[작성자:] wookielee@gmail.com

http://www.virustotal.com

이 사이트는 바이러스로 의심되는 파일을  분석해주는 서비스를 제공합니다.
의심파일 하나를 이 사이트에  업로드하면 유명 백신회사들의 안티바이러스 엔진을 이용하여
한번에 분석결과를  보여줍니다.

요즘은 백신 하나로는 바이러스를 다 잡을 수 없기때문에   멀티엔진을 이용하여
비교적 신뢰할만한 결과를 보여줍니다.

바이러스 토탈은  PC월드매거진에서  2007년 최고의 제품 100선에 선정하기도 했습니다.

불법소프트웨어 사용은 보안관리자로서 매우 신경쓰이는 일이 아닐수없습니다.
관리도 힘들뿐더러  단속에 걸리기라도 하면  회사의 이미지 실추와 발생되는 비용이 장난이 아니게되죠..
요즘은 불법소프트웨어에 숨어있는 악성코드도 조심해야 하구요..  

평소에 교육을 철저히 하고  불법소프트웨어가 사용되지 않도록 철저히 관리해야 합니다.
메일을 통해 사전에 인지를 시키고  자산관리 소프트웨어를 통해  사용현황을 collect한후
교정조치에 들어가야 겠습니다.  (이게 힘들더라구요..    불필요한거 삭제,  꼭 필요한거 구매…)
요즘 분위기는 신규로 구매하는 것이 그리 쉽지않겠네요..(금융위기의 여파로 …)
아래는 불법소프트웨어의 사용을 경고하고  그 결과(?)를 인지시키는  보안교육메일입니다.
모든 회사가 다 동일하게 적용되는 문제일 듯합니다.  ^^

  행안부에서  올해 13만명에게 개인정보교육을 실시할 예정이라고 합니다.  정말 많군요.. 온오프라인 교육이 계획되어 있다고 합니다.  온라인교육사이트까지 만들어서  적극적으로 교육에 나선다고 합니다.   개인정보문제가  국가적으로 어려움을 주고 있는 현실을 반영한듯 합니다.   

출처: http://www.ddaily.co.kr/news/news_view.php?uid=49752

  공공기관의 개인정보보호 교육이 의무화되고 민간기업이 쉽게 개인정보보호 교육을 받을 수 있도록 온라인 교육과정이 개설, 운영된다.  행정안전부(장관 이달곤)는 개인정보보호에 대한 인식부족으로 개인정보 침해사고가 지속적으로 발생함에 따라 올해 공공기관과 민간기업 13만 명에 대한 교육을 실시하는 등 개인정보보호 교육을 대폭 강화한다고 11일 밝혔다.

   개인정보보호 교육 효과를 높이기 위해 기존의 집합·이론 교육을 탈피, 시간과 장소에 제약을 받지 않고 교육을 받을 수 있는 교육환경을 조성하고 현장중심 교육도 실시할 방침이다.  우선, 공공기관의 개인정보보호 교육을 강화하기 위해서는 개인정보보호법령을 제정해 각급기관의 개인정보보호 교육 실시와 개인정보 취급자 등의 교육이수를 법적으로 의무화해 체계적이고 지속적인 교육을 추진할 계획이다.
또 한 각급 기관의 개인정보보호 최고 책임자를 대상으로 개인정보보호 중요성에 대한 인식을 높일 수 있도록 연 2회 워크숍을 개최하고, 업무담당자를 대상으로 개인정보보호 법·제도와 기술적 보호조치 등에 대한 전문교육을 공무원 교육기관과 전국 권역별 순회교육을 통해 실시한다. 민간기업의 개인정보보호 교육을 위해서는 기업 활동에 지장 받지 않고 언제 어디서나 학습할 수 있도록 온라인 교육과정(가칭 개인정보보호 배움나라)을 개발, 올해 8월부터 한국정보보호진흥원과 사업자 협회 등을 통해 보급할 계획이다. 백화점·정유사 등 개인정보를 다량 취급하는 사업자를 중심으로 담당자 대상 집합전문교육도 진행한다. 아울러 민간기업에서 실무적으로 활용할 수 있는 사례 위주의 개인정보보호 지침서를 제작·배포하고, 민간기업이 개인정보보호 교육을 희망하는 경우 교육교재와 전문강사를 무료로 지원할 방침이다. 세부 교육일정과 교육지원 내용은 각 협회의 정기간행물과 한국정보보호진흥원(www.kisa.or.kr) 홈페이지 등에서 안내할 예정이다.

