다.

구글 클라우드 시큐리티 '중국과 북한의 사이버 위협 증가…AI 활용한 방... 특히 중국, 북한, 이란의 APT 그룹이 AI를 활용해 정찰, 취약점 연구, 피싱 및 개인정보 탈취, 공격을 위한 텍스트 및 스크립트 생성 등에 활용하고 있는 것으로 분석됐다. 구글의 AI 모델인 제미나이(Gemini)가 공격자들에...

CISA, 깃허브 액션 공급망 공격 경고…민감한 정보 유출 우려 미국 사이버보안 및 인프라 보안국(CISA)이 깃허브(GitHub) 액션을 통한 공급망 공격이 진행 중이라며 주의를 당부했다. 특히, tj-actions/changed-files 액션이 악용된 것으로 확인되면서 관련 보안 조치가 시급한...

<보안뉴스>

<IT소식>

3월 18일 뉴스입니다.

“공급망 보안, 회복력부터 갖춰라”..KISA, CISO 포럼서 강조

공급망 보안의 핵심은 '복원력'이며, SBOM 도입이 중요하다.
- 공급망 보안은 '완벽한 보안'보다 빠른 복구 능력(복원력)에 중점을 둬야 한다.
- SBOM(소프트웨어 자재 명세서) 도입을 통해 공급망의 투명성과 취약점 관리가 가능하다.
- 글로벌 공급망 보안 정책 동향에 따르면 개발 단계부터 기업의 책임이 강조된다.
- KISA는 SBOM 기반 공급망 보안 모델 구축을 지원하는 사업을 추진 중이다.
- CISO 포럼에서 개인정보보호위원회는 AI 개인정보 규율 혁신 및 개인정보 보호 체계 재정비를 추진 과제로 제시했다.

“양날의 검 AI”…랜섬웨어 그룹, 악성코드 개발에 LLM 악용

공격자가 AI와 LLM을 악용하여 악성코드를 고도화하고 탐지를 우회하고 있다.
- AI와 LLM이 악성코드 개발, 탐지 우회, 취약점 검색 등에 적극적으로 악용되고 있다.
- AI가 생성한 코드에는 주석과 자연스러운 변수명이 포함되어 있어 탐지 시 활용 가능하다.
- 랜섬웨어 조직 '펑크섹'은 AI를 활용하여 악성코드를 제작하고 랜섬노트를 생성한다.
- 피싱메일 및 악성코드 다운로드 스크립트에서도 AI·LLM의 흔적이 발견되고 있다.
- 시만텍은 AI·LLM 기반 악성코드 사례 증가를 지적하며 대응책 마련을 강조했다.
- 보안 전문가는 AI 기반 악성코드 탐지를 위해 최신 위협 정보를 지속적으로 업데이트해야 한다.

깃허브 CI/CD 손상…”즉시 대응해야 하는 심각한 사건”

깃허브 CI/CD 환경에서 악성 도구가 발견되었으며, 자격 증명 도난 우려가 제기되었다.
- 깃허브 액션의 'tj-actions/changed-files' 도구가 공격자에 의해 수정되어 악성코드가 삽입되었다.
- 해당 취약점은 CVE-2025-30066으로 지정되었으며, API 키, 액세스 토큰 등 민감한 정보가 유출될 위험이 있다.
- 2만 3,000개 이상의 깃허브 저장소 및 다수의 CI/CD 파이프라인이 영향을 받을 가능성이 있다.
- 깃허브는 해당 도구의 DML 액세스를 차단하고 보안 패치를 적용했다.
- 공격자는 오픈소스 라이브러리 및 컨테이너 레지스트리를 악용하여 공급망 공격을 시도할 가능성이 높다.
- 보안 연구진은 깃허브 로그 감사를 통해 의심스러운 IP 주소를 확인하고, 영향을 받은 저장소의 비밀번호 교체를 권고했다.
- 깃허브 액션을 특정 커밋 해시로 고정하고 승인된 액션만 실행하도록 구성하는 것이 보안 강화를 위한 조치로 제안되었다.

SK쉴더스, LLM 애플리케이션 취약점 진단 가이드 제공

SK쉴더스, LLM 애플리케이션 보안 취약점 대응 가이드 발간
- LLM 애플리케이션은 금융, 제조, 헬스케어 등 다양한 산업에서 활용됨
- AI 기반 해킹 증가 예상, 특히 sLLM 및 데이터 조작 공격에 취약
- ‘OWASP Top 10 for LLM Applications 2025’ 기반으로 보안 가이드 제공
- 주요 보안 위협: 프롬프트 인젝션, API 매개 변수 변조, RAG 데이터 오염
- 대응 방안: 프롬프트 분리, 데이터 검증, 샌드박스 활용, 그룹별 권한 관리
- AI 보안 취약점 조기 발견을 위한 DevSecOps 컨설팅 제공
- 가이드는 SK쉴더스 공식 웹사이트에서 무료 다운로드 가능

[이슈진단+] [이슈진단+] 오픈소스 AI 잇달아 등장···보안은?

