검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'정보보호 인증'통합검색 결과 입니다. (15건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

[보안 리딩기업] 옥타코 "해킹 걱정 없는 FIDO2 써야"

어딜 가나 무선 공유 인터넷 와이파이(Wi-Fi·Wireless Fidelity)를 전혀 안 써요. 와이파이로 접속했다가는 해커가 마음먹으면 아이디와 비밀번호를 다 알 수 있거든요. 해커가 와이파이에 악성코드 깔아놓고 기다리다가 사용자가 로그인하면 다 들어갈 수 있어요. 제가 한 번 중국 호텔에서 와이파이 썼더니 '중복 접속했다'는 알림이 오더라고요. 이재형 옥타코 대표는 최근 경기 성남시 사무실에서 지디넷코리아와 인터뷰하며 이같이 밝혔다. 옥타코는 국제 온라인 인증 '파이도(FIDO·Fast IDentity Online)' 전문 기업이다. 사용자가 안전하게 계정을 쓰도록 도와준다. 이 대표는 “보안 소프트웨어와 아울러 그게 들어가는 인증 장치도 만든 회사는 옥타코가 세계에서 유일하다”고 말했다. 옥타코 '보안 키'에는 개인정보를 담은 '안전 영역'이 따로 있다. 이 대표는 “일반 생체 인증처럼 지문·홍채·얼굴을 인식하지만, 일반 생체 인증은 그 정보를 어느 기업 서버에 저장하는 반면 옥타코 제품은 보안 키에 넣을 뿐 서버엔 없다는 게 다르다”고 소개했다. 삼성전자를 비롯한 국내외 주요 기업이 옥타코 보안 키를 쓴다. 'FIDO로는 정보가 빠져나갈 가능성 없느냐'는 물음에 이 대표는 “한 단계 진화한 표준화 기술 FIDO2는 해킹된 사례가 없다”고 답했다. 이어 “일반 생체 인증도 자주 해킹당한다”며 “사진을 확대해 지문이나 얼굴 생김새를 떠 갈 수 있다”고 덧붙였다. FIDO2를 쓰면 그 기업이 해킹당해도 소비자는 상관없다는 입장이다. 개인정보를 내 기기 안전 영역에만 넣기에 서버가 해킹돼도 개인정보 유출될 염려가 없다고 했다. 이 대표는 “FIDO2 인증을 사용하면 다양한 속성값을 확인하기 때문에 이동통신사 문자메시지(SMS) 인증이나 일회용비밀번호(OTP) 2차 인증을 우회하는 명의 도용 공격으로부터 소비자를 강력하게 보호할 수 있다”고 강조했다. 옥타코는 '양자 암호 보안 키'도 만들었다. 이 대표는 “'FIDO연합(Alliance)'이 세계에서 유일하게 인증한 양자 암호 FIDO 보안 키”라며 들어 보였다. FIDO얼라이언스는 구글·애플·마이크로소프트(MS)·인텔·퀄컴·아마존·메타(옛 페이스북)·삼성전자 등 세계 280개 회원사 모임이다. 이 대표는 “'기존 인증 체계로는 안전하게 인공지능(AI)을 쓸 수 없다'는 철학에 공감해 옥타코를 2016년 4월 창업하자마자 FIDO얼라이언스에 참여했다”며 “이를 널리 퍼뜨렸다고 2023년 FIDO얼라이언스에서 공로상을 받았다”고 들려줬다. 이 대표는 비밀번호 문제를 2가지 꼽았다. 비밀번호를 아예 쓰지 않는 인증 방식을 옥타코에서 만든 이유이기도 하다. 그는 “첫 번째 문제는 비밀을 둘이 안다는 점”이라며 “예를 들어 나와 네이버, 내가 털려도 네이버가 뚫리고 네이버가 뚫려도 내가 털린다”고 설명했다. 또 “두 번째 문제는 서버 중앙화”라며 “SK텔레콤 한 업체가 해킹당하니 사용자 2천500만명 정보가 모두 유출됐다”고 짚었다. 이 대표는 “영어 대·소문자, 숫자, 특수기호를 섞어봤자 비밀번호라는 구조는 그대로”라며 “시간 문제일 뿐 다 뚫릴 수 있다”고 지적했다. 그러면서 “사용자는 기억하기 불편해 비밀번호를 사용처마다 똑같이 만들고 어디 적어둔다”며 “OTP나 문자 인증을 쓴대도 해커가 미리 악성코드 심어놓으면 해커에게 인증 번호가 간다”고 말했다. 옥타코는 세계적인 회사가 되겠다는 포부를 나타냈다. 직원 30명 가운데 외국인이 4명(15%)이다. 외국인 비중을 30~40%까지 끌어올릴 계획이다. 이 대표는 “한국 업체로 남을 생각 없다”며 “한국에 있는 세계적인 기업이 될 것”이라고 했다. 그러면서 “세계 사이버 보안 시장에서 한국은 2%도 안 된다”며 “98%를 보는 게 당연하지 않느냐”고 되물었다. 실적에 대해서는 “2023년 매출보다 2024년 2배 성장했다”며 “앞으로 5년 동안 2배씩 성장할 것”이라고 기대했다. 흑자는 물론이다. 2027~2028년 상장할 계획도 있다. 미국 나스닥, 한국 코스닥, 싱가포르, 일본 등 주식시장을 검토한다. 아래는 이재형 대표 이력 1976년생 충남대 국제경영 학사 서울과학종합대학원 인공지능융합공학 석사 한국정보보호학회 협력부회장

2025.05.27 07:57유혜진

"SKT, FDS 있어 불법복제폰 불가능"···보안 전문가 평가는?

