'보안뉴스'에 해당되는 글 310건

3월 2일 뉴스입니다.

보안인력 채용은 여전히 활발하게 이루어지고 있습니다. 이번주  보안인력을 채용하는 곳은 17곳이라고 하는데요 그 중 신입은 2곳, 무관 8곳, 경력 7곳이라고 합니다.

구글이 실제로 악용된 크롬의 제로데이 취약점(CVE-2020-6418)을 포함한 3가지 취약점을 해결한 크롬 80 업데이트를 배포했다고 합니다. 물론 크롬은 사용자의 동의 없이 업데이트를 하긴 합니다만 혹시 자동 패치가 되지 않도록 설정하신 분들께서는 실제 해당 취약점을 이용하여 공격이 일어난다고 하니 반드시 패치하시기 바랍니다.

인터넷기업협회에서는 금융위원회의 망분리 예외조치에 대해 환영하는 입장을 표명했다고 합니다. 이번 일을 계기로 금융권 뿐 아니라 일반 정보서비스 기업도 망분리에 대해 한번쯤 고민해보는 시간이 되었으면 합니다.

<보안뉴스>

<정보보호제품>

2월 28일 뉴스입니다.

의료기관에서 진료정보 침해사고 발생 시 보건복지부에 침해사고를 신고하도록 의무화 되었습니다. 또한 이를 지원하는 진료정보침해대응센터를 운영한다고 합니다.

오토캐드 설계도면으로 위장한 악성코드가 유포되고 있다고 합니다. 파일의 확장자는 오토캐드의 확장자인 dwg 파일이지만 실제로는 실행파일인 exe 파일이고 사용자 PC가 시작될때마다 정상 파일 실행으로 위장한 가짜 프로세스를 추가 생성하여 생성된 가짜 프로세스에 악성행위를 추가하는 방식으로 악성행위가 이루어진다고 합니다. 주의하시기 바랍니다.

카본블랙이 사이버 보안 전망 보고서를 통해 2019년은 랜섬정부의 해(The Year of Ransoming Governments)라고 했다고 합니다. 이번에 발간된 사이버 보안 전망 보고서는 다음의 링크에서 신청하실 수 있습니다.(신청하기)

이번 코로나19 사태로 금융권마저 망분리 예외가 허용되었습니다. 그동안 금융권 망분리만큼은 예외없이 무조건 지켜지는 원칙으로 여겨져 왔으나 사태가 심각해지고 사업장 자체가 폐쇄되는 경우가 생기면서 어쩔 수 없이 예외조항을 인정해 망분리 예외를 허용했는데요 한쪽에서는 망분리 원칙을 이참에 완화시켜야 한다는 주장이 있는 반면 다른 한편에서는 완전한 보안을 위해서 망분리 원칙은 훼손시켜서는 안된다는 주장을 하고 있습니다. 양쪽의 주장이 모두 일리가 있는 얘기이긴 합니다만 시스템이 클라우드화 되고 대부분의 서비스가 다른 시스템과 연동되는 지금 시대에 망분리를 고집하는게 맞는 정책인지 한편으로는 의심스럽기는 합니다.

<보안뉴스>

<IT뉴스>

200228 뉴스.xlsx

2월 27일 뉴스입니다.

과학기술정보통신부와 교육부가 정보보호 수준진단 결과 '양호' 판정을 받은 경우 ISMS 인증 의무에 대해 면제하기로 했습니다. 대학의 ISMS 인증의무가 논의될 당시부터 계속해서 대학이 주장해 왔던 내용이 정보보호 수준진단과 ISMS를 중복해서 받는 것은 중복규제라는 것이었는데요 그게 인정이 된 듯 합니다. 다만, 정보보호 수준진단이 기존 샘플링 실사였던 것에 대해 ISMS 인증 의;무 대학에 대해서는 100% 실사를 하는 것으로 변경되었는데요 중복규제가 없어진다는 것은 환영할 일입니다만 안그래도 수많은 정보가 떠도는 곳임에도 불구하고 통제가 쉽지 않은 대학이 다시 정보보호 수준을 약화시키지 않을까라는 우려가 생기는 것도 사실입니다.

