신시웨이 | 데이터베이스 보안 전문 기업 - PR - 뉴스룸

본문바로가기

PR

신시웨이의 최신 소식과 다양한 IT/보안 정보를 제공합니다.

IT·보안
4세대 암호 기술 “동형암호”

정보통신기술이 발달한 현대 사회는 하루에도 수많은 데이터가 웹에서 생성과 삭제를 반복하고 있습니다. IT 컨설팅 기업 IDC(International Data Corporation)는 2025년에는 하루 평균 463,000,000GB(Gigabyte)의 데이터가 생성 될 것으로 예측하였으며,이를 1년 단위로 계산하면 170ZB(Zettabyte)로10년 전인 2015년과 비교하면 17배 증가한 수치로 기관 및 기업 등에서 보유하고 있는 개인 또는 민감 정보들까지 포함하면 하루에 생성되는 데이터는 그 보다 훨씬 방대한 양일 것입니다.이러한 정보들은 AI와 빅데이터를 활용하여 산업계 그리고 개인의 맞춤 생활에 활용되는데,이러한 정보들을 원활하게 활용하기 위해 지난해 데이터 3법(개인정보 보호법, 신용정보의 이용 및 보호에 관한 법률, 정보통신망 이용촉진 및 정보보호 등에 관한 법률)이 개정되었고, ‘민감 정보 처리’, ‘가명 정보 처리 및 활용’, 가명 정보 결합’ 등과 같이 민감 정보 처리에 대한 관심이 높아지고 있습니다.특히 데이터 3법 개정 내용 중 하나인 ‘비식별화’는 비식별화 조치시 발생할 수 있는 보안 이슈들에 대한 관심이 높아지면서 4세대 암호라 불리는 ‘동형암호(同形暗號,Homomorphic Encryption, HE)’에 대한 관심이 높아지고 있습니다. 복호화 후 연산이 필요했던 기존 대칭키, 공개키와는 달리 동형암호는 암호화 난이도가 높은 격자 기반암호(lattice problem)의 한 종류로 평문의 데이터를 암호화한 후 복호화 없이 연산이 가능한 암호기술로 암호문 상태에서 통계, 검색, 기계 학습 등이 가능하다는 것이 큰 장점이며, 암호화 상태에서 데이터의 연산이 가능하기 때문에 유‧노출 문제가 발생하더라도 원본 데이터(평문)는 알 수 없어 보안성이 매우 우수합니다. 최초의 동형 암호는 1978년, Rivest, Adleman과 MIT의 Laboratory for Computer Science의 Director 였던 Dertouzos 가 공동으로 저술한 논문 RAD78에서 처음 소개되었지만 속도가 매우 느리고 암호문의 크기가 수십 배 커지는 단점이 있어 실제 상용화하기에는 부족함이 많았지만 2009년 IBM 연구원이었던 Craig Gentry (현재 Algorand Foundation의 연구원)가 “완정동형암호(A FULLY HOMOMORPHIC ENCRYPTION SCHEME)” 논문을 발표하면서 동형암호는 다시 주목받기 시작하였습니다. 동형암호는 2019년 국제표준 ISO/IEC 18033-6:2019으로 제정되었으며 현재까지 원천기술을 보유한 곳은 IBM, MicroSoft, Massachusetts Institute of Technology (MIT), 프랑스, 서울대학교(천정희 교수팀)가 있고, 천정희 교수팀(크립토랩)이 개발한 근사연산 동형암호 알고리즘 HEAAN(Homomorphic Encryption for Arithmetic of Approximate Numbers)은 유리수 간의 근사 연산을 지원하는 동형암호화 라이브러리로 TTA표준(TTAK.KO-12.0347)으로 등록 되었으며, HEAAN는 4세대 동형암호라 불리고 있습니다. 전문가들은 동형암호는 의료, 금융 외에도 그동안 민감정보를 다루기 어려웠던 블록체인과 양자컴퓨팅 분야에 활용될 것으로 이야기하고 있으며, 데이터활용 분야에서도 다양한 형태로 활용될 것이며, Gartner “Homomorphic Encryption for Data Sharing with Privacy” 보고서에서는 현재 완전동형암호화를 필요로 하는 프로그램의 예산은 1% 미만이지만 2025년까지 최소 20%이상 증가할 것으로 예측 하였습니다.또한 바이오정보를 동형암호 기술로 암호화할 경우 복호화 과정 없이 암호문 상태로 데이터를 비교하기 때문에 다양하게 활용되는 있는 바이오 인증의 보안성도 강화될 것으로 보입니다.실세 상용 사례로는 2020년 6월 코리아크레딧뷰로(KCB)는 국내에서 개발한 동형암호 혜안(HEaaN)을 활용하여 국민연금공단 데이터와 KCB 신용데이터를 결합‧분석하는데 성공하였습니다.출처 및 참고 자료• IBM makes a new leap with Fully Homomorphic Encryption(IBM, https://www.ibm.com/blogs/research/2020/12/fhe-progress-milestones)• A FULLY HOMOMORPHIC ENCRYPTION SCHEME(Craig Gentry, https://crypto.stanford.edu/craig/craig-thesis.pdf)• 4세대 암호, '동형암호'를 소개합니다!(과학기술정보통신부 블로그, https://m.blog.naver.com/with_msip/221517757125)• KISA REPORT 2020 vol.6(https://www.kisa.or.kr/jsp/common/downloadAction.jsp?bno=158&dno=417&fseq=1)• HEAAN Github(HEAAN Github, https://github.com/snucrypto/HEAAN)• HEAAN(Wikipidia, https://en.wikipedia.org/wiki/HEAAN)