과학기술정보통신부가 SK텔레콤 해킹 사고와 관련해 19일 2차 조사 결과를 발표하면서 “복제폰 피해 가능성은 없다”고 다시 한번 강조했다. 이날 류제명 과기정통부 네트워크정책실장은 SK텔레콤 침해 사고 관련 민관합동조사단 중간 조사 결과 브리핑에서 “단말기고유식별번호(IMEI)가 해커에게 공격받은 정황이 발견됐다”면서도 “이를 통해 스마트폰을 복제하는 것은 물리적으로 불가능하다”고 말했다. 제조사가 보유한 15자리 인증 번호 정보가 없으면 복제할 수 없다는 얘기다. 류 실장은 “희박한 가능성으로 복제폰이 만들어졌더라도 SK텔레콤의 비정상인증차단시스템(FDS)으로 네트워크 접속이 완벽히 차단된다”고 덧붙였다. SK텔레콤도 사태 내내 FDS가 있어 복제폰에 따른 개인정보 유출 사고 피해는 없다는 입장이다. 과연 그런지 지디넷코리아가 보안 전문가들에게 물어봤다. SK텔레콤은 FDS를 최고 수준으로 격상해 운영한다고 밝혔다. FDS는 Fraud Detection system 약어다. 직역하면 사기 탐지 시스템이다. 이동통신 부문에서는 비정상 인증을 차단하는 시스템으로 쓴다. 류정환 SK텔레콤 네트워크인프라센터장(부사장)은 19일 서울 중구 삼화타워에서 브리핑을 열고 “기존 'FDS 1.0'이 불법 유심을 막는 서비스라면 'FDS 2.0'은 불법 복제 단말도 차단한다”고 말했다. SK텔레콤은 FDS를 자체 개발한 것으로 알려졌다. 정보보호 전문가들은 SK텔레콤 주장을 믿을 만하다고 봤다. 다만 보안하는 데 '0% 가능성'이나 '100% 안심'은 없다고 했다. SK 정보보호혁신특별위원회 자문위원인 김용대 한국과학기술원(KAIST) 전기및전자공학부 교수는 “SK텔레콤은 FDS를 자체 개발해 2년 이상 운영했다”며 “이동통신망에서 생기는 이상 현상을 탐지하려면 다른 보안 회사 제품으로는 안 된다”고 설명했다. SK 정보보호혁신특별위원회 자문위원은 SK그룹이 정보 보호 활동을 하면서 잘못한 점을 지적하고 기술을 조언하는 역할을 한다. 김용대 교수는 10년 넘게 이동통신 관련 보안 논문을 썼다. 김승주 고려대 정보보호대학원 교수는 “SK텔레콤이 자체적으로 FDS를 만들어 쓰고 있다”며 “수준이 꽤 높다”고 평가했다. 한 보안 회사 대표는 “기업이 어떤 보안 제품을 쓰는지 일반적으로 공개하지 않는다”며 “'해커 먹잇감이 된다'고 생각하기 때문”이라고 전했다. SK텔레콤은 FDS 2.0으로 유심이 복제됐는지 가려낼 수 있다고 주장했다. 김용대 교수는 “SK텔레콤 고유 정보가 있는 유심인지 아닌지 FDS 2.0이 판별한다”며 “복제된 유심은 SK텔레콤 고유 정보를 다 담지 못해 인증을 통과할 수 없다”고 분석했다. 김승주 교수는 “SK텔레콤에 악성 코드가 처음 설치된 게 3년 전이라면 그때부터 정보가 유출되기 시작했다고 봐야 한다”면서도 “그때는 지금처럼 FDS가 고도화하지 않았지만 지난 3년 동안 복제폰으로 인한 금융 계좌 해킹 신고는 접수되지 않은 것으로 안다”고 전했다. 김휘강 고려대 정보보호대학원 교수는 “SK텔레콤이 내부에서 사용하는 FDS 탐지 알고리즘을 외부에 공개하기 어려울 것”이라며 “알고리즘이 노출되는 순간 해커에게 좋은 정보가 된다”고 설명했다. 그래서 “SK텔레콤이 쓰는 FDS 2.0 상세 정보가 없다”며 “안전한지를 판단할 수 없다”고 들려줬다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “기존 유심 보호 서비스에 기능이 향상된 FDS를 이용하면 불법 복제폰을 차단할 수 있을 것 같다”면서도 “SK텔레콤도 복제폰이 만들어질 가능성이 0은 아니라고 했듯 최악의 경우를 고려해 FDS가 적절히 동작하도록 하고, 유심을 바꾸는 추가 조치가 필요하다”고 강조했다. 세종사이버대 정보보호학과 교수인 박영호 한국정보보호학회장은 “FDS는 사용 양상이 평소와 다른지 살펴 불법 복제폰을 판단하는 기술”이라며 “어느 정도 방어할 수 있지만 완전히 막을 수는 없다”고 분석했다. 또 다른 보안 기업 대표도 “보안 업계에서 100% 막을 수 있다는 말을 할 수 없다”며 “FDS로 보안 확률을 높일 수는 있다”고 말했다.