중국 AI ‘딥시크’, 저렴한 비용과 오픈소스로 화제되나 보안 우려 증가
- 미국 오픈AI 대비 저비용으로 개발, 오픈소스 공개로 주목받음
- 개인정보 수집, 입력 정보 학습 활용, 광고주와 공유, 해외 서버 저장 문제 발견
- 한국과 미국 등 주요 기관 및 은행에서 사용 금지 조치
- 오픈소스 AI는 보안 취약성 악용 가능, 해킹 도구 ‘웜GPT’ 사례 존재
- AI 모델이 개인정보를 학습하면 정보 유출 및 악용 위험 증가
- AI 취약점이 발견되면 해커들이 이를 악용한 공격 가능
- LLM 방화벽, 내부망 활용 등 AI 보안 수준을 높이는 조치 필요
- AI 시스템의 지속적인 보안 감시 및 ISO/IEC 42001 인증 권장

마이데이터 전면 시행…이정렬 개보위 사무처장 '세계 최초 국민 자기정...

개인정보위, 마이데이터 전면 시행을 통해 국민 자기정보결정권 강화 기대
- 마이데이터 제도가 2년 유예 후 3월 13일부터 전면 시행됨
- 개인정보위는 2023년 3월 개인정보보호법 개정으로 제도 근거 마련
- 정보 주체는 자신의 정보를 능동적으로 관리·통제 가능
- 기업 및 기관 간 데이터 공유 활성화로 혁신 비즈니스 창출 기대
- 의료·건강·돌봄 등 생애주기 맞춤형 서비스 구현 가능성
- 마이데이터 체계는 정보전송자, 정보수신자, 중계전문기관, 개인정보전송지원플랫폼으로 구성
- 개인정보위, 3월 28일 개인정보관리 전문기관 지정 심사 설명회 개최 예정
- 4~5월 중 마이데이터 기반 선도 서비스 출시 예정

급증하는 AI 공급망 공격··· CISO가 살펴봐야 할 보안 과제는?

AI 애플리케이션 개발자를 겨냥한 소프트웨어 공급망 보안 위협 증가
- 2024년 오픈소스 및 상용 소프트웨어 취약점 증가, 공급망 보안 리스크 심화
- 2023년 대비 공용 오픈소스 패키지를 통한 개발자 비밀 정보 노출 사례 12% 증가
- 주요 오픈소스 패키지 30개 중 평균 6개 치명적 취약점 및 33개 높은 심각도 취약점 발견
- 솔라윈즈 해킹 사건 이후 소프트웨어 공급망 공격 지속 증가
- AI 개발 환경을 겨냥한 악성코드 및 코드 조작 사례 증가
- ‘nullifAI’ 기법을 이용한 악성코드, AI 개발자의 보안 취약점 악용 사례 확인됨
- AI 공급망 보안 강화를 위해 자동화된 위협 탐지 및 보안 테스트 필요
- 기존 애플리케이션 보안 도구로는 공급망 보안 위협 탐지가 어려워 심층 분석 필요

“공급망 보안, 회복력부터 갖춰라”..KISA, CISO 포럼서 강조 공급망 보안과 개인정보보호..제142차 CISO 포럼 화두글로벌 SW공급망 보안, 핵심은 ‘복원력’[보안뉴스 조재호 기자] 공급망 보안의 핵심은 복원력(Resilience)이다. ‘완벽한 보안’이 목표가 아니란 얘기다....

2024년 4분기 랜섬웨어 피해 건수 총 1,899건...전 분기 대비 44% 증가 보안 패치 신속 적용, VPN 다중 인증 활성화, 침해 도구 및 해킹 기술에 대한 실시간 모니터링 등의 보안 대책 마련이 필요하다고 조언했다. 김병무 SK쉴더스 사이버보안부문장(부사장)은 '랜섬웨어 공격이...

[김경환 변호사의 디지털법] 〈48〉CBDC 도입과 개인정보 보호 보안이 취약한 경우 사용자 정보가 외부로 유출될 가능성이 있으며, 이는 금융 사기 등에 악용될 수 있다. 둘째, 개인정보 남용의 가능성이 있다. 중앙은행이나 정부가 CBDC 데이터를 감시 도구로 사용할 경우 시민들의...

“양날의 검 AI”…랜섬웨어 그룹, 악성코드 개발에 LLM 악용 실제 오픈AI는 공격자가 멀웨어(Malware·악성 소프트웨어)를 개발하기 위해 챗GPT를 어떻게 사용하는지... 멀웨어 분석가 등 전문가들은 공격자가 AI를 활용해 탐지하기 어려운 멀웨어를 개발하거나 AI가 직접...

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

3월 17일 뉴스입니다.

