Crypto AI-infused Curator w/ insight

다음과 같은 분이 한국인터넷진흥원(KISA)의 차기 원장이 되었으면 좋겠습니다. 1. 정보보호를 진심으로 사랑하는 사람: 단순히 직업으로 삼은 것이 아니라, 정보보호에 자신의 인생을 걸어온 사람. 2. 우리나라 정보보호 정책에 자신만의 족적을 남긴 사람: 거창하지 않아도 좋습니다. 적어도 본인이 주도해서 무엇 하나라도 실질적인 변화를 만들어본 경험이 있는 사람. 3. 장관이나 대통령 앞에서도 소신 있게 건의할 수 있는 사람: 현장의 목소리를 정책 결정권자에게 직접 전달하고, 필요하다면 쓴소리도 마다하지 않는 사람. 물론 그러려면 장관이나 대통령과 만날 약속 정도는 잡을 수 있어야겠지요. 4. 개인의 영달을 앞세우지 않는 사람: 정치적 성향이 없으면 좋겠지만, 있다고 해서 문제 될 것은 없습니다. 다만 이 당 저 당, 이 후보 저 후보를 기웃거리며 자신의 자리를 찾는 사람만큼은 아니었으면 합니다. 그런 사람에게는 철학보다 자리가 먼저일 테니까. 5. KISA 출신들이 자랑스러워할 수 있는 사람: 전·현직 직원들이 어디 가서도 당당하게 우리 원장이라고 소개할 수 있는 사람. 국민들에게까지 사랑받는다면 더할 나위 없겠지요. 6. KISA라는 조직 자체를 진심으로 사랑하는 사람: KISA를 자신의 경력을 위한 발판이나 더 높은 자리로 가기 위한 징검다리로 생각하는 것이 아니라, 조직의 발전과 직원들의 성장을 위해 헌신할 수 있는 사람. 7. 무엇보다 정보보호 분야의 전문성만큼은 누구에게도 밀리지 않는 사람: 모든 기술을 다 알 필요는 없겠지만, 적어도 무엇이 중요한 문제인지, 어떤 방향으로 나아가야 하는지 판단할 수 있는 깊이와 안목을 갖춘 사람. KISA 원장이라는 직함이 그 사람을 빛나게 하는 것이 아니라, 그 사람 덕분에 KISA라는 이름이 더욱 빛났으면 좋겠습니다. 쓰고보니... 아씨~ 이게 당연한거 아니야!!

몇번 얘기했지만... 미국 CISA(미국 연방정부의 국가안보를 제외한 모든 일반 보안업무를 담당하는 일종의 보안청)는 2022년 10월 3일 "BOD 23-01: Improving Asset Visibility and Vulnerability Detection on Federal Networks"를 발표함. 이 문서에서 CISA는 미국의 연방 민간 행정부처 및 기관들에 대해 다음과 같이 자산 파악을 하도록 강제하고 있음, (여기서 연방 민간 행정부처 및 기관들이라 함은 미국 연방정부의 행정부 소속 기관 중 국방부와 정보기관 등 국가안보 관련 일부 기관을 제외한 일반 행정기관을 말함.) - 관리 방식: 자동화 도구를 이용한 자산 탐색 및 현황 관리 - 최소 7일마다 자동화된 자산 탐색 - 최소 14일마다 취약점(Vulnerability) 점검 또한 실제 발견된 자산과 관리 목록이 일치하는지 수시로 확인함. 즉 우리나라같이 일회성 자산 전수조사, 그것도 서면으로만 하는 전수조사가 아니라, 상시적·자동화된 운영 프로세스로 전환했다는 것. 우리나라의 경우도 예산을 들여 이러한 시스템을 구축하고, 공공기관 및 주요기반시설에는 의무적으로 적용할 필요가 있다고 봄. - cisa.gov/news-events/directi…

같은 말을 반복하기 싫어서 SNS에 올리면, 그걸 또 갖다 써도 되느냐고 물어 오시는데요. 그냥 맘껏 쓰십시요...... -.-;; Q1) 지금 벌어지고 있는 금융권 해킹 사고의 공통점은 무엇인가요? A1) 아직 공개된 정보가 제한적이어서 사고의 공통점을 단정적으로 말하기는 어렵습니다. 다만 현재까지 알려진 사례들을 보면, 인터넷과 분리된 내부 업무망보다는 외부 인터넷과 연결되거나 접점이 있는 시스템에서 문제가 발생하고 있다는 점에 주목할 필요가 있습니다. 자산 현황 목록에서 누락됐거나 내부 업무망 수준으로 제대로 관리되지 않았던 보안 사각지대의 시스템들이 해킹되고 있는 것으로 보입니다. Q2) 대책이 없을까요? A2) 제일 시급한 것중 하나가 사각지대 해소입니다. 지난해 10월 정부가 발표한 「범부처 정보보호 종합대책」에도 '자산 전수조사를 통한 보안 사각지대 해소'가 주요 과제로 포함돼 있었습니다. 이 대책이 실제 현장에서 얼마나 이행됐는지, 제대로 이행되지 않았다면 그 원인이 무엇인지 정부에 확인해 볼 필요가 있습니다. AI를 활용한 취약점 탐색과 해킹이 대중화되는 상황에서, 관리되지 않는 자산은 공격자에게 표적이 될 수 있습니다. 이제 자산 식별과 관리는 AI 해킹 시대에 가장 시급하게 해결해야 할 과제가 됐습니다. (여기서 자산 식별은 단순히 EASM을 말하는게 아님니다!) Q3) 왜 금융권에서만 이러한 사고가 발생하는 걸까요? A3) 금융권에서만 이런 문제가 발생한다고 보기는 어렵습니다. 제가 알기로는 정부부처가 보유한 정보시스템에 대한 자산 전수조사조차 아직 끝나지 않은 상황입니다. 민간의 다른 산업 분야도 크게 다르지 않을 가능성이 있습니다. 그나마 금융권에서 사고가 상대적으로 많이 알려지는 것은 침해사고 신고 및 보고 의무가 상대적으로 엄격하게 작동하고 있기 때문이라고 볼 수 있습니다. 따라서 금융권에만 문제가 있다고 볼 것이 아니라, 공공과 민간을 막론하고 자산 식별과 취약점 관리가 제대로 이루어지고 있는지 전반적으로 점검할 필요가 있습니다. Q4) 개인정보가 암호화돼 있으면 유출되더라도 안전하지 않나요? A4) 반드시 그렇지는 않습니다. 개인정보를 암호화했더라도 암호화 키까지 함께 유출된다면 공격자는 해당 정보를 복호화할 수 있기 때문입니다. 과거 통신사 해킹 사고에서도 암호 알고리즘 자체의 취약성보다는 암호화 키의 관리 문제가 중요한 쟁점으로 부각된 바 있습니다. 이러한 문제는 민간기업뿐 아니라 공공기관에서도 발생할 수 있으며, 최근 주목받는 동형암호나 양자내성암호 또한 예외는 아닙니다. 결국 중요한 것은 어떤 암호화 기술을 사용했느냐뿐 아니라, 암호화 키를 얼마나 안전하게 관리하고 있느냐입니다. 암호화 기술을 도입했다는 사실만으로 개인정보가 안전하게 보호되고 있다고 판단해서는 안 됩니다.