본문 바로가기

사이버시큐리티

[보안동향] '나도 모르게 클릭!' 악성메일 피싱을 예방하는 방법 최근 보이스 피싱으로 인한 사고가 발생했다는 안타까운 소식이 종종 들려옵니다. 한편, 이러한 피싱이 발생하는 것을 막은 은행원이나 경찰관의 소식도 전해지고 있습니다. 피싱 관련 뉴스를 접하는 사람들은 ‘피싱에 왜 걸리지?’라는 의문을 품곤 하는데요. 막상 피싱에 걸린 사람들을 인터뷰하면 모두 “당할 수밖에 없었다”라고 말합니다. 당해본 사람만 아는 것이죠. 이런 일이 기업에 발생할 수도 있을까요? 사람이 일하는 곳이니 당연히 발생할 수 있습니다. 이를 예방하기 위해 진행한 A 기업의 악성메일 모의 훈련 사례를 소개하겠습니다. 이름과 메일 주소는 인터넷상에 많이 노출돼 있기에 민감한 정보라고 생각하지 않을 수 있습니다. 우리가 주고받는 명함에는 기본적으로 회사명, 이름, 전화번호, 이메일 주소, 직급 등이.. 더보기
[보안동향] ‘정보보호 공시’ 분석부터 작성까지 한 번에 끝내세요! 지난 글에서는 정보보호 공시 개요와 대응 업무 절차, 정보보호 공시 준비 자료를 살펴보았습니다. 이번 글에서는 정보보호 공시 자료 분석 및 작성에 관해 알아보겠습니다. 정보보호 공시 투자 영역 집계는 자산 대장과 비용 원장을 기반으로 분석을 진행합니다. 아래는 분석과 관련된 한국인터넷진흥원(KISA)의 가이드와 공시 실무교육 자료를 요약한 내용입니다. 앞에서 언급한 기본적인 분류 기준 방안을 기반으로 아래 세부 항목별 작성을 진행해 보도록 하겠습니다. 자산 분류, 집계와 관련해 KISA 가이드 및 추가적인 질의를 통해 확인한 내용에 대해 알려드리겠습니다. 제조업을 기반으로 하는 기업인 경우 운영기술(OT) 영역의 다양한 장비가 있는데요. KISA에 문의한 결과 산업용 소프트웨어는 정보 기술로 분류해 반영.. 더보기
[보안동향] 정보보호도 ESG! 어떻게 진행해야 할지 막막하다면? 지난 글에서는 정보보호 공시 배경과 정보보호 관련 ESG 동향에 관해 알아보았습니다. 이번 글에서는 정보보호 공시 개요와 함께 대응 업무 범위 및 수행 절차를 살펴보겠습니다. 정보보호 공시는 아래의 의무 대상 기업이 정보보호 투자액, 인력, 정보보호 인증, 정보보호 활동을 공시하도록 규정하고 있습니다. 정보보호 공시 진행 시에 회계법인 또는 감리법인을 통해 정보보호 공시 사전 점검자료를 제출한 후 공시하는 경우에는 사후 검증 면제의 혜택이 제공됩니다. 사후 검증의 경우, 공시 후 제출 기업 중 20%의 표본 기업을 대상으로 제출한 공시 내용에 대한 사후 점검을 수행합니다. 제출 기업의 정확한 공시 작성은 물론 제출된 공시 자료를 검증해 신뢰도를 높이고자 하는 검증 절차상의 단계입니다. 다수의 기업이 전문.. 더보기
LG CNS 보안 공개 강의에 여러분을 초대합니다! LG CNS 보안사업담당에서 現 보안 회사 재직자와 정보보호학과 대학생을 대상으로 무료 보안 강연을 진행합니다! 이번 강연은 오는 21일 LG사이언스파크 ISC동에서 오프라인으로 진행되며, 참석 인원은 최대 40명 규모로 진행될 예정입니다. 이번 강연에서는 보안 취약점 점검, 보안 심사, 모의해킹 사례, BLACKHAT 2022 USA 참관후기 등 실무와 관련된 다양한 주제를 다룰 예정입니다. 보안 분야에 관심있는 분들의 많은 신청 부탁드립니다. 최종 참석자분들께는 자세한 내용에 대해 추후 개별 통보 드릴 예정입니다. 글 ㅣ LG CNS 홍보팀 *해당 콘텐츠는 저작권법에 의해 보호받는 저작물로 LG CNS 블로그에 저작권이 있습니다. *해당 콘텐츠는 사전 동의없이 2차 가공 및 영리적인 이용을 금하고 있.. 더보기