21.02.15
IT·보안
본인신용정보관리업(마이데이터) 본 허가 및 주요 서비스

지난해 35개의 기업이 마이데이터(MyData) 사업 예비 허가를 신청 하였고, 이 중 21개의 기업이 예비 사업자로 허가를 받았다는 소식을 전해 드렸었는데요. 금융위원회는 1월 13일 7개의 기업에 대해 예비 허가를 추가로 승인 하였고, 1월 27일 금융위원회 제 2차 정례회의에서는 국민은행 등 28개의 기업에 대해 본인신용정보관리업(마이데이터) 본 허가를 최종 승인 하였습니다.※ 심사보류기업 : 경남은행, 삼성카드, 하나은행, 하나금융투자, 하나카드, 핀크※ 보완 필요 기업 : 뱅큐, 아이지넷, 카카오페이금융위원회는 본 허가를 받은 기업들은 기존 마이데이터와 유사한 서비스를 제공하고 있어 신용정보볍령상 허가요건을 충족 하고 있기 때문에 본인신용정보관리업을 영위할 수 있을것으로 판단하여 예비허가를 통과한 28개 기업 모두 본 허가가 승인 되었다.라고 이야기 하였으며, 이번에 허가 받은 28개의 마이데이터 사업 기업은 표준 API 구축 준비를 거쳐 본격적으로 금융 소비자를 위한 안전한 마이데이터 서비스를 제공할 예정이라고 이야기 하였습니다.마이데이터 주요 허가 요건 , 금웅위원회 보도자료[ ㈜국민은행 등 28개사 본인신용정보관리업 ( 마이데이터 ) 본허가 (’21.1.27.)]21. 8. 4일까지 표준 API 구축이 완료 되면 기존에 스크래핑(각 종 시스템에 존재 하고 있는 데이터 중에서 필요로하는 데이터를 자동으로 추출, 가공 하는 기술로 현재까지 금융권에서 개인 맞춤 서비스를 제공 하기 위해 많이 사용 되는 기술) 으로 제공 되었던 통합 조회 서비스를 더욱 안전하고 편하게 이용할 수 있으며, 마이데이터 사업자를 통한 금리인하 요구권, 정보 삭제 및 정정 등의 개인정보자기결정권 행사에 대한 기반이 조성됩니다. 또한 기존에 금융업계에서 제공하던 서비스를 확장 및 고도화 하여 체계적인 자산 관리가 가능해 질 것으로 보입니다. ■ 추진 중인 주요 서비스 예시맞춤형 자산관리 | 거래금액, 이자율 등 신용정보를 마이데이터 사업자를 통해 관리하여 금융상품의 수익률 등을 개선• 머신러닝을 통해 사용패턴이 유사한 고객별 맞춤형 상품 추천• 소비줄이기, 내집마련, 미래준비, 내 돈 불리기 등 목표별 시뮬레이션 기능을 제공하고 금융전략 제시• 카드소비시 자투리 자금으로 가능한 소액 투자를 추천하고, 로보어드바이저 방식 자산 포트폴리오를 제공생활금융 관리 | 정보주체의 현금흐름 등을 분석하여 연체예측 및 미납방어, 소득·소비내역 분석을 통한 연말정산 지원 등• 여러 금융사에 흩어져 있는 금융스케쥴을 통합관리하고 일주일 뒤의 입출금 계좌 잔액 예측 및 필요시 맞춤형 대출 추천생애주기별 관리 | 사회초년생, 은퇴자 등 생애주기별 특화서비스• 사회초년생의 신용점수 향상을 위한 소비 및 금융습관 조언, 긍정적 신용정보 관리를 통한 신용향상 지원, 대안신용평가 마련 등• 정보주체의 연금자산 현황, 예상 수령금액 등을 파악하여 정보 주체의 은퇴준비 수준 안내 및 은퇴설계 지원온라인 대환대출 | 대출잔액, 월 상환액 등 신용정보를 제3자 (금융회사 등)에게 전송 요구 및 공유 → One Stop 온라인 대환대출• 이용자의 정보를 바탕으로 금융사로부터 확정 대출한도와 금리를 전달받는 대출협상 기능도 제공기타 | 금융사기 방지 및 정책금융상품 등 다양한 부가서비스 제공• 과거 거래내역, 패턴 등을 분석하여 의심거래 발생시 사전안내 - 소비자가 활용 가능한 복지서비스, 정책자금지원 등 조회·안내2월에는 정보제공범위, 안전한 전송 방식, 소비자 보호 방안 등에 대한 가이드라인도 배포될 예정이며, 3월부터는 2차 예비 허가 접수를 진행할 예정 입니다.2차 접수에는 은행, 보험사, 핀테크 기업등이 다수 참여할 것으로 예측 되는데 특히 2월 2일 카카오뱅크 윤호영 대표는 기자간담회를 통해 2차 예비허가를 접수 할 것이라고 이야기해 관심을 주목 받기도 하였습니다.출처 및 참고 자료• 금웅위원회 보도자료[㈜국민은행 등 28개사 본인신용정보관리업(마이데이터) 본허가(’21.1.27.)), http://www.fsc.go.kr:8300/v/p6kSyc2C0hY]