수많은 무선장비에서 네트워크 패킷 복호화를 가능하게 만드는 취약점이 발견됐는데요 특히 와이파이가 꺼지고 켜질 때 일정 정보를 노출시킬 수 있는 취약점입니다. 와이파이 칩셋의 문제이나 펌웨어 업데이트로 해결 가능하다고 하니 무선 장비를 많이 사용중인 기업에서는 검토해보셔야 할 것 같습니다.

자이젤의 NAS 방화벽에서 발견된 임의코드 실행 취약점이 자이젤 방화벽에도 영향을 미친다고 합니다. 12개 NAS가 해당 취약점에 노출되었으나 EoS된 장비가 10개였고 이번데 23개의 제품이 추가되었는데 이번에는 UTM, ATP, VPN방화벽까지 포함되어 있다고 합니다. 이미 익스플로잇 도구가 다크웹에 등장해 있는 만큼 당장 패치하시는게 급할 것 같습니다.

<정보보호제품>

<IT소식>

200227 뉴스.xlsx

2월 26일 뉴스입니다.

2020년 제12차 방송통신위원회가 열렸는데요 이번 방통위에서는 15개 법인에 대해 개인위치정보사업자로 허가하였습니다. 그리고 개인정보보호 법규 위반행위 고발등에 관한 기준을 제정했습니다. 제12차 방송통신위원회 브리핑 자료는 아래 정책브리핑 페이지에서 확인하실 수 있습니다.

과학기술정보통신부와 교육부가 정보보호 수준진단 결과 '양호' 판정을 받은 경우 ISMS 인증 의무에 대해 면제하기로 했습니다. 대학의 ISMS 인증의무가 논의될 당시부터 계속해서 대학이 주장해 왔던 내용이 정보보호 수준진단과 ISMS를 중복해서 받는 것은 중복규제라는 것이었는데요 그게 인정이 된 듯 합니다. 다만, 정보보호 수준진단이 기존 샘플링 실사였던 것에 대해 ISMS 인증 의;무 대학에 대해서는 100% 실사를 하는 것으로 변경되었는데요 중복규제가 없어진다는 것은 환영할 일입니다만 안그래도 수많은 정보가 떠도는 곳임에도 불구하고 통제가 쉽지 않은 대학이 다시 정보보호 수준을 약화시키지 않을까라는 우려가 생기는 것도 사실입니다. 과기부의 브리핑 자료는 아래 정책브리핑 페이지에서 확인하실 수 있습니다.

과학기술정보통신부에서 2019년 정보보호실태조사 결과를 발표했습니다. 정보보호 중요성 인식은 전반적으로 향상된 것으로 보이는데요 그럼에도 불구하고 예산은 감소한 모습을 보였습니다. IoT와 AI 증가에 따른 보안 우려도 커진 것으로 나타났습니다.
발표자료는 다음 링크에서 확인하실 수 있습니다.(보도자료)

FBI에서 암호의 복잡성보다는 길이가 중요하다고 지적했는데요 법령에 따라 암호의 복잡도를 설정하고 있습니다만 이전에도 이미 암호의 복잡성이 보안성을 강화시키는 것은 맞지만 그만큼 기억하기 어려워 기록 등의 허점이 발생하기도 한다는 얘기가 나왔고 계속해서 passphrase의 중요성이 대두되는 만큼 우리 정부에서도 해당 내용을 한번쯤 검토해야 하지 않나 싶습니다.

<정보보호솔루션 소식>

<IT소식>

200226 뉴스.xlsx

※ 뉴스 기록 방식을 변경하려 합니다. 기존에는 동일한 내용을 가진 뉴스의 경우에도 모든 뉴스를 포스팅 했고 그렇기 때문에 나름 주제를 나눠 분류했습니다만 너무 비효율적인듯 하여 오늘부터는 동일한 뉴스를 제거하는 대신 정보보호나 개인정보보호와 관련된 모든 뉴스를 '더보기' 버튼 없이 포스팅 하도록 하겠습니다.

동일한 뉴스의 경우 보안뉴스 > 데일리시큐 > 전자신문 > 기타 IT 전문매체 > 기타 매체 순으로 우선순위가 매겨지며 동일한 뉴스를 제거하지 않은 원본 기사는 엑셀파일로 첨부됩니다.

