2020년은 코로나19 팬더믹과 데이터 3법 개정으로 인해 그 어느 때보다 정보보호 이슈가 많은 한 해였다.조직에서는 언택트 환경에 따른 원격 근무가 확대되면서 관련된 정보보호 활동이 증가했고, 공인인증서에서 ‘공인’이 폐기되면서 다양한 인증서가 사용될 수 있는 기반이 조성되었으며, 관리되지 않는 컴퓨팅 자원에서 랜섬웨어가 감염되어 서비스 연속성에 영향을 주는 사례도 발생했다.개인정보 관점에서는 개인정보보호위원회가 조직을 통합 정비해 출범했고, 코로나 감염자에 대한 개인정보 공개 논란도 있었다.특히, 데이터 3법으로 불리는 법률들이

△OS 패치 좀 안 했다고 우리나라 전체 인터넷이 중단되겠어?-1.25 인터넷 대란△글로벌 클라우드 서비스가 중단될 일이 있겠어?-2018년 AWS 서울리전 DNS 오류로 한국 고객사 장애사건△우리 업무를 수행하는 협력업체 직원이 설마 개인정보를 유출하겠어?-2014년 카드3사 대규모 개인정보 유출 사건△통신사 지사 한 곳 화재 났다고 영향이 얼마나 있겠어?-서울KT 아현지사 지하 통신구 화재로 인근 지역 통신망 마비△POS기기가 랜섬웨어에 감염된다고 얼마나 영향이 있겠어?-2020년 POS 기기 악성코드로 유출된 대규모 한국인 카

온라인이든 오프라인이든, 신뢰를 확보하기 위한 가장 기본적이며 중요한 부분은 '나'임을 확인하는 것에서부터 시작한다고 볼 수 있다.특히, 온라인에서는 내가 '나'임을 확인하기 위한 기술적 수단이 마땅치 않은 것이 현실이다.오고 가는 트래픽 속에서 신뢰할 수 있는 패킷을 통해 믿을 수밖에 없다.온라인상에서 일반인들에게 그나마 신뢰할 수 있는 본인확인 수단으로 공인인증서가 있었지만, 공인인증서 설치를 위한 수단으로 활용되던 '액티브 엑스'가 악성 프로그램 설치 경로가 될 수 있다는 우려로 인해 ‘공인’인증서는 사라지게 되었다.액티브엑스

IBM, 아마존 AWS, 오라클, 마이크로소프트, 텐센트..이 기업들의 공통점은 국내 컴플라이언스 준수를 위해 ISMS(정보보호관리체계) 인증을 받은 글로벌 기업이라는 점이다. 국내 지사가 아닌, 글로벌 본사가 주체적으로 심사를 받고 인증서를 발급 받은 곳들이다.지금도 국내에 진출한 글로벌 기업들은 ISMS 인증을 받기 위해 준비 중인 곳이 다수 존재하고 앞으로도 늘어날 것이다.이렇듯 ISMS 제도에 대한 신뢰가 높아지고, 다양한 글로벌 기업들이 ISMS 인증을 준비하고 있는 상황에, 국내·외 다양한 조직에 더 많은 도움이 될 수

정보통신망법에 규정된 정보보호최고책임자(CISO) 임원급 전담제에 대한 처벌규정이 없어 제대로 지켜지지 않고 있다. CISO 임원급 전담제 위반시 처벌할 수 있는 개정안 마련이 시급한 상황이다.페이스북이 2019년 개인정보관리소홀로 미국 정부에게 6조원의 과징금을 받은 것처럼 정보보호에 대한 리스크 관리는 전세계 기업들에게 아주 주요한 이슈다. 그럼에도 불구하고 한국의 정부·공공은 물론이고 기업들도 정보보호 최고책임자 지정제도를 위반하거나 제도를 교묘히 피해 운영하고 있어 대책마련이 필요한 시점이다.CISO 임원급 겸직금지 대상기업

과학기술정보통신부(장관 최기영, 이하 과기정통부)가 2021년 시행을 앞두고 법제처에 제출한 ‘전자서명법 시행령 전부개정안’의 평가기관 전문인력 요건 부분에 “회계사의 경우 6년의 개인정보보호 유관경력을 보유한 것으로 본다”는 조항을 넣어 정보보호인들의 공분을 사고 있다.과기정통부는 지난해 10월 조직개편시 인공지능정책관을 신설하면서 기존 정보보호정책관을 폐지하고 네트워크와 정보보호 정책 업무부서를 묶어서 정보보호네트워크정책관으로 통폐합한 바 있다.당시 정보보호 산업인들과 현업 정보보호 담당자들은 4차산업혁명의 근간인 정보보호의 발

졸업앨범에 사진과 집 주소, 연락처를 정확하게 넣어서 배포하고, 온 국민의 전화번호와 주소가 나와 있는 두꺼운 전화번호부 책자를 쉽게 구할 수 있었던 시절이 그리 오래되지 않았다.지금 기준으로는 상상하기 어려운 일이지만, 그 때는 그럴 수 있었던 시기였다.지금은 어떤가?개인정보 하나라도 수집하려면 동의를 받아야 하고, 개인정보처리방침을 통해 법에서 규정한 항목들을 일일이 고지해야 하고, 목적 외로 이용하면 안되고 등등 다양한 통제 장치 속에서 엄격하게 관리하면서 사용하도록 사회 분위기가 바뀌어 있다.사회적 합의를 기반으로 만들어진