21.02.04
IT·보안
개인정보 유출•노출 사고, 조치 사항 및 관련법 위반 행정처분 사례

개인정보 ‘노출’홈페이지 상 개인정보를 누구든지 알아볼 수 있어 개인정보 유출로 이어질 수 있는 상태로 아래와 같은 경우• 개인정보가 포함된 게시물이 누구든지 알아볼 수 있는 상태로 등록된 경우• 이용자 문의 댓글에 개인정보가 공개되어 노출이 된 경우• 개인정보가 포함된 첨부파일을 홈페이지 상에 게시한 경우개인정보 ‘유출’정보주체의 ‘개인정보’에 대하여 개인정보처리자가 통제를 상실하거나 또는 권한 없는 자의 접근을 허용한 경우로서 다음 어느 하나에 해당하는 경우• 개인정보가 저장된 DB 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우• 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일, 문서, 저장매체 등이 잘못 전달된 경우• 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난을 당한 경우※ 표준 개인정보 보호지침 제25조「개인정보보호법 29조(안전조치의무)」 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.「개인정보보호법 제39조(손해배상책임) 」 ① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.③ 개인정보처리자의 고의 또는 중대한 과실로 인하여 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된 경우로서 정보주체에게 손해가 발생한 때에는 법원은 그 손해액의 3배를 넘지 아니하는 범위에서 손해배상액을 정할 수 있다. 다만, 개인정보처리자가 고의 또는 중대한 과실이 없음을 증명한 경우에는 그러하지 아니하다. ④ 법원은 제3항의 배상액을 정할 때에는 다음 각 호의 사항을 고려하여야 한다.유출은 개인정보보호법에 법적 책임에 대한 라고 명시 되어 있지만 노출은 해당 하지 않기 때문에 현재 까지 노출에 대한 법적 책임 근거는 존재 하지 않습니다.개인정보 노출 사고 사례※ 2019' 홈페이지 노출 원인 TOP3(출처 : 개인정보위원회, 2020 홈페이지 개인정보 유·노출 사고 사례)2020 개인정보보호 연차보고서, 웹사이트 운영 실태조사(정부·공공기관)행정안전부는 개인정보 유출로 인한 피해를 예방하기 위해 웹사이트 운영 실태조사(정부·공공기관)등을 상시 모니터링 하고 있으며, 개인정보가 탐지되면 해당 기관에 즉시 삭제, 차단하도록 조치 하고 있습니다.2019년에는 개인정보 탐지 유형을 고유식별정보 4종(주민등록번호, 여권번호, 운전면허번호, 외국인등록번호)에서 8종으로 확대(휴대전화 번호, 계좌번호, 신용카드번호, 건강보험번호 추가)하고 이미지 형태의 개인정보도 새로 탐지하기 시작하였습니다.■ 개인정보 노출 사고 사례1게시글, 댓글 및 첨부파일로 인한 개인정보 노출(개인정보가 포함된 파일을 첨부하여 게시판에 게시)§ 조치 방법• 비공개 게시판으로 운영• 최소한의 개인정보 기재 및 마스킹 처리• 정기적인 노출 여부 확인 및 저장된 페이지 삭제■ 개인정보 노출 사고 사례2첨부된 이미지 파일(PDF, JPG 등)에 개인정보 포함(이미지 파일 첨부를 통한 개인정보 노출)§ 조치 방법• 이미지 편집 소프트웨어 등을 이용해 개인정보 마스킹 처리★ 개인정보 노출 시 주요 조치사항• 신속히 노출 페이지 삭제 또는 비공개 처리• 검색엔진에 노출된 개인정보 삭제 요청• 시스템의 계정, 로그 등을 점검 후 분석결과에 따른 접속 경로 차단(제3자 접근 여부 파악)• 재발방지를 위해 서버,PC등정보처리시스템의 백신을 최신으로 업데이트 후 디렉토리 점검개인정보 유출 사고 사례■ 개인정보 유출 사고 사례1DB 관리자페이지 공격으로 인한 유출OO업체는 오프라인 매장에서 멤버십 회원 정보를 수집하여 회원관리시스템에 등록 후 구매 금액에 따라 적립금과 쿠폰 등 혜택을 제공함신규 회원 등록 중 시스템 장애가 발생하여 담당부서에 확인 요청 후 시스템 담당자가 확인해보니 DB내 모든 데이터가 삭제되어 있었음내부조사결과 해커가 관리자페이지를 통해 개인정보를 유출한 후 원본 데이터를 삭제하고 개인정보를 대가로 비트코인을 요구하는 메시지를 남겼음§ 조치 방법• 접속권한을 IP주소, 포트, MAC주소 등으로 제한하여 인가받지 않은 접근을 제한• 정보통신망을 통해외부에서 시스템에 접속 시 가상사설망(VPN) 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용• 개인정보취급자의 계정 설정 시 안전한 비밀번호 사용 (영문,특수문자,숫자로 최소8자리 이상)• 특히 DB에 접속하는 DB관리자의 비밀번호는 변경 주기를 짧게 하는 등 하고 강화된 안전조치를 적용• ID:root, PW:root 와 같이 취약한 비밀번호는 사용하지 않음■ 개인정보 유출 사고 사례2업무 담당자가 지인의 부탁을 받고 고객정보 유출OO호텔 업무 담당자 김모씨는 평소 알고 지내던 박모씨의 보험 영업 실적이 좋지 않자, 자신의 부하직원 윤모씨에게 지시하여 OO호텔 멤버십 회원의 개인정보(이름, 연락처) 2천 건을 엑셀파일로 다운로드 한 후 USB에 저장하여 박모씨에게 제공함OO호텔의 개인정보 담당자는 매월 진행하는 접속기록 점검 중 특정일에 대량의 개인정보가 여러 차례 다운로드 된 것을 수상히 여겨 내부조사한 결과, 윤모씨가 상사인 김모씨의 지시를 받아 개인정보를 USB에 저장 후 제공한 사실을 알게됨§ 조치 방법• 개인정보취급자 교육을 통해 유출사고에 대한 인식 강화• 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여• 내부관리계획에 개인정보 다운로드 기준을 마련하고, 접속기록을 매월 점검하여 개인정보 다운로드 시 그 사유를 확인• 보조저장매체의 반출입 통제를 위한 보안대책 마련하여 비인가된 사용 통제■ 개인정보 유출 사고 사례3퇴직한 직원이 개인정보처리시스템에서 개인정보 유출OO업체는 개인정보처리시스템을 통해 방문한 고객의 개인정보를 처리하고 있으나, 직원들의 잦은 퇴직으로 업무 편의상 계정을 공용으로 사용하고 있음OO업체에서 근무하였던 이모씨는 경쟁업체의 스카우트 제의를 받아 퇴사하였으나, 퇴사 이후에도 과거 사용하던 계정으로 시스템에 접근 가능한 것을 인지함이모씨는 경쟁업체로 이직 후 OO업체의 시스템에 접속하여 고객의 개인정보 전체를 엑셀로 다운로드 받은 뒤 자신의 영업 실적을 위해 홍보문자 발송함§ 조치 방법• 개인정보취급자의 계정을 공유하여 사용하지 말고, 취급자 별로 계정을 부여• 전보, 퇴직 등 인사이동이 발생하였을 경우 지체없이 시스템 접근권한을 변경·말소• 퇴직 점검표에 사용자계정 말소 항목을 반영하여 계정 말소 여부에 대해 확인 절차 마련• 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여• 내부관리계획에 개인정보 다운로드 기준을 마련하고, 접속기록을 매월 점검하여 개인정보 다운로드 시 그 사유를 확인★ 개인정보 유출 시 주요 조치사항• 유출된 정보주체에게 지체 없이 통지(5일이내) ※ 정보통신서비스제공자등의 경우 ‘24시간 이내’ * 필수 항목 유출된 개인정보의항목, 유출된 시점과 그 경위, 피해 최소화를 위한 정보주체의 조치방법 기관의 대응조치 및 피해구제 절차, 피해신고 접수 부서 및 연락처• 피해 최소화를 위한 대책 마련 및 필요한 조치 실시• 1천명 이상의 개인정보가 유출된 경우 국가(개인정보보호위원회 또는 한국인터넷진흥원)에 신고하고 개인정보 유출 사실을 홈페이지에 7일 이상 게재※ 정보통신서비스제공자등의경우 ‘1건이상’※ 유출신고: 개인정보보호포털(www.privacy.go.kr) 등개인정보보호 관련법 위반 행정처분 사례■ 고유식별정보 처리제한 등 관련법을 위반한 14개 교육기관에 개선권고 3건, 과태료 18건 9,900만 원 부과행정안전부는 2018년 9월 대학, 학점인정기관, 학원 등 교육 분야 20개 기관을 대상으로 현장검사를 실시하고, 「개인정보 보호법」 제24조 고유식별정보의 처리 제한, 제29조 안전 조치의무 등을 위반한 14개 기관에 개선권고 3건과 과태료 18건 9,900만 원을 부과■ 주민등록번호 처리제한 등 관련법을 위반한 11개 기관에 개선권고 4건, 과태료 15건 6,500만 원 부과행정안전부는 2018년 12월 행정처분결과 이행 여부, 고유식별정보 조사 및 서면 점검 자 료 미제출 기관 등 12개 기관을 대상으로 현장검사를 실시하고, 「개인정보 보호법」 제24조 의2 주민등록번호 처리의 제한, 제29조 안전조치의무 등을 위반한 11개 기관에 개선권고 4건과 과태료 15건 6,500만 원을 부과■ 안전조치의무 등 관련법을 위반한 5개 공공기관에 과태료 5건 3,300만 원 부과행정안전부는 2019년 1월 공공 분야 7개 기관을 대상으로 현장검사를 실시하고, 「개인정 보 보호법」 제24조의2 주민등록번호 처리의 제한, 제29조 안전조치의무 등을 위반한 5개 기 관에 과태료 5건 3,300만 원을 부과■ 개인정보보호 법규를 위반한 가상통화 취급업소 및 생활밀접형 O2O 사업자 10개사에 시정명령, 과태료 7,100만 원 부과방송통신위원회는 해킹 등으로 인한 개인정보 침해가 우려되는 가상통화 취급업소 및 생 활밀접형 O2O(Online to Offline) 사업자에 대한 개인정보 취급·운영 실태점검을 실시하였 다. 조사 결과, 정보통신망법상 개인정보보호 관련 규정을 위반한 것으로 나타난 10개사에 대해 시정명령과 함께 과태료 총 7,100만 원을 부과출처 및 참고 자료개인정보보호위원회, 2020 개인정보보호 연차보고서개인정보보호위원회, 2020 홈페이지 개인정보 유·노출 사고사례