2월 25일 뉴스입니다.

백악관 보호기관인 DISA의 해킹 소식도 있었구요 틱톡은 정부와 맞물려 이런저런 잡음이 계속 나오고 있습니다. 취약점을 제보하자 해당 계정을 블록시킨 슬릭랩스의 어이없는 대처에 대한 기사도 있었습니다.

200225_뉴스.xlsx

2월 19일 뉴스입니다.

<자동처리 되는 개인정보 보호 가이드라인 발간>

KISA에서 IoT 등 자동처리되는 개인정보 보호 가이드라인을 발간했습니다.
IoT가 활성화 되고 그 과정에서 수집되고 처리되는 개인정보가 많아짐에 따라 가이드라인이 발간되었는데요 10대수칙은 다음과 같습니다.
1. 서비스에 꼭 필요한 개인정보인지 확인
2. 개인정보 수집 시 법적 준수사항을 확인
3. 반드시 필요한 개인정보만 최소한으로 처리
4. 개인정보 처리단계별 적절한 안전조치 적용
5. 개인정보의 처리절차 및 방법을 투명하게 공개
6. 정보주체가 권리 행사를 쉽게 할 수 있도록 보장
7. 개인정보의 제3자 제공 및 위탁 시 정보주체에게 명확히 안내
8. 정보주체가 서비스 해지 시, 개인정보 파기 및 추가 수집 방지
9. 사업 종료 시 정보주체의 권리보장 방안 마련
10. 서비스 출시 전, 개인정보 침해 위협 요소 점검
가이드라인은 KISA 홈페이지에서 다운로드 받으실 수 있습니다.(KISA 홈페이지 열기)

<데이터3법 통과에 따른 영향>

<기타>

얼마전 아마존의 물리보안업체 링의 CCTV가 해킹되어 다른 집의 CCTV를 볼 수 있는 문제가 발생했는데요 그 뿐 아니라 링의 IoT는 끊임없이 문제를 일으켜 왔습니다. 이에 따라 링은 이중인증을 필수 요소로 추가했는데요 그동안 사용자의 선택에 맡겨왔떤 이중인증을 필수 옵션으로 넣으면서 사용자의 보호를 편의보다 우선시하겠다는 모습으로 보입니다.
아마존과 페덱스의 물건 배송을 사칭하는 스미싱 문자로 인한 피해가 늘어나고 있다고 하는데요 특히 미국 내 소비자들을 대상으로 많이 발생하고 있다고 합니다. 아마존은 현재 국내에서도 직구를 하시는 분들이 많을텐데 주의하시기 바랍니다.

<행사소식>

<보안제품소식>

이밖에 보안 관련 뉴스는 아니지만 뉴스 스크랩 과정에서 같이 들어온 뉴스 중 IT 뉴스도 함께 올립니다.

2월 18일 뉴스입니다.

<데이터3법>

먼저 데이터3법 소식입니다.
사이버안전 포럼에서 데이터3법 통과 이후 개인정보 총괄 감독 부처가 개인정보보호위원회로 통합되었기 때문에 사이버 안전 거버넌스의 재정립이 필요하다는 발표가 있었습니다.
시민단체에서는 개인정보의 가명처리에는 허점이 있으니 익명처리에 한해서만 허용해야 한다는 주장이 있었고 그에 반해 산업계에서는 법에서 연구목적의 가명정보 처리를 허용했으니 이를 시행령에서 대치되는 법안이나 가이드가 나오지 않고 연구가 활성화 되도록 해야 한다는 주장을 했습니다.
개인적으로 익명화된 개인정보와 가명화된 개인정보는 쓰임새가 다르고 연구에 활용되는 범위가 다른 만큼 개인정보보호법에서 요구하는대로 익명화로 가능한 범위는 익명화로, 익명화가 불가한 부분에 대해서는 가명화된 개인정보를 사용해야 한다는 입장입니다만 재식별이 불가능하도록 가명화 하는데 구체적인 가이드가 나와 비식별화 전문가를 초빙하거나 채용하지 않더라도 정보보호담당자 선에서 조치가 가능하도록 했으면 하는 바램입니다.