깃허브 겨냥한 가짜 보안 알림 피싱 공격 주의보

깃허브 사용자를 노린 피싱 공격이 발생하여 1만2000건 이상의 저장소가 피해를 입음.
- 깃허브 보안 경고를 위장한 피싱 공격이 감행됨.
- 사용자는 비밀번호 업데이트와 2단계 인증 활성화를 요구받음.
- 악성 OAuth 앱 ‘gitsecurityapp’이 사용자 권한을 탈취함.
- 저장소 접근, 프로필 정보 변경, 조직 및 프로젝트 데이터 접근 등이 가능해짐.
- 피해자는 깃허브 설정에서 불필요한 앱의 권한을 철회해야 함.
- 새로운 워크플로우 생성 여부 확인 및 인증 토큰 갱신이 필요함.
- 깃허브는 공격자를 차단하고 영향을 받은 계정에 대해 비밀번호 재설정을 진행함.
- 기업과 개발자는 깃허브 보안 권장사항을 확인하고 조치를 취해야 함.

[한국정보공학기술사 보안을 論하다-11] 인공지능 시대, 보안담당자의 ...

AI 기술의 발전으로 보안 분야에서도 인공지능 활용과 보안 위협이 증가하고 있음.
- 알파고의 등장 이후 AI 기술이 급속도로 발전함.
- ChatGPT, Gemini, Copilot 등 다양한 AI 모델이 개발됨.
- AI 리터러시가 디지털 리터러시보다 중요한 시대가 도래함.
- 스피어 피싱, 딥페이크 등 AI를 활용한 보안 위협이 증가하고 있음.
- AI 기반 비밀번호 추측 및 해킹 기술이 정교화되고 있음.
- AI 활용으로 보안 이벤트 분석과 대응 속도를 획기적으로 향상 가능함.
- SIEM, SOAR와 연계해 보안 자동화 및 대응 효율성이 증가함.
- AI 보안 위협 대응을 위한 AI 레드팀 테스트 및 모델 검증이 필수적임.
- 금융권에서도 AI 활용이 증가하며 보안 규제 적용이 강화되고 있음.
- 기업은 AI 보안 위협에 대응하기 위한 지속적인 교육과 기술 검토가 필요함.

2024년 개인정보 처리방침 평가 결과…문제점과 우수사례 기업은?

개인정보보호위원회가 2024년 개인정보 처리방침 평가 결과를 공개하며, 기업의 개선을 유도할 계획이다.
- 개인정보 처리방침 평가제는 기업의 개인정보 보호 수준 향상을 목표로 2023년 도입됨.
- 2024년 평가 대상은 빅테크, 온라인 쇼핑, 의료원, AI 채용 등 7개 분야의 49개 기업.
- 평가 기준은 처리방침의 적정성, 가독성, 접근성으로 설정됨.
- 해외 사업자는 국내법과 상이한 표현 및 번역 문제로 낮은 평가를 받음.
- 많은 기업이 개인정보 보유 기간을 불명확하게 기재하는 등 적정성 문제 지적됨.
- 일부 기업은 처리방침 접근이 어려워 이용자의 정보 확인이 불편함.
- 개인정보위는 기업 개선을 유도하고 해외 사업자와 논의해 보호 수준을 높일 계획.

“가장 채용 어려운 보안 전문가는 개인정보 보호” ISACA 현황 조사

개인정보 보호 전문가 채용이 어려운 이유는 예산 부족과 비현실적인 직무 기대 때문이다.
- 기업의 73%가 개인정보 보호 전문가 채용을 어려워함.
- 전문가 부족의 원인은 비현실적인 기대, 예산 부족, 규정 변화 등 복합적임.
- 개인정보 보호 업무는 법률, 기술, UI/UX 등 다양한 역량이 필요함.
- 보안과 개인정보 보호를 혼동하는 기업이 많아 예산 배분이 어려움.
- 개인정보 보호 전문가의 스트레스 요인으로 규정 준수, 기술 발전, 자원 부족이 꼽힘.
- 기업은 내부 인재를 개인정보 보호 전문가로 육성하는 방법도 고려할 필요가 있음.
- 개인정보 보호팀을 프로젝트 초기부터 포함해야 효과적인 보호 설계가 가능함.
- 개인정보 보호는 보안과 다르며, 기업의 비즈니스 및 규제 요구사항을 충족해야 함.

포티넷 방화벽 취약점 파고들어 랜섬웨어 유포 시도

포티넷 방화벽 취약점을 이용한 랜섬웨어 공격이 발견되었다.
- 포어스카우트 연구진이 포티넷 방화벽 취약점을 악용한 공격을 포착함.
- 공격자는 CVE-2024-55591 및 CVE-2025-24472 취약점을 이용해 관리자 권한을 탈취함.
- ‘슈퍼블랙(SuperBlack)’이라는 신규 랜섬웨어 변종이 배포됨.
- 포티넷은 취약점에 대한 패치를 발표했지만 해킹 조직이 이를 악용함.
- 취약점 공개 후 나흘 만에 공격이 발생하여 신속한 패치 적용이 중요함.
- 공격자는 특정 서버를 암호화하여 민감한 데이터를 겨냥하는 방식 사용.
- 관리자 계정 보안 강화 및 최신 보안 패치 적용이 필수적임.