2025.05.20 16:01유혜진

"금융 ISMS-P 인증 받으면 정보보호 평가 유리"

“금융 정보보호 및 개인정보보호 관리 체계(ISMS-P·Personal Information & Information Security Management system) 인증을 받으면 정보보호 상시 평가 75개 항목이 면제됩니다. 환경·사회·지배구조(ESG) 친화 경영 항목에도 ISMS-P가 포함돼 공공기관 사업에 입찰하면 가산점을 받습니다. 무엇보다 개인정보를 지킨다는 사실이 가장 중요하지만요.” 최지훈 금융보안원 선임심사원은 27일 서울 여의도 금융투자협회에서 열린 'ISMS-P 인증 설명회'에서 이같이 밝혔다. 금융보안원은 금융권에 알맞은 ISMS-P를 인증한다. 나머지 산업이나 전반적인 인증 품질은 한국인터넷진흥원(KISA)이 관리한다. 최 심사원은 “지난해 128건 심사하면서 결함을 평균 9건 발견했다”며 “기업은 결함 개수에 연연하지 말고, 이 결함이 나온 원인과 재발 방지 대책을 신경써야 한다”고 말했다. 개발자와 운영자, 개인정보 취급자 직무별로 시스템에 접속하는 방식이 다르면서도 시스템 흐름도를 보면 이런 사실을 알 수 없는 경우가 지적받았다. 정보보호 운영 인력이 정보보호 예외 정책을 스스로 승인해도 잘못이다. 개인정보 열람 요구서와 위임장 등에 주민등록번호를 요구해서도 안 된다. 최 심사원은 달라지는 제도를 안내했다. 그는 “과학기술정보통신부가 인증서 유효 기간을 3년에서 5년으로 늘릴지 검토하고 있다”며 “법령이 개정돼 금융회사는 자율적인 보안 활동을 하되 결과에 대한 책임은 무거워졌다”고 전했다. 인증 심사 기간은 대체로 6개월 걸린다. 오중효 금융보안원 상무는 “2015년 ISMS-P 인증을 27건으로 시작해 지난해 5배로 성장했다”며 “인공지능이나 가상자산 환경이 바뀌면서 인증 수요가 더 늘 것”이라고 기대했다. 최 심사원은 “금융권은 ISMS-P 인증이 의무가 아니다”라면서도 “디지털 금융과 자율 보안이 확산돼 인식 수준이 높아졌다”고 평가했다.

2025.03.28 10:50유혜진

라온시큐어, 건국대 디지털 입학증 구현

보안·인증 기업 라온시큐어는 25일 건국대에 디지털 배지 발급 시스템 '옴니원 배지'를 구현했다고 밝혔다. 건국대는 올해 신입생 3천400명에게 옴니원 배지로 입학증을 발급했다. 디지털 배지를 비교과 우수 프로그램 이수증, 자유전공학부 특성화 프로그램 이수증, 우수 학생 장학증서, 학생회·동아리 활동증 등에도 적용하기로 했다. 우수 배지를 학생끼리 공유하는 온라인 공간도 꾸릴 계획이다. 라온시큐어는 위·변조하기 어려운 블록체인 기술로 옴니원 배지를 만들었다고 설명했다. 서비스형 소프트웨어(SaaS)로 제공해 자체 시스템이 없어도 된다. 대학교뿐 아니라 공공기관, 기업 등에서 다양한 인증서를 발급할 수 있다고 강조했다. 라온시큐어는 자사의 블록체인 기반 신원·자격 인증 통합 플랫폼 '옴니원 디지털아이디(OmniOne Digital ID)'를 활용한 학생 신원 증명까지 사업을 키울 예정이다.

2025.03.25 13:28유혜진

옥타코, 피싱 막는 M2A 선봬…"제로 트러스트"

인증 보안 기업 옥타코는 18일 제로 트러스트(Zero Trust) 인증 방법으로 '옥타코 피싱 방어 M2A'를 선보였다. 제로 트러스트는 '절대 믿지 말고 항상 검증하라'는 뜻이다. M2A(Multi-Attribute Authentication)는 다양한 속성을 활용해 사용자·기기·환경을 종합 인증하는 체계다. 단순히 여러 인증 요소(MFA)를 모으는 것만이 아니라 사용자 신원과 기기 무결성, 행동 양식, 네트워크 상태 등을 동시에 검증한다. 피싱·중간자 공격을 비롯한 해킹 시도에 대응하는 신원 인증 방법이라고 옥타코는 소개했다. M2A는 비밀번호와 일회용비밀번호(OTP) 조합을 넘어 기기 자체가 믿을 만한 환경인지를 함께 판단한다고 옥타코는 설명했다. 이를 위해 생체 인증이나 하드웨어 보안 번호와 더불어 기기 보안 패치 상태, 악성코드 감염 여부, 위치 정보, 네트워크 상태까지 살펴본다. 비밀번호가 유출됐거나 일회성 토큰이 탈취돼도 뚫기 어렵다는 입장이다. 옥타코는 M2A가 로그인 시도한 때를 넘어 그 시간에도 다중 속성을 계속 점검한다고 강조했다. 권한은 나눠서 적용한다고 덧붙였다.

