Binary HACKs

AnalysisⅠPCI

컴플라이언스 비용에 비해 얻는 것에 실망스러운가? 전문가들은 그렇게 생각할 필요는 없다고 말한다.       

일부 지불 시스템을 변경하고 회사의 보안 프로그램을 신용카드협회 데이터보안표준에 맞추는 것은 기업이 상당한 비용과 수많은 불평을 감수해야 한다는 것을 의미한다. 그러나 IT 관리자들, 감사원들, 그리고 분석가들은 오늘날과 같은 환경에서 비용은 필요악이라고 말한다.

그 엄청난 비용은 기초 세액, 지불 시스템의 업그레이드 및 분할, 공인 보안 사정인의 고용, 그리고 강력한 보안 프로그램을 통한 컴플라이언스 유지를 포함한다. ‘PCI 비용 분석’보고서에 따르면 이것은 대기업의 경우 총 1,800만 달러 정도가 될 수도 있다.

이 보고서는 지불 시스템의 재조정과 새 인프라스트럭처에 대한 투자를 위한 컴플라이언스 선행 비용으로만 최대 천만 달러 정도가 필요할 수도 있다고 평가했다. 또한 공인 보안 사정인을 고용하는데 300만 달러 정도, 강력한 보안 프로그램을 유지하는 전체적인 IT 운영 부분으로 연간 100만에서 500만 달러가 소요된다고 평가했다.

전문가들은 높은 수준의 보안 침해 처리와 연관된 브랜드 및 평판 손상과 비교 검토했을 때 PIC 컴플라이언스가 적절한 선보다 훨씬 더 비용이 든다는 것에 동의했다. 대기업 TJX는 대규모 보안 침해를 해결하는데 2억5,600만 달러를 지출했다고 인정했다. 비영리 연구들의 결과는 데이터 침해에 따른 기록 당 비용이 최대 200달러 정도가 될 수 있다는 것을 알려준다.

PCI 공인 컨트롤케이스 보안 사정인(QSA) 키쇼르 바스와니(Kishor Vaswani)는 상당량의 신용 카드 트랜잭션을 처리하는 비즈니스에 대한 수많은 세액 사정을 지휘해왔다. 일부 회사들은 지불 시스템과 애플리케이션 대다수의 정밀조사를 필요로 하는 반면 다른 회사들은 규정 준수를 위한 최소한의 작업이 필요하다.

바스와니는 “이것은 그들이 보안에 대해 어떤 태도를 취하느냐에 달려있다”며 “예를 들어 판매인들은 일반적으로 은행만큼 보안이나 분할에 초점을 맞춘 다른 기술에 대해 관심 갖고 있지 않다”고 말했다. 또한 그는 회사들이 규정 준수에 지나치게 치중하는 것을 피할 수 있는 방법이 있다고 말했다. 컴플라이언스를 유지하기 위한 서비스를 제공하고 분기별 시찰을 돕는 공인 사정인들을 찾으라는 것이다.

회사들은 PCI의 빈틈을 채워준다는 소프트웨어를 파는 공인 사정인들을 피해야만 한다. 그는 “그들이 하는 일이라고는 그들의 기술을 팔 수 있을만한 틈을 발견하는 것뿐이다”고 경고했다.

시큐리티 인사이트(Security Incite)의 사장이자 수석 분석가인 마이크 로스먼(Mike Rothman)은 기업들은 공인 사정인들과 가깝게 작업하되 서둘러 공인 사정인을 고용하려고 해서는 안 된다고 말했다. 그는 PCI 표준을 기초 위기 사정과 민감한 데이터 암호화를 수행하기 위한 가이드로 사용하라고 조언했다.

로스먼은 “실질적으로 추구해야 하는 것은 상당히 강력하고 착실한 보안 프로그램을 적재적소에 배치하는 것이다”며 “그것을 제대로 해낸다면 컴플라이언스 문제도 제자리를 찾게 될 것이다”고 말했다.

시큐리티 커브(Security Curve)의 컨설턴트 다이애나 켈리(Diana Kelley)는 여전히 일부 대기업들은 어떤 경우에는 독립적인 데이터 센터를 설립하면서까지 그들의 지불 시스템을 분리하기 위한 작업을 하고 있다고 말했다. 그녀는 일부 회사들의 중역들은 그들의 시스템에 급진적인 변화를 만드는 반면 다른 회사들은 지불 시스템 분할에 의한 보다 비용 절감적인 루트를 밟고 있다고 덧붙였다.