“잘 나가도 ‘보안’ 약하면 무용지물”...AI기술 보안력에 울고 웃는...

중국 AI ‘딥시크’ 보안 문제로 국내외에서 사용 금지 움직임 확산
- 딥시크가 이용자 기기 정보, IP, 키보드 입력 패턴 등을 과도하게 수집해 중국 서버에 저장하는 문제 발생
- 국내 기업과 정부가 딥시크 사용 금지령을 속속 발표하며 보안 우려 대응
- LG유플러스, 카카오, 한국수력원자력 등 주요 기업 및 기관에서 공식적으로 딥시크 업무용 사용 금지
- 딥시크 측이 개인정보 처리방침을 일부 개정했으나, 여전히 보안 우려 남아 있음
- 국내 사용자 수가 급격히 감소하며 19만 명에서 6만 명 수준으로 축소

활짝 열린 AI 시대...보안이 이토록 중요한 이유는 [이코노 인터뷰]

AI 기술 발전과 함께 보안 위협도 증가하며, 특히 딥페이크와 AI 해킹이 주요 문제로 대두되고 있다.
- AI의 발전이 보안 위협을 증가시키며, 보이스피싱, 음란물 합성, 사칭 등에 악용되고 있다.
- 딥페이크 기술은 개인정보 유출을 넘어 물리적 피해까지 초래할 수 있어 경각심이 필요하다.
- AI 보안 위협을 막기 위해 SNS에 얼굴 사진을 최소한으로 공개하고, 다단계 인증을 활용해야 한다.
- AI가 온디바이스인지 서버 기반인지에 따라 보안 위험이 다르므로 기업에서는 AI 사용을 제한하는 경우가 많다.
- AI가 자율주행차 등 실생활과 밀접한 기술에 적용되면서 해킹 시 물리적 피해 가능성이 증가하고 있다.
- AI를 공격하는 대표적인 방식으로 데이터 추출, 데이터 오염, AI 모델 복제, 알고리즘 조작 등이 있다.
- AI 보안이 중요한 분야로 이동체 산업(자율주행차, 드론 등)이 꼽히며, 해킹 시 큰 사고로 이어질 수 있다.
- AI 보안 연구를 수행할 인재 부족 문제도 장기적인 보안 위협 요소로 작용하고 있다.

“AI 없는 보안 비즈니스 생각하기 어려운 시대” [이코노 인터뷰]

생성형 AI(LLM) 도입이 증가하면서 기업의 정보 유출 및 보안 리스크 관리가 중요해지고 있다.
- 알파고와 이세돌 대국 이후 AI에 대한 관심이 증가하며, 한국인공지능협회가 출범했다.
- AI 기술 확산과 함께 LLM 보안이 필요하다는 인식이 커지고 있다.
- 챗GPT 등 생성형 AI 사용이 기업 정보 유출 위험을 증가시켜 일부 기업에서는 사용을 금지했다.
- 스마트 기기의 확산으로 개인정보 유출 위험이 커지고 있으며, 새로운 보안 위협이 지속적으로 발생하고 있다.
- 공격자들은 AI를 활용한 해킹 및 딥페이크 공격을 활발히 수행하고 있다.
- AI 기술이 보안 업계에도 기회가 될 수 있지만, 이에 따른 위협 요소도 증가하고 있다.
- 중국 스타트업 딥시크가 챗GPT, 제미나이 등과 경쟁하며 AI 분야에서 주목받고 있다.

마이데이터, 금융 넘어 의료·통신까지…내년엔 에너지 분야도 포함

마이데이터 사업이 금융·공공 분야를 넘어 의료, 통신 등 전 산업으로 확대된다.
- 정부는 2023년 개정된 개인정보 보호법을 바탕으로 ‘전 분야 마이데이터’ 시행을 발표했다.
- 마이데이터는 개인이 자신의 정보를 직접 관리하고 맞춤형 서비스를 받을 수 있도록 지원하는 제도다.
- 의료 및 통신 분야부터 시작해 에너지, 교통, 교육 등 10개 주요 산업으로 확대될 예정이다.
- 이용자는 건강정보를 활용한 맞춤형 건강 관리나 최적화된 통신 요금제 추천 등을 받을 수 있다.
- 기업 간 데이터 융합을 통해 새로운 서비스 모델이 등장하고 데이터 경제 경쟁력이 강화될 전망이다.
- 정부는 ‘범정부 마이데이터 지원 플랫폼’을 개통해 데이터 활용 내역을 직접 확인하고 관리할 수 있도록 할 계획이다.
- 개인정보위는 제도 안내서를 공개하고 설명회를 열어 국민과 기업의 이해도를 높일 예정이다.

