#셀기 | Explore Tumblr posts and blogs

canyoumeetinfo-blog · 8 years ago

Text

[경영정보] IT보안은 뚫리면 큰일나요 : Biz IT Security Risk (IT보안)

New Post has been published on http://dreammoney.info/%ea%b2%bd%ec%98%81%ec%a0%95%eb%b3%b4-it%eb%b3%b4%ec%95%88%ec%9d%80-%eb%9a%ab%eb%a6%ac%eb%a9%b4-%ed%81%b0%ec%9d%bc%eb%82%98%ec%9a%94-biz-it-security-risk-it%eb%b3%b4%ec%95%88/

[경영정보] IT보안은 뚫리면 큰일나요 : Biz IT Security Risk (IT보안)

1. IS 보안사고의 실제 사례

가. IS의 보안사고 사례

인터넷으로 검색결과 보안사고의 사례는 정말 많았습니다. 최근 뉴스에서도 개인정보 유출 등 다양한 사고사례를 접할 수 있었고요, 또 알려지지 않은 사고까지 합친다면 사고는 정말 셀기 힘들정도로 많겠죠?

그중 대표적인 사례를 소개합니다.

(1) 넥슨의 개인정보 유출사고(‘11.11.25) : 서버 해킹피해 사례

온라인게임인 메이플스토리의 백업서버가 해킹되어 게임이용자 1320만명의 고객정보 중 성명, ID, 주민번호, 비밀번호가 유출되었습니다.

그 후 넥슨의 늦장 대응에 대한 비난이 있었다. 공격시점은 11.18이었고 넥슨은 이를 21일경에 인지했고 또 인지 후 에도 유출사실을 알리는 공지대신 유료 아이템광고를 올리는 등 소홀히 대처했다는 비난이 있었습니다.

(2) 가짜 인터넷뱅킹 사이트를 이용한 SMS 피싱

시중은행으로 속여 ‘ㅇㅇ은행입니다. 포털사이트 정보유출로 보안승급 후 이용해 주세요 ***bank.com’ 과 같은 가짜 웹사이트 주소를 발송하여 사용자의 개인정보를 얻어내고 있었습니다.

나. 클라우드 컴튜팅, 소셜네트워크, 피싱의 위험성

구분

클라우드컴퓨팅

소셜네트워크

피싱

유형

외부인의 의도적인 해킹에 의한 정보유출

내부자의 의도적인 정보 유출

내부자의 의도치 않은 유출(우발적 사고)

외부인의 의도적인 해킹에 의한 정보유출

사례

MS 사이트킥 서버 데이터손실(‘09.10)

트위터 외부해킹 고객정보유출(‘09.7)

스마트폰 분실로 인한 정보유출

군간부 스마트폰을 통한 공문유출

카카오톡 피싱, E-Mail 금융피싱

2. 단일 기업의 데이터보안의 효율성 강화 방안

사례처럼 현재 우리나라의 보안은 취약한데요, 그렇다면 어떻게 하면 보안의 효율성을 강화시킬 수 있는지 살펴보겠습니다.

가. 기업의 정보보안의 인식 변화 및 적극투자

연이은 대규모 해킹사고에도 불구하고 정보화투자대비 보안투자비율이 1%미만인 곳이 82.9%였습니다. 심지어 정보보호 투자를 하지 않은 곳도 62.6%에 이르렀고요.

현재 만연된 정보불감증을 없애기 위해서 적극적인 보안교육을 실시해야 합니다. 또 정보보호책임자와 개인정보관리책임자 등의 지정을 법령으로 규제하고 또 기업의 인식전환과 보안에 투자를 권장해야 합니다. 최소한 위험관리분석 기법(Expected loss=P1*P2*L)에 의해 최소의 투자액을 산출하여 그 이상 투자토록 기업을 교육해야합니다.

나. 실사용자 보안교육을 통한 내부유출 방지

내부 직원이 개인정보를 파는 사례가 많아지면서 직원의 보안교육을 실시할 필요가 있습니다. 그리고 정보유출에 대한 도덕성 확립 및 유출관련 처벌에 대해서도 명확하게 교육해야합니다.

다. 네트워크 차단, 보안시스템 세부 프로그램 비공개

보안의 소요가 크다면 네트워크를 차단하거나 어떠한 보안구조인가를 알 수 없도록 해서 해킹을 방지할 수 있습니다.

인터넷망과 회사내부 인트라넷 망을 분리하는 방법을 통해서 네트워크를 차단합니다. 인터넷망 접속 시 전문 보안서버를 거처서 가는 방식을 통해서 액세스기록을 남기고 해킹여부를 판단 분석합니다.

또 절대적인 비공개원칙으로 보안시스템을 운용하고 각 보안구조 및 보안코드는 주기별로 변경하여 해커들의 보안구조에 대한 정보를 얻는 것을 막습니다.

라. 보안사고에 대비한 매뉴얼 준비

네트워크를 이용 시에는 아무리 강한 보안이라도 보안사고가 발생할 가능성을 전부 없앨 수 없습니다. 그에 따라 보안에 대비한 매뉴얼을 사전에 준비하여 보안사고 유형에 따른 대처와 후속조치에 대한 준비를 해야 합니다.

