[Wiset] 최신 정보보호 이슈, 기술 동향

다양한 이슈 중 관심있는 분야와 관련된 이슈들을 5가지 정도 조사하여, 견해와 함께 정리해보았습니다.

지극히 주관적인 견해이기 때문에 참고만 해주시면 감사드리겠습니다.

연관 없는 사진입니다. 출처 :http://cdn.itdaily.kr/news/photo/202112/205694_206567_4235.jpg

 

---

 

1. 금융분야 클라우드·망분리 규제 완화(이 중 클라우드에 집중)

 

내용 요약 : 

https://www.mk.co.kr/news/economy/view/2022/04/334399/

 

기존 문제점 :

1. 금융권에서 클라우드를 이용하기 위해서는 사전에 클라우드서비스사업자(CSP)에 대한 건전성·안전성 평가(“CSP 평가”)를 수행하여야 하는데, 평가 항목이 141개로 너무 많았음. 뿐만 아니라 중복되는 부분이 많아서 사업자 측면에서 부담이 컸음.

2. 다른 금융회사가 클라우드에 대해 CSP 평가를 수행했다 하더라도 새로 이용하고자 하는 금융회사는 별도로 CSP 평가를 수행해야 하며, CSP 평가항목이 최근 활용도가 높아지고 있는 Saas(SaaS, Software as a Service)를 평가하기에 적합하지 않다는 문제 제기가 생김.

개선 방향 : 

1. 금보원이 CSP 에 대한 평가를 수행 (개별 금융회사들은 금융보안원의 평가결과를 활용할 수 있음)

2. CSP 평가 항목 대폭 간소화(54개 항목)

3.  클라우드서비스 보안인증제(CSAP)와 유사하게 금융분야에서도 SaaS에 대한 별도 평가기준을 마련될 것

 

추가 고려사항 :

(클라우드 이용업무에 대한 중요도 평가기준 명확화 및 업무 중요도에 따른 클라우드 이용절차 차등화) 
금융권에서 클라우드를 이용하는 경우 클라우드를 이용하는 업무에 대한 중요도를 평가하여야 하는데, 중요도의 판단 기준이 불명확하고 또 중요도 평가 결과 비중요업무에 해당하더라도 중요업무와 동일한 클라우드 이용절차를 준수해야 하는 문제가 있었습니다. 이러한 문제를 개선하고자 업무 중요도 평가에 대한 구체적 기준을 마련하고 비중요업무의 경우 CSP 평가항목을 필수항목(16개)만으로 더욱 축소하는 등 클라우드 이용절차를 완화하겠다는 방침을 표명하였습니다.

(제출서류 간소화 및 사후보고 전환) 
금융권에서 클라우드를 이용하는 경우 제출해야 하는 서류가 과도하고 또 중복되기도 하며, 중요업무의 경우 클라우드를 이용하려는 날의 7영업일 이전에 금융감독원에 보고하도록 되어 있어 적시성 측면에서 바람직하지 않다는 의견이 제기되었습니다. 이러한 의견을 반영하여 제출 서류 중 유사·중복되는 사항을 간소화하고, 사전보고를 사후보고로 전환하여 부담을 완화하겠다고 밝혔습니다.

출처 : https://www.shinkim.com/kor/media/newsletter/1787

 

향후 전망 : 

이와 같은 단계적인 규제 완화를 통하여 금융 관련 디지털 신기술의 도입과 활용이 폭넓게 이루어지고 이에 따라 새로운 혁신적인 금융 서비스가 창출되고 금융회사와 핀테크 기업 간 협력 또한 보다 활발해 질 것으로 기대됨. 따라서 금융회사 및 전자금융업자, 핀테크 관련 사업을 영위하거나 계획 중인 사업자는 이에 대해 지속적으로 모니터링할 필요가 있을 것으로 전망됨.

 

견해 : 클라우드로 전환하는 기업이 많아지고, 이에 잇따라 msp 기업들도 점점 규모가 커져가고 있다. 해당 규제가 완화되어 금융권 또한 클라우드를 도입하는 것이 이전에 비해 용이해지고 금융권도 클라우드로 전환하게 된다면 클라우드 보안에 대한 이슈가 더욱 중요해질 것으로 예상된다. 금융권은 운영 비용이나 다양한 기능보다도 특히 보안에 중점을 두는데 기존 방식이 클라우드로 변환된다면 클라우드에서의 보안이 중심적으로 요구될 것으로 보인다. 때문에 클라우드 지식과 보안을 두로 아는 것이 중요한 것 같다.

