'읽을거리'에 해당되는 글 330건

2월 18일 뉴스입니다.

<데이터3법>

먼저 데이터3법 소식입니다.
사이버안전 포럼에서 데이터3법 통과 이후 개인정보 총괄 감독 부처가 개인정보보호위원회로 통합되었기 때문에 사이버 안전 거버넌스의 재정립이 필요하다는 발표가 있었습니다.
시민단체에서는 개인정보의 가명처리에는 허점이 있으니 익명처리에 한해서만 허용해야 한다는 주장이 있었고 그에 반해 산업계에서는 법에서 연구목적의 가명정보 처리를 허용했으니 이를 시행령에서 대치되는 법안이나 가이드가 나오지 않고 연구가 활성화 되도록 해야 한다는 주장을 했습니다.
개인적으로 익명화된 개인정보와 가명화된 개인정보는 쓰임새가 다르고 연구에 활용되는 범위가 다른 만큼 개인정보보호법에서 요구하는대로 익명화로 가능한 범위는 익명화로, 익명화가 불가한 부분에 대해서는 가명화된 개인정보를 사용해야 한다는 입장입니다만 재식별이 불가능하도록 가명화 하는데 구체적인 가이드가 나와 비식별화 전문가를 초빙하거나 채용하지 않더라도 정보보호담당자 선에서 조치가 가능하도록 했으면 하는 바램입니다.

<기타>

미국 사이버사령부에서는 라자루스의 멀웨어 샘플 6개를 바이러스토탈에 공개했습니다. 그동안 자체 DB에 없어 검색이 안되던 라자루스의 멀웨어도 모든 안티바이러스 솔루션에서 검출이 가능해 졌습니다.
이란의 해킹단체 APT33과 APT34가 협업하여 VPN을 뚫었다고 하는데요 민간기업에서 주로 사용하는 펄스 시큐어, 포티넷, 팔로알토의 VPN을 익스플로잇 했다고 합니다. 해당 제품을 사용하시는 담당자들께서는 점검이 필요할 듯 합니다.
CPO를 처벌하는 개인정보보호법이 잘못되었다는 주장이 있었습니다. 이 기사의 내용은 예전부터 저 역시 생각을 해왔고 공감이 되는 부분인데요 과연 CPO를 계속 처벌한다고 하면 과연 CPO를 담당하겠다고 하는 사람이 있을지 의문입니다. 오히려 법인에 벌금이나 과징금이 커지는 것이 CPO에게 힘을 실어주고 더욱 강력한 보호수준을 유지할 수 있는 방안이 아닐까 싶습니다.

이밖에 보안 관련 뉴스는 아니지만 뉴스 스크랩 과정에서 같이 들어온 뉴스 중 IT 뉴스도 함께 올립니다.

2월 17일 뉴스입니다.

<개인정보보호위원회 국제협력 강화>

개인정보보호위원회가 국제협력을 강화하기로 했다는데요 이에 따라 '개인정보 국제협력 강화 3대 프로젝트'를 추진하고 있다고 합니다.
①한국기업 유럽진출 지원을 위한 EU 적정성 결정의 조속한 추진 지원 및 해외 법제정보 제공
②한국 국민 개인정보 보호강화를 위한 글로벌 기업 공동조사 등 국가간 협조 강화
③개인정보 관련 기술·제도 국제표준화 작업 등 국제무대에서의 국익 확보를 위한 국제협의체 내 선도적 역할 강화
위 3가지 항목이 주된 프로젝트 내용이라고 하는데요 충분히 글로벌화 되어 국내에서만 열심히 보호하는건 더이상 의미가 없어진 지금 국제협력 강화로 내국인들의 개인정보에 더욱 힘써줬으면 하는 바램입니다. 또한 EU 적정성검토가 통과되어 GDPR에 대한 큰 부담 없이 사업을 영위할 수 있게 되길 기대해 봅니다.

