본문으로 건너뛰기

"pe/security" 태그로 연결된 81개 게시물개의 게시물이 있습니다.

기술사 보안 토픽

모든 태그 보기

ISMS, ISMS-P

· 약 4분

ISMS, ISMS-P 개념

  • 정보통신망법, 개인정보보호법을 근거로 기업 및 기관의 정보보호 및 개인정보보호를 위한 일련의 조치와 활동을 KISA가 증명하는 제도
  • 체계적인 관리체계 적용으로 정보보호 및 개인정보관리 수준 향상, 각종 보안 사고시 신속한 대응 가능

ISMS, ISMS-P 개념도, 구성요소, 적용대상

ISMS, ISMS-P 개념도

ISMS, ISMS-P 구성요소 비교

구분ISMSISMS-P
인증목적정보보호를 위한 일련의 조치와 활동의 적합성정보보호 및 개인정보보호 위한 조치와 활동의 적합성
대상조직기존 ISMS 대상 기업, 개인정보 없거나 개인정보 흐름의 보호가 불필요한 기업정보시스템에 개인정보보호 흐름 포함, 개인정보 처리 단계별 보안 강화가 필요한 기업
심사 항목관리체계 수립 및 운영, 보호대책 요구사항관리체계 수립 및 운영, 보호대책 요구사항, 개인정보처리 단계별 요구사항
최고책임자지정정보보호 최고 책임자정보보호 최고 책임자, 개인정보보호 책임자

ISMS-P 적용 대상

구분대상예시
정보통신망 서비스 제공사서울시, 광역시 에서 정보통신망 서비스를 제공하는 자 등인터넷 사업자, 모바일 사업자
집적정보통신 시설 사업자정보통신망법 제46조 따른 IDC 사업자서버호스팅 사업자, 보안관제 사업자
병원연매출 1,500억 이상 상급 종합 병원병상 수, 서비스 기준 3년마다 재평가
학교연매출 1,500억 또는 전년도 재학생 10,000명 이상대학, 교육대학, 방송통신대학
정보통신서비스 제공자전년 매출 100억 이상, 전년도 3개월 간 DAU 100만 이상포털, 전자상거래, 금융, 콘텐츠
  • 매출 300억 미만 중소기업, 매출 300억 이상 주요 정보통신설비 미보유 중기업인증 기준 및 비용 40% 절감한 간편 인증 가능

ISMS-P 인증 예외 사항

  • 정보통신서비스와 관련성이 낮은 ERP, 그룹웨어 등 내부 시스템과 영업, 마케팅 조직은 인증범위 제외
  • 금융권 제외

NFT 취약점

· 약 3분

NFT의 개념

NFT의 보안 취약점 개념도, 주요 유형, 대응방안

NFT의 보안취약점 개념도

  • NFT생태계의 복잡성으로 인해 다양한 유형의 취약점 존재

NFT 보안 취약점 주요 유형

구분내용비고
플랫폼 취약점마켓플레이스 웹 취약점해킹, 스캠 등
피싱, 사이트, 메일 등 정보 탈취
코드 취약점스마트 컨트랙트 코드 오류, 개인 지갑 확장 프로그램 오류악성코드 감염, 실행
키관리개인 지갑 비밀번호, 복구구문 탈취권한 상실, 도난
프로토콜 취약점블록체인 네트워크 합의 알고리즘 결함거래 무효화, 이중 지불 등

NFT 보안 취약점 대응방안

구분내용비고
관리적스마트컨트랙트 코드 표준 준수 감사ERC-721
신원 인증 강화, 거래소 신뢰도 평가커뮤니티 관리
물리적개인정보 암호화, 백업시스템 도입데이터 기밀성, 무결성 확보
기술적소유권 정보 일관성 유지검증시스테 구현
안전한 합의 알고리즘 사용지분증명

개인정보 안정성 확보 조치 기준

· 약 4분

개인정보 안정성 확보 조치 기준 개념

  • 개인정보의 분식, 유출, 위변조를 방지하고 안전성을 확보하기 위해 개인정보 처리자가 준수해야할 안전 조치 기준
  • 개인정보 보호법 29조, 30조 준수