칼럼 | 2025년 사이버 보안의 최전방 방어선 ‘휴먼 방화벽’

사이버 보안의 핵심은 인간이며, 휴먼 방화벽을 강화하는 것이 필수적이다.
- AI 기술 발전으로 공격과 방어 모두 AI 중심으로 전개될 것으로 전망된다.
- 인간이 보안의 약한 고리로 여겨졌지만, 휴먼 방화벽을 통해 보안성을 높일 수 있다.
- 휴먼 방화벽은 피싱, 랜섬웨어 등 소셜 엔지니어링 기반 공격을 막기 위한 공동 방어 체계이다.
- 데이터 유출 사고의 85%는 인적 오류로 발생하며, 이를 줄이기 위한 교육과 대응이 필요하다.
- 인포스틸러 악성코드가 확산되면서 계정 정보와 금융 데이터 탈취 사례가 증가하고 있다.
- 허위 정보와 가짜 뉴스는 사이버 공격만큼이나 큰 위협이 되고 있으며 선거에도 영향을 미치고 있다.
- 휴먼 방화벽 강화를 위해 직원들이 보안 위협을 인식하고 대응할 수 있도록 교육이 필요하다.

국정원, 드론 업계 ‘사이버보안체계’ 구축 지원 방산·우주 분야와 연결된 국내 드론 업체 노린 사이버공격 증가설명회 개최와 매뉴얼 배포 등을 통한 사이버보안체계 구축 권고[보안뉴스 조재호 기자] 국내 드론 개발업체에 대한 북한 등 국제·국가 배후 해킹조직의...

깃허브 겨냥한 가짜 보안 알림 피싱 공격 주의보 깃허브 사용자에게 '가짜 보안 알림'을 보낸 후 사용자 권한을 탈취하는 가짜 인증 앱으로 유도하는 공격이 벌어졌다. 1만2000건 이상의 깃허브 저장소가 피해를 입은 것으로 추산된다고 블리핑컴퓨터가 16일...

미 연방 CIO, '사이버 보안 인력은 국가 안보 핵심...구조조정 우선 대상... 사이버 보안 인력 해고는 최소화하라고 권고했다. 미국 연방 정부 CIO 그레그 바바시아는 정부 기관들에 보낸 이메일에서 “사이버 보안은 곧 국가 안보이며, 각 부처 CIO는 (비용 절감과 구조조정을 위해)...

[한국정보공학기술사 보안을 論하다-11] 인공지능 시대, 보안담당자의 ... 보안담당자, AI 도입·활용 안전하게 관리하는 정보보안 거버넌스 역할 수행해야[보안뉴스= 문광석 기술사/코리안리 IT보안파트장] 2016년 3월, 알파고(AlphaGo)와 이세돌의 바둑 대결에서 아무도 예상하지 못한...

과기정통부, 정보보호 유니콘 기업 육성 본격화…100억 원 투입 과학기술정보통신부(장관 유상임, 이하 과기정통부)가 정보보호 거대신생기업(유니콘) 육성을 본격화한다. 과기정통부는 한국인터넷진흥원(원장 이상중, 이하 KISA)과 함께 철통 인증(제로트러스트) 도입 시범사업...

2024년 개인정보 처리방침 평가 결과…문제점과 우수사례 기업은? [K-CTI 2025] 국내 최대 사이버위협·침해사고대응 인텔리전스 컨퍼런스 개최(7시간 교육이수) -주최: 데일리시큐 -일시 2025년 4월 15일(화) / 오전 9시~오후 5시 ★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading...

“국제 해킹조직, 韓드론 개발업체 해킹 증가…사이버 보안 체계 구축해... 사이버 보안 체계를 구축할 것을 업계에 권고했다. 국정원은 지난 13~14일 인천 항공안전기술원에서 국토교통부와 합동으로 관련 기업·기관·협회 등을 대상으로 사이버보안 설명회를 개최하고, 기업들이 자체적으로 보안...

<보안뉴스>

<사고소식>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

3월 15일 ~ 3월 16일 뉴스입니다.

개인정보위, 국민생활 밀접 분야 개인정보 처리방침 평가 결과 공개

개인정보보호위원회가 49개 기업의 개인정보 처리방침 평가 결과를 공개하며 개선이 필요한 점을 지적했다.
- 개인정보 처리방침 평가제는 기업의 개인정보 보호 수준을 개선하고 책임을 강화하기 위한 제도다.
- 49개 기업을 대상으로 적정성, 가독성, 접근성 등의 항목을 평가했다.
- 72%의 기업이 실제 운영 방식과 처리방침 내용이 불일치했다.
- 절반 이상의 기업이 개인정보 보유·이용기간을 모호하게 기재했다.
- 외국계 기업 일부는 국내대리인 제도를 형식적으로 운영하고 있었다.
- 처리방침 접근성이 낮아 일부 기업의 경우 50회 이상 스크롤해야 찾을 수 있었다.
- 네이버, 카카오 등 국내 포털사업자는 적정성 평가에서 높은 점수를 받았다.
- 개인정보위는 기업에 평가 결과를 통보하고 개선을 유도할 방침이다.