켈리는 “만일 완전히 독립적인 데이터 센터를 구성할 생각이라면 출자가 있을 수밖에 없다”며 “비용은 회사의 규모와 신용카드 트랜젝션 처리 수와 밀접하게 연관되어있다”고 말했다. 켈리는 또 연간 PCI 감사는 10만 달러 정도가 들 것이라고 평가했다.

<글: 로버트 웨스터벨트(Robert Westervelt)>

Copyright ⓒ 2006 Information Security and TechTarget

[월간 정보보호21c 통권 제91호(info@boannews.com)]

             <저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

이올린에 북마크하기

실리적인 UTM 솔루션

최근 가장 큰 보안의 어려움은 무엇인가?

컴플라이언스 이슈들이다. 그것 때문에 밤잠까지 설칠 정도다. 우리는 보안에 관한 SOX 법안을 걱정할 필요는 없지만 수많은 규정들을 준수하기 위해 노력한다. 나는 신용카드 업계뿐만 아니라 우리 회사가 FACTA(공정·정확 신용 거래법 : Fair and Accurate Credit Transactions Act)의 컴플라이언스에 가담하지 않았기 때문에 소송에 휘말려 우리 시설에 벌금이 부과되지는 않을까 몹시 걱정스럽다. 우리 회사는 원격 통제가 많지 않고 넷 상에 서버들이 많지 않기 때문에 꽤 안전하다고 생각한다. 내가 가장 걱정하는 것은 소규모 업체들이 따르기에는 너무 어려운 것들이 상당수 PCI에 포함되어있다는 점이다.

통합 위협 관리(UTM : unified threat management) 솔루션이 컴플라이언스에 얼마나 도움이 되는가?

확실히 상당한 도움이 된다. 4~5개의 장치를 갖추는 대신 한 개의 장치로 모든 것을 커버하는 것은 분명한 차이가 있다. 만일 컴플라이언스의 박스들을 모두 일일이 확인할 생각이라면 눈앞에 모두 펼쳐놓는 것이 더 나을 것이다.

당신의 모든 자산들을 한 상자에 담아놓는 것이 걱정되지 않는가?

그 부분에 대해 걱정한 적이 있다. IT 종사자라면 한 바구니에 계란을 모두 담으려고 하지 않는다. 그러나 당초 우리는 절약해야만 했다. 우리가 UTM을 선택한 이유는 그것의 가능성 때문이라기보다는 그것을 설치하는데 드는 비용 때문이었다. 그러나 3년이 지난 지금 나는 우리의 방화벽이 마지막으로 다운됐던 때조차 기억나지 않는다.

보다 많은 비 보안 업체들이 그들의 제품에 보안 기능을 구축하는 것에 관한 생각은?

기업들이 더 나은, 더 강한, 그리고 더 많은 보안 기능들을 제공하기 위해 그들의 제품을 발달시키는 온-프레미스 어플라이언스(on-premise appliance)를 만드는 것은 좋은 일이라고 생각한다. 앞으로도 지속적으로 그런 모습을 보여주기를 원한다. 사람들은 경비 절감의 관점에서 온-프레미스 어플라이언스를 살펴보게 될 것이다.

<글: 데니스 피셔(Dennis Fisher)>

 Copyright ⓒ 2006 Information Security and TechTarget

[월간 정보보호21c 통권 제91호(info@boannews.com)]

             <저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

이올린에 북마크하기

위기관리로 비즈니스와 보다 가까워질 수는 있지만 위기는 숫자 놀이가 아니라는 것을 반드시 명심해야만 한다.

용어의 인플레이션은 이 경우 긍정적인 트렌드를 나타낸다. 이것은 비즈니스와의 전체적이며 개선된 제휴의 합법적인 확장을 암시하기 때문이다. ‘보안’은 전문화된 직무이며 잠재적으로 인간에 의해 익스플로이트될 수 있는 취약성의 특정한 세트에 대한 좁은 관점이다.