21.01.31
IT·보안
"개인정보보호법" 일부개정법률 안 입법예고

2021년 1월 6일 개인정보보호위원회는 「개인정보보호법」 일부개정법률(안) 입법 예고를 하였습니다. 2020년 8월 5일 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」의 개인정보 관련 규정이 개인정보보호법으로 이관 되었고, 가명 정보 도입 등으로 데이터 경제 활성화를 위한 기반을 마련 하였습니다.하지만 개인정보보호를 선도하는 세계 주요 나라에서 선제적으로 도입하고 있는 개인정보 이동권 등의 정보 주체의 관리 강화 사항은 개정 법률에 포함되지 못하였으며, 온라인과 오프라인의 이중 규제 또한 해소되지 않아 「개인정보보호법」을 적용 받는 사용자들에게 불필요한 혼란과 부담을 초래하고 있습니다.따라서 개인정보보호위원회는 국민의 정보주권 강화, 법 적용의 혼란과 이중부담 해소, 영상정보에 대한 합리적 처리 기준 마련, 국외 이전 규정 정비를 통해 지난 입법 과정에서 반영되지 못한 미비점을 해소하고 개인정보의 보호와 활용의 균형을 통한 신뢰 기반의 데이터 경제를 활성화 하기 위해 「개인정보보호법」 일부개정법률(안) 입법 예고 하였습니다.다른 법률과의 관계 규정 정비(안 제6조)다른 개별법과의 경합 시 발생할 수 있는 혼란을 방지 자율규제 활성화(안 제 13조의 2 및 제 13조의 3)자율규제단체 지정 및 지원 근거 마련 등을 통해 자율보호 거버넌스 구축 이동형 영상정보처리기기 운영 기준 마련(안 제25조의 2)드론, 자율주행자 등 이동형 영상정보처리기기의 안전한 운영을 위한 합리적 기준과 절차를 마련 가명정보 처리 특례 정비(안 제28조의 2, 제28조의 7, 제 60조)가명정보도 파기 의무 대상에 포함하고 가명정보 결합 업무에 대한 비밀유지 의무를 신설하는 등 안전한 가명정보 처리 환경을 완비 국외 이전 방식 다양화 및 중지 명령권 신설(안 제28조의 8 및 제 28조의 9)온라인 전자상거래 등의 확대로 국경 간 개인정보의 이전이 증가하고 있는 환경 변화를 고려하여 개인정보의 국외 이전 요건을 국제기준에 부합하도록 다양화하고 법 위반시에는 중지 명령권을 부과하여 국민의 개인정보를 안전하게 보호개인정보 처리방침의 심사(안 제 30조의 2)개인정보보호위원회가 직권 또는 개인정보 보호 관련 비영리민간단체 등의 청구에 따라 개인정보 처리방침에 대한 적정성을 심사할 수 있도록 개인정보 처리방침에 대한 심사 제도를 도입 개인정보 전송 요구권 도입(안 재35조의 2)정보주체가 개인정보처리자에 대하여 자신의 개인정보를 본인, 다른 개인정보처리자 또는 개인정보관리 전문기관에 전송을 요구할 수 있는 권리를 도입 자동화 의사결정에 대한 배제등의 권리 도입(안 제 37조의 2)인공지능 등 신기술의 활대 적용에 따라 국민의 생명, 신체, 재산 등에 중대한 영향을 미치는 자동화 의사 결정 등에 대하여 거부, 이의제기, 성명요구권을 도입정보통신서비스 제공자등에 대한 특례 정비(현행 제 29조의 3 내지 제39조의 15 삭제)정보통신서비스 제공자등에 대한 특례를 일반규정으로 전환하여 모든 개인정보 처리자에 대해 ‘동일 행위, 동일규제’ 원칙을 적용 개인정보 분쟁조정제도 실질화(안 제40조, 제43조, 제45조 등)개인정보 권리침해 시 신속하고 경제적인 분쟁해결 수단을 활성활 필요가 있어 분쟁조정에 의무적으로 응해야 하는 대상을 모든 개인정보처리자로 확대하고 분쟁조정위원회에 사실조사권을 부여 적용의 일부 제외 규정 정비감염병 위기 상황 등 공공의 안전 및 안녕을 위하여 긴급히 필요한 경우에도 개인정보보호조치와 파기 의무 등 기본 원친을 준수하도록 적용 예외 규정 정비 개인정보 침해 조사 및 제재 기능 강화(안 제59조, 제 64조, 제66조 등)현행법상 지나치게 엄격한 시정명령 부과 요건을 합리적으로 조정하고 공표명령의 법적 근거를 마련하여, 개인정보취급자의 사적 목적의 개인정보 이용에 대한 제재 근거를 마련 형벌 중심의 체재를 경제벌 중심으로 전환(안 제64조의 2, 제51조, 제72조, 제73조, 제75조)일반 규정과 정보통신서비스 제공자등에 대한 특례에 이원화되어 있는 제재규정을 일원화하여 동일한 의무위반에 대한 동일한 처벌을 부과하고 과도한 형벌은 경제적 제대로 전환 이번 개정안에 대한 의견은 2021년 2월 16일까지 국민참여입법센터(https://opinion.lawmaking.go.kr)를 통하여 온라인으로 의견을 제출하거나 우편, 이메일, 팩스을 통해 제출할 수 있습니다. 보다 자세항 사항은 개인정보보호위원회 홈페이지에서 확인할 수 있습니다.출처 및 참고 자료개인정보보호위원회(개인정보보호위원회 공고제202-1호, 개인정보보보법 일부개정볍률안(최종))

21.01.29
IT·보안
Sudo 권한 획득 취약점CVE-2021-3156(Baron Samedit)

이번에 발견된 취약점 CVE-2021-3156(Baron Samedit)는 명령어를 전달하는 구문 분석 방식에서 힙 기반 버퍼 오버플로우가 되는 현상으로 이 취약점으로 인해 모든 로컬 사용자가 인증 없이도 루트 권한을 얻을 수 있기 때문에 이 취약점을 악용하면 권한 상승으로 인한 테이터 기밀성, 무결성 및 시스템 가용성에 대한 문제가 발생 할 수 있습니다.Red Hat Product Security에서는 이 취약점을 중요 등급으로 분류 하였고 영향을 받는 사용자들은 최신 버전의 sudo로 업그레이드할 것을 권고 하였습니다.Sudo 명령어는 유닉스 및 유닉스 계열 운영 체제에서, 다른 사용자의 보안 권한, 보통 슈퍼유저로서 프로그램을 구동할 수 있도록 하는 프로그램이다. 명칭은 본래 슈퍼유저로서의 실행에 사용되던 것에서 “superuser do”에서 유래하였으나, 후에 프로그램의 기능이 확장되며 “substitute user do”(다른 사용자의 권한으로 실행)의 줄임말로 해석되게 되었다. 기본적으로 Sudo는 사용자 비밀번호를 요구하지만 루트 비밀번호(root password)가 필요할 수도 있고, 한 터미널에 한번만 입력하고 그 다음부터는 비밀번호가 필요 없다.이번 sudo 권한 상승 취약점은 Qualys 연구원들이 발견 하였고, 이번 취약점은 약 10년동안 잠재되어 있었으며, 1.8.2 ~ 1.8.31p2까지의 All legacy versions , 1.9.0 ~ 1.9.5p1까지의 모든 All stable versions에서 취약 하다고 밝혔습니다.(Stable Version은 최종 버전 중에서 테스트가 완료되고 버그가 수정된 안정된 버전을 말하며, Legacy Version은 아직 사용이 가능한 과거 버전을 말한다. 최신 버전에서 새로 생긴 기능들은 제공되지 않지만 아직까지 사용하는데 문제가 없는 버전 말합니다.)시스템 취약 여부 확인 방법① Root가 아닌 일반 사용자로 시스템 로그인② "sudoedit -s /" 명령 실행 * 시스템이 취약한 경우 "sudoedit :"로 시작하는 오류로 응답합니다. * 시스템이 패치 된 경우 "usage :"로 시작하는 오류로 응답합니다.출처 및 참고 자료RedHat Customer Portal(https://access.redhat.com/security/vulnerabilities/RHSB-2021-002)Qualys (blog.qualys.com/vulnerabilities-research/2021/01/26/cve-2021-3156-heap-based-buffer-overflow-in-sudo-baron-samedit)CVE (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3156)