개인정보 안전성 확보조치 기준 구성, 개정내용, 적용방안

개인정보 안전성 확보조치 기준 구성

구분구성요소내용
관리적 지침개인정보보호책임자개인정보 관련 업무 전반 수행
개인정보 보호조직 구성기관 환경 고려 자체 구성
접근 권한 관리업무별 최소권한 부여
개인정보 취급자 교육정기적 교육 실시
개인정보 유출사고 대응유출사고시 대응 절차 마련
위험도 분석 및 대응유출 위험원 식별, 평가 분석
기술적 지침접근 통제침입탐지, 차단
암호 조치정보 자체 및 통신구간 암호화
접근기록 보관, 점검개인정보 접근시 사유확인 기준
악성프로그램 방지백신 SW프로그램 설치
물리적 지침물리적 안전조치전살실 출입통제 절차 수립
재해 ,재난 대비백업 빛 복구 계획 수립
  • 개인정보 암호화 수준에 따라 추가 피해 방지

개인정보 안전성 확보조치 개정 내역

  • 공공시스템 운영기관의 개인정보 안전성 확보조치 기준 마련
  • 100만명 이상 개인정보를 가지고 있거나, 개인정보취급자 수 200명 이상일 경우

개인정보 안전성 확보 조치 기준 적용방안

구분방안비고
정보전송 암호화정보통신망 암호화 전송N/W구간 암호화, TLS 1.3
DMZ 구간 암호화 저장외부접근 가능구간 고려
정보저장 암호화비밀번호 단방향 암호화해시함수 사용, 위변조 방지
안전한 알고리즘 사용AES256이상, 국내외 권고 준수
암호키 관리키 관리 절차 수립난수, 대칭, 비대칭키 관리 정책
보관, 파기 절차 수립보관 기간 및 평문 파기 절차

개인정보 안전성 확보 조치시 고려사항

  • 업무 환경 및 시스템 구성을 고려하여 유출탐지, 차단 등 적절한 대응조치 수행

RaaS, Ransomware as a Service

· 약 3분

랜섬웨어의 개념

  • 몸값(Ransome)과 소프트웨어의 합성어로 시스템을 감염시커 사용 불가능한 샅애로 만들거나, 데이터를 암호화해 사용할 수 없게한 뒤 금전을 요구하는 악성프로그램
  • 다크웹 등 익명 N/W를 통해 누구나 랜섬웨어를 의뢰, 구매하여 공격에 활용할 수 있는 RaaS 형태로 진화

RaaS의 매커니즘, 공격절차, 대응방안

RaaS의 매커니즘

RaaS의 공격절차

구분내용비고
1. 제작, 등록RaaS 플랫폼 제작, 다크웹에 광고텔레그램 등 활용
2. 구매원하는 랜섬웨어 구매, 맞춤형 랜섬웨어 서비스 생성암호화 방식, 금액 등
3. 공격랜섬웨어를 피싱 메일, 파일, 웹사이트를 통해 유통, 감염 후 금전 요구암호화폐 활용
4. 수익배분공격자와 제작자의 범죄수익 공유RaaS 수수료
5. 업데이트 제공지속적인 취약점 업데이트제로데이 공격

RaaS 대응방안

구분방안비고
관리적보안 인식 교육 강화정기적인 모의 훈련
데이터 백업 정책 수립오프라인 백업 등
물리적출입 통제 강화CCTV, 출입 대장
기술적N/W 보안 강화방화벽, IDS, IPS
이메일 보안 강화스팸필터, 파일 검사
EDR 솔루션 도입엔드포인트 모니터링

RaaS 고려사항

  • 랜섬웨어 피해를 최소화하기 위해선 예방하는 것이 최선이므로, 개인의 사이버보안 생활화 필요

개인정보 가명화, 익명화

· 약 4분

개인정보, 가명정보, 익명정보의 개념

  • 개인을 알아볼 수 있는 정보를 가명처리하여 통계작성, 연구 목적활용, 익명처리하여 동의 없이 서비스에 활용
  • 개인정보 보호법 준수, 개인 프라이버시 보호, 서비스 신뢰성 확보