  행정안전부는 “각급 공공기관의 교육 실적 등을 ‘2009년 개인정보보호 수준 평가’에 반영하고, 민간기업은 ‘개인정보보호 실천협의회’ 등을 통해 교육을 유도하는 등 국가사회 전반에 걸쳐 개인정보보호 문화가정착될 수 있도록 교육을 지속적으로 추진해 나갈 것”이라고 밝혔다.

기업들이 자사의 기업 이미지에 가장 나쁜 영향을 주는 것으로 ‘개인정보 유출’과 같은 보안 사고를 손꼽고 있는 것으로 조사되었다고 합니다.   방송통신위원회와 한국정보보호진흥원에서 어제인 5월7일에  코엑스 그랜드볼륨에서 “방송통신융합 환경에서 기업정보보호 전략 세미나”를 개최했는데 여기서 나온 내용입니다. IT데일리에 게재된 기사를 다시 요약했답니다.  가고싶었는데  가지못했는데  기사로 정리가 되어있더군요… ^^

원문출처: http://www.itdaily.kr/news/articleView.html?idxno=19336

출처:  언스트앤영의  어드바이저리의 김민수 이사의 강연
       (‘기업 위험관리를 위한 IT 컴플라이언스 대응 전략’ 세션중)

▶ 10대 기업 리스크
1. 신용경색
2. 규제&컴플라이언스
3. 불황심화
4. 급진적 그린(GREEN)화
5. 비전통적 참여자
6. 비용 축소
7. 관리 능력
8. 집행한 얼라이언스와 거래
9. 비즈니스 모델 중복
10. 평판 리스크  
이 가운데 대규모 개인정보 유출 사고는 해당 기업의 평판 리스크에 막대한 영향을 주고 있는 것으로 분석됨

▶ 기업들이 가장 크게 우려하는 것은 ?
보안 사고로 인한 금전적 부담, 신뢰도 하락 보다도 브랜드 가치 추락의 추락을 우려함

▶ 한국이 전세계 개인정보 유출사고 10위권안에 들었다
대규모 개인정보 유출 사고가 일어난 기업들의 경우 DB보안 솔루션, 중요 데이터의 DRM 적용, 이동식 저장매체 통제, 고객정보 접근기록에 대한 주기적인 감사/모니터링 가운데 하나라도 적용됐었다면 한국이 전 세계 개인정보유출 사고로 10위권 안에 드는 불명예스런 일은 없었을 것

 ▶ IT 위험 관리는 어떻게?
기업들은 IT위험 관리를 통해 비즈니스 위험을 낮출 수 있고, 단순한 제품 도입이 아닌 보안관리체계부터 완성해야 함.

 ▶  IT 위험 관리의 대상
1. 조직의 IT자산(서버시스템, 네트워크, DB, 애플리케이션 등)
2.  IT관련 업무 프로세스(기획, 개발, 운영, 유지보수 등)

▶  IT위험관리의 주요 효과
1.  IT위험관리 수준의 지표화 가능
2. 효과적인 IT거버넌스 이행
3. 정보화 예산의 효율적인 집행
4. 적절한 IT컴플라이언스 대응

▶ 보안컴플라이언스 강화와 기업 브랜드 리스크 감소를 위해선 무엇을?
보안컴플라이언스 강화와 기업 브랜드 리스크 감소를 위해 개인정보보호와 연관된 위험을 엄격한 수준으로 관리
기업 내부 정보에 대한 중요도가 다를 수 있는 제3의 계약자에게 특별한 정보보안 요구사항과 통제를 수립  필요

KISA에서 운영하는보안실무자를 위한  정보보호기술 온라인학습장 사이트입니다.
이론적인 것 뿐아니라 실습까지도 진행이 가능합니다.
사이트에 소개된 내역은 일반적인 수준을 벗어나  전문적인 수준이라고 할수있습니다.
SIS자격을 준비하는 분들에게도 유용한 사이트라고 생각됩니다.
IE로 접속해야 사이트의 모든 기능을 이용할수있습니다.
(Firefox에선 훈련공간에서 서버접속하는 기능이 작동하지 않았습니다.)

http://www.sis.or.kr

▶ 학습공간
학습공간에선 이론학습과 각종 보안문서들을 보실수있습니다.
이론학습과 테스트까지 해볼수있어서 매우 유용합니다. ^^

아래 보이시는 것처럼  실력테스트도 해볼수있답니다.   ^^

▶ 훈련공간
훈련공간에선 실제 실습을 해볼수있습니다. 
실제 서버에 접속하여 다양한 실습이 가능합니다.
훈련공간내에서 얼마나 실습을 진행했는지에 대한 통계는 마이페이지에서 보실수있습니다.
서버접속하기 버튼을 누르면  아래처럼 브라우저에 서버창이 열린답니다.