21.01.29
IT·보안
클라우드가 비즈니스에 필요한 이유

LG그룹은 2023년까지 계열사 시스템의 90%를, SK그룹은 2022년까지 그룹 계열사 주요 시스템 중 80%를 클라우드로 전환할 예정이고 삼성은 계열사 주요 시스템의 90% 이상이 이미 클라우드로 전환하였습니다.국내 시장조사업체에 따르면 2025년에는 77%의 애플리케이션이 클라우드 기반으로 운영될 것으로 전망하였고년 IT DAILY에서 진행한 ‘2020 클라우드 디지털 트랜스포메이션 세미나’ 설문 조사 결과에 따르면 클라우드 도입 및 전환을 추진하거나 이미 도입 및 전환을 완료하였다는 설문이 가장 많은 비중을 차지하기도 하였습니다.‘2020 오라클-KPMG 연간 클라우드 보안 위협 보고서'에서도 현재 기업의 클라우드 활용도는 높게 조사되었고 조사에 참여한 기업의 90%는 서비스형 소프트웨어(SaaS)를 사용하고 있으며 76%는 서비스형 인프라스트럭처(IaaS)를 이용하는 것으로 조사되었습니다.향후 2년 안에 모든 데이터를 클라우드로 이전하겠다는 기업도 50%를 차지하였습니다.이미 많은 전문가들은 클라우드 시장은 기업의 새로운 성장과 경쟁에 대처할 수 있는 수단이라고 이야기하였는데년 코로나 19팬데믹으로 인한 디지털 트랜스포메이션 가속화는 더 빨라졌고 기업의 비즈니스 전략 및 모델 또한 빠르게 변화하였습니다.디지털 트랜스포메이션(digital transformation, DT 또는 DX)은 클라우드 컴퓨팅을 활용하여 문제를 해결하고 소유 중인 하드웨어 사용자에 대한 의존성을 줄이되 구독 기반 클라우드 서비스에 의존성을 증대시키기 위해 새롭고 빠르고 자주 변화하는 디지털 기술을 사용하는 방식을 말한다. (출처 : 위키피디아, 디지털 트랜스포메이션)우리는 이미 클라우드의 필요성과 장점을 모두 알고 있습니다. 그렇다면 기업이 클라우드로 전환해야 하는 이유는 무엇일까요?첫번째. 비교적 효율적인 구축 및 관리 비용클라우드의 사용은 기존 온프레미스(On-Premise)를 관리, 유지하는 비용보다 효율적인 것으로 나타났습니다. 무엇보다도 데이터센터를 별도로 운영중이라면 비용에 대한 효율성은 더욱더 극대화되며,독일의 철도 회사인 독일 철도(Deutsche는 클라우드 전환 후 데이터 센터를 완전히 폐쇄 하기도 하였습니다.두번째. 민첩성클라우드의 가장 큰 매력 중 하나는 애플리케이션 개발, 테스트 및 출시 속도를 가속화한다는 것입니다. 출시 시간이 단축됨에 따라 기업은 신속하게 새로운 제품과 서비스를 출시하고 시장 변화에 훨씬 더 빠르게 대응할 수 있습니다. 또한 클라우드 사용자가 IT 리소스를 사용자 요구에 맞게 시스템 자원을 할당하고 배치, 배포해 두었다가 필요시 사용 가능하도록 미리 준비하기 때문에 기업은 제품 개발 또는 자동화와 같은 비즈니스에 더욱 집중할 수 있습니다.세번째. 가용성클라우드는 가상의 서버이기 때문에 하드웨어 간에 인스턴스를 이동하여 하드웨어 장애로 인한 다운 타임을 없앨 수 있습니다. 즉, 자연 재해로 인해 데이터 센터가 오프라인 상태가 되더라도 인스턴스를 다른 데이터 센터로 이동하여 가용성이 유지됩니다.네번째. 보안 및 규정 준수디지털 방식으로 변환하고 더 많은 데이터를 수집 및 처리하기 시작하면서 전 세계 적으로 보안 및 규정 준수가 더욱더 중요 해지고 있습니다. 그러나 이러한 보안 시스템을 사내에 구축하는 것은 보안 설루션 비용과 전문 인력이 부족이 기업의 경우 규정 준수의 어려움이 발생합니다.그러나 클라우드 환경에서는 전문 인력과 보안 전문 설루션을 배포하여 시스템과 데이터를 보호하고 규정을 준수할 수 있습니다.이 외에도 클라우드 전환 및 도입은 접근성, 복구, 확장성, 협업 등 많은 필요성을 가지고 있으며 클라우드 컴퓨팅의 리소스 풀링은 비즈니스 조직에 수많은 이점을 제공한다는 것은 이미 입증되었으며 이러한 이점은 클라우드 사용자(기업)에게 효율성, 유연성, 전략적 가치를 제공하게 됩니다.하지만 이러한 필요성과 장점만큼 단점과 불안감도 동반할 수밖에 없는데 대표적인 예로 데이터 보안에 대한 불안감을 이야기할 수 있는데 클라우드에서의 여러 보안 사고 중 가장 큰 비중을 차지하는 것이 조직의 부주의나 담당자의 실수로 벌어지는 사고가 가장 많은 비중을 차지합니다.특히 이러한 불안감은 Public Cloud에서 더 크게 나타나게 되는데 앞서 말한 ‘2020 오라클-KPMG 연간 클라우드 보안 위협 보고서' 조사에 따르면 IT전문가 75%는 데이터센터보다 Public Cloud가 안전하지만 92%로의 전문가들은 기업 조직이 Public Cloud 서비스를 보호하기에는 충분히 준비가 되지 않았다고 이야기하였습니다.신시웨이 페트라 시리즈는 클라우드 환경에서의 보안 도구(데이터베이스 접근제어, 데이터베이스 암호화)를 제공 하여, 기업의 데이터를 안전하게 지키며 규정 준수를 할 수 있도록 검증된 암호화 모듈 사용, CC, GS 인증등을 획득하였으며개인정보와 같이 민감한 정보를 뿐만 아니라 데이터베이스에 저장된 모든 정보를 인가된 사용자만 접근 및 조회가 가능하도록 인가된 사용자에게만 권한을 부여하고 규정에 맞는 정책이 적용하여 페트라 시리즈를 사용하는 고객에게 책임 추적성(Accountability)을 제공하고 있으며 기업들의 빠른 클라우드 전환 속도만큼 신시웨이의 클라우드 환경 레퍼런스 또한 빠르게 확장해 나아가고 있습니다.