실제로 대부분의 보안 전문가들은 기밀성과 더불어 완전성 및 유용성에 대해 일정한 수준의 관심을 기울이며 보안의 정의를 확장시킨다. 그러나 ‘위기관리’는 보안을 둘러싼 종합적인 접근으로, 원치 않지만 발생할 수 있는 일 전체를 이해하기 위해 노력하고 예방의 우선순위를 설정하며 보안보다 훨씬 잘 운영되고 있다.

당신이 처리해야 할 특정한 보안 관련 문제가 무엇이든 간에 그것을 큰 그림의 어디에 맞춰 넣어야 할지 모른다면 당신은 결코 그것을 적절하게 관리할 수 없을 것이며 왜 정보보호가 점점 더 위기관리 기능으로 묘사되는 지 이해할 수 없을 것이다. 위기관리에 대한 일반적인 오해는 그것이 항상 위기에 관한 통계적인 수량화를 포함할 것이라는 점이다.

현재의 글로벌 금융 시스템 위기는 매우 복잡한 통계 모델이 위기를 제거할 수 있을 것이라고 믿는 어리석음을 다시 한 번 보여 준다. 사실 위기관리 프로세스는 일반적으로 질적인 것이며 대부분의 단체들이 만일 정확하게 그들의 가장 민감한 서버의 상위 1/5을 식별할 수 있다면 성숙한 정보보호에 대한 그들의 방법도 괜찮을 것이다.

위기관리는 사용 가능한 정보와 함께 작동하는 의사결정 모델을 선택하는 프로세스 지향 방식이다. 오늘날의 매우 정교한 맬웨어와 유비쿼터스 커넥티비티의 세상에서 이것은 모든 시스템이 보호에 관한 어떤 베이스 라인을 가지고 있다는 보증을 의미한다.

이것은 또한 규제 컴플라이언스를 포함한 비즈니스 목표를 성취하는 데 특히 중요한 정보의 식별과 시스템 보호의 베이스 라인 레벨을 확장하는 비용 절감의 방법의 탐색을 의미한다. 많은 회사들에게 있어 내부자에 의한 데이터 유출은 결국 가장 전념할 필요가 있는 정보위기 유형으로 여겨진다.

성장하고 있는 수많은 단체들은 대부분 우선순위를 결정하는데 효과적일 뿐만 아니라 기본적으로 비즈니스와 보다 밀접한 관계로 이끄는 질적인 위기관리 기술을 찾고 있다. 새로운 기술은 끊임없이 새로운 노출을 가지고 오며 규제와 계약의 필요 또한 종종 모순 된 방식으로 끊임없이 증가한다.

삶이 더욱 복잡해질수록 이에 대응해 손실을 줄이기 위한 우리의 노력도 함께 복잡하게 성장해야만 한다. 만일 주류에서 밀려나고 싶지 않다면 우리는 비즈니스와 통하는 언어로 대화해야만 한다. 비즈니스 매니저들은 보안을 말하지 않는다. 그들은 위기를 말할 뿐이다.

<글: 제이 하이저(Jay Heiser)>

Copyright ⓒ 2006 Information Security and TechTarget

이올린에 북마크하기

IPTV·통신료 등에 중점, 정통부 70% 승계

정보통신부를 흡수·통합하는 방송통신위원회가 출범도 되지 않은 상황에서 보안관련 업무에 소홀하다는 지적을 받고 있다. 정통부의 70% 가까운 인원이 방통위로 소속을 옮긴데다 청사 역시 기존 정통부 건물을 사용하게 돼 사실상 이름만 바뀐 셈이다.

그러나 기존에 정통부가 추진해왔던 정책과는 크게 달라질 것으로 예상되고 있다. 그동안 정통부와 마찰을 빚어왔던 IPTV나 통신정책 등을 해결하는게 먼저라는 것이다. 정통부의 정보보호 기획단도 큰 이전이 없이 현 청사에 남을 수 있게 됐다.

하지만 방통위는 정보보호와 국내 보안에 대한 관심은 크게 두지 않는 모습이다. 현재까지도 ‘방송위원회’라는 이름으로 정보보호와 관련된 업무에 대해 구체적인 계획조차 갖지 않고 있다. 지식경제부나 행정안전부 등 다른 부처가 이미 발빠르게 홈페이지와 조직개편에 나선 것과는 사뭇 다르다.