[방은주의 보안 산책] S-BOM에 대하여

S-BOM(소프트웨어 자재 명세서)이 글로벌 SW 공급망 보안 필수 요소로 자리 잡고 있다.
- S-BOM은 소프트웨어 구성 요소, 라이브러리, 의존성 등을 기록한 목록이다.
- 미국과 EU 등 주요국에서 S-BOM 제출 및 관리를 의무화하는 정책을 시행 중이다.
- 미국은 2021년 행정명령을 통해 S-BOM을 필수 요구사항으로 지정했다.
- S-BOM 도입 시 보안 강화, 라이선스 준수 관리, 효율적 유지보수 등이 가능하다.
- 솔라윈즈 해킹, Log4j 취약점 사태 등 공급망 공격 대응에 S-BOM이 중요하다.
- 한국 정부도 S-BOM 가이드라인을 발표했으며, 국내 기업의 도입이 필요하다.

AI 활용한 사이버 공격, 51초 만에 보안망 뚫는다

사이버 공격자가 네트워크를 침투하고 보안 시스템을 우회하는 데 평균 51초밖에 걸리지 않으며, AI를 활용한 해킹 기법이 점점 정교해지고 있다.
- 크라우드스트라이크 보고서에 따르면, 해커가 네트워크 침입 후 권한 상승과 횡적 이동을 시도하는데 걸리는 시간이 51초에 불과함.
- AI 기반 해킹 기법이 발전하면서 비싱(Vishing) 및 딥페이크를 이용한 공격이 급증하고 있음.
- 중국 및 북한 해커 그룹이 가짜 SNS 계정과 링크드인 프로필을 활용해 정보 수집 및 여론 조작을 시도함.
- 기업들은 AI 기반 보안 시스템 도입과 세션 토큰 무효화 기술을 활용하여 대응 전략을 강화하고 있음.
- 보안 전문가들은 제로 트러스트 보안 모델, AI 기반 위협 탐지, 클라우드 및 엔드포인트 보안 강화를 핵심 방어 전략으로 제시함.

全 분야 마이데이터 시행···국민 데이터 주권 시대 열린다

국민이 본인의 개인정보를 직접 관리하고 활용할 수 있도록 하는 마이데이터 사업이 본격 추진된다.
- 개인정보보호위원회가 마이데이터 사업을 의료, 통신 분야부터 시작해 점진적으로 확대할 계획임.
- 정보주체는 본인의 개인정보를 직접 전송하거나 제3자에게 전송하도록 요구할 수 있음.
- 기존에는 기업과 기관이 개인정보를 보유하며, 정보주체가 관리하기 어려운 구조였음.
- 마이데이터 사업이 확대되면 개인이 데이터 활용 권한을 가지며, 데이터 경제 활성화가 기대됨.
- 정부는 ‘범정부 마이데이터 지원 플랫폼’을 구축하여 정보주체의 데이터 관리 및 활용을 지원할 계획임.

매일 악성코드 31만 개 잡는 ‘사이버 방패’…30살 안랩 '1조 기업 될 것...

안랩이 창립 30주년을 맞아 국내 1세대 보안기업으로서의 성과를 돌아보고 글로벌 확장을 추진하고 있다.
- 안랩은 1995년 안철수 창업자가 설립한 국내 대표적인 보안기업으로, 30년간 꾸준히 성장해옴.
- CIH 바이러스, SQL 웜, 디도스 공격 등 주요 사이버 보안 사건에 신속 대응하며 입지를 다져옴.
- 클라우드 기반 악성코드 자동 대응 기술(ASD)을 도입해 12억 건 이상의 악성코드를 탐지함.
- 최근 사우디 보안기업과 합작해 글로벌 사업 확장을 추진 중임.
- 지난해 매출 2605억 원을 기록하며, 장기적으로 1조 원 기업 도약을 목표로 설정함.

개인정보위, 국민생활 밀접 분야 개인정보 처리방침 평가 결과 공개 개인정보보호위원회가 빅테크·온라인플랫폼·엔터테인먼트 등 7개 분야 49개 기업을 대상으로 한 '2024년 개인정보 처리방침 평가' 결과를 공개했다. 개인정보 처리방침 평가제는 개인정보처리자가 수립·공개하고 있는...

<보안뉴스>

<IT소식>

<행사/교육소식>

3월 14일 뉴스입니다.

[사람과 보안] AI 에이전트가 지켜주는 보안의 미래는?