21.01.22
IT·보안
Data Security & Data Protection

보안 업무를 하다 보면 데이터 보안(data security)과 데이터 보호(data protection)라는 말을 많이 사용 합니다. 그만큼 보안 업무를 하는 사람들에게는 익숙한 단어들이죠.그러나 일부의 사람들은 보안과 보호를 같은 개념으로 인지하는 경우로 있다는 사실 알고 계신가요? 보안과 보호는 밀접하게 연관되어 있지만 분명 차이점이 존재합니다. 그렇기 때문에 우리는 보안과 보호 적절한 단어를 사용하고 구분 지을 수 있어야 합니다.데이터 보안은 권한이 부여된 사람만 액세스하거나 수정할 수 있도록 데이터를 보호하는 프로세스입니다. 즉, 데이터 보안은 인가된 사용자 또는 비인가된 사용자로부터의 접근을 통제하는 것으로 주로 기술적 프로세스를 이야기합니다.데이터 보호는 "데이터 액세스 및 사용에 대한 법적 통제"로 이야기할 수 있습니다. 즉, 한국의 개인정보보호법, 유럽연합의 GDPR처럼 대부분의 국가에서는 기업과 개인이 따라야 할 엄격한 데이터 보안 규정이 있으며 이러한 규정들이 데이터 보호에 해당됩니다. 결국 데이터 보안은 데이터 보호를 위한 핵심 요소 중 하나로 볼 수 있고, 데이터 보호는 그 보다 훨씬 더 광범위 한 요소로 볼 수 있습니다.데이터 보안 기술 유형1. 인증인증은 사용자의 로그인 자격 증명을 확인하여 신원을 확인하는 프로세스로 데이터 보안에 있어서 가장 중요하면서도 기본이 되는 데이터 보안 기술이며,기업에서는 신별과 인증의 보안 조치로 다단계 인증(MFA)을 사용하여 보안성을 향상하여야 합니다.2. 암호화데이터 암호화는 안전한(검증된) 암호화 알고리즘을 사용하여 민감한 정보를 암호화하는 것을 말합니다. 암호화는 인가되지 않는 사용자 또는 복호화 키를 알지 못하는 사용자로부터 데이터를 보호하게 됩니다. 따라서 암호화 키 관리는 암호화에 있어 매주 중요하게 관리되어야 합니다.최근 랜섬웨어로 인한 데이터 인질 사례가 급증함에 따라 데이터 암호화는 과거와 현재 모두 필수 적인 보안 기술 유형입니다.3. 토큰토큰은 암호화와 유사하나 암호화와는 달리 원본의 데이터를 임의의 문자로 대체하며 원본 데이터와의 맵핑 정보 저장을 필요로 합니다.4. 데이터 마스킹데이터 마스킹은 데이터 난독화라고도 하며 원본의 데이터를 다른 임의의 값으로 치환하여 개인 정보와 같이 민감한 정보를 숨기는 프로세스를 말합니다5. 접근 통제접근 통제는 데이터 보안 전략에 있어 가장 중요한 부분입니다.접근 통제에는 논리적 접근 통제(데이터에 접근할 수 있는 권한 부여)와 물리적 접근 통제(IDC 또는 On-Premise 등 서버가 위치해 있는 물리적 공간)가 있습니다.

21.01.15
IT·보안
본격 개막한 MyData 산업 시대

데이터 3법(개인정보보호법,정보통신망법,신용정보법 개정안)에 따라 마이데이터 시대가 본격화되었다. 정보주체인 개인이 행정‧공공기관 등이 보유한 본인의 정보를 컴퓨터 등 정보처리장치로 판독이 가능한 형태로 받아 본인이 직접 다양한 공공‧민간 서비스 수혜 등을 목적으로 활용하는 것을 말합니다.즉, 쉽게 말해 마이데이터란 정보주체인 개인이 본인의 정보를 관리, 통제하고, 이를 신용관리, 자산관리, 나아가 건강관리까지 개인생활에 능동적으로 활용하는 일련의 과정을 말한다.마이데이터는 정보주체 스스로 본인의 정보를 관리, 통제하기 어려운 ‘통신,의료,금융’ 등의 분야를 중심으로 산업을 추진하고 있으며, 지난해 35개의 기업이 마이데이터 사업 예비 허가 신청을 하였습니다. 이 중 21개의 기업이 예비 허가 사업자로 선정되었고,허가 요건 보완 8개 기업(민앤지, 비바리퍼블리카, 뱅큐, 아이지넷, 카카오페이, 쿠론, 핀테크, 해빗팩토리)과 11월에 예비 허가 신청을 한 2개의 기업(SC제일은행, SK프래닛)의 예비 허가 심사 결과는 1월 중순에 금융위원회에 상정될 예정입니다. 또한 앞서 예비 허가를 받은 21개의 기업은 1월 말 본 허가가 이뤄지게 됩니다.MyData 사업 예비 허가 기업마이데이터 사업 주요 허가 조건* 자본금(최소 자본금 5억 원 이상)* 물적 시설(해킹 방지, 망분리 수행 등을 위한 충분한 보안 설비)* 사업계획의 타당성(서비스 경쟁력, 형신성, 소비자 보호체계 마련)* 대주주 적격성(충분한 출자 능력, 건전한 재무상태)* 신청인의 임원 적격성(신청인의 임원에 대한 벌금, 제재사실 여부)* 전문성 요건(데이터 처리 경험 등 데이터 산업 이해도)(출처 : 금융위원회)소비자의 기대효과* 금융회사 등에 흩어져 있는 자신의 신용정보(금융 상품, 가입 내역, 자산 내역 등)를 한 눈에 확인하고 쉽게 관리* 은행, 보험회사, 카드회사 등 개별 금융회사에 각각 접근하여 정보를 수집할 필요가 없어 금융 정보 접근이 편리* 자신에게 특화된 정보 관리, 자산 관리, 신용 관리 등의 서비스를 합리적인 비용으로 제공* MyData 사업자가 카드 거래내역, 보험정보, 투자정보 등을 분석하여 유리한 금융상품을 추천* 공공정보(국세 및 지방세, 4대 보혐료 납부 내역 등)도 손쉽게 수집하고 관리가 가능(출처 : 2020. 5. 15 금융위원회 보도자료)산업체의 기대효과* 데이터 이동 활성화 등에 따라 금융회사는 상품 제조 방식을 변화시켜 금융산업 생산성 향상* 금융회사 간의 데이터 이동은 금융회사가 개인의 특성을 반영한 맞춤형 금융상품 개발을 위한 인센티브 제공* 데이터 전송이력, 활용 내역 등이 투명하게 관리되고 정보보호 및 보안 측면이 향상되어 안전한 데이터 이용 환경 조성* API 도입, 데이터 표준화 등으로 데이터 산업 진입장벽이 완화되고 인공지능 등 신기술을 활용한 신사업 추진에 용이(출처 : 2020. 5. 15 금융위원회 보도자료)마이데이터의 핵심은 ‘개인정보자기결정권’과 ‘이동권’이다. ‘개인정보자기결정권’은 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체 개인 스스로 결정할 수 있는 권리를 말하며 ‘개인정보이동권 (전송 요구권)’은 정보주체가 개인의 데이터에 대한 전송을 요청 하면 개인정보처리자(기업, 기관 등)는 보유한 데이터를 개인(요청자) 또는 요청자가 지정한 제 3자에게 데이터를 전송하는 권리이다.즉, 지금까지는 수집된 개인정보의 활용 권한은 수집 기관 및 기업에 부여되어 있었지만 이제는 정보 주체인 개인에게 권한이 주어 집니다. 쉽게 예를 들면 과거에는 위급 상황 발생 시 개인의 의료정보를 알 수 없어 응급 처치를 하는데 어려움이 있었는데 이제는 마이데이터의 ‘개인정보이동권’을 활용하여 기업, 기관 등이 보유하고 있는 본인의 정보를 본인 또는 본인이 지정한 제3자에게 전송을 요구할 수 있으므로 본인의 의료정보를 이용해 보다 신속하게 응급조치를 할 수 있게 됩니다.그 외에도 정부는 마이데이터 산업 활성화를 위해 행정안전부와 16개의 관계기관과의 업무 협약을 체결하므로 인해 의료 분야에서는 전자처방전을 활용하여 중복 검사를 사전에 방지하고 건강 검진 및 의료 처방 데이터를 관리할 수 있습니다. 또한 카드 이용 내역을 분석하여 맛집 추천, 장보기 서비스 등이 제공되고,교통 이용 내역을 분석하여 대중교통 사각지대를 해소할 최적의 교통수단 추천이 가능해집니다.‘마이데이터로 누리는 확실한 행복’(출처 : 한국데이터산업진흥원)