더구나 방송위는 “정통부에게 물어보라”는 성의없는 답변을 해 왔고 정통부는 정보보호기획단 인원조차 파악하지 못하는 등 책임소지를 떠넘기는 듯한 인상이 향후 국내 개인정보보호 수준을 퇴보시킬 수 있다는 우려의 목소리도 높다. 이는 방송위와 정통부의 통합 절차가 예상보다 차질을 빚으면서 보안 정책의 ‘소외 현상’이 더욱 가속화 될 전망이다.

특히 방송위와 정통부는 현재 정보보호기획단 규모가 어느 정도인지, 통합 후 담당역할과 조직체계조차 구체적인 사안 없이 진행하고 있어 업무 누수 현상이 당분간 지속될 것으로 보인다. 정보통신부 한 관계자는 “법적으로 2월 29일부터 정통부는 폐지되고 방송통신위원회가 출범했기 때문에 구체적 통합절차는 다음달부터 전개될 전망”이라며 “정보보호기획단의 경우 방통위의 통합이 끝난 후 세부적으로 업무를 나눌 것”이라고 말했다.

[배군득 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

이올린에 북마크하기

공동 제작 웹사이트를 구축하는 호스티드 위키(Wiki) 플랫폼을 제공하는 잣스팟(JotSpot)을 구글이 인수한 것은 2006년 10월의 일이었다. 웹의 세계에서는 현실에서의 10년과 동일한 16개월 후에 구글은 개편된 잣스팟인 ‘구글 사이트(Google Sites)’를 시작했다.

제공: 출처: Google

구글 엔터프라이즈의 제품 관리 이사인 맥 글로츠바흐는 “이것은 ‘구글 앱스(Google Apps)’ 스위트에 들어가는 중요한 마지막 구성요소다. 온라인 협력에 다른 요소를 일치시키기 위한 핵이 된다”고 말했다.

그는 또 구글 앱스가 구글에 ‘건전하고 성장하고 있으며 유익한’ 사업이라고 말했지만 매출의 세부내역은 밝히지 않았다. 유익할지는 모르지만 매출 전체로 봐서는 거의 눈에 보이지 않을 만큼 미미하다.

구글 사이트의 설명에서 ‘위키’라는 말이 나오지 않았던 이유는 구글이 협력적인 애플리케이션을 주류의 위치에 자리 잡으려고 시도하고 있기 때문이다. 제품 매니저인 스콧 존스톤은 “위키 사이트와 보통 사이트에 차이가 있어서는 안 된다”라고 말했다. 그는 웹에서의 협력이 정착되는 것에 따라 ‘편집 버튼’이 당연한 존재가 되기를 기대하고 있다.

글로츠바흐에 의하면 구글 앱스는 상당한 영향력이 있어 약 50만개의 기업에서 채용되고 있지만 기술에 정통하지 않은 지식근로자들은 구글 독스(Google Docs)를 모를지도 모른다. 구글은 작은 사업에서의 이용은 소문에 의지하며 대기업에 대해서는 보다 직접적인 판매 체제를 취하고 있다.

구글은 또 경량급의 애플리케이션이라는 오명과 싸우고 있다. 마이크로소프트 셰어포인트(Microsoft Sharepoint)나 기업용 위키인 ‘소셜텍스트(SocialText)’ 기능이 풍부한 비즈니스 솔루션과 달리 구글 앱스는 모든 것을 해낼 수 없다고 인식된다.

한편 비슷한 형태의 서비스를 전개하고 있는 ‘조호(Zoho)’와 같은 경쟁 상대와 비교하면 구글에는 중요한 유통 면에서 우세하다.

글로츠바흐는 “이른바 경량급의 클라우드 애플리케이션은 파워 유저 이외에는 신경쓰지 않았다. 이것은 실제로 파워 유저용이다. 오늘날의 파워 유저란 매크로를 쓰는 사람이 아니고 여러 사이트로부터 콘텐츠를 모아 그것을 한 개의 사이트에 정리해 공유하는 ‘파워 협력자’다”라고 말했다.