<기타>

미국 사이버사령부에서는 라자루스의 멀웨어 샘플 6개를 바이러스토탈에 공개했습니다. 그동안 자체 DB에 없어 검색이 안되던 라자루스의 멀웨어도 모든 안티바이러스 솔루션에서 검출이 가능해 졌습니다.
이란의 해킹단체 APT33과 APT34가 협업하여 VPN을 뚫었다고 하는데요 민간기업에서 주로 사용하는 펄스 시큐어, 포티넷, 팔로알토의 VPN을 익스플로잇 했다고 합니다. 해당 제품을 사용하시는 담당자들께서는 점검이 필요할 듯 합니다.
CPO를 처벌하는 개인정보보호법이 잘못되었다는 주장이 있었습니다. 이 기사의 내용은 예전부터 저 역시 생각을 해왔고 공감이 되는 부분인데요 과연 CPO를 계속 처벌한다고 하면 과연 CPO를 담당하겠다고 하는 사람이 있을지 의문입니다. 오히려 법인에 벌금이나 과징금이 커지는 것이 CPO에게 힘을 실어주고 더욱 강력한 보호수준을 유지할 수 있는 방안이 아닐까 싶습니다.

이밖에 보안 관련 뉴스는 아니지만 뉴스 스크랩 과정에서 같이 들어온 뉴스 중 IT 뉴스도 함께 올립니다.

2월 17일 뉴스입니다.

<개인정보보호위원회 국제협력 강화>

개인정보보호위원회가 국제협력을 강화하기로 했다는데요 이에 따라 '개인정보 국제협력 강화 3대 프로젝트'를 추진하고 있다고 합니다.
①한국기업 유럽진출 지원을 위한 EU 적정성 결정의 조속한 추진 지원 및 해외 법제정보 제공
②한국 국민 개인정보 보호강화를 위한 글로벌 기업 공동조사 등 국가간 협조 강화
③개인정보 관련 기술·제도 국제표준화 작업 등 국제무대에서의 국익 확보를 위한 국제협의체 내 선도적 역할 강화
위 3가지 항목이 주된 프로젝트 내용이라고 하는데요 충분히 글로벌화 되어 국내에서만 열심히 보호하는건 더이상 의미가 없어진 지금 국제협력 강화로 내국인들의 개인정보에 더욱 힘써줬으면 하는 바램입니다. 또한 EU 적정성검토가 통과되어 GDPR에 대한 큰 부담 없이 사업을 영위할 수 있게 되길 기대해 봅니다.

<기타>

새로운 머신러닝 개발 프레임워크가 개발되었다고 하는데요 이번에 개발된 프레임워크는 위험요소를 분석하는 접근법을 가지고 있다고 합니다. 다만, 해결방법이 포함된건 아니라고 하는데요 그렇다고 해도 머신러닝을 개발하면서 발생할 수 있는 위협에 대해 경고해줄 수 있다는 자체로 매우 뛰어난 프레임워크가 아닌가 싶습니다.
개인정보보호협회가 개로운 ISMS-P 심사기관으로 지정되었습니다. 심사 대상도 늘어나고 있고 ISMS와 PIMS를 별도로 받아야 하는 부담이 줄면서 ISMS-P 신청기관도 늘어나는만큼 심사 일수에 대한 수요도 늘어날 수 밖에 없는데요 심사기관이 늘어나면서 심사원들의 퀄리티도 함께 늘어나길 기대해봅니다.
11개 시민·노동단체가 데이터3법의 후속과제에 대한 의견서를 제출했다고 하는데요 개인정보의 활용으로 인한 기술 및 경제의 발전과 개인정보의 보호라는 측면에서 양쪽을 모두 만족시킬 수 있는 방안이 하루빨리 나오길 기대해 봅니다.

이밖에 보안 관련 뉴스는 아니지만 뉴스 스크랩 과정에서 같이 들어온 뉴스 중 IT 뉴스도 함께 올립니다.

2월 2주차 뉴스입니다.

이번주 IT관련 언론에서 주로 다룬 내용은 크게 다섯가지 이슈였습니다.