 

 

 

2. 디지털 헬스케어의 발전과 보안의 필요성

내용 요약 :

거의 모든 스마트폰에는 만보기 앱이 탑재되어 건강관리를 돕는다. 여기에 스마트워치만 구입하면 심박수에서부터 혈압관리까지 관리되고 이 데이터를 향후 의사에게 전달할 수 있다. 심지어 위기 상황 발생 시 병원에 응급 구조요청을 하는 기능도 있다. 바야흐로 4차 산업혁명의 핵심 기술인 빅데이터, 인공지능, IoT 등이 결합되어 맞춤형 디지털 헬스케어가 가능한 시대다.

뿐만 아니라 DTX와 같은 다양한 신기술 및 의료 서비스를 제공하는 기기 & 기술이 발전되고 있다.

 

- 건강을 실시간으로 분석 예방 관리 가능하다.

- 개인이 직접 자신의 건강을 살피고 관리하는 디지털 헬스케어로 패러다임이 변화하고 있다.(약 배달 서비스 및 처방전 배달, 앱을 통한 데이터 수집 & 질환 알림 등)

 

이처럼 맞춤형 디지털 헬스케어는 개인의 건강정보는 물론 유전체 정보 등 다양하고 방대한 의료 정보를 생성, 수집, 저장해 빅데이터화하고 이를 AI 기술을 결합해 개인들에게 보다 질 높은 의료 서비스를 제공한다. 하지만 의료서비스를 제공하기 위한 정보가 불법적으로 노출 및 조작, 악용될 경우 개인 프라이버시 침해 및 맞춤형 의료서비스를 저해하는 요인이 될 수 있다. 특히 건강이나 의료관련 데이터는 매우 민감한 내용들을 담고 있기 때문에 데이터의 수집, 저장, 분석, 처리 과정에서 다양한 취약점과 위협에 대비해야 한다.

 

뿐만 아니라 이에 더해 장비가 해킹 당하거나 변조되는 등 문제가 발생한다면,  보안위협으로 그치는 것이 아닌 실제 인명 피해까지 발전할 수 있다.

 

 

기술 동향 :

디지털 헬스케어에 적용되고 있는 주요 기술로는 사물인터넷(IoT), 인공지능(AI), 로봇틱스, 블록체인 등이다.

최근의 디지털 헬스케어(혹은 IT 헬스케어) 시스템은 생체/건강정보 취득과 통신 및 데이터 송수신을 위한 네트워크, 그리고 생체 데이터 분석과 활용을 담당하는 의료정보 서버 등으로 구성된다. 의료센서와 의료기기를 통해 수집된 개인의 건강 상태나 생체정보는 의료정보시스템에 전달되고 수집된 정보는 유무선 네트워크를 통해 클라우드에 전달되어 블록체인 기술로 안전하게 저장, 관리된다. 이렇게 저장된 데이터는 빅데이터 분석과 AI를 이용한 진단과 분석을 통해 사용자의 건강상태로 제공되는 프로세스를 거친다.

출처 : 

https://www.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.docurPage=&menu_dist=2&seq=31736&key=&dir_group_dist=&dir_code=

AhnLab :: 안전해서 더욱 자유로운 세상

 

 

보안 필요성(출처 : 안랩 보안 이슈)

최근 코로나19 사태로 비대면 원격 의료의 필요성과 ICT 분야의 강점을 활용할 수 있다는 점에서 디지털 헬스케어는 앞으로 더 발전 가능성이 충분하다. 하지만 의료정보의 빅데이터를 활용하는 과정에서 개인의 질병정보 및 신체정보를 포함한 바이오 정보가 노출, 악용될 위험성은 언제나 존재한다. 의료정보는 매우 민감한 개인정보이고, 수집된 정보를 저장, 분석, 처리하는 과정에서 다양한 보안위협이 존재하기에 철저한 분석과 대응이 필요하다. 