개인정보 가명처리의 절차, 주요 기술, 안정성 확보조치

개인정보 가명처리 절차

절차내용비고
사전준비대상 선정, 적합성 검토관리적 준비사항
위험성 검토식별 위험성 평가, 특성 분석데이터 환경요소 고려
가명처리가명처리 기술 적용, 처리수준 결정관리적, 기술적 조치 병행
적정성 검토결과의 적정성 검토, 추가 진행외부 전문가 포함 가능
안전한 관리재식별 방지조치 마련내부 관리 계획 수립

개인정보 가명처리 주요 기술

구분기술내용
삭제 기술부분, 전체 삭제원본 정보 전체 또는 일부 삭제
마스킹특정 정보 공백, 문자 치환
통계도구총계처리평균값, 최솟값, 최댓값 처리, 오차 범위기반 처리
일반화(범주화)라운딩올림, 내림, 반올림 기준 집계
샘플링무작위 레코드 추출
로컬 일반화특정 식별 값을 일반화
암호화해시원문 비교 연산 활용하는 경우
동형암호화암호화 상태에서 연산 및 처리
무작위화토큰화특정 데이터 토큰 대체
난수생성기예측 불가한 값으로 대체
차분 프라이버시응답값에 임의의 숫자 노이즈 추가

개인정보 가명처리 안정성 확보 조치

구분조치비고
관리적내부 관리계획 수립가명 처리 전 과정 적용
접근 권한 관리
물리적보안 구역 설정중요 데이터
출입 통제 시스템 운영보관 장소에 적용
기술적접근 통제 시스템 적용데이터 저장, 전송시 적용
보안 SW사용

개인정보 가명처리시 고려사항

  • 비정형 데이터에 대한 블러링, 필터링, 마스킹과 AI를 활용한 부분 합성데이터 사용 고려

인포스틸러

· 약 3분

인포스틸러의 개념

  • 운영체제나 프로그램에 저장된 자격증명과 각종 정보를 훔치는 악성코드
  • 암호화폐 지갑, 게임 등 탈취 가능한 자격증명의 증가, 자동화, 지능화된 악성코드 실행

인포스틸러의 매커니즘, 공격절차, 대응방안

인포스틸러의 매커니즘

인포스틸러 공격절차

구분내용비고
1. 피싱메일, 링크 접근악성링크 클릭 유도, 불법파일 설치 유도사용자 부주의 이용
2. 악성코드 실행인포스틸러 SW자동설치 및 실행백신, 방화벽 우회시도
3. 정보탈취사용자정보, 금융정보, 계정정보 탈취C&C서버 활용
4. 중요정보 판매탈취한 정보를 다크웹 판매, 협박2차 피해 발생

인포스틸러 대응방안

대응방안내용비고
관리적보안정책 수립 및 교육, 강력한 PW, 일회성 PW 사용2차 인증 활성화
물리적중요 정보 암호화, 디스크 별도 백업정보 유출 피해 최소화
기술적백신, 침입탐지시스템 등 보안 솔루션 설치, 버전 업데이트주기적인 검사 및 관리

인포스틸러 고려사항

  • 공격의 지능화에 따라 사용자가 신뢰할 수 없는 링크 클릭을 금지하는 등 개인 보안 수칙 준수 필요

LDAP, Lightweight Directory Access Protocol

· 약 3분

접근제어의 개념

  • 사용자의 신원을 식별, 인증하여 대상, 정보의 접근 및 사용 수준을 인가하는 관리 기법
  • 최소 권한과 직무 분리로 제로 트러스트 기반 기밀성, 무결성 달성을 위해 필요

접근제어의 개념도, 주요 유형

접근제어의 개념도

접근제어의 주요 유형

구분내용비고
DAC, 임의적 접근제어사용자나 그룹에 근거한 접근제어, 특정 권한 주체가 권한 위임 가능ACM, ACL
MAC, 강제적 접근제어객체별로 정의된 권한을 근거로 접근제어, 보안등급, 규칙 기반벨라파둘라, 비바, 클락윌슨, 만리장성
RBAC, 역할기반 접근제어권한을 그룹에 부여하고, 그룹이 수행할 역할을 정의하여 접근제어IAM 등