1. 데이터3법 통과에 따른 이런저런 이야기
2. 제4차 개인정보보호 기본계획 발표
3. 여기어때 대표 집행유예 선고
4. 미국 에퀴팩스 사건으로 중국 요원 4명 기소
5. WSJ의 화웨이 백도어 의혹

<데이터3법 통과에 따른 영향>

지난 2월 4일 데이터3법이 발표됐고 이미 그 전에 데이터3법은 통과됐죠
데이터3법이 통과되고 다양한 분야에서 이런저런 얘기들이 쏟아져 나오고 있는데요 이번주에는 특히 기획재정부에서 데이터 분야 전문가들과의 오찬 간담회를 열고 "국민이 편의를 체감하면서도 안전하고 신뢰할 수 있는 데이터 활용방안을 마련하는 것이 중요하다"고 얘기했습니다.
IT관련 언론의 뉴스를 수집하다보니 대체로 데이터3법 통과를 환영하는 분위기인데요 아무래도 법이 통과되고 가명정보의 활용이 활성화 되면서 빅데이터 기술이 늘어나고 그에 따른 다양한 산업분야에서의 활용도 늘어날 수 있다는 점은 IT 업계에서는 무척 기대가 되는 내용이 아닌가 싶습니다. 하지만 그만큼 개인정보의 안전한 활용이 담보될 수 있냐는 질문에 대해 고심해봐야 할텐데요 다양한 매체에서 발전에 대해 기대하는 것 이상으로 개인정보의 안전한 활용에 대해 우려섞인 눈길을 보내고 있고 악용될 경우 엄청난 사회적 혼란을 야기할 수 있는 만큼 가명정보 활용에 대해 무작정 환영할게 아니라 얼마나 안전하고 효과적으로 가명정보를 활용할 수 있을지 민관 모두가 고민해봐야 할 문제인 듯 합니다.

<제4차 개인정보보호 기본계획 발표>

개인정보보호 위원회에서 제4차 개인정보보호 기본계획을 발표했는데요 개인정보보호 기본계획은 3년마다 수립되는 중기계획으로 기본목표, 추진방향, 제도 및 법령 개선, 침해방지 등 중요 사항을 담고있는 내용입니다.
특히 이번 제4차 개인정보보호 기본계획 발표는 데이터3법 통과 이후 발표된 기본 계획으로 데이터 활용의 활성화를 앞두고 있는 시점이기 때문에 더욱 주목될수밖에 없는데요 개인정보보호위원회에서는 데이터 활용을 위해서는 안전한 개인정보 보호가 전제되어야 한다고 했습니다.

<여기어때 대표 집행유예 선고>

여기어때 대표가 야놀자의 DB를 무단으로 크롤링한 혐의에 대해 징역1년6개월에 집행유예 2년이 선고되었습니다. 숙박 DB를 API 서버를 통해 침입한 혐의로 기소되었는데요 여기어때 측에서는 누구나 접근 가능한 공개정보를 일반적으로 사용하는 크롤링 기법을 이용해 수집했을 뿐이라고 주장했지만 재판부는 경쟁관계 우위를 점하기 위해 접근권한 없이 크롤링 프로그램을 이용해 서버에 접속하는 것은 정보통신망 침해 행위라고 판단했습니다.
경쟁사이기 때문에 위법행위로 판단한것인지 아니면 다른 불법적인 요소가 있었는지는 모르겠습니다만 API서버에 접근통제가 되어있지 않은 상태에서 다른 우회기법이 없이 접근이 가능했다면 그게 과연 위법행위인지 모르겠습니다. 물론 접근통제를 했음에도 불구하고 우회했다면 당연히 위법행위겠지만요...

<미국 에퀴팩스 사건으로 중국 요원 4명 기소>

지난 2017년 5월에 발생한 에퀴팩스 해킹사건의 주범으로 미국 사법부에서 중국인 4명을 기소했는데요 에퀴팩스 해킹사건은 역사상 가장 대규모의 개인정보 유출사건입니다. 1억 4500만명의 민감한 개인정보가 유출되었던 사건인데요 아파치스트럿츠에서 발견된 취약점을 익스플로잇해서 발생시킨 공격이었습니다.
3년간의 분석 끝에 중국 요원 4명을 찾아냈다고 하는데요 해킹이 단순히 돈벌이나 장난 수준이 아닌 국가간의 전쟁 도구로 사용하는 무서운 세상이 된 만큼 민간기업의 보안담당자라고 해서 안일하게 생각할 문제는 아닌 것 같습니다.