 

디지털 헬스케어 역시 다른 IT 디바이스들처럼 취약점을 가지고 있다. 생체 센서나 단말기는 불법 법근이나 바이러스, 프라이버시 침해를 가져올 수 있고, 유무선 네트워크는 도청이나 메시지 위변조, 서비스 방해로부터 자유롭지 못하다. 클라우드는 저장된 데이터의 유출이나 위변조, 데이터의 삭제의 가능성을 내포하고 있고 건강정보나 의료정보는 개인정보가 유출될 우려가 있다. 의료기록을 공유하는 과정에서도 전송 중 유출이 될 수 있으며 공유 도메인간 인증 시에도 비인가 사용자의 데이터 및 시스템 접근이라는 보안 위협에 대비해야 한다. 이와 함께 디지털 헬스케어를 저해할 수 있는 IP 스푸핑이나 중간자 공격(Man in the middle attack), 재전송 공격, DoS(Denial of Service; 서비스 거부) 공격 등에도 대처할 수 있어야 한다.

 

이에 따라 디지털 헬스케어에도 다양한 보안 대책이 강구되고 있다. 우선 유무선 네트워크 기반 서비스에서 발생 가능한 보안 취약점이 디지털 헬스케어 환경에서도 유사하게 발생할 수 있어 네트워크 및 시스템의 안전성과 신뢰성을 보장할 수 있는 전자서명, 암호화, 사용자 인증, 유무선 통합인증, 데이터 위변조 방지기술 등이 도입되고 있다. 건강 및 의료정보에 대한 프라이버시 보호 기술로는 사용자가 요구하는 정보요구 수준에 부합한 경우에만 해당 정보를 제공해 사용자 스스로 본인의 정보를 관리할 수 있게끔 하고 있다. 또한 전자 의무기록의 안전간 교환과 공유를 위해 정보 요청자의 식별, 접근 제어, 교환 데이터의 기밀성과 무결성 보장 및 데이터의 안전한 접근과 활용을 보장하기 위한 기술이 적용되고 있다.

 

견해 : 개인정보 및 보안의 중요성이 날로 커져가는 만큼 인간과 직접적인 연관을 가진 기기에서 사고가 일어나면 그 위협이 배가 될 것이라 생각한다. 디지털 치료제, 약품 및 헬스케어 장비 도구 등등 정말 많은 장비가 발전하고 있지만 이에 대한 보안이 이루어 지지 않는다면 생명을 안전하게 돕기 위한 도구가 양날의 검으로서 생명을 앗아가는 도구로 쓰일 수 있을 수 있다고 생각한다.

 

3. 우리은행 횡령 사건

사건 :

- 우리은행 내부 직원이 수 차례의 걸쳐 614억원을 횡령함. 

- 세 차례나 은행 내부 문서를 위조하였음. (가짜 문서로 결재 및 승인)

- 엉터리 감시시스템(내부통제, 물리적 접근, 접근 권한, 내부 전산 시스템, 내부 보안 등 )

 

견해 : 

이러한 사건에는 보안에 대한 미흡함도 한 몫을 했을 것이라 생각한다. 먼저 문서 위조에서 부터, 물리적 접근 권한이나, 내부 통제 및 전산 시스템 등 전반적인 내부 보안이 제대로 이루어지지 않아 발생한 문제라고 생각한다.

외부 시스템과 위협으로부터 보안할 것이아니라 이러한 내부 직원 그리고 내부에서 발생할 수 있는 다양한 위협에도 대응하고 예방할 수 있도록 규제를 강화해야 할 것이며, 내부 통제에 대한 감사를 진행해야 할 것이라 생각한다.

 

 

4. 클라우드 보안 사고

현황 :

디지털 전환(Digital Transformation)을 위한 핵심 기술로 클라우드가 각광받으면서 클라우드 기반의 인프라와 플랫폼, 서비스를 채택하는 개인과 기업이 빠르게 늘고 있다. 그러나 한편으로는 클라우드 사용이 늘어난 만큼 보안 문제 역시 함께 대두되는 상황이다. 특히 하루가 다르게 진화하는 해커들의 범행 수법으로 인해 피해 사례와 피해 금액이 해가 갈수록 빠르게 늘어나고 있다.

