<오늘의 보안이야기 No.33>
정보보호 DNA 바꿔야 한다.
식물 줄기세포를 세계최초로 붂리하는 방법을 개발한 것처럼 그것을 기반으로 정보보호 분야에도 정보보안 관리체계를 다시 재정립해야 합니다. 모든분야에 응용,적용할 수 있습니다.
지난 2013 국가정보보호백서에 따르면, 2012년 민간분야 침해사고 접수․처리 현황 중 해킹사고는 19,570 건으로 2011년에 비해 67.4%가 증가한 수치이며, 해가 갈수록 증가하고 있다고 밝혔습니다.
이러한 증가의 원인으로는 감염기법의 다양화 등이 꼽히고 있습니다. 하지만, 악성코드를 분석 하고 대응하기 위한 전문가 수의 증가 속도보다 악성코드의 발전 속도가 빠르기 때문에, 악성코드로 인한 보안위협에 대응하는데 어려움이 있습니다.
이에 따라, 악성코드 자동분석 도구에 대한 관심이 높아 지고 있습니다. 악성코드 DNA 생성을 통한 유사 악성코드 분류방법을 제안합니다. 제안하는 기법은 기존 자동 분석 도구와는 달리, 악성코드의 특성인자를 추출하여 ‘악성코드 DNA’를 생성하고, 이를 통한 유사도 계산을 통해 악성 코드를 분류하면 가능해집니다.
본 기법을 통해 전문가의 악성코드 분석 시간 절약 및 정확성을 향상 시켜 줄 수 있고, 신뢰성 있는 사전 지식을 전달할 수 있습니다.
결국 우리가 내는 모든 세금은 국민이 누려야 할 권리와 지켜야 할 의무가 담겨 있습니다. 국민이 낸 세금으로 나라 살림을 하기 때문에 국가 운영을 위해 세금을 성실하게 활용해야 합니다.
1. 민간,정부 정보공유체계도 확 바꿔야 합니다.
왜 민간 전체에 서비스는 못하는지 이해할 수 없는 구조 입니다. 정부, 공공기관과의 정보공유체계는 확실히 하면서 민간은 서비스가 제외받고 홀대를 받아야하는지? 엄연히 이것도 국민이 낸 세금으로 운영되는 것인데 주인이 자기 행세를 못하고 요구하지도 못하는 아이러니한 구조는 바꿔나갑시다.
또한 보안과 관련해 많은 기업들이 가장 취약한 요소는, 바로 애플리케이션입니다. 그러나 대개의 조직이 애플리케이션 보안에 투자하는 비용은 네트워크 보안의 1/10에 불과합니다. 전문가들은 개발자들이 안전한 코드를 작성하도록 교육하는 것이 해답이라고 주장하고 있습니다.
Q 최근 보안 이슈가 발생하는 근본적인 이유는 무엇이라고 생각하시나요?
A 보안사고는 모든 영역에서 발생할 가능성이 있습니다. 어떤 경로가 1차적인 원인이 될지 판단하기 힘듭니다. 웹 서비스를 통한 침투, 개인PC 감염을 통한 침투, 외장 메모리 감염을 통한 침투, 무선 네트워크를 통한 침투, 버려진 쓰레기를 뒤져서 획득한 개인정보, 물리적인 접근 통제를 우회한 침투 등 매우 다양합니다.
이처럼 SQL 인젝션 공격(SQL injection attack)이 데이터 유출(data breach)의 가장 큰 근본 원인으로 대두되고 있는 현실에도 불구하고, 대부분의 기업은 애플리케이션 보안과 관련한 원칙을 수립하지 않고 있는 것으로 나타났습니다.
2. 보안 전문가들은 개발자보다 많이 알아야 합니다.
보안 전문가들은 보안 정책을 작성해 개발자에게 제공해야 합니다. 그러나 개발자들은 대체로, 그 정책을 어떻게 적용할 지 이해하지 못하는 것이 주요 요인의 하나입니다.
