개인정보 침해사고 예방 및 대응방안 수칙 10

핵심자산 파악·보안 인식 및 체계적인 보안관리 구축 필요

[보안뉴스 김경애] 3.20사이버테러 이후, 정보보호에 대한 인식이 높아진 가운데 기업들의 고민이 이만 저만이 아니다.

기업에서 수집한 각종 정보 및 개인정보 유출사고가 빈번해 지면서 그에 따른 예방 및 대응방안이 절실히 필요한 때라 더욱 그렇다.

특히 오픈된 각종 사이트의 웹페이지 취약점을 노리고 변조하는 공격이 주를 이뤘다. 이는 웹쉘 코드를 이용해 관리자 권한을 탈취하고, 정보를 유출할 수 있기 때문이다. 웹쉘(web shell)은 업로드 취약점을 통해 시스템에 명령을 내릴 수 있는 코드로 웹서버에 명령을 실행해 관리자 권한을 획득하는 공격 방식에 주로 이용된다.

A사의 개인정보 침해사고의 경우가 그러하다. 홈페이지 게시판 내에 파일을 업로드 하는 취약점을 노린 것으로 2개의 웹쉘을 업로드 하는 수법을 이용했다. 웹쉘을 이용해 리버스 쉘을 업로드 및 호출 하는 등 리버스 셸을 통한 서버원격 접속으로 관리자 권한을 획득해 총386,744건의 개인정보(중복포함)를 유출했다.

B사의 개인정보 침해 사고 또한 여러 웹쉘을 정보유출 목적으로 그 기능에 맞게 생성시켜 악성코드 유포지로 웹페이지를 변조하고 이를 이용해 631개 DB테이블을 유출했다.

이와 같이 웹쉘을 이용한 것과 같이 지능적이고 교묘해지는 수법으로 개인정보를 유출하는 사고가 잇따르고 있다. 그렇다면 기업은 날로 지능화되고 교묘해지는 공격에 대해 어떻게 대응해야 할까?

이와 관련해 한국인터넷 진흥원 박순태 팀장은 개인정보 침해사고 예방과 대응방안 10가지를 다음과 같이 제시했다.

	방어수칙	경영진	보안담당자	IT담당자	모든 임직원
1	조직의 핵심자산을 파악하라	●	●
2	경영진부터 일반 직원까지 보안 필요성을 인식하라	●	●		●
3	체계적인 보안을 위해 보안 관리체계를 구축하라	●	●
4	CERT 등 IT 보안을 위한 전담 팀을 구축하라	●	●
5	핵심 자산의 접근은 최소 인원만 허가하고, 관리하라		●
6	사용자 별 접근권한을 다르게 설정하라		●	●
7	외부로부터의 공격, 내부로부터의 정보 유출 지점을 파악하라.		●	●
8	필요한 경우 망을 분리하라		●	●
9	보안 업데이트, 최신 백신을 설치하고, 악성코드 침투를 예방하라		●		●
10	핵심 자산을 보호하기 위한 보안솔루션을 도입하라 이다.		●

박 팀장은 “기업에서 경영진은 조직의 핵심자산 파악과 보안의 필요성 인식, 체계적인 보안 관리체계를 구축해야 한다”며 “보안을 위한 전담 팀을 구축해야 한다”고 말했다.

전담팀의 구축은 보안총괄 책임자(CSO), 정보보호책임자(보안팀장), 정보보호 담당자 등으로 나눠 체계적으로 관리해야 한다. 사용자 별 접근권한을 다르게 설정하고, 제한을 두며, 최소 인원만 허가하고 관리해야한다는 것이다.

특히 IT 및 보안담당자는 외부로부터의 공격인지 내부로부터의 정보 유출인지 정확한 지점을 파악하고, 사전에 정보가 유출될 수 있는 지점 또한 파악해야 한다고 박 팀장은 강조했다.

또한, 악성코드 감염 등에 대비하기 위한 임직원들에게 대한 주기적인 보안 교육이 필요하고, 아울러 데이터 유출 방지 및 외부 악성코드 유입 방지 등의 기능을 하는 보안솔루션을 도입해야 한다고 덧붙였다.

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)