2025.03.18 16:57유혜진

[현장] "중기 정보보호 인증 이렇게"···ISMS-P 교육장 가보니

“저희 회사가 개인정보 보호를 잘하고 있는지 확인하고 싶어서 왔어요. ISMS-P를 취득하려고 심사에 필요한 자료를 만들고 있거든요. 인증 기관이 어디인지, 예외 사유는 무엇인지 알려줘서 도움을 얻었습니다.” 10일 오전 서울 송파구 IT벤처타워 소재 한국인터넷진흥원(KISA) 교육장. 이 곳엔 오전부터 중소기업에서 보안 업무를 맡고 있는 20명이 참석해 강의실을 채웠다. 과기정통부와 개인정보위, KISA가 공동으로 시행하는 중소기업을 위한 '정보보호 및 개인정보보호 관리 체계(ISMS-P·Personal Information & Information Security Management system) 구축‧운영 교육'을 듣기 위해서다. 이들 기관은 개인정보 보호 관리 체계 인증을 취득할 예정이거나 관심 있는 중소기업을 대상으로 매년 교육을 하고 있다. 올해도 3월부터 9월까지 6개월간 시행한다. 이날은 오프라인으로 이뤄지는 교육 첫째 날이다. 'ISMS-P'는 기업이 보안 수준을 높이고 개인정보 유출을 막도록 보호 체계를 갖췄는지 심사하고 인증하는 제도다. 정보통신망 서비스를 제공하는 기업이나 정보통신 서비스 매출액이 100억원 이상인 업체는 의무적으로 인증을 취득해야 한다. 인증 받으려면 시스템운영팀과 정보보안팀, 개인정보보호팀 같은 조직을 꾸려야 한다. 시스템 운영 장소와 설비도 필요하다. 이날 강사로 나선 임지석 ISMS-P 인증심사원은 “우리 회사가 어떤 조직을 갖춰 무슨 자산을 관리할지, 개인정보를 수집·이용·파기할 때 어떻게 처리할지, 사고 예방·대응은 무슨 수로 할지 등을 증명해야 한다”며 “중소기업기본법과 특정금융정보법 등에 기준이 나온다”고 안내했다. “중소기업 스스로 인증 받을 요령 알고파” 인증신청서 양식을 받아 본 참가자들은 어떻게 쓰는지 골몰했다. 자세한 심사 기준이 궁금하면 서슴없이 손 들고 질문했고, 쉬는 시간 강사에게 가 따로 묻기도 했다. 한 참가자는 기자에게 “제도가 있다는 것은 알았지만 구체적 내용을 몰랐다”며 “여기서 전체적인 개요를 파악해 좋았다”고 소감을 밝혔다. 그러면서 “우리 회사는 아직 인증 계획이 없지만 '알아두면 좋겠다' 생각했다”며 “회사에 건의하니 선뜻 허락해 배우러 왔다”고 말했다. 기업에서 개인정보 보호 관련 중간관리자라는 고윤상씨는 “우리 회사는 인증 취득을 준비하고 있다”며 “중소기업이 컨설팅 업체를 안 써도 자체 인력으로 ISMS 심사를 신청하고 유지·관리하는 방법까지 알고 싶다”고 밝혔다. 그는 “13년 동안 개인정보 보호 업무를 해 관련 제도에 관심이 많다”며 “KISA가 직접 교육하는 만큼 이론보다 실제로 현업에 적용할 요령을 얻을 수 있을 것 같다”고 기대했다. 9월까지 ISMS-P 인증 제도 온·오프라인 교육 이날은 교육 첫날로, ISMS-P 인증 제도 개요를 다뤘다. 이어서 나흘 동안 ▲간편인증 보호 대책 항목 분석 ▲개인정보 처리 관련 법과 제도 ▲개인정보 보호 대책 ▲기업별 운영 사례 실습 등을 진행한다. 이처럼 올해 교육 일정은 3월부터 9월까지 총 6회, 회당 5일간 운영된다. ▲3월 10일 ~ 3월 14일 ▲3월 31일 ~ 4월 4일 ▲5월 19일 ~ 5월 23일(온라인) ▲6월 30일 7월 4일 ▲8월 18일 ~ 8월 22일(온라인) ▲9월 15일 ~ 9월 19일 가운데 가능한 일정을 골라 신청하면 된다. 단 5일 연속 참석해야 한다. 지방에 있거나 현장 출석하기 어렵다면 온라인 교육을 들을 수 있다. 참석하려는 기업은 상생누리나 개인정보배움터 홈페이지에서 교육 한 달 전부터 신청할 수 있다. 수료기업 중 희망한다면 KISA가 제공하는 보안 취약점 점검, 맞춤형 기술 지원 등을 받을 수 있다. 오명희 KISA ISMS팀 선임연구원은 “상장기업이 이 인증을 얻으면 환경·사회·지배구조(ESG) 중 사회 부문 평가를 건너뛴다”며 “정보보호 전문 서비스 기업과 보안 관제 기업으로 지정할 때에도 가점을 받는다”고 소개했다.

2025.03.10 16:50유혜진

'아이폰16e', 지문 인식 대신 얼굴 인증…왜?