보안 업체는 자신들의 역할을 다했다고 이야기하지만, 실질적으로 그들은 개발자들에게 해당 정책과 관련한 맥락적 정보를 제공하는데 충분한 노력을 쏟지 않은 것이 사실입니다,
또한 이러한 협업의 과정을 기업이 안전한 코드를 작성하는 과정에 비유하기도 합니다. 한 줄의 안전한 코드를 작성 하는 것이 불안정한 코드를 한 줄 작성하는데 비해 많은 시간이 소요되는 것은 아닙니다. 귀차니즘. 이는 그저 선택의 문제일 뿐인 것입니다.
3. 보안점검 및 보안사고시 엄격한 규정에 의해 처리 하십시요.
보안사고 및 위반시에는 사업장 2개월 영업정지와 함께 과태료부과를 상시화하고 임직원에게는 자체적인 활동을 통해 1차 임원경고, 2차 사장경고, 3차 인사위원회 회부등 외주파트너사의 경우 1차 시정권고, 2차 3차 계약변경 예고, 해지 등 처벌을 강화하지 않는한 매월 반복되는 것이기에 이제는 형식적인 행사로 생각하는 경우가 많은듯 합니다. 한마디로 행정적으로만 처리하고 있다는 얘기 입니다.
윤리, 도덕성과 관련된 사람의 성향은 비교적 어린 나이에 완성되기 때문에(물론 성장 과정 중에 약간의 변화가 있긴 합니다만) 성인이 되서 받는 윤리 교육의 효과가 미미한 것이 사실입니다.
아쉽게도, 비윤리적인 사람들에게는 효과가 미미하다 하더라도, 회사로서는 그 사람들에게 지속적으로 리마인드 시켜줄 의무가 있다고 생각합니다.
최소한, 나중에 무슨 문제가 발생했을 때, '회사로부터 그와 관련해 어떠한 지침도 들은 바가 없다. 따라서, 이것은 내 책임이 아니라 회사의 부주의이고, 회사가 책임져야 한다.' 라는 식으로 책임을 떠넘기는 일은 안생기지 않을까요?
4. 조금씩 바꿔가야 하는 겁니다.
형식적이고 사소한 것같은 하나하나 수행함이 나중에는 임직원들의 보안의식 향상에 도움이 될 듯 싶습니다.
매월 '보안의날' 하루만이라도 그동안 생각치 못하고 미뤄왔던것 한가지로도 점검함으로써 이전보다 한가지는 분명 나아집니다.
물론 해당분야 담당자는 실태확인 및 점검보고서 작성으로 일이 늘어나겠지만 입사시 보안윤리/인성교육과 함께 필수적인 교육입니다.
1. 본인에게 부여한 주어진 업무에 있어서의 의무를 성실히 수행하며 다음의 사항을 준수하겠습니다.
- 정보보안 업무 종사자로서 사명감 및 윤리의식 준수
- 고객 개인정보 등 정보유출 금지
- 정보보안 업무 종사자로서의 자기개발 2. 정보보안 업무와 관계되는 법령은 물론 제규정을 준수하겠으며 업무에 필요한 국내외 관계법령 및 제규정을 항상 습득하여 앞서가는
보안인이 되겠습니다. 3. 업무수행상 알게 된 사실이나 조직의 비밀 및 거래처의 정보(영업비밀, 개인정보, 산출물 등) 등에 관하여 누설하지 않겠으며, 비 고의적인
공개로 인해 발생되는 손해일지라도 책임을 지겠습니다. 4. 항상 상호간에 예절을 지키고 고객에게 친절하며 보안인으로서의 품의와 명예를 빛나게 하겠습니다. 5. 금전이나 물품을 사사로이 쓰거나 업무와 관련하여 사사로운 이익을 도모하지 않겠습니다. 6. 자신의 지위를 이용하여 다른 보안인에게 성적인 언동 등으로 성적굴욕감 또는 혐오감을 느끼게 않게 하겠으며, 성적언동 또는 그 밖의 요구 등에 대한 불응을 이유로 업무상 불이익을 주지 않겠습니다. 7. 업무 외에 영리를 목적으로 하는 업무에 종사하지 아니하며 조직의 승인없이 타 직무에 관계하지 않겠습니다. 8. 기타 보안인으로서 명예를 손상하거나 불이익을 끼치는 행위를 하지 않겠습니다.
나는 본 윤리 서약 위배시 근로계약에 관한 회사의 어떠한 결정도 수락할 것을 동의합니다.