<기타>

새로운 머신러닝 개발 프레임워크가 개발되었다고 하는데요 이번에 개발된 프레임워크는 위험요소를 분석하는 접근법을 가지고 있다고 합니다. 다만, 해결방법이 포함된건 아니라고 하는데요 그렇다고 해도 머신러닝을 개발하면서 발생할 수 있는 위협에 대해 경고해줄 수 있다는 자체로 매우 뛰어난 프레임워크가 아닌가 싶습니다.
개인정보보호협회가 개로운 ISMS-P 심사기관으로 지정되었습니다. 심사 대상도 늘어나고 있고 ISMS와 PIMS를 별도로 받아야 하는 부담이 줄면서 ISMS-P 신청기관도 늘어나는만큼 심사 일수에 대한 수요도 늘어날 수 밖에 없는데요 심사기관이 늘어나면서 심사원들의 퀄리티도 함께 늘어나길 기대해봅니다.
11개 시민·노동단체가 데이터3법의 후속과제에 대한 의견서를 제출했다고 하는데요 개인정보의 활용으로 인한 기술 및 경제의 발전과 개인정보의 보호라는 측면에서 양쪽을 모두 만족시킬 수 있는 방안이 하루빨리 나오길 기대해 봅니다.

이밖에 보안 관련 뉴스는 아니지만 뉴스 스크랩 과정에서 같이 들어온 뉴스 중 IT 뉴스도 함께 올립니다.

2월 2주차 뉴스입니다.

이번주 IT관련 언론에서 주로 다룬 내용은 크게 다섯가지 이슈였습니다.

1. 데이터3법 통과에 따른 이런저런 이야기
2. 제4차 개인정보보호 기본계획 발표
3. 여기어때 대표 집행유예 선고
4. 미국 에퀴팩스 사건으로 중국 요원 4명 기소
5. WSJ의 화웨이 백도어 의혹

<데이터3법 통과에 따른 영향>

지난 2월 4일 데이터3법이 발표됐고 이미 그 전에 데이터3법은 통과됐죠
데이터3법이 통과되고 다양한 분야에서 이런저런 얘기들이 쏟아져 나오고 있는데요 이번주에는 특히 기획재정부에서 데이터 분야 전문가들과의 오찬 간담회를 열고 "국민이 편의를 체감하면서도 안전하고 신뢰할 수 있는 데이터 활용방안을 마련하는 것이 중요하다"고 얘기했습니다.
IT관련 언론의 뉴스를 수집하다보니 대체로 데이터3법 통과를 환영하는 분위기인데요 아무래도 법이 통과되고 가명정보의 활용이 활성화 되면서 빅데이터 기술이 늘어나고 그에 따른 다양한 산업분야에서의 활용도 늘어날 수 있다는 점은 IT 업계에서는 무척 기대가 되는 내용이 아닌가 싶습니다. 하지만 그만큼 개인정보의 안전한 활용이 담보될 수 있냐는 질문에 대해 고심해봐야 할텐데요 다양한 매체에서 발전에 대해 기대하는 것 이상으로 개인정보의 안전한 활용에 대해 우려섞인 눈길을 보내고 있고 악용될 경우 엄청난 사회적 혼란을 야기할 수 있는 만큼 가명정보 활용에 대해 무작정 환영할게 아니라 얼마나 안전하고 효과적으로 가명정보를 활용할 수 있을지 민관 모두가 고민해봐야 할 문제인 듯 합니다.

<제4차 개인정보보호 기본계획 발표>

개인정보보호 위원회에서 제4차 개인정보보호 기본계획을 발표했는데요 개인정보보호 기본계획은 3년마다 수립되는 중기계획으로 기본목표, 추진방향, 제도 및 법령 개선, 침해방지 등 중요 사항을 담고있는 내용입니다.
특히 이번 제4차 개인정보보호 기본계획 발표는 데이터3법 통과 이후 발표된 기본 계획으로 데이터 활용의 활성화를 앞두고 있는 시점이기 때문에 더욱 주목될수밖에 없는데요 개인정보보호위원회에서는 데이터 활용을 위해서는 안전한 개인정보 보호가 전제되어야 한다고 했습니다.