애플이 보급형으로 새롭게 선보인 저가 스마트폰 '아이폰16e'가 지문 인식 대신 얼굴 인증 기능을 갖췄다. 미국 경제 방송 CNBC는 지난달 28일(현지시간) 애플은 얼굴 인증 기술을 가장 간편한 인증 방법으로 평가하며 이에 집중하고 있다고 보도했다. 영국 정보보호 기업 아이프루브의 조 팔머 최고혁신책임자(CIO)는 “휴대전화 잠금을 푸는 데 1초밖에 안 걸려도 하루에 휴대전화 잠금 푸는 횟수를 생각하면 수백초 걸린다”며 “당분간 얼굴 인식을 넘어서는 진화는 없을 것”이라고 말했다. 미국 정보보호 업체 노비포의 로저 그라임스 연구원은 “애플은 얼굴을 인증하는 문화를 갖고 있다”며 “기술이 견고하고 쓰기 쉽기 때문”이라고 강조했다. CNBC에 따르면 화장품을 바르거나 수염을 기르는 등 사용자 외모가 달라져도 아이폰이 얼굴을 인식할 수 있다. 모자·스카프·안경·콘택트렌즈·선글라스를 쓰거나 실내·실외는 물론 어두운 환경에서도 아이폰 얼굴 인증 기능이 작동하도록 애플이 설계했다고 CNBC는 평가했다. 스마트폰에서 지문 인식 기능을 없애는 이유는 화면 크기를 키우려는 목적도 있다고 꼽힌다. 이전 아이폰에는 지문 인식 센서 등을 넣기 위해 홈버튼이 필요했다. 팔머 CIO는 “애플은 낭비되는 공간을 없애 스마트폰 전체가 화면이 되도록 했다”며 “아이폰에서 홈버튼을 없애려고 노력했다”고 설명했다. 다만 지문 인식 기술이 다음 제품에 다시 적용될 가능성도 있다. CNBC는 애플이 몇 년 전 디스플레이 지문 판독 기술 특허를 받았다며 이 기술을 계속 개선하고 있다고 전했다.

2025.03.01 10:10유혜진

잡코리아, 디지털 명함 앱 '눜', 정보보호 관리체계 인증 획득

잡코리아(대표 윤현준)가 운영하는 디지털 명함 앱 '눜'이 한국인터넷진흥원(KISA)에서 관리하는 정보보호 관리체계(ISMS) 인증을 획득했다고 26일 밝혔다. ISMS는 기업이 주요 정보보호 관리 절차와 대책을 체계적으로 수립 및 운영한 기업에 과학기술정보통신부 산하 기관인 KISA가 인증을 부여하는 국가 공인인증이다. 눜은 관리체계 수립 및 운영, 보도대책 요구사항 분야에서 요구되는 관리체계 운영·암호화 적용 등 총 80가지 인증 기준을 충족해 적합성 평가를 모두 통과했다. 잡코리아는 2013년 ISMS 인증을 획득한 이후 지속적으로 고객 개인정보 관리를 강화해왔다. 2022년에는 취업 플랫폼 최초로 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 받았으며, 이후 꾸준히 인증 자격을 유지해오고 있다. 또 2024년에는 개인정보보호위원회와 공동으로 '민간협력 자율규제'에 참여하며 구직자 개인정보 보호 수준을 한층 강화했다. 이런 보안 안정성을 바탕으로 눜은 사용자 중심의 새로운 커리어 서비스를 지향하며 차별화된 기능을 제공해 호응을 얻고 있다. 여러 개의 멀티프로필이 담긴 명함을 만들 수 있는 서비스를 통해 직장인뿐 아니라 프리랜서, N잡러 등 다양한 이용자를 확보했다. 향후 눜은 취미와 취향을 반영하고 커리어 전문성을 강조할 수 있는 다양한 기능을 추가하여 디지털 명함을 취향대로 커스텀할 수 있는 다양한 기능도 제공할 계획이다. 홍정아 잡코리아 눜 사업 리드는 "'눜'의 정보보호 관리 체계를 철저하게 운영해 ISMS 인증을 획득할 수 있었다"며 "앞으로도 고객의 소중한 개인정보를 안전하게 보호하고 신뢰받는 서비스 환경을 제공하기 위해 지속적으로 보안 체계를 고도화해 나갈 것"이라고 밝혔다.

2025.02.26 17:27백봉삼

"클라우드 보안 인증, 현장 평가 5회→2회로 간소화"