[보안동향] 효율적인 ‘방화벽 정책 관리’ 두 가지만 기억하세요! 2편 지난 글에서는 방화벽 정책 관리의 주요 문제점을 알아보았습니다. 이번 글에서는 방화벽 정책의 효율적인 관리 방안을 살펴보겠습니다. 그렇다면 방화벽 정책의 효율적인 관리 방안은 무엇일까요? 1. 먼저 기업, 기관의 업무환경에 맞는 정책관리 기준과 절차를 수립하고 이행하는 것입니다. 기업과 기관에서는 수년간 운영해오던 수많은 방화벽 정책에서 단 한개의 잘못된 삭제가 서비스 중단으로 이어지진 않을까 하는 불안감 때문에 정책 관리를 포기할 수 있습니다. 이러한 사태를 예방하기 위해, 네트워크 Zone 분리를 위한 내/외부 방화벽 서비스 용도에 맞은 운영 기준을 설정해야 합니다. 또한, 서비스, 관리/운영, 테스트, 차단 룰 등의 룰 관리 정책을 수립하고 정기적으로 적정성 검토를 수행하는 절차가 필요합니다. 아래.. 더보기
[보안동향] 효율적인 ‘방화벽 정책 관리’ 두 가지만 기억하세요! 1편 AI(인공지능), IoT(사물인터넷), 클라우드 등 빠르게 변하는 IT 환경 속에서 해킹 기술 또한 날로 지능화·고도화되고 있습니다. 보안사고도 매일 끊임없이 발생하고 있죠. 이번 글에서는 기업, 기관의 보안담당자와 정보보호 책임자가 간과하기 쉬운 네트워크 접근통제 보안영역 중 ‘방화벽 정책 관리’에 대해 고민해 보고, 대응 방향을 제시하고자 합니다. 방화벽 정책 관리는 왜 필요하고, 왜 중요한 걸까요? 보안관리 절차에 따라 검토, 승인된 정책만 적용하고 있다면 보안에 문제가 없는 걸까요? 방화벽 정책 수립과 최적화 컨설팅을 몇 차례 수행하면서 알게된 점이 있습니다. 통제·보호해야 할 대상을 정확하게 식별해 보호 대상 시스템 변화에 따른 정책을 관리하고, 불필요하게 허용된 정책은 없는지 정기적으로 점검하.. 더보기
[보안동향] 개인정보 해외 이전, ‘이것’만 체크하면 걱정 끝! 2편 지난 글에서는 CBPR(Cross Border Privacy Rules)의 장점과 함께 적용 사례를 살펴보았습니다. CBPR은 ‘국경 간 프라이버시 규칙’이라는 의미로, 회원국 간 데이터 활용을 장려하기 위한 개인정보보호 자율인증제도입니다. 이번 글에서는 CBPR과 ISMS-P(개인정보 보호관리체계 인증제도)의 차이점과 CBPR 인증 심사 절차에 관해 알아보겠습니다. 인증기준은 아래와 같습니다. CBPR은 개인정보 항목만 다루고 있습니다. ISMS-P에서 개인정보 관련 부분이 CBPR과 유사한데요. 실제로 CBPR을 신청할 때 ISMS-P 획득 여부를 기입하도록 하고 있습니다. CBPR 인증기준이 ISMS-P 보다 낮기 때문에 ISMS-P 인증기업이라면 CBPR도 어렵지 않게 인증 받을 수 있는데요, 인.. 더보기
[보안동향] 개인정보 해외 이전, ‘이것’만 체크하면 걱정 끝! 1편 CBPR(Cross Border Privacy Rules)은 ‘국경 간 프라이버시 규칙’이라는 의미로, 회원국 간 데이터 활용을 장려하기 위한 개인정보보호자율인증제도입니다. CBPR은 개인정보 보호를 위한 법체계 개발에 고려해야 할 국제 원칙과 지침으로 USMCA(US-Mexico-Canada Agreement, 미국-멕시코-캐나다 협정), SADEA(Singapore-Australia Digital Economy Agreement, 싱가포르-호주 디지털 경제 협정)에 포함됐는데요. 국경 간 데이터 이전에 CBPR의 효율성이 인정받고 있습니다. GDPR(General Data Protection Regulation, 일반 개인정보 보호법)은 CBPR보다 높은 요건으로 국경간 이전과 관련해 개인정보 보호의.. 더보기