<여기어때 대표 집행유예 선고>

여기어때 대표가 야놀자의 DB를 무단으로 크롤링한 혐의에 대해 징역1년6개월에 집행유예 2년이 선고되었습니다. 숙박 DB를 API 서버를 통해 침입한 혐의로 기소되었는데요 여기어때 측에서는 누구나 접근 가능한 공개정보를 일반적으로 사용하는 크롤링 기법을 이용해 수집했을 뿐이라고 주장했지만 재판부는 경쟁관계 우위를 점하기 위해 접근권한 없이 크롤링 프로그램을 이용해 서버에 접속하는 것은 정보통신망 침해 행위라고 판단했습니다.
경쟁사이기 때문에 위법행위로 판단한것인지 아니면 다른 불법적인 요소가 있었는지는 모르겠습니다만 API서버에 접근통제가 되어있지 않은 상태에서 다른 우회기법이 없이 접근이 가능했다면 그게 과연 위법행위인지 모르겠습니다. 물론 접근통제를 했음에도 불구하고 우회했다면 당연히 위법행위겠지만요...

<미국 에퀴팩스 사건으로 중국 요원 4명 기소>

지난 2017년 5월에 발생한 에퀴팩스 해킹사건의 주범으로 미국 사법부에서 중국인 4명을 기소했는데요 에퀴팩스 해킹사건은 역사상 가장 대규모의 개인정보 유출사건입니다. 1억 4500만명의 민감한 개인정보가 유출되었던 사건인데요 아파치스트럿츠에서 발견된 취약점을 익스플로잇해서 발생시킨 공격이었습니다.
3년간의 분석 끝에 중국 요원 4명을 찾아냈다고 하는데요 해킹이 단순히 돈벌이나 장난 수준이 아닌 국가간의 전쟁 도구로 사용하는 무서운 세상이 된 만큼 민간기업의 보안담당자라고 해서 안일하게 생각할 문제는 아닌 것 같습니다.

<WSJ의 화웨이 백도어 의혹>

월스트리트저널에서는 화웨이가 통신장비의 백도어를 이용해 불법도청을 하고 있고 그에 대한 증거를 갖고 있다고 했습니다. 또한 화웨이는 그런 능력을 갖고 있지도 않고 그런 사실이 발견되었다면 그 증거를 공개해달라고 요청하면서 WSJ의 주장에 반박했습니다. 에퀴팩스 사건도 그렇고 화웨이 백도어 건도 그렇고 미국과 중국의 사이버전을 통한 갈등이 상당히 심화되고 있는 느낌입니다.

<기타>

2월 11일 뉴스입니다.

지난 2017년 발생한 미국의 에퀴팩스 해킹 사건 소식인데요 에퀴팩스 해킹 사건은 1억4500만명의 사회보장번호, 이름, 주소 등 민감한 정보가 유출된 세계 최대규모의 개인정보 유출 사고였는데요 이것은 단순한 해킹 사고가 아닌 중국의 인민해방군 소속 정부요원의 공격이었던 것으로 밝혀졌습니다.

오늘도 어김없이 데이터3법 소식입니다. 데이터 경제활성화 전문가 오찬간담회가 열렸는데요 김용범 기획재정부 1차관 이 자리에서 국민이 편의를 체감하면서도 안전하고 신뢰할 수 있는 데이터 활용 방안을 마련하는 것이 중요하다고 강조했다고 합니다.
주간한국에서는 가명정보와 익명정보, 개인정보에 대한 설명을 잘 해놨네요. 한번쯤 볼만한 내용인 듯 합니다.

여기어때를 운영하는 위드이노베이션의 전 대표가 야놀자의 DB를 무단 크롤링 한 행위로 징역 1년6월에 집행유예 2년이 선고되었습니다. 위드이노베이션에서는 단순히 일반적으로 행해지는 크롤링 방식을 이용했을 뿐 침입과는 상관이 없다고 주장했으나 재판부에서는 경쟁관계의 우위를 점하기 위해 접근권한 없이 크롤링을 한것은 위법으로 봤는데요 경쟁사 크롤링을 하고있는 수많은 업체의 담당자 분들께서는 한번쯤 주의를 기울여보셔야 할 것 같습니다.

그밖에 도커를 사용하는 기업들의 설정 오류로 인한 어플리케이션 소스코드 노출에 대한 소식이나 방화벽 기능에 대한 소개기사 등 몇몇 볼만한 기사가 있었습니다.

더 많은 내용은 기사를 참고하세요~

2월 7일 뉴스입니다.