클라우드 보안 인증을 받으려는 기업은 현장에서 2회 평가 받고, 나머지 3회는 서면 평가를 받으면 된다. 지난해까지 5회 필요하던 현장 평가가 줄어 기업 부담도 완화될 것으로 보인다. 양승권 한국인터넷진흥원(KISA) 클라우드인증팀 선임연구원은 17일 과학기술정보통신부가 서울 서초구 AT센터에서 개최한 '2025년 클라우드 사업 통합 설명회'에서 이같이 발표했다. 양 연구원은 “클라우드 보안 인증 제도로 공공기관이 민간 클라우드를 안전하게 쓸 수 있게 서비스 안전과 신뢰성을 검증한다”며 “이용자는 보안 걱정을 덜고 공급자는 클라우드 서비스 경쟁력을 높일 수 있다”고 말했다. 인증 범위는 클라우드 서비스에 포함되거나 시스템·설비·시설 등 자산, 정보보호·개발·운영·인사 조직 등이다. 인증 유형은 ▲컴퓨팅 자원(CPU)·스토리지 등 정보 시스템 인프라를 제공하는 서비스(IaaS) ▲인프라(IaaS) 외에 각종 응용프로그램(소프트웨어)을 제공하는 서비스(SaaS) ▲클라우드 서비스를 개발하는 환경(PaaS) ▲행정·공공기관 인터넷망 컴퓨터(PC)를 대체하기 위한 가상 서비스(DaaS)로 나뉜다. 인증 등급은 상·중·하로 구분된다. SaaS 서비스는 클라우드 서비스 보안 인증을 받은 IaaS 환경에서 구축돼야 한다. 여러 기관에 개방된 형태로 소프트웨어를 제공해야 한다. 특정 기관에 맞추면 안 된다는 얘기다. DaaS 서비스는 네트워크와 보안 장비 같은 인프라 영역에 구성돼야 한다. 또 가상 자원 초기화, DaaS 필수인 소프트웨어 설치, 비인가 접속 단말 차단, 접속 구간 암호화 등 요건도 만족해야 한다. 보안 인증을 신청한 날로부터 인증서를 발급하기까지는 3~5개월 걸린다. 양 연구원은 “유효 기간은 5년”이라며 “갱신하면서 사후에도 관리해야 한다”고 설명했다. 최초 현장 평가를 받고서 1년 뒤 서면 평가를 받는다. 사후 2년차 다시 현장 평가를 받고, 3·4년차에 또 서면 평가를 받는다. 서면 평가하는 때에 전년도 인증 범위가 바뀌었거나 양수·도, 침해 사고·장애가 발생했다면 심화 평가할 수 있다. '소프트웨어가 업데이트되면 또 다른 인증을 받아야 하느냐'는 물음에 양 연구원은 “서비스 목적이 바뀌지 않으면 추가 인증 절차는 없고 사후 평가해서 변경 내용을 확인 후 통과시킨다”고 답했다. 양 연구원은 “클라우드 컴퓨팅 기업이 보안 인증을 꼭 받아야 하는 것은 아니다”라면서도 “클라우드컴퓨팅법에 따라 행정기관과 공공기관은 보안 인증을 받은 클라우드 서비스나 국가정보원 보안 인증 기준에 맞게 안전하다고 확인된 클라우드 서비스를 우선 고려할 수 있다”고 강조했다. 보안 인증을 신청하는 기업은 수수료를 1천500만원부터 3천600만원까지 내야 한다. 평가하는 데 쓰이는 인건비와 기술료 등이 포함된다. 기업이 신청한 보안 인증 유형, 자산 규모, 할인 제도 등에 따라 산정된다. 인증을 취득·갱신하거나 인증 유지 공문을 받은 소기업은 수수료를 70%, 중기업은 50%, 중견기업은 30% 지원받을 수 있다.

2025.02.17 16:59유혜진

스틸리언, 인도네시아 법인 5배로 키운 비결은···"될 때까지 부딪혀"

2015년 만들어진 정보보호 전문 기업 스틸리언은 설립 5년차(2020년)에 인도네시아에 법인을 세웠다. 이후 5년 만인 현재는 직원을 설립 당시보다 5배, 한 해 매출도 5배 늘었다. 어떻게 이런 성과를 거뒀을까. 홍혁재 스틸리언 인도네시아법인장은 13일 지디넷코리아와 서면 인터뷰에서 “과거 나에게 조언을 할 수 있다면 '조금 더 현지 문화와 시장 상황을 익히도록 노력하라'고 조언하고 싶다”고 말했다. 그러면서 “인도네시아에서 14년을 보냈기에 이 나라를 충분히 안다고 생각했다”며 “안 되면 될 때까지 직접 부딪히니 시간이 많이 걸렸다”고 돌아봤다. 박 대표도 지난주 서울 용산구 본사에서 열린 창립 10주년 기념 기자간담회에서 “인도네시아에서는 갑자기 우리 상품을 사겠다는 한편 오래 고민하는 경우가 있어 때마다 다르게 대응한다”며 “인도네시아 금융사 아디라파이낸스와 계약하기까지 1년 넘게 걸렸다”고 설명했다. 스틸리언은 인도네시아 반둥시 모바일 앱을 모의 해킹해 약점을 분석하고 해법을 제시한다. 반둥시 비대면 행정 앱에 스틸리언의 모바일 앱 보안 솔루션 '앱수트(AppSuit)'를 적용하고 있다. 인도네시아에서 가장 큰 금융사로 꼽히는 아디라파이낸스에도 앱수트를 공급한다. 스틸리언은 반둥시·아디라파이낸스와의 거래를 교훈 삼아 공신력을 갖췄다. 인도네시아 사이버암호원(BSSN)에 화이트리스트로 등록했다. 인도네시아 산업부로부터 사이버보안업 인증도 획득했다. '인도네시아 보안 규정과 요구 사항을 충족하는 정보보호 기업'이라고 인정받았다는 뜻이다. 인증을 획득하는 데에도 1년 넘게 걸렸다. 홍 법인장은 “인도네시아에서 종종 불가능한 조건을 내밀 때가 있다”며 “왜 이런 규정이 생겼는지 이해하니 기관에 이를 대체할 방법을 제안할 수 있었다”고 전했다. 이어 “경쟁사보다 믿음을 주기 위해 인증을 신경 썼다”며 “조금씩 발전해 사기업뿐만 아니라 기관·부처와의 사업도 준비 중”이라고 덧붙였다. 스틸리언은 올해 인도네시아 국가정보원·정보통신부·과학기술부·금융분석원·마약청 등을 새로운 고객으로 추진하고 있다.