21.01.06
IT·보안
기업의 데이터를 위협하는 랜섬웨어

2020년은 코로나바이러스감염증으로 인한 경제 혼란과 함께 기업의 디지털 전환 수요가 늘어나면서 데이터 침해, 대량 데이터 도용 및 판매, 신원 도용, 랜섬웨어 등 지금까지와는 다른 새로운 유형 또는 진화된 보안 위협이 빠르게 확산되고 있어 기업들의 주의가 요구되고 있습니다. 2020년 전 세계적으로 비즈니스에 가장 큰 위협을 주는 대표적인 사이버 위협은 랜섬웨어와 랜섬 DDoS 공격으로 집계되고 있습니다.(보안뉴스) 2020년의 가장 큰 사이버 위협은 압도적으로 랜섬웨어(보안뉴스) 2021년 보안 이슈 전망 TOP 5 “재택근무·5G 노리는 랜섬웨어·APT 조직”(FORTINET BLOG) New Cybersecurity Threat Predictions for 2021랜섬웨어란 Ransom(몸값)과 Ware(제품)의 합성어로 랜섬웨어는 PC 또는 서버, 네트워크에 이르기까지 모든 파일과 문서를 암호화하는 악성 소프트웨어(Malware)로 과거에는 데이터를 암호화하고, 금전을 요구하는 형태였지만 현재는 소프트웨어 악용 및 결함, 노출된 패스워드 및 취약점을 이용하여 계정 탈취 및 권한을 상승하고 민감정보 및 주요 문서 탐색 및 탈취 등 암호화를 하기 전에 최대한 많은 정보를 취득하고 암호화하여 기업의 데이터를 인질로 잡아 기업 또는 개인에게 금전적인 협상을 요구하고 때로는 탈취한 데이터를 웹사이트(다크 웹[Dark Web])에 노출시키기도 합니다.일반적으로 랜섬웨어에 감염되면 리소스 사용량이 급증하면서 파일을 암호화하기 때문에 랜섬웨어 감염을 쉽게 의심해 볼 수 있지만 종류에 따라 일정한 간격으로 스케쥴링되어 암호화하는 경우도 있어 사용자가 쉽게 알지 못하는 경우도 발생합니다.최초의 랜섬웨어는 AIDS 트로이 목마(PC 사이보그 바이러스)로 알려져 있으며 1989년 세계 보건기구 (WHO)의 AIDS 컨퍼런스 참석자들에게 20,000 개의 감염된 디스크를 나눠준 생물 학자 Joseph Popp에 의해 만들어졌습니다. 이 랜섬웨어(AIDS 트로이 목마)는 PC가 부팅된 횟수를 계산하여 90이 되면 컴퓨터와 파일을 암호화하고 우체국에 $ 189 또는 $ 378을 보내도록 하여 '라이선스 갱신'을 요구했습니다.그로부터 30여 년이 지난 지금 랜섬웨어는 더욱더 진화하였으며 교묘해졌습니다. 우리는 과거의 사례를 통하여 랜섬웨어가 기업과 우리의 생활에 얼마나 많은 악영향을 끼치고 있고 얼마나 심각한지에 대해 확인해 볼 수 있습니다.Locky는 한때 가장 악명 높은 형태의 랜섬웨어로 2016년 내내 전 세계의 조직들에게 혼란을 주었으며, Locky는 탐지를 피하기 위해 정기적으로 코드를 업데이트하였고 30개의 언어로 금전 지불을 요구 하였으며, 가장 널리 퍼진 악성 코드 형태 중 하나였으나, 1년이 채 지나지 않아 사라진 것으로 보고 있습니다.Cerber는 2017년 4월 Windows에 대한 랜섬웨어 공격의 90%를 차지할 만큼 가장 지배적인 형태의 랜섬웨어 였습니다. Cerber는 ‘Ransomware-as-a-Service’로 배포되어 기술적 노하우가 없는 사용자가 공격을 수행하고 일부 수익을 원작자에게 돌려주는 대가로 배포되는 랜섬웨어로 2017년 말 사라진 것처럼 보였지만 오늘날 다양한 형태의 'ransomware-as-a-service’ 모델로 발전되고 있습니다.SamSam는 2017년과 2018년 전 세계적으로 악명을 떨쳤던 랜섬웨어로 의료, 정부, 기업 등을 마비 시켰으며, 미국을 중심으로 하여 전 세계를 위협한 랜섬웨어로 네트워크에 대한 접근 권한 및 데이터 복호화에 대한 비용으로 수만 달러를 요구하였습니다.WannaCry는 ‘Wannacrypt’라고도 불리며 Microsoft Windows를 사용하는 컴퓨터를 타깃으로 합니다. 2017년 5월 전 세계적으로 큰 혼란을 일으키기도 했으며 암호화된 데이터를 복호화하기 위해서는 $300의 비트코인을 요구하였고, 일주일 이내에 지불하지 않으면 모든 파일을 영구적으로 삭제한다고 위협하였습니다.WannaCry는 150개 이상의 국가에서 30만 개의 시스템을 감연 시켰고 네트워크를 무력화시켰습니다. 가장 큰 타격을 입은 러시아는 은행, 통신사, 국가 교통 시스템이 마비되었으며, 영국은 영국 전역의 의료 시스템이 마비되었고, 국내에서는 2017년 8월 LG전자의 키오스에서 WannaCry가 발견되어 네트워크 일부가 마비되었습니다.Sodinokibi는 GandCrab 조직과 제휴하거나 동일한 조직으로 예측되고 있으며, 2019년 4월 처음 등장 후 전 세계적으로 최다 유포된 랜섬웨어로 서비스형 랜섬웨어(Ransomware-as-a-Service)로 운영되고 있습니다.Sodinokibi 주로 메일의 첨부파일을 이용하거나 홈페이지 탈취 후 특정 링크를 통해 파일을 다운로드하게 하여 감염시키며 Maze, Doppelpaymer 및 Ragnarlocker와 같은 랜섬웨어 조직들처럼 피해자가 금전을 지불하지 않으면 탈취한 데이터를 다크 웹에 노출 시키겠다고 협박하며, 2020년 6월 시만텍 연구원들은 REvil ransomware (Sodinokibi) 운영자가 피해자 네트워크에서 신용카드 또는 POS(Point of Sale) 시스템을 탐색하기 시작했다고 밝히기도 했습니다. 2020년 랜섬웨어로 인한 데이터 유출 사례 (보안뉴스) 메이즈 랜섬웨어의 승승장구! 반도체 업체도 당해 (ZDnet) LG전자 데이터 유출..."기밀·개인정보 없어" (뉴스워치) “랜섬웨어 통해 유출당한 카드정보 실체는?”…이랜드, 탈취 데이터 ‘다크웹’ 공개에 바로 신고새로운 또는 변종 랜섬웨어는 지속적으로 생성 되고 있으며, 전 세계 보안 전문 기업들은 2021년에도 랜섬웨어에 의한 공격과 감염이 증가하고 금전적 손해 또한 클 것으로 예측 하였습니다. 또한 과거 해커들은 대기업을 타깃으로 하는 경우가 많았지만 현재는 보안에 다소 취약한 중소기업을 중심으로도 많은 공격과 감염이 이루어지고 있습니다.그렇기 때문에 대기업, 중소기업뿐만 아니라 개인 PC까지도 랜섬웨어 예방을 위해 노력해야 하며, 랜섬웨어에 대한 피해 발생 시 행동 요령은 [KISA 인터넷보호나라 & 랜섬웨어 복구 및 대응 방법]에 자세히 나와 있으며, 보호나라에서는 중소기업을 위한 ‘정보보호 컨설팅 지원 및 중소기업 홈페이지 보안 강화’ 등을 지원 하고 있습니다.만약 랜섬웨어에 의해 데이터가 탈취 되더라도, 데이터베이스의 데이터 및 저장소에 저장된 파일을 암호화 한다면 유출이 되더라도 피해는 최소화할 수 있으며, 최근 신시웨이는 GS 인증 및 국제 CC 인증을 획득함으로써 암호화 기술을 인정받았으며 해외 레퍼런스 또한 지속 확장해 나아가고 있습니다.출처 및 참고자료What is ransomware? Everything you need to know about one of the biggest menaces on the web WannaCry ransomware attack at LG Electronics takes systems offline Sodinokibi: Ransomware Attackers also Scanning for PoS Software, Leveraging Cobalt StrikeKISA 인터넷 보호나라&KrCERT