첫번째 뉴스는 우리은행의 비밀번호 도용건입니다.
우리은행에서 직원들의 실적을 위해 휴면회원의 비밀번호를 변경했는데요 특히 신뢰가 중요한 은행이 개인정보를 이렇게 안일하게 관리한다는것이 어처구니 없게 느껴지는데요 특히 이렇게 문제가 되고 기사화가 되고 있음에도 불구하고 우리은행에서는 사과공지 등 아무런 조치가 없는 상태입니다.

다음 뉴스는 북한의 APT공격 소식입니다. 북한 정부가 배후로 추정되는 김수키 공격그룹에서 주민등록등본으로 위장한 파일을 이용한 APT공격이 발견되고 있는데요 실제 특정인의 주민등록등본 이미지가 첨부되어 무심코 넘기기가 쉽습니다. 주의하시기 바랍니다.

금융위원회에서 3월중 데이터 활용 가이드라인을 마련하겠다고 발표했습니다. 데이터3법 특히 신용정보법 개정에 따른 내용인데요 금융사에서도 빅데이터를 활용할 수 있게 된 만큼 빅데이터를 안전하게 활용할 수 있도록 가이드라인을 마련하겠다고 하니 다양한 업종에서의 빅데이터의 안전한 활용 방안이 나왔으면 하는 바램이 있습니다.

그밖에도 많은 소식이 있었는데요
CISO의 워라벨에 관한 기사가 있었습니다. CISO의 워라벨은 현재 보안업무를 하시는 분들께는 아주 중요한 문제일수밖에 없는데요 CISO가 겪는 문제점 특히 어딘가에서 이슈가 발생하면 우리 조직은 문제 없는지 확인하라는 그런 주말도 상관없이 시도때도 없이 들어오는 지시와 권한없는 책임자의 문제는 많은 조직에서 겪는 문제가 아닐까 싶습니다.
Hyper-V를 이용한 셀프 가상화에 대한 기사도 있었는데요 보안성 측면에서는 꽤 좋은 방법이지만 성능이슈와 번거로움은 해결해야 할 문제점으로 남아있습니다. 

이밖에 많은 내용은 기사를 참고하세요~

이밖에 보안 관련 뉴스는 아니지만 뉴스 스크랩 과정에서 같이 들어온 뉴스 중 IT 뉴스도 함께 올립니다.

2월 6일 뉴스입니다.

금융위원회에서 3월중 데이터 활용 가이드라인을 마련하겠다고 발표했습니다. 데이터3법 특히 신용정보법 개정에 따른 내용인데요 금융사에서도 빅데이터를 활용할 수 있게 된 만큼 빅데이터를 안전하게 활용할 수 있도록 가이드라인을 마련하겠다고 하니 다양한 업종에서의 빅데이터의 안전한 활용 방안이 나왔으면 하는 바램이 있습니다.

다음은 우리은행 소식입니다. 우리은행에서 직원들이 실적을 올리기 위해 2만3천여 휴면계좌의 비밀번호를 변경했다고 하는데요 개인정보의 중요성이 대두되고 있는 요즘 은행에서 이런일이 일어났다는 것에 대해 경악을 금할 수 없습니다.

SK인포섹에서 AD서버 해킹여부를 점검할 수 있는 무료 점검 툴을 공개했는데요 AD를 통해 서버와 단말 등 대규모 시스템을 관리할 수 있는 만큼 AD가 피해를 받는 경우 그 파급력이 엄청난데요 해당 점검 툴과 메뉴얼은 SK 인포섹 홈페이지에서 다운로드 받으실 수 있습니다.(SK인포섹 연결하기)

그밖에 범죄자들이 가장 좋아하는건 MS의 소프트웨어라는 소식이 있었는데요 특히 익스플로러에서 많은 취약점이 나오고 있었습니다. 여전히 플래시플레이어는 문제가 되고 있네요 
페이스트빈에서 네이트 이메일과 비번정보 1300여건이 유출되었습니다. SK커뮤니케이션즈에서는 해당 계정은 이중인증을 통해 본인만 접속이 가능하도록 조치했다고 하는데요 해킹이 감지되지는 않았다고 합니다.

그밖에 더 많은 내용은 기사를 참고하세요~

이밖에 보안 관련 뉴스는 아니지만 뉴스 스크랩 과정에서 같이 들어온 뉴스 중 IT 뉴스도 함께 올립니다.

2월 5일 뉴스입니다.