파워 협력자의 개념과 비싼 비용을 들이지 않고 애플리케이션을 만들어 IT 자원을 정리한다고 하는 발상은 꽤 매력적이므로 기업이나 개인은 구글 앱스의 적극적인 활용을 지지할 것이다.

예를 들어 기업은 직원의 전화번호부를 작성해 프로필 페이지에 문장이나 비디오, 각종 장치라고 하는 다양한 콘텐츠를 간단하게 포함할 수 있다. 존스톤은 또 ‘오픈소셜 API(OpenSocial API)’와 ‘소셜 그래프 API(Social Graph API)’를 이용해 구글 사이트에 소셜 네트워크적인 기능을 갖게 하는 일도 계획 중이라고 말했지만 그것이 언제쯤이 되는지는 밝히지 않았다.

구글 사이트가 소셜 네트워크적인 기능을 갖춘다면 사용자 자신의 소셜 네트워크를 구축할 수 있는 ‘닝(Ning)’의 소셜 웹 플랫폼과 닮아갈 수도 있다.

구글이 잣스팟을 개시하는 데 이 정도의 오랜 시간이 걸린 이유를 존스톤에게 물었다. 그는 “당사는 이용할 수 있는 자산을 검토해 우리가 운전하는 동안에 핸들을 어느 쪽으로 바꿔야 하는 제품을 출시하고 싶지 않았던 것이다. 우리는 무한히 확대를 계속하는 인프라스트럭처에의 접근이 가능하고 근원적인 기술로서 검색 엔진도 가지고 있다. 따라서 콘텐츠를 모아 즉시 관련되고 검색 가능하게 할 수 있다. 또 구글에는 최상의 소프트웨어를 사용한 온라인 달력도 있다”고 답했다.

게다가 구글 독스 등 구글 앱스 스위트의 기본적인 요소와 통합할 수 있도록 잣스팟의 룩앤필(look and feel)을 변경할 뿐만 아니라 앞단(front end) 전체를 고쳐 쓰게 됐다.

존스톤은 “잣스팟으로부터 계승한 것 중 중요한 것은 위키의 본질과 콘텐츠의 편집 기록이다. 또 잣스팟으로 페이지를 작성할 때 여러 종류의 페이지로부터 선택할 수 있다”고 설명했다. 구글 사이트에서는 현재 다섯 종류의 페이지 종류를 제공하고 있지만 앞으로 더욱 늘려갈 예정이다.

글로츠바흐에 의하면 구글 앱스에는 앞으로 유튜브의 동영상을 그룹 내에서 공유하는 기능과 음성 통화 기능이 더해질 예정이다. 현시점에서 개발자들이 구글 사이트의 템플릿이나 테마를 공개할 수 있는 시장을 마련할 계획은 없지만 ‘아이구글(iGoogle)’의 장치나 개발자가 서비스에 오브젝트를 끼워 넣을 수 있는 APIs를 활용할 예정이다.

구글 사이트는 구글 앱스의 기능성을 실현하는 중요한 요소로 특정 작업을 하기 위해서 필요한 컴포넌트의 모든 것을 정리하는 역할을 담당하고 있다. 구글 앱스에 소셜 기능과 데이터베이스가 더해지면 MS에 새로운 압력이 된다. 거대한 ‘MS 오피스’를 능가하기 위해 기다리고 있는 구글의 비책은 그 때 밝혀질 것이다. @

Dan Farber ( CNET News.com )

[ 저작권자 ⓒ ZDNet Korea, CNET Korea,Inc. 무단 전재 및 재배포 금지, ZDNet Korea는 글로벌 IT 미디어 리더 CNET Networks의 브랜드입니다. ]

이올린에 북마크하기

ISMS 인증 받은 교육기관 늘어나고 있다

KISA, 세종사이버대학교에 ISMS 인증

한국정보보호진흥원(원장 황중연, 이하 KISA)는 세종사이버대학교(총장 이병화  www.cybersejong.ac.kr)에 정보보호관리체계인증(ISMS)을 수여했다고 28일 밝혔다.

이번 인증 획득을 통해 세종사이버대학교는 재학생들의 학사정보를 비롯한 민감한 개인정보를 실제적으로 관리하고 있는 원격교육시스템 서비스에 대한 안전?신뢰성을 확보할 수 있는 계기를 마련하게 되었다.