AI 에이전트 간 협업(A2A) 시대 도래로 기업 효율성 및 보안 혁신 기대
- AI 에이전트는 인간의 업무를 병렬로 처리하며 다수의 AI를 고용하는 시대가 도래
- 기존 AI는 개별적으로 운영되었으나, 향후 AI 간 협업을 통해 유기적인 업무 수행 가능
- AI 보안 시스템은 기존 서명 기반 탐지 및 SIEM의 한계를 극복하고 자율적 대응을 수행
- AI는 위협을 실시간 분석해 탐지 속도를 60% 향상하고 자동 대응 기능을 제공
- 오탐률 감소 및 예측적 보안 기능 강화로 보안 담당자의 업무 부담 경감 가능
- AI 간 신뢰 프로토콜이 필수적이며, 악의적 AI 활용 가능성에 대한 대비 필요
- AI 도입이 노동시장에 미칠 영향과 인간의 역할 변화에 대한 논의 필요

마이데이터 시행…금융업계, '실효성 있는 데이터 활용' 촉구

금융업계, 마이데이터 활성화를 위해 데이터 결합 및 활용 범위 확대 필요성 제기
- 마이데이터 제도가 의료·통신 분야까지 확장되었으나 활용 제한이 많다는 지적
- 금융·통신·데이터 업계는 데이터 결합 및 가공 제한 완화 필요성 강조
- 의료 데이터는 공익적 목적 외 금융 데이터와 결합이 제한되는 문제 존재
- 통신 데이터 활용에서도 개인 스마트폰 수집 데이터가 제외되어 한계 발생
- 데이터 간 결합을 원활하게 하려면 비식별 조치 강화 및 법적 개선 필요
- 마이데이터 대상을 유통, 인터넷 등 부가통신 분야로 확대할 것을 업계가 요청
- 데이터 산업 활성화를 위한 폭넓은 생태계 조성이 필요

개인정보위, '메타 67억 과징금 취소 소송' 최종 승소

대법원, 메타의 개인정보위 처분 취소 소송 기각, 과징금 67억 원 확정
- 메타는 330만명 이상의 국내 페이스북 이용자 개인정보를 동의 없이 앱 사업자에게 제공
- 개인정보위는 2020년 11월 시정명령 및 과징금 67억 원 부과
- 메타는 2021년 3월 행정소송 제기, 1·2심 패소 후 대법원에서도 기각
- 소송 종료로 개인정보위의 처분 효력 재개, 메타의 시정명령 이행 촉구 예정
- 개인정보위는 메타의 이행 여부를 지속 점검 계획

‘생성형 AI 레드팀’ 운영에 대한 모든 것

OWASP, 생성형 AI 레드팀 운영을 위한 가이드 발표
- 생성형 AI 보안 강화를 위한 레드팀 운영 필요성 증가
- OWASP, AI 레드팀 운영 가이드를 통해 취약점 평가 방식 제시
- 주요 위험 요소로 프롬프트 인젝션, 편향성, 데이터 유출 등 강조
- 효과적인 운영을 위해 위협 모델링, 시스템 평가, 런타임 분석 필요
- NIST AI RMF 기반으로 AI 라이프사이클 전반의 보안 위험 분석 권장
- OWASP, 에이전틱 AI 관련 새로운 위협 모델 개요 보고서 발표
- 생성형 AI 보안 강화를 위한 핵심 기법과 성숙도 모델 제공
- 기업은 지속적인 개선과 보안 역량 강화를 위한 협업 필요

[사람과 보안] AI 에이전트가 지켜주는 보안의 미래는? AI 에이전트끼리 '협업'해 인간과 기업의 효율성 극대화기존 보안 시스템 뒤엎는 '자율적 행동양식'으로... 그런데 이 AI 에이전트들이 보안 분야에 적용된다면 가히 혁명적인 수준의 변화가 올 것이다. 먼저 지금까지...

PHP 원격 코드 실행 취약점, 전 세계적으로 악용 사례 급증...주의 또한, 랜섬웨어 조직인 'TellYouThePass' 그룹은 취약점 공개 후 48시간 만에 이를 악용해 웹셸을 배포하고 피해자의 시스템을 암호화하는 공격을 감행했다. 더욱 심각한 문제는 공격자들이 단순한 침입에서 끝나지...

北 해커그룹 ScarCruft, 'KoSpy' 악성코드로 안드로이드 사용자 타깃 첩보... 북한 정부가 지원하는 해킹 그룹 ScarCruft(APT37)가 새로운 안드로이드 스파이웨어 'KoSpy'를 배포하며... 기존 북한 해킹 그룹과의 연관성...킴수키가 이전에 사용했던 캠페인과 유사 연구진은 KoSpy의 공격 인프라가...

불법 소프트웨어 사용자 노리는 MassJacker 멀웨어 유포...가상화폐 탈취... 보안 기업 사이버아크(CyberArk)에 따르면, 이번 공격에서 새롭게 확인된 클리퍼(Clipper) 멀웨어 MassJacker가... 보안 전문가들은 소프트웨어를 다운로드할 때 신뢰할 수 있는 공식 사이트를 이용해야 한다고...

'호텔업계 노린 'ClickFix' 피싱 공격 심각'…부킹닷컴 사칭 이메일 주의 공격자는 사용자가 직접 악성코드를 실행하도록 유도함으로써 보안 시스템의 탐지를 우회할 수 있다.... 보안 전문가들은 이 같은 공격을 방어하기 위해 기업이 피싱 공격을 탐지하고 대응하는 능력을 강화해야...