SK인포섹에서 AD서버 해킹여부를 점검할 수 있는 무료 점검 툴을 공개했는데요 AD를 통해 서버와 단말 등 대규모 시스템을 관리할 수 있는 만큼 AD가 피해를 받는 경우 그 파급력이 엄청난데요 해당 점검 툴과 메뉴얼은 SK 인포섹 홈페이지에서 다운로드 받으실 수 있습니다.(SK인포섹 연결하기)

다음은 우리은행 소식입니다. 우리은행에서 직원들이 실적을 올리기 위해 2만3천여 휴면계좌의 비밀번호를 변경했다고 하는데요 개인정보의 중요성이 대두되고 있는 요즘 은행에서 이런일이 일어났다는 것에 대해 경악을 금할 수 없습니다.

북한의 해킹조직 라자루스가 링크드인과 텔레그렘 등으로 싱가포르거래소에서 가상화폐 83억을 빼돌렸다고 하는데요 가상화폐 거래소의 보안수준은 전세계적으로 강화할 필요가 있지 않을까 하는 생각도 들게하는 사건입니다.

데이터3법이 통과되면서 많은 이야기가 나오고 있는데요 데이터3법이 혁신을 위해 나온 것이라면 혁신은 기업만이 아닌 모두를 위한 것이 되어야 한다는 내용이 있었네요. 데이터3법이 통과된 것은 좋지만 기업만 좋아진 것이 아닌 모두가 함께 좋아진 결과가 나왔으면 하는 바램입니다.

2015년 애슐리 메디슨에서 개인정보 유출사고가 일어났는데요 요즘 유출된 이 정보를 활용한 협박메일이 날아들고 있다고 합니다. 고도로 개인화된 이메일을 통해 민감하고 수치스러운 거부하기 힘든 내용으로 전송되어 명확히 돈을 벌겠다는 의지를 나타내고 있는데요 개인정보 유출사고는 계속적으로 문제를 야기할 수 있다는 점 반드시 기억하셨으면 합니다.

큐버네티스가 생각보다 보안이 약화되어 있다는 소식도 있었는데요 요즘 큐버네티스 많이들 사용하고 계실겁니다. 특히 클라우드 환경에서 인프라 담당자의 편의성과 빠른 업무 환경을 위해 큐버네티스 활용이 많을텐데요 제로데이나 취약점의 문제가 아닌 환경설정의 문제입니다. 속도가 빠르고 사용이 편리한 만큼 이를 위해 보안성을 의도적이든 무의식적이든 약화시키는 경우가 생겨나고 있다고 하니 한번쯤 고민해보고 점검해볼 문제입니다.

그밖에도 많은 내용이 있으니 기사를 참고하시기 바랍니다.

2월 4일 뉴스입니다.

먼저 행사 소식입니다. 코드게이트 2020 소식인데요 세계 최대규모의 해킹방어대회인 코드게이트에서 예선참가신청을 2월 8일 오전9시까지 접수한다고 합니다. 일반부, 주니어부, 대학생부 총 3개부문으로 나눠 접수한다고 하니 관심있는 분들은 도전해 보셔도 좋을 것 같습니다.

건강보험 심사평가원에서 요양기관용 개인정보보호 상담사례집을 공개했는데요 해당 사례집은 요양기관업무포털에서 다운로드 받으실 수 있습니다.(요양기관 업무포털은 유관담당자만 다운로드 받을 수 있는지 찾을 수가 없는데요 데일리팜에서 공개한 페이지에서 다운로드 받을 수 있습니다. 여기를 클릭하세요)

데이터3법이 통과되면서 많은 이야기가 나오고 있는데요 주로 개인정보의 이용에 따른 위험에 대한 우려가 더 많이 나오고 있는 듯 합니다. 특히 시민단체에서는 가명정보의 활용 자체를 금지해야 한다는 경우도 있지만 많은 단체에서는 강력한 제재 방안을 모색해야한다는 주장을 펴는 듯 합니다.

그밖에도 IoT나 스마트홈 보안에 대한 얘기가 갈수록 늘어나고 있습니다.

더 많은 내용은 기사를 참고하세요~

2월 3일 뉴스입니다.