2025.02.13 23:17유혜진

채널코퍼레이션, ISO 정보보호 국제표준인증 4종 확보

올인원 AI 메신저 '채널톡'을 운영하는 채널코퍼레이션(대표 최시원)이 국제표준화기구(ISO)에서 제정한 정보보안인증 4종을 확보했다고 25일 밝혔다. ISO 정보보안인증은 정보보호 관리 체계에 대한 국제표준이자 해당 분야에서 권위 있는 국제인증 중 하나다. 채널코퍼레이션은 ▲정보보호 관리체계(ISO 27001) ▲개인정보보호 관리체계(ISO 27701) ▲클라우드 보안관리체계(ISO 27017) ▲클라우드 개인정보 관리체계(ISO 27018) 인증을 취득했다. ISO 27017과 ISO 27018은 각각 클라우드 서비스 환경에서 정보 자산과 개인정보 유출을 예방하고 대처하는 방안들을 마련해야 받을 수 있는 정보보호 자격이다. 채널톡은 해당 두 인증을 획득하며 엄격한 클라우드 보안 기준을 충족하게 됐다. 특히 ISO 27001의 확장 영역인 ISO 27701은 84개의 통제 항목과 개인정보에 대한 생명 주기별 보호 활동의 적절성 심사를 통과해야 취득 가능하다. 채널톡은 높은 수준의 개인정보 보호 활동으로 ISO 27701까지 획득해 그 안정성을 입증했다. 채널코퍼레이션은 이미 지난해 과학기술정보통신부 산하 한국인터넷진흥원(KISA)으로부터 80개의 인증 기준과 엄격한 심사에 따라 부여하는 '정보보호관리체계(ISMS)' 인증을 통해 국내 최고 수준의 정보 보호 및 관리 역량을 검증받았다. 이번 국제표준인증 획득에 따라 채널코퍼레이션은 국내는 물론 전 세계 주요 국가의 엄격한 개인정보 규제 요구사항에도 충족하게 돼 서비스의 국제 표준 적합성을 확보했다. 이를 기반으로 채널톡에서 중점적으로 추진 중인 글로벌 진출에 한층 탄력을 받을 것으로 회사는 기대하고 있다. 최시원 채널코퍼레이션 대표는 "이번 ISO 4종 인증 획득은 채널톡이 보안에 대한 높은 기준을 마련하고 있음을 입증한 것"이라며 "앞으로도 고객들이 안심하고 채널톡을 이용할 수 있도록 안전한 보안 관리체계 구축에 힘쓰겠다"고 밝혔다.

2024.11.25 14:24백봉삼

삼성전자서비스, '정보보호관리체계' 인증 범위 확대

삼성전자서비스는 정보보호관리체계(ISMS) 인증 범위를 확대하며 정보보안에 대한 수준을 한 단계 높였다고 9일 밝혔다. 정보보호관리체계는 과학기술정보통신부 산하 한국인터넷진흥원(KISA)이 기업이 운영하는 전산, 시스템 등이 안전하고 신뢰성 있게 관리되는지 종합 심사를 통해 인증해 주는 제도다. 정보보호 관리 체계 수립·운영, 정보보호 대책 등 80여 개 적합성 평가를 모두 통과해야 인증을 획득할 수 있으며, 매년 사후 심사를 통해 인증 유지 여부가 결정된다. 삼성전자서비스는 2021년 홈페이지, 챗봇, 사내 전산시스템 등 6개 분야에서 최초로 인증을 획득한 후 체계적이고 지속적인 관리 체계를 구축하여 매년 사후 심사를 통과해 왔다. 올해에는 수어 상담 시스템, 인재 채용 사이트까지 범위를 넓혀 새롭게 정보보호관리체계(ISMS) 인증을 획득했다. 이는 삼성전자서비스의 정보보호 관리 체계가 고객들이 안심하고 서비스를 이용할 수 있도록 안정적으로 운영되고 있음을 의미한다. 삼성전자서비스는 안전한 정보보호 체계 구축을 위해 ▲보안 시스템 고도화 ▲전 임직원 대상 정보보안 교육 ▲정보보호 모의 훈련 등을 실시하며 수준 높은 보안 시스템을 구축하고 있다. 이현기 삼성전자서비스 정보보호최고책임자(CISO) 상무는 "ISMS 인증 범위를 확대하며 정보보호에 대한 고객의 신뢰를 한층 높이게 됐다"며 "수준 높은 정보보안으로 고객이 안심하고 서비스를 이용할 수 있도록 노력하겠다"고 밝혔다.