<WSJ의 화웨이 백도어 의혹>

월스트리트저널에서는 화웨이가 통신장비의 백도어를 이용해 불법도청을 하고 있고 그에 대한 증거를 갖고 있다고 했습니다. 또한 화웨이는 그런 능력을 갖고 있지도 않고 그런 사실이 발견되었다면 그 증거를 공개해달라고 요청하면서 WSJ의 주장에 반박했습니다. 에퀴팩스 사건도 그렇고 화웨이 백도어 건도 그렇고 미국과 중국의 사이버전을 통한 갈등이 상당히 심화되고 있는 느낌입니다.

<기타>

2월 14일 뉴스입니다.

<약학정보원 개인정보 유출 무죄>

약정원이 6년간의 법리다툼 끝에 무죄 판결을 받았습니다. 약정원은 환자의 개인정보를 약국청구프로그램인 PM2000과 환자의 동의없이 공유했다는게 문제였는데요 특히 고유식별정보와 민감정보를 정보주체의 동의 없이 수집했으며 개인정보의 암호화 수준이 특히 이슈가 되었습니다. 1기 암호화 방식은 주민번호와 알파벳의 1:1 치환으로 현재 어디에서도 암호화로 보지 않는 수준의 암호화 방식입니다. 사실 암호화 기법의 수준으로 따지면 우리가 암호학 시간에 배운 고대시대의 암호화 방식과 동일하죠
2기 암호화에서는 SHA512 알고리즘을 이용했지만 1기 암호화 방식의 주민번호와 2기 암호화 방식의 해시값을 매칭시켜 주민번호를 찾을 수 있었습니다.
3기 암호화 방식은 주민번호를 제공하지 않고 성명, 성별, 생년월일을 SHA512 알고리즘으로 암호화 했는데요 2기, 3기에서 알고리즘은 충분히 안전한 알고리즘을 사용했으나 주민번호의 동일성 파악을 위해 2, 3기 데이터를 전달하는 과정에서 1기의 매칭테이블을 제공해 주민번호 식별이 가능한 데이터의 제공이 이뤄졌습니다.
다만, 이번 판결에서 복호화할 의사가 있지 않아 무죄라고 판단했습니다.
개인적으로 이 부분에 대해 이해는 가지 않는데요 ISMS-P 심사 가이드라인에서는 암호키는 배포 대상자와 배포방법, 유효시간까지 정책 및 지침에 정의하도록 하고 있고 소스코드에는 암호키를 기록하지 못하도록 하고 있을 정도로 반드시 필요한 경우가 아닌 이상 암호화 된 데이터를 복호화 하지 못하도록 강하게 가이드하고 있습니다. 그래서 많은 정보통신사업자는 최소한의 인원에게만 데이터의 복호화 권한을 부여하고 그 이외의 담당자가 복호화된 데이터가 필요한 경우 승인절차를 통해 추출한 데이터를 제공받고 해당 내용은 주요 점검 대상으로 보고 있음에도 불구하고 기술적으로 복호화가 가능하나 의사가 있지 않아 무죄라고 판단한 것이 과연 합당한지 의구심이 남는 부분입니다.

<기타>

보안뉴스에서는 정보유출이 계속해서 늘고 있으며 클라우드 환경의 변화로 인해 올해는 더할 것이라는 전망이 발표된 기사가 있었습니다.
ITBizNews에서는 보안담당자가 주목해야 할 올해의 이슈로 IoT와 클라우드 도입에 따른 환경 변화를 얘기하는 기사가 있었는데요 IoT의 보안 이슈도 이미 여러번 언급되어왔고 클라우드는 이미 설정의 오류로 인해 대형 사고가 작년부터 꾸준히 일어나고 있는 상황입니다. 변화를 따라가야하는 보안담당자이지만 기술의 변화를 따라가기가 쉽지는 않은데요 그럼에도 불구하고 쉽게 볼 수 없는 영역이며 다양한 분야의 전문가와 함께 보안 수준을 향상시켜 나가야 하는 부분입니다.

그 밖에도 다양한 내용의 기사가 있으니 참고하시기 바랍니다.