건강보험 심사평가원에서 요양기관용 개인정보보호 상담사례집을 공개했는데요 해당 사례집은 요양기관업무포털에서 다운로드 받으실 수 있습니다. 아래 뉴스 중 데일리팜에서 제공되는 뉴스기사 내에도 다운로드 링크가 연결되어 있네요

다음은 데이터3법에 관한 기사입니다. 데이터3법은 대체로 경제언론에서는 경제활성화에 초점을 맞춘 상태에서 긍정적인 기사를 내보이고 있지만 그 외의 많은 언론에서는 개인정보의 침해에 대한 우려를 꾸준히 나타내고 있습니다. 그런 만큼 빨리 정확한 가이드라인이 나와줬으면 하는 바램입니다.

내일부터 한-EU FTA 이행위원회가 개최된다고 하는데요 개인정보보호법 개정안이 통과되면서 그동안 발목을 잡고있던 독립적인 개인정보보호 감독기구가 설립된 만큼 이번 위원회에서는 GDPR 적정성 통과가 반드시 실현되었으면 하는 바램입니다.

KISA의 보안공지를 사칭한 스미싱 문자가 유포되고 있다고 하는데요 업데이트 공지는 URL 형태로 유포되고 있으며 크롬 업데이트를 권고하는 내용이 기재되어 있어 주의를 요하고 있습니다.

그밖에 이번달 대기업 보안인력 구인이 많다는 희소식이 있었습니다. SMTP 프로토콜의 오픈소스인 OpenSMTPD에서 권한 상승이 가능한 취약점이 발견되었다고 하는데요 많은 리눅스 배포판에 설치되어 있는만큼 확인이 필요할 것 같습니다.
액티브X나 플래시가 보안상 많은 문제점이 있다는 것은 다들 아실텐데요 여전히 액티브X와 플래시가 악성코드 침입로로 많이 쓰여진다고 합니다. 정부에서도 액티브X 없애기에 집중하고 또 모바일이 일상화된 현대 사회에서 접근성에 제약이 있는 만큼 아직 사용하고 있는 기업에서는 빨리 걷어내야 하겠습니다. 

그밖에 더 많은 내용은 기사를 참고하세요~

이밖에 보안 관련 뉴스는 아니지만 뉴스 스크랩 과정에서 같이 들어온 뉴스 중 IT 뉴스도 함께 올립니다.

1월 31일 뉴스입니다.

KISA의 보안공지를 사칭한 스미싱 문자가 유포되고 있다고 하는데요 업데이트 공지는 URL 형태로 유포되고 있으며 크롬 업데이트를 권고하는 내용이 기재되어 있어 주의를 요하고 있습니다.

다음은 빅히트엔터테인먼트의 공식 팬커뮤니티인 위버스에서 개인정보가 유출되었다는 소식인데요 로그인 오류로 인해 이름, 이메일주소, 성별, 휴대전화번호, 멤버십 회원번호, 멤버십 유효기간 6가지 항목이 노출되었다고 합니다. 문제는 개인정보 노출 사고를 전체 회원에게 알리지 않고 일부 회원에게만 제한적으로 알렸다고 하는 점인데요 개인정보보호법 및 정보통신망법 위반의 소지도 있을 수 있겠네요

데이터3법이 통과되면서 준비해야 하는 것들이나 바이오 산업에서의 기대감에 대한 내용이 있었습니다.

은행 앱을 통해 수집한 개인정보의 경우 고객이 동의한 경우에도 보험사에서 활용할 수 없게 되었습니다. 금융위원회에서 내놓은 해석인데요 보험사가 직접 대면 모집이나 온라인 홈페이지를 대상으로 보험상품 안내 및 설명해 모집하는 방식만 허용되었습니다. 보험 영업에 상당한 제약이 되지 않을까 싶네요

이란 해킹조직이 미국 연구기관을 대상으로 표적공격을 감행했다는 소식입니다. 해킹그룹 APT34가 연루되어있는 것으로 보고 있는데요 이들은 2014년부터 정부기관과 금융기관, 에너지 및 사회기반시설을 노려온 단체라고 합니다.  

그밖에 기업의 데이터프라이버시 보호, 카드사의 빈어택, UN해킹 등 다양한 소식이 있었습니다.

더 많은 내용은 기사를 참고하세요~

이밖에 보안 관련 뉴스는 아니지만 뉴스 스크랩 과정에서 같이 들어온 뉴스 중 IT 뉴스도 함께 올립니다.