2024.10.09 11:16장경윤

알테어, 국제표준 정보보호 인증 'ISO 27001' 획득

지능형 컴퓨팅 기업 알테어는 개인정보보호 경영시스템 국제표준인 'ISO·IEC 27001:2022' 인증을 획득했다고 16일 밝혔다. 'ISO/IEC 27001'은 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 제정한 정보보호 분야 국제 표준 인증이다. 알테어가 이번에 획득한 인증은 2022년 최신 기준으로, 디지털 보안 위협과 대응 상황에 맞게 기업의 정보 자산을 안전하게 보호할 수 있는 체계를 갖추고 있음을 의미한다. ISO/IEC 27001 인증은 정보보호에 관한 정책, 기술·물리적 보안, 정보 접근 통제 등 4개 분야에서 93개 항목에 대한 엄격한 기준을 통과한 기업에 부여된다. 알테어는 웹 필터링, 클라우드 보안, 위협 인텔리전스, 혼합 및 원격 근무 등에서 최신 보안 요구 사항을 준수하고 있다. 소프트웨어 개발, 영업, 기술지원, 인사 등 전사적으로 국제 정보보호 기준에 맞게 보안 제어를 한 것에 대한 안정성을 인정받았다. 제프 마라치니 알테어 최고정보보호책임자(CISO)는 “알테어는 고객들이 신뢰하고 사용할 수 있는 제품과 서비스를 제공하기 위해 최선을 다하고 있다”며 “앞으로도 보안 인프라를 지속 확장하며 고객의 정보 자산을 안전하게 보호하고 안정적인 서비스를 제공할 것”이라고 밝혔다.

2024.05.16 16:34김우용

KISA, ISMS-P 신규 인증 심사원 자격검정 시행

한국인터넷진흥원(KISA)이 정보보호 및 개인정보보호 관리체계(ISMS-P) 신규 심사원 양성에 필요한 실무 일정을 확정했다. KISA는 2024년도 정보보호 및 ISMS-P 신규 인증 심사원 양성을 위한 서류 전형을 이달 22일부터 26일까지 진행한다고 12일 밝혔다. 필기 전형은 7월 실시할 예정이다. ISMS-P는 정보통신 서비스를 안전하게 운영하고 개인정보 및 주요 정보자산의 유출에 따른 피해를 예방하는 제도다. 이 제도는 기업·기관에서 수립·관리·운영하고 있는 일련의 조치와 활동의 적합 여부를 심사해 인증한다. 올해 6회째를 맞이한 ISMS-P 신규 인증 심사원 자격검정은 전문성과 기본 소양을 겸비한 인증 심사원을 발굴하기 위해 필기전형을 실시한다. 필기전형 합격자에 한해 실무교육 후 실기 전형을 통해 최종 합격 여부를 결정한다. 오진영 KISA 디지털안전본부장은 "디지털 서비스의 안전 확보를 위해 우수한 역량과 전문성을 두루 갖춘 ISMS-P 인증 심사원을 발굴하는 데 최선을 다하겠다"며 "KISA는 국민의 안전한 디지털 서비스 이용에 기여할 수 있도록 지속해서 노력할 계획"이라고 말했다.

2024.04.12 15:27이한얼

더존 데이터 플랫폼 CDW, 국내 첫 정보보안 국제표준 획득

더존비즈온의 정밀의료 데이터 플랫폼·클라우드 CDW(Clinical Data Warehouse) 서비스가 국내 최초로 정보보안경영시스템 국제표준(ISO27001)을 획득했다. 더존비즈온은 보건의료정보보호 경영시스템 국제표준(ISO27799) 인증을 비롯해 총 두 건의 국제표준을 받았다고 13일 밝혔다. 양 국제 표준은 국제표준화기구(ISO)에서 제정한 정보보호 관리체계 국제규격 인증으로, 정보보호 분야에서 가장 권위있는 표준 인증이다. ISO27799의 경우 헬스케어 분야에 특화된 의료정보보호 관련 국제표준으로 민감 정보인 개인 의료 데이터의 기밀성, 가용성을 보장하기 위한 기준을 규정한다. CDW는 병원에서 축적한 환자의 진단, 처방, 검사결과, 건강검진 정보와 같은 방대한 임상 데이터에 접근해 분석 및 AI 모델 개발이 가능한 서비스다. 더존비즈온의 CDW는 클라우드를 기반으로 병원의 연구용 의료 데이터 수집부터 클렌징, 레이블링, AI 모델링까지 적재·가공·분석하며, 데이터를 폭넓게 활용할 수 있다는 점이 특징이다. 이에 따라 삼성서울병원, 강원대학교병원 등 10개 병원은 더존비즈온이 구축 및 운영하는 클라우드 CDW 및 데이터 플랫폼의 향상된 의료 데이터 연구 환경을 토대로 보다 다양하고, 안전한 의료 데이터 활용 방안을 모색할 수 있게 됐다. 송호철 더존비즈온 플랫폼사업부문 대표는 "클라우드 기반 CDW 최초 국제표준 인증을 획득하며 의료 데이터 정보보호 체계의 신뢰성과 안정성을 세계적으로 인정받았다"며 "앞으로도 의료 데이터가 갖는 민감성과 중요성을 주목하고, 시대적 가이드라인의 변화에 맞춘 견고한 의료 생태계를 조성하기 위한 노력을 아끼지 않겠다"고 말했다.

2024.02.13 10:20이한얼

Prev 1 Next