마이데이터 시행…금융업계, '실효성 있는 데이터 활용' 촉구 개인정보보호위원회는 올해 마이데이터 안착을 위한 마중물이 될 선도서비스를 단계적으로 출시한다. 의료 분야 △맞춤형 만성질환 예방 관리 △해외 체류 국민 의료 기록 연동 △복약 관리·약물 처방 지원을 비롯해 통신...

<보안뉴스>

<IT소식>

<행사/교육소식>

<정보보호 신간/신제품 소개>

3월 13일 뉴스입니다.

통신, 의료 분야 마이데이터 시행...전 분야로 단계적 확대

마이데이터 제도가 의료·통신 분야에서 정식 시행되며, 향후 다양한 분야로 확대될 예정이다.
- 마이데이터 제도를 통해 사용자는 개인정보를 직접 관리하고 원하는 서비스에 활용 가능
- 우선 시행 분야는 의료와 통신이며, 이후 에너지, 교통, 교육 등으로 확대 예정
- 데이터 경제 활성화 및 서비스 맞춤화를 촉진할 것으로 기대
- 정부는 마이데이터 지원 플랫폼을 구축하여 정보주체의 권리 행사를 지원할 계획
- 국민이 데이터의 주인이 될 수 있도록 다양한 의견을 수렴하며 제도를 확장 예정

300만 건 이상 개인정보 유출한 모두투어, 과징금 7억 4000만원 부과

여행사 모두투어, 300만 명 개인정보 유출 사고로 7억 원 이상의 과징금 부과
- 웹페이지 파일 업로드 취약점을 통한 웹셀 공격으로 고객 개인정보 유출
- 유출된 개인정보에는 이름, 생년월일, 성별, 휴대전화 번호 등이 포함
- 모두투어는 보안 취약점 점검 및 대응 조치를 소홀히 한 것으로 조사됨
- 보유기간이 경과한 개인정보를 파기하지 않아 유출 규모가 커짐
- 개인정보 유출 통지 의무를 지연하여 법적 문제 발생

공공·민간 가리지 않고 사이버공격 기승…'디도스'·'크리덴셜 스터핑...

한국을 겨냥한 디도스 및 크리덴셜 스터핑 공격이 증가하며 보안 강화가 요구됨
- 국제 해킹조직이 한국 정부기관 및 기업을 대상으로 디도스 공격 수행
- 친팔레스타인 해커 그룹 리퍼섹이 한국 정부 및 민간 웹사이트 공격 예고
- 주요 피해 대상은 정부기관, 이동통신사, 기업 등 광범위함
- 크리덴셜 스터핑 공격을 통한 개인정보 유출 사고가 다수 발생
- KISA는 기업·기관에 보안 점검과 사전 방어 서비스 활용을 권고

과기정통부, '제로트러스트 도입, AI보안 제품 개발에 100억원 투입' 정보보호 유니콘 기업을 키운다는 목표다. 과학기술정보통신부(장관 유상임)와 한국인터넷진흥원(KISA·원장 이상중)은 정보보호 기업의 신기술 기반 제품 및 서비스 개발 지원에 100억원을 투입한다고 13일 밝혔다....

통신, 의료 분야 마이데이터 시행...전 분야로 단계적 확대 마이데이터 제도는 2023년 개인정보보호법 개정과 함께 도입되어 그간 금융과 공공 분야에서 제한적으로 시행되었다. 개인정보보호위원회(위원장 고학수)에 따르면, 파급 효과가 큰 의료와 통신 분야부터 마이데이터...

300만 건 이상 개인정보 유출한 모두투어, 과징금 7억 4000만원 부과 개인정보위 조사 결과, 모두투어는 웹셸 공격 예방을 위해 업로드된 파일에 대한 파일 확장자 검증 및 실행권한 제한 등 보안 취약점 점검·조치를 취해야 했지만 이를 소홀히 했다. 개인정보 유출 시도를 탐지...

[카드뉴스] 방위산업 경쟁력, 보안 없이는 불가능하다? www.boannews.com) 무단전재-재배포금지>

금융보안원 '국가배후 해킹조직의 금융권 대상 사이버 위협 지속' 경고 금융보안원(원장 박상원)은 개인 및 금융정보를 노리는 국가배후 해킹조직의 악성코드 위협이 지속되고 있다고 밝히며 이에 대한 경각심을 강조했다. ◇가상자산 관련 문서 위장한 해킹 공격 증가 금융보안원에 따르면...

공공·민간 가리지 않고 사이버공격 기승…'디도스'·'크리덴셜 스터핑... 〈본지 3월11일자 11면 참조〉 한국인터넷진흥원(KISA)은 최근 보안 공지를 통해 사이버 위협이 증가하고 있다며 기관·기업 보안담당자에게 사전 보안점검과 대비가 필요하다고 권고했다. KISA는 우선 국제 해킹그룹이...

<보안뉴스>

<사고소식>

<IT소식>

<정보보호 신간/신제품 소개>