출처 : 컴퓨터월드(http://www.comworld.co.kr)

출처 :http://www.comworld.co.kr/news/articleView.html?idxno=50568

 

- 거대 기업에서 개인에 이르기 까지 클라우드 보안 사고가 빈번하게 발생함(피해 규모도 상당히 큼). 

 

이러한 클라우드 보안 사고의 원인은 의외로 간단한 취약한 비밀번호 때문이 많음. 수많은 클라우드 이용자들이 계정 정보를 안전하게 관리하지 못하고 있으며, 이로 인해 보안상의 위험에 노출되어 있음을 방증하는 많은 사례들이 지적되고 있다.

암호화되지 않은 클라우드는 치명적인 결과로 이어질 수 있다.
최근 발생하는 클라우드 해킹 유형 가운데 가장 두드러지는 것은 바로 △‘계정 탈취’와 △‘불법 암호화폐 채굴’ 등 2가지를 꼽을 수 있다.

 

먼저 크리덴셜 스터핑(Credential Stuffing)이라고도 불리는 계정 탈취는 불법적인 경로로 유출된 로그인 정보를 여러 다른 웹 사이트 등의 온라인 계정에 무작위로 대입해 사용자의 계정에 로그인하는 수법이다. 유출된 정보로 로그인에 성공할 경우, 해당 계정 내에 악성코드를 설치해 개인은 물론 기업에게까지 피해를 준다. 마이크로소프트(MS)에 따르면, 2021년 한 해 동안 MS가 차단한 크리덴셜 스터핑 공격 사례 수는 약 260억 회에 달할 정도라고 한다.

이처럼 빈발하는 크리덴셜 스터핑 후에는 또 다른 공격이 이어진다. 최근 몇 년간 급격히 늘어난 이 범행 수법은 바로 ‘크립토재킹(Cryptojacking)’이라고 불리는 공격이다. 크립토재킹이란 ‘암호화폐’를 뜻하는 크립토커런시(Crypto)와 ‘납치’라는 뜻의 하이재킹(jacking)을 합성한 단어다. 즉 해커가 타인의 컴퓨터에 악성코드를 심어, 해당 컴퓨팅 자원을 암호화폐를 채굴하는 데 사용하는 범죄 수법이다. 2021년 11월 구글에 따르면 해킹된 구글 클라우드 계정의 86%가 불법 암호화폐 채굴에 악용된 것으로 조사됐을 정도로 최근 크립토재킹 공격이 만연하고 있다.

이처럼 해커들이 암호화폐 채굴 자원으로 클라우드를 공략하는 데는 이유가 있다. 클라우드는 인터넷을 통해 컴퓨팅 자원을 무제한으로 사용할 수 있는 서비스이기 때문이다. 클라우드 계정 내에 악성코드만 설치하면, 타인의 명의로 가상화된 컴퓨팅 자원을 단시간 내 최대한 많이 가로채 사용함으로써 거액의 암호화폐를 채굴할 수 있는 것이다. 그리고 이렇게 크립토재킹으로 채굴된 암호화폐는 해커들의 지갑으로 들어간다. 반면에 암호화폐를 채굴하는 데 쓰인 클라우드 사용에 대한 거액의 요금은 고객이 그대로 떠안게 된다.

출처 : 컴퓨터월드(http://www.comworld.co.kr)

 

 

대응 방안:

- 공급사 : 안전망 강화, 즉 보안에 대한 이해도가 낮은 고객을 고려한 눈높이 정책을 수립해야함.

1. 클라우드 계정 로그인 시 다요소인증(MFA)를 강제

2. 클라우드 자동 차단 대책 고려

3. 서로의 책임 사항을 명확히 규제 (논의)

 

- 사용자 : 기본에 충실히 계정 비밀번호를 관리한다.

1. 다요소 인증

2. 엑세스 키 관리

3. 클라우드 관리 서비스 공급사(MSP)에 보안 위탁

 

 

견해 : 

클라우드를 사용하는 기업이 늘어나고 규모가 커지는 만큼, 해커의 표적이 되기 쉽다.

모든 해킹은 큰 것으로부터 일어나는 것이 아닌 사소하고 작은 실수로부터 발생할 수 있다. 때문에 이러한 실수를 최소화 하고 대응하고자 기본에 충실하며 관리하는 방법이 굉장히 중요하다고 생각한다.