또 침해사고시 공격자의 흔적이나 공격자를 찾아내는 기술역시 적용해야 하고요.

3. 전반적 IT보안 향상을 위한 방안

가. 정보보안에 규정(처벌) 강화

지적 재산권의 가치가 증가하는 만큼 그를 보호하는 법률 규정의 강화가 필요합니다. 기존 법률의 경우 정보기술의 발달을 규정이 따라가지 못하고 있는 것이 현실입니다. 그에 따라 정보보안관련 법률전문가를 육성하여 보안 관련된 법률규정을 강화하여 안전성을 높일 필요가 있습니다.

나. 정보보안업체의 보안서비스 강화

보안성을 향상한 제품인 IBM 스마트클라우드 서비스, 브이블럭 클라우드데이터센터과 같이 제품 개발시 보안성을 높이고 정보보안 업체(안랩,이스트소프트)에서 정보보안 툴을 개발하여야 하겠죠?

4. 결 론

IS의 보안사고 사례로 넥슨 개인정보유출, 가짜 인터넷뱅킹사이트를 이용한 SMS피싱을 살펴보니 기업의 보안수준이 생각보다 낮다는 것을 알 수 있었습니다.

데이터 보안의 효율성 강화를 위한 방안으로 기업이 먼저 정보보안의 인식을 변화시켜서 적극적으로 보안성향상에 투자하여야 하고 실사용자의 보안교육을 통해서 내부유출을 막아야 습니다.

따라서 정보보안의 규정을 명확화 하고 네트워크차단 혹은 보안시스템의 프로그램정보비공개, 보안사고에 대비한 매뉴얼을 준비해야 한다는 것을 제안해봅니다.

보안은 기업의 e-비지니스활동의 기본입니다. 보안이 불안하면 아무리 서비스가 좋더라도 고객은 외면할 수밖에 없습니다. 보안에 대한 투자를 강화하고 기술개발을 소홀히 하면 위의 사례와 같이 커다란 피해를 입을 수 있다는 것을 인지하고 기업은 보안 불감증을 버리고 적절한 보안에 대한 관심 및 투자를 해야 합니다.

[참고자료]

메이플 스토리도 털렸다..잇딴 해킹사고 왜?, 이데일리(‘11.11.28) http://www.edaily.co.kr/news/NewsRead.edy?SCD=DC16&newsid=01115206596450312&DCD=A01405&OutLnkChk=Y

가짜 인터넷뱅킹 사이트 주의, 연합뉴스(‘12.4.5)

http://app.yonhapnews.co.kr/YNA/Basic/article/new_search/YIBW_showSearchArticle_New.aspx?searchpart=article&searchtext=%ea%b0%80%ec%a7%9c+%ec%9d%b8%ed%84%b0%eb%84%b7&contents_id=AKR20120405110500017

클라우드 안전합니까?(1):보안을 말하다(‘12.3.28) http://www.zdnet.co.kr/news/news_view.asp?artice_id=20120328084729&type=xml

MS `사이드킥` 사고…`클라우드 컴퓨팅` 취약성 노출, 한국경제(‘09.10.20) ";

// return false;

스마트폰 잃어버렸더니? 내 정보·기밀이…, 머니투데이(‘12.3)http://www.mt.co.kr/view/mtview.php?type=1&no=2012032716352989104&outlink=1

카톡 피싱 추가피해 나올까? 파이넨셜 뉴스(‘12.3.23)http://www.fnnews.com/view?ra=Sent0901m_View&corp=fnnews&arcid=201203230100187150010772&cDateYear=2012&cDateMonth=03&cDateDay=22

군 간부, 스마트폰으로 공문 찍어 유출 왜? 중앙일보(‘12.2.27)http://article.joinsmsn.com/news/article/article.asp?total_id=7302699&cloc=olink|article|default

대형 해킹사고 ‘담넘어 불구경’…”보안투자 왜 해요?”, 머니투데이(‘12.327)http://www.mt.co.kr/view/mtview.php?type=1&no=2012032714535486685&outlink=1

리스크관리 분석, 항공대 경영정보관리수업 프린트 5-27 IT Security,Crime, Compliance, and Continuity

11장 문제근원 소프트웨어 보안이란 무엇인가? (P61-63) 소프트웨어 보안코드 깨부수기, 류정욱(‘04.9.10)

스마트워크·BYOD 시대에 따른 보안강화 방안은?, 보안뉴스(‘12.4.7)http://www.boannews.com/media/view.asp?idx=30600&kind=1

클라우드 컴퓨팅 보안 대책 – 미국 동향,Beta New(‘11.5.15) ";

// return false;

25장 시스템 주요항목 : 침해사고시 코드분석(P196-264), 침해사고 분석, 송대근(‘09)

5절 사고처리절차(p42-51, P82-94), 사고로 보는 해킹사고 분석 대응, 이현우(‘04)

정보통신 보안 (P369) 컴퓨터와 정보통신의 이해, Brian K.Williams(‘10.2)

0 notes