데이터 3법(개인정보보호법·신용정보법·정보통신망법)의 시행과 함께 정보주체의 전송요구권에 따라 다양한 정보를 통합 관리해 주는 마이데이터 사업이 가능해졌다.통상 마이데이터 사업으로 불리는 ‘본인신용정보관리업’이란 개인인 신용정보주체의 신용관리를 지원하기 위하여 신용정보제공자나 이용자 또는 공공기관이 보유한 개인신용정보 등을 수집하고, 수집된 정보의 전부 또는 일부를 신용정보주체가 조회ㆍ열람할 수 있게 하는 업무를 제공하는 서비스로 금융위원회의 허가를 받도록 규정하고 있다.마이데이터 사업에 진출하는 기업들 입장에서는 은행, 카드, 보

조직에서 다양한 비즈니스 이해관계와 컴플라이언스 사이에서 개인정보보호를 위한 기준을 정하기는 쉽지 않다.나름대로 사회적 합의를 이룬 법률 요구사항을 지키기에도 벅차하는 곳이 적지 않은 것이 현실이고, 빠른 기술의 변화를 따라가기에도 힘든 현실적인 이유들도 많은 상황이다.일반적인 정보보호는 자신(조직)이 보유하고 있는 서비스의 가용성과 내부 정보 유출을 예방하는 등 자신의 조직을 보호하기 위한 측면이 강하고, 개인정보보호는 타인(고객)이 맡겨놓은 정보(회원가입 정보 외에 다양한 활동 로그 등을 포함한)를 보호해야 하는 특성을 가지고

상반기 최대 개인정보보호&정보보안 컨퍼런스 G-PRIVACY 2020이 5월 28일 더케이호텔서울 가야금홀에서 성황리에 개최됐다.이 자리에서 박나룡 보안전략연구소 소장은 ‘ISMS-P 인증의 이해와 활용’을 주제로 강연을 진행해 참관객들의 큰 관심을 끌었다.박나룡 소장은 “ISMS(정보보호 관리체계 인증)와 PIMS(개인정보보호 관리체계 인증)가 융합화, 고도화되고 있는 침해위협에 효과적인 대응을 위해 연계가 필요해 ISMS-P로 통합하게 됐다”며 “하지만 현재 두 인증체계는 물리적 통합만 이루어졌을 뿐 완전한 통합으로 보기는 어렵

데일리시큐 주최 상반기 최대 개인정보보호 및 정보보안 컨퍼런스 G-PRIVACY 2020이 오는 5월 28일 서울 양재동 더케이호텔서울 2층 가야금홀에서 개최된다. 올해 첫 대형 보안 컨퍼런스로 코로나19 방역 수칙을 잘 지켜 안전하게 개최될 예정이다.올해 8회째를 맞는 G-PRIVACY 2020은 코로나19 안전수칙을 철저히 준수해 개최될 예정으로 전국 정부기관 및 공공∙지자체·교육기관·금융기관·일반기업의 개인정보보호 책임자(CPO), 실무자, 정보보안 책임자(CISO/CIO), 실무자 등이 대거 참석할 예정이다.참석자는 방역 마

코로나로 인해 사회 전반적인 생태계의 변화가 찾아오고 있다.생활의 기반이 기존의 오프라인 세상에서 온라인 세상으로 상당 부분 옮겨가고 있고, 생각보다 빠르게 변화하고 있다는 것을 하루가 다르게 느낄 수 있는 상황이다.이러한 상황이 지속성을 유지하게 되면, 정보보호 환경에도 변화가 필요한 부분이 발생한다.몇 가지 살펴보면, 첫 번째로, 온라인에서 본인(실명)인증의 보편화/간편화 요구가 늘어날 것으로 보인다.이미, 지난해 1년간 처리된 본인확인 건수는 약 16억 건으로, 국민 1인당 30~40건의 확인 프로세스가 이루어지고 있을 정도로

코로나19 여파로 미뤄졌던 데일리시큐 주최 상반기 최대 개인정보보호 및 정보보안 컨퍼런스 G-PRIVACY 2020이 오는 5월 28일 서울 양재동 더케이호텔서울 2층 가야금홀에서 개최된다. 올해 첫 대형 보안 컨퍼런스로 코로나19 방역 수칙을 지켜 안전하게 개최될 예정이다.올해 8회째를 맞는 G-PRIVACY 2020은 코로나19 안전수칙을 철저히 준수해 개최될 예정으로 전국 정부기관 및 공공∙지자체·교육기관·금융기관·일반기업의 개인정보보호 책임자(CPO), 실무자, 정보보안 책임자(CISO/CIO), 실무자 등이 대거 참석할 예