LDAP 프로토콜의 개념 및 접근제어 방안

LDAP 프로토콜의 개념

  • 사용자, 시스템, N/W, 어플리케이션 정보를 트리로 저장하여 조회, 수정 등 디렉토리 서비스와 정보를 전달하는 프로토콜
  • DAP의 통신비용을 절감하기 위해 표준화

LDAP 프로토콜의 접근제어 방안

구분내용비고
인증Bind요청을 통한 사용자, 클라이언트 신원 검증비밀번호, SASL 등
인가LDAP 디렉토리 내 객체와 속성 권한 확인 후 권한 부여사용자, 그룹정보로 ACL 처리
감사, AuditLDAP 서버 활동 기록, 보안 및 규정준수 추적Audit Log, Change Log 관리

정보보호제품 신속확인제도

· 약 3분

정보보호제품 신속확인제도

  • 신기술, 융복합 제품에 대해 최소한의 절차와 인증 기준으로 보안제품을 평가한 뒤 평가 기준이 마련될 때까지 공공부문에 제품을 적용할 수 있도록하는 제도
  • 기존 인증제도에 평가기준이 없는 제품의 공공시장 진입 가능, 정부 및 공공기관의 혁신 제품 도입을 통한 신규 보안 위협 대응
  • 최근 6개월 간 심사 0건, 활성화 필요

정보보호제품 신속확인제도 절차도, 세부절차, 도입요건

정보보호제품 신속확인제도 절차도

정보보호제품 신속확인제도 세부절차

구분내용비고
기존제도 가능여부 검토제품이 기존 인증제도에서 평가 가능한지 검토CC인증 등
신속 확인 준비신속 확인 신청을 위한 점검취약점 진단, 기능 시험
신속 확인 신청진단서, 평가서, 서약서 제출2개월 소요
심의 및 확인서 발급심의 적합시 확인서 발급2년 유효기간
변경 승인 기준 마련변경시 취약점 코드 점검, 기존제도 평가 기준 마련시 연장 불가변경 관리

정보보호제품 신속확인제도 도입 요건

  • '가' 그룹의 경우 국정원의 보안적합성 검증 필요
  • 세부 요건은 국가사이버안보센터 보안적합성 검증 체계 참조

활성화방안

  • 대상 그룹 확장: 국방 관련 및 민감 제품 '가' 그룹 확장 필요
  • 신기술 필수: AI 제로트러트스 관련 제품 필수 확인

정보보호제품 신속확인제도 발전방향

  • 국가용 보안 요구사항에 정의된 내용을 기반으로 체크리스트 도입, 정보보호 기업의 준비절차 간소화

제로 트러스트 보안

· 약 7분

제로 트러스트 보안의 개념

  • 전통적 보안 모델과 달리 네트워크 내/외부를 고려하지 않고, 모든 접근 요청에 대해 철저한 인증과 검증을 끊임없이 수행하는 보안 모델
  • 클라우드 컴퓨팅, 원격 근무로 인한 네트워크 경계의 모호성, 지능화된 사이버공격, 데이터 유출 위험의 증가 방지

제로 트러스트 보안의 개념도, 핵심요소, 적용 분야

제로 트러스트 보안의 개념도

  • 제로 트러스트 패러다임에 맞는 지속적인 요청 검증, 마이크로 세그먼테이션, SDN기반 경계 정의 (SDP) 필요

제로 트러스트 보안 핵심요소

구분기존 트러스트 보안제로 트러스트 보안
신뢰성신뢰 기반비신뢰 기반
인증연결시에만 인증 수행연결 후에도 지속적인 인증
권한높은 수준 권한 부여최소 수준 권한 부여
경계기업망 단위 보안 경계SW 정의 보안 경계
NW분할네트워크 세그먼테이션마이크로 세그먼테이션
리소스 검증인증시 리소스 접근 가능정책결정포인트, 정책집행포인트

제로 트러스트 적용분야

구분분야내용
클라우드환경클라우드 서비스 접근제어클라우드 서비스 접근시 사용자기기, 앱에 대한 지속적 검증, 인증
원격근무환경VPN 접속시 다중 인증VPN 접근 사용자 인증 강화, 기기 상태 확인
데이터 보호중요데이터 접근 제어사용자 권한 및 데이터 접근 맥락 확인, 사용자 액션 로깅