인증심사를 진행한 KISA 원유재 IT기반보호 단장은 “최근 들어 쇼핑몰 회원정보 등 각종 개인정보 유출사고로 인한 기업의 피해가 늘어나고 있어 개인정보 관리가 더욱 중요해졌다”며 “전 학습과정이 온라인으로 진행되는 사이버대학교는 물론이고, 일반 대학교에서도 학사정보의 안전한 관리방안으로 KISA 정보보호관리체계 인증을 택하고 있어 활성화가 기대된다”라고 말했다.

■용어설명

-정보보호관리체계: 조직의 자산에 대한 안전성 및 신뢰성을 향상시키기 위한 절차와 과정을 체계적으로 수립, 문서화하고 지속적으로 관리ㆍ운영을 통하여 정보보호목표인 정보의 기밀성, 무결성, 가용성을 실현하기 위한 일련의 과정 및 활동을 말하며,

-정보보호관리체계 인증제도: 정보보호관리체계 수립ㆍ운영을 위한 5단계 관리과정(정보보호정책수립, 정보보호관리체계 범위설정, 위험관리, 구현, 사후관리), 문서화, 정보보호대책에 대하여 조직의 특성 및 환경에 부합되도록 적절하게 수립ㆍ구현하여, 체계적으로 관리ㆍ유지하고 이행하는지를 평가하여 인증을 부여하는 제도

[길민권 기자(reporter21@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

이올린에 북마크하기

충청권 사이버안전 전략 세미나 높은 관심

350여 명 보안 관계자 참석, 지역 보안 강화 기대

사이버 보안에 대한 중요성이 높아지면서 지역에서도 보안 강화를 위한 전략적인 세미나를 추진하는 등 확산이 가속화되고 있다. 대전사이버안전협의회(회장 유병준)는 28일 대전정부청사에서 ‘제1회 대전·충청지역 사이버안전 전략세미나’를 개최했다.

한국정보보호산업협회가 주관하고 국가정보원 대전지부, 정부3청사 정보화협의회가 후원한 이번 세미나에는 충청권 공공기관 및 기업 보안담당자 350여 명이 참석해 보안에 대한 뜨거운 관심을 나타냈다.

이날 세미나는 상대적으로 취약했던 지역 보안에 대한 경각심을 높이고 최근 보안동향, 내부 정보 유출 피해사례, 보안 USB정책, 사이버위협 시연 등이 진행됐다. 특히 충청권에서 처음으로 개최된 보안관련 세미나인 만큼 사전 접수자만 해도 223명으로 추최측의 예상보다 많은 인원이 참석해 눈길을 끌었다. 

주제 발표는 안철수연구소 ‘개인정보보호를 위한 네트워크 정보보호 방법론’, 닉스테크 ‘내부 정보 유출의 심각성 및 방지 정책’, 국가정보원 ‘행정기관 지자체 정부출연연의 정보보안 관리실태 평가’, 인젠 ‘통합 보안관리를 통한 조직 안정화 사례 연구’, 엔트랙커 ‘효과적인 보안 USB 정책을 통한 중요정보관리 방안’, ETRI 부설연구소 ‘사이버위협 시연’ 등이 이어졌다.

참가자들은 보안의 중요성을 인식하면서도 그동안 지역 보안이 소외돼 왔던 상황에서 이같은 세미나를 접할 수 있다는데 긍정적인 반응을 보였다. 한 참가자는 “대부분 보안관련 세미나가 서울·경기지역에서 열려 관심이 있어도 참가하지 못한 경우가 많았다”며 “이번 세미나를 통해 충청권 보안 강화와 더불어 보안에 대한 중요성을 다시 일깨우는 계기가 됐으면 한다”고 말했다.

한국정보보호산업협회 이용희 대전충청지역 이사는 “사이버 공격은 특정 지역에 한정된 것이 아니기 때문에 지역 보안 강화는 매우 중요한 사항”이라며 “충청권에서 이제 첫 걸음을 내딛은 만큼 앞으로 지역 보안 인프라 확보 차원에서 지속적인 행사를 추진해 나갈 것”이라고 밝혔다.

[배군득 기자(boan3@boannews.com)]