현재, 개인정보보호 전문 인력은 대부분 민간 기업에서 양성하고 있다고 해도 과언이 아니다.주로 민간 기업에서 개인정보나 정보보호 업무를 오랫동안 수행하면서 다양한 사례와 경험을 통해 개인정보보호에 대한 전문성을 쌓아가고 있기 때문이다.개념의 중요성과 사회적 관심의 대상이 된 것이 오래되지 않았고, 사회적 약속이라 할 수 있는 법률의 정비도 역사가 길지 않은 상황에서, 컴플라이언스나 이해관계자들의 요구사항은 급격하게 늘어나다 보니 충분한 인력이 준비되어 있지 않은 상황이다.이런 상황에서 지금까지는 체계적인 전문 교육 보다 업무 경험을

최근에 인프라나 서비스 플랫폼을 클라우드 서비스로 전환하는 사례가 늘어나고 있다. 아니 이미 보편화되어 있다고 보는 편이 맞을 것이다.특히, 금융이나 의료 등 민감한 정보를 다루는 서비스까지 규제혁신이라는 추세에 따라 클라우드 서비스를 이용할 수 있도록 허용해달라는 요구가 많은 상황이다.기업 입장에서도 클라우드 서비스 도입이나 전환이 안정성, 유연성, 비용 효과성 세 마리 토끼를 잡을 수 있다는 막연한 믿음(?)과 업무 효율성이 높아질 것이라는 기대로 적극 검토하고 있는 것이 현실이다.그렇다면, 정말 클라우드 서비스는 안전하면서,

“정보보호 관리체계가 뭐지?”, “정보보호 및 개인정보보호 관리체계 인증은 어떻게 받는 거야?”신간 ‘클라우드 환경까지 고려한 ISMS-P 인증실무 가이드’가 출간됐다. 현업 정보보안 담당자로 그리고 ISMS 인증심사원으로 오랜 기간 활동해 오고 있는 연수권·신동혁·박나룡 등 저자 이름만으로도 이 책의 무게감이 더 해진다.이 책은 통합된 정보보호 및 개인정보보호 관리체계(ISMS-P)의 이해하고 실제 실무에서 활용할 수 있도록 구성되어 있다. 집필진은 기업에서 15년 이상 정보보호 업무 및 다양한 회사의 ISMS, PIMS 인증 경

2020년 새 해 개인정보보호와 관련된 의미 있는 법률들, 개인정보보호법, 정보통신망법, 신용정보법 개정안으로 구성된 데이터 3법이 통과되면서, 특정 개인을 알아볼 수 없도록 가명 처리한 데이터들을 넓게 활용할 수 있는 기준이 마련되었다.구체적인 사안에 대해서는 법률 전문가의 도움을 받아야 할 것이고, 개인정보 담당자 입장에서 고민해야 할 내용들을 간략하게 정리해 본다.1. 개인정보의 정의먼저, 개인정보에 대한 정의를 살펴보면 "개인정보"란 살아 있는 개인에 관한 정보로서, 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수

정보보호의 역할과 범위가 점점 더 개인에게 가까워지고 있다.모든 것이 연결되는 사회에서 익명성에 가려져 개인에 대한 위협이 감소할 것 같지만, 역설적이게도 개인이 보안 위협의 타깃이 될 수 있는 상황이 현실에서 나타나고 있다.기존에는 기업이나 조직의 보안 수준에 문제가 있어 개인정보나 중요 정보가 해킹을 당하는 일이 발생해도, 개인에게 직접적인 피해보다는 2차적인 피해를 걱정하는 수준이었다면 IoT 기술의 확산과 집안에 까지 적용되고 있는 정보통신 기술로 인해 침해의 위험이 개인에게까지 영향을 미치고 있는 것이다.미국 캔자스의 한

국가‧공공기관의 개인정보 관리실태가 생각보다 심각하다는 보도가 나왔다.“공공기관(81.2%)이 민간기관(58.7%)보다 개인정보 관리 소홀”“정부기관 및 지자체(97.5%), 병원 등 의료기관(82.5%), 호텔여행업(83.3%), 학원(85.75) 등 특히 심각” (관련 기사 클릭)정부기관 및 지자체, 교육기관, 지방공기업 등 총 293개 공공기관의 81.2%인 238개 공공기관에서 개인정보보호법 위반행위 363건에 대해 처분을 받았고, 특히 정부기관 및 지자체에 해당하는 행정기관은 점검받은 80개 기관 중 2곳을 제외한 78개

최근에 국가적으로 가장 중요한 이슈 중에 하나로 떠오르고 있는 ‘전략물자’와 관련하여 ‘정보보안’ 분야가 어떤 관련이 있는지 이해할 필요가 있어 정리를 해보고자 합니다.현재 이슈가 되고 있는 단어, ‘전략물자(Strategic Items)’란 재래식 무기 및 대량파괴무기(WMD)와 그 운반수단인 미사일 그리고 이들 무기류의 개발･제조･사용 혹은 저장에 이용될 수 있는 품목 등을 의미합니다.이러한 품목에 대해서는 UN안전보장이사회 결의 1540호에 따라 모든 회원국에게 비확산·수출통제 입법과 집행을 의무화하고 통제 제도를 운영하도록