20.12.23
IT·보안
개정된 데이터 3법

데이터 3법은 데이터 이용을 활성화하는 「개인정보 보호법」,「정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)」, 「신용정보의 이용 및 보호에 관한 법률(신용정보법)」 3가지 법률을 통칭하며, 18년 11월 15일 인공지능(AI), 인터넷기반 정보통신 자원통합(클라우드), 사물인터넷(IoT) 등 신기술을 활용한 데이터 활용 등 데이터 이용에 관한 규제 혁신과 개인정보 보호 협치(거너번스) 체계 정비의 문제를 해결하기 위해 데이터 3법 개정안이 발의 되었으며, 2020년 1월 9일 국회 본회의를 통과 하였다.데이터 3법 주요 개정 내용• 데이터 이용 활성화를 위한 가명정보 개념 도입• 관련 법률의 유사·중복 규정을 정비하고 추진체계를 일원화 하는 등 개인정보 보호 협치(거버넌스) 체계의 효율화• 데이터 활용에 따른 개인정보 처리자의 책임 강화 및 모호한 ‘개인정보’ 판단 기준의 명확화온라인상 개인정보 보호 관련 규제, 개인정보의 오·남용과 유출 등을 감독할 감독기구• 개인정보의 오·남용과 유출 등을 개인정보보호위원회에서 감독• 관련 법률의 유사·중복 규정은 「개인정보 보호법」으로 일원화• 개인정보처리자의 책임성을 강화하기 위해 각종 의무를 부과하고, 법 위반 시 과징금 도입 등 처벌 강화 • 개인정보를 안전하게 보호할 수 있도록 제도적 장치 마련• 2020년 9월 24일, ‘가명정보 결합 가이드라인‘ 발표 (가명정보 사용이 허용되는 활용 목적과 범위, 개인정보처리자들이 적용해야 하는 안전조치 방법과 기준 등을 규정)데이터 3법 개정의 기대효과개정된 데이터 3법은 데이터가 전(全)사업의 가치 창출을 좌우하는 ‘데이터 경제 시대‘ 전환에 맞춰 금융산업 새로운 성장동력을 확보 하고EU GDPR 등 국제적 데이터 법제와의 정합성 제고로 전세계 데이터 경쟁에 참여할 수 있는 기반을 마련 하였으며, 데이터라는 자원이 개인정보를 최대한 침해하지 않으면서도 기업들이 기술 발전에 이용할 수 있음을 기대하고 있습니다.데이터 활용의 기본, 비식별화비식별 조치는 데이터 셋에서 개인을 식별할 수 있는 요소 전부 또는 일부를 삭제하거나 대체하는 방법을 활용 하여 개인을 알아볼 수 없도록 하는 것으로 비식별화 조치시에는 다른 정보와 쉽게 결합해 개인을 식별할 수 있는지를 검사하는 ‘비식별 조치 적정성 평가’를 함께 진행해야 합니다.가명정보, 익명정보 개념누군가를 특정할 수 있는 이름, 전화번호를 식별자라고 부르며, 개인정보에서 식별자를 다른 표현으로 바꾸거나 가린 것을 가명정보라 하며, 익명정보는 여기서 한층 더 나아가 식별자를 완전히 삭제하고, 생년월일이나 가입기간 등 준식별자에 해당하는 정보를 범주화해 누구인지 정확하게 특정할 수 없도록 처리하는 것을 말합니다.빅데이터 산업 활성화와 데이터를 활용한 경제적 가치를 만들기 위해서는 개인정보를 포함한 모든 데이터를 적극적으로 활용하는 것이 유리하며, 데이터 경제 활성화를 위해서는 익명정보보다 가명정보가 더 효과적입니다.그러나 정보를 지나치게 많이 남길 경우 개인정보보호와 관련한 문제가 생길 수 있으며, 반대로 많이 제거할 경우 기업 입장에서는 활용 가치가 떨어집니다. 가명처리 대상 또는 범위에 대한 절대적 기준을 설정하는 것은 기술적으로 쉽지 않은데요, 가명정보는 개인정보와 익명정보의 중간쯤 되는 단계입니다.가명정보 이용 목적개인정보처리자는 통계작성,과학적 연구,공익적 기록보존 등의 목적 내에서만 정보 주체 동의 없이 가명정보 처리 및 결합이 허용 되며, 가명정보를 처리할 때 원래 상태로 복원하기 위한 추가정보를 별도로 분리해 관리해야 합니다. 만약 관련 법령에 따른 보호조치를 적용하지 않는다면 처벌받을 수 있습니다.※ 적절하게 가명정보를 처리하지 않았을 경우에는 전체 매출액의 3% 이하 또는 4억 원의 과징금, 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해질 수 있습니다. 가명 처리 절차개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등의 목적 내에서만 정보 주체 동의 없이 가명정보 처리 및 결합을 허용하며, 가명처리 대상 또는 범위에 대한 절대적 기준을 설정하는 것은 기술적으로 쉽지 않습니다.가명정보 결합 사례QR 코드 기반의 전자출입명부(KI-Pass)* 활용 사례2020년 6월부터 도입 되었으며, 개인정보보호를 위해 전자출입명부에 입력되는 개인 연락처 데이터와 방문 기록은 평상시에 분산 보관되고, 필요한 경우에만 두 정보를 결합하여 개인을 식별한다는 점에 주목할 필요가 있으며, 사회보장정보원과 QR코드 발급회사가 각각이 가지고 있는 정보만으로는 개인의 동선 정보 확인이 불가능합니다.※ 전자출입명부(KI-Pass): 정부기술(IT)을 활용, QR코드에 기반하여 보건복지부에서 개발·배포한 『전자출입명부』 시스템 지칭. 개인을 확인할 수 있는 정확한 정보QR 코드 기반의 전자출입명부(KI-Pass)* 활용 사례출처 및 참고자료가명정보 처리 가이드라인 (2020. 09. 24)개인정보 비식별화에 대한 적정성 자율평가 안내서 (2014. 12)금융분야 가명 · 익명처리 안내서 (2020. 08. 08)전자출입명부(KI-Pass) 안내 – 지자체용 – (2020. 07)코로나 19 대응을 위한 데이터 활용 현황 및 사례 (2020. 08)암호 알고리즘 및 키 길이 이용 안내서 (2018. 12)개인정보보호위원회 비전 선포식(2020.11.27.) https://www.youtube.com/watch?v=9BWrJyNE0BE&feature=youtu.be가명정보의 결합 및 반출 등에 관한 고시(개인정보보호위원회고시)(제2020-9호)(20200901)굿모닝아이텍㈜ 웨비나_데이터 3법이 가져다 준 기회와 안전한 개인정보 활용 방안Vol.5_가명정보에 있어서 ‘다른 정보’와 ‘추가 정보’의 차이 및 가명처리의 대상과 범위글. 프리세일즈·마케팅팀 | 김지현

20.12.10