제로 트러스트 아키텍처 보안 모델 및 구성요소

제로 트러스트 아키텍처 보안 모델

제로 트러스트 아키텍처 보안 모델 구성요소

구분설명주요 기능 역할
정책결정지점(PDP)보안 정책을 기반으로 사용자의 접근 요청을 평가하고 결정하는 중앙집중식 관리 시스템사용자와 기기에 대한 인증 및 승인, 정책 관리, 권한 부여
정책시행지점(PEP)PDP의 결정을 실행하며, 데이터 흐름과 리소스 접근을 제어하는 역할데이터 통제, 리소스 보호, 불법 접근 차단
정책정보지점(PIP)PDP가 의사 결정을 내릴 수 있도록 데이터를 수집, 분석 및 제공하는 구성 요소사용자, 디바이스, 위치, 시간, 네트워크 활동 등 환경 정보 수집 및 PDP에 실시간 데이터 제공
신뢰 평가지표사용자 및 기기의 현재 상태를 평가하여 동적으로 신뢰도를 조정인증 후 지속적인 모니터링, 의심 상황에서 추가 인증 또는 세션 종료
최소 권한 모델사용자 및 기기에 필요한 최소한의 리소스 접근 권한만 부여하는 세밀한 접근 제어 시스템리소스의 세분화된 분류 및 관리, 횡적 이동 방지, 최소 권한 원칙 준수
세션 단위 보호세션 단위로 접근을 허용하며, 세션 종료 후 다시 인증이 필요하게 설계통신 보호 기술 적용, 각 세션의 독립적 인증

제로 트러스트 보안 적용시 고려사항

  • ITAM 도입을 선행하여 정보 자산의 추적용이성 확보

참조

인공지능 윤리

· 약 4분

인공지능 윤리의 개념

  • AI 산업 전반에서 AI시스템의 개발, 배포, 사용과 관련된 윤리적 원칙가 가치
  • AI의 급속한 발전으로 인한 오남용이 심화됨에 따라 AI 개발, 적용 과정에서의 설명가능성, 투명성 확보를 위한 윤리 기준과 거버넌스 필요

인공지능 윤리의 주요 원칙, 적용방안

인공지능 윤리의 주요 원칙

인공지능 윤리 주요 원칙 상세설명

구분세부 원칙설명
인간존엄성인권보장인간중심, 인권, 자유 보장
프라이버시 보호사생활 보호, 개인정보 오용 최소화
다양성 존중다양성, 접근성 보장, 편향 및 차별 금지
사회공공선침해 금지인간에 무해한 목적으로 활용
공공성인류 공통 이익 중시, 순기능 극대화
연대성이해관계자 참여 기회 보장
기술합목적성데이터 관리목적 외의 용도 사용 금지, 품질 관리
책임성책임 명확화, 주체별 책임 분산
안전성잠재적 위험 방지, 안전 보장 활동
투명성설명 가능성 확보, 유의사항 고지
  • AI 윤리 원칙을 준수하기 위해 기업 내 AI 거버너스 확립

AI 거버넌스 모형 개념도, 구성요소, 주요 사례

AI 거버넌스 모형 개념도

AI 거버넌스 구성요소

구분요소설명
기술설명가능성희소오토인코더 기반 xAI 구현
공정성편향, 차별 식별 및 제거
보안프라이버시 보호개인 데이터 학습에 의한 침해 방지
안정성, 보안성적대적 공격, 환각 방지
사회공공성AI로 인한 일자리 변화 고려
연대성긍정적인 사회 변화 선도
규제오남용 방지 규제딥페이크 등 오남용 규제
국제사회 협력국제 사회 소통을 통한 규제 마련

AI 거버넌스 주요 사례

구분사례내용
국내카카오국내 최초 AI 윤리 헌장 제정
삼성전자AI 국제 컨소시엄 가입
국외미국AI 이니셔티브 행정 명령
EUAI 윤리 가이드라인 발표