모든 큰일은 작은 것으로부터 시작되기 때문에 무지하게 넘어가는 것이 아니라 지속적으로 관리하고 고민해야 한다고 생각한다.

 

 

5.  개인정보 노린 스미싱 무차별 ‘공습' / 신종 사기

 

개요 :

최근 다양한 스미싱 및 피싱 사기가 잇따르고 있다.

특히, 이 문자들은 별도의 URL 링크가 없어 피해자들이 직접 전화하도록 유도하는 것이 특징이다. 이스트시큐리티 시큐리티대응센터(이하 ESRC)는 최근 이런 문자가 유사한 형태로 무차별적으로 발송되고 있다고 우려했다.

 

방식 :

보이스피싱에 활용되어 피해를 주는 악성 앱 ‘Trojan.Android.Banker’
설치되는 악성 앱의 주요 행위는 다음과 같다. △문자 전송 △문자 탈취 △연락처 탈취 △위치정보 탈취 △설치된 앱 리스트 탈취 △앱 삭제 △녹음 △전화 가로채기 △페이크 전화 △각종 명령제어(C&C, C2) 서버 명령 수행.

분류를 크게 3가지로 나누었지만 웹 페이지 구성만 다르고 내부 동작은 유사하다. 가장 먼저 분석을 어렵게 하기 위해 DEX 드롭 과정을 진행하며, 추가로 드롭된 DEX 파일을 로드하는 형식으로 사용하고 있다.

출처 : https://www.boannews.com/media/view.asp?idx=106774&page=1&kind=1

 

- 미리 만들어둔 쇼핑몰 사이트 로드 -> 백그라운드 작업을 통해 악의적 행위 실현(탈취, 변조, 전송 등등)

- 뿐만 아니라 전화를 가로채거나 페이크 전화 등 다양한 음성 파일을 재생하기도 함(실제 내부 리소스에 약 90가지의 음성파일 보유)

 

지금까지 확인된 위장 쇼핑몰의 이름은 아래와 같으며, 실제 쇼핑몰을 위장할 수도 있으므로 사용자들의 각별한 주의가 필요하다.

GOLF MALL, 타오반점, LT MALL, LK쇼핑, PAY쇼핑, 타임쇼핑, 이지유에스, 아이포터, BEST직구, OK MALL, 대성물류, LF몰, 이지몰, 세계 직구, PAY SHOP, 샵투월드, LUXY몰, GL몰, YOOX, 이베이, JK몰, X몰, 다다몰, hello쇼핑, 현대물류, 바이스트몰, 재팬스타일, 월드물류, 페이팔, IQ, DK몰, 몰테일

출처 : https://www.boannews.com/media/view.asp?idx=106774&page=1&kind=1

 

악성 앱 예방 법 :

① 출처가 불분명한 앱은 설치하지 않는다.

② 구글 플레이 스토어 같은 공식 사이트에서만 앱을 설치한다.

③ SMS나 메일 등으로 보내는 앱은 설치하지 않아야 한다.

 

>> 악성 앱에 감염됐을 경우

④ 악성 앱을 다운로드만 했을 경우 파일 삭제 후 신뢰할 수 있는 백신 앱으로 검사를 수행한다.

⑤ 악성 앱을 설치했을 경우 신뢰할 수 있는 백신 앱으로 검사 및 악성 앱 삭제를 진행해야 한다.

 

>> 백신 앱이 악성 앱을 탐지하지 못했을 경우

⑥ 백신 앱의 신고하기 기능을 사용해 신고한다.

⑦ 수동으로 악성 앱을 삭제한다.

 

견해 : 최근 피싱과 스미싱 비슷한 문자를 받은적이 있다. 알바 혹은 쇼핑몰에서 다양하게 오고 있으며 해외 직구 대행 알바 등 그 수법은 교모하고 다양해져갔다. 점차 수법이 지능적으로 변하고 기법도 상세되어가고 있기 때문에 자칫 잘못하다간 누구나 표적이 될 수 있을것이다. 때문에 이러한 것을 수시로 검사하고 스스로 보안할 수 있도록 알아보는 적극적인 자세가 필요할 것이다.

안걸리겠지 난 아닐꺼야.라는 마음 가짐이 아닌, 나부터 실천해야 한다.