  AD는 강력한 중앙관리를 제공하는 MS의 디렉토리 서비스입니다.
수많은 기업에서 사용하고 있지요…   중앙관리라는 면에 있어서.. 정말 좋습니다.
하지만 내부에서 이루어지는 많은 일들에 대해서 감사하는 것은  너무 단순한듯합니다.
인터페이스도 그렇고 감사수준도 그렇습니다.

  AD상에선 특정 보안그룹의 유저들에게  중요권한을 제공하여서  권한을 행사할수있도록 할수있습니다.
예를 들자면  특정 사업부의 유저그룹과  관리자그룹을  OU (AD상의 권한관리를 위한 카테고리) 내에 생성하여
관리자 그룹에게 해당 OU 내의  그룹에 해당하는 유저들을 추가하거나 제거하도록 권한을 위임할수있습니다.
이렇게 함으로써  좀더 현장에서 기민하게  필요한 권한을 부여하거나 제거하도록 도울수있습니다.
제 경우엔  권한위임을 할때 모든 활동은 감사되며 기록에 남는다고 경고하고 있지요..

  이런 권한부여작업이 제대로 되고 있는지 감사하지 않는다면  보다 더 큰 보안위협이 발생할수있죠..
따라서 이럴땐 AD상에 적절한 보안권한을 설정해 두고 있어야 합니다.
이 글에선 어떻게 감사정책을 설정하는지와  어떻게 확인하는지 정리해보도록 하겠습니다.

아래의 작업은 DC에서 이루어져야하며   감사로그도 DC에서 가능하다는 것을 알려드립니다.

1. 모든 DC에서 Domain Controller Security 를 이용하여  계정관리를 감사하겠다고 설정한다.
   –  모든 프로그램/  관리도구 / Domain Controller Security Setting 을 연다.
   –  Local Policies / Audit Policy 항목으로 이동
   –  Audit account management 를 Success로 세팅한다.
        (실패로는 권한이 없는 사람이 시도한 것을 나타내고  성공은 권한있는 사람이 작업한 이력을 보여줌)

2. dsa.msc를 이용하여 도메인 보안그룹에 유저를 추가하거나 제거한다.
      –  혹은 사전에 제작한 Taskpad를 활용하여 그룹관리를 시행한다.

3. 이벤트로그를 열어서  계정관리 로그를 확인한다.
      –  이벤트뷰어의 Security 항목을 연다.
      –  category중  Account management 라고 된 부분을 찾는다.
      –  이벤트코드: 633은 그룹의 멤버에서 유저를 제거한것  632는 유저를 추가한 것이다.
      –  user 란엔 실제로 이 작업을 한 주체가 누구인지 표시가 된다.       

CISSP라는 자격은  따고 끝이 아니고 자격유지를 위한 노력을 해야하죠.. ^^

지난주 CISSP KOREA에서 개최한 세미나를 참석하기도 했었죠.. ^^ 6CPE를 주더군요..

3CPE를  주는 웹 세미나를 소개합니다.  시간이 좀 늦는게 흠이지만.. 

그래도 3 CPE를 주니깐..  ^^ 

========================================================================

(ISC)2 e-Symposium 웹 세미나

주제 : Working Intelligently and Protecting Your Windows Infrastructure
일시 : 2009년 4월 30일 새벽 02:30 (한국시간)
CPE 포인트: 3 CPE 획득
웨비나 사이트 : http://isc2.brighttalk.com/

영어로 진행됩니다. ^^  

Cobit에 대해서 관심을 가지고 계신분들에게 도움이 될만한 동영상 강의입니다.  하지만 영어라는…
하지만  파워포인트 화면이 함께 나오기때문에 이해하시는데 별 무리는 없다고 봅니다.
Cobit에 대해 이해가 있으신 분들에겐 좋은 동영상 강의가 될 듯합니다.

ISACA 지식 파워특강의 공지메일에 포함되어 있어서 저두 보게 되었습니다.
Cobit은 ISACA의 기본서이며  IT 거버넌스 프레임워크입니다.
ISACA 지식파워특강에선 Cobit 4.1에 대해서 다루고 있구요..
바로 오늘 저녁 강남에서 파워특강이 열리는데 저는 따로 신청하지 않아서..  아래 영상강좌만..  ^^

동영상을 볼수있는 URL은 다음과 같습니다.
http://www.isaca.org/webcasts/cobit-overview/COBIT-07-Board-Presentation.htm

ISACA국제 협회의
International Vice President 인  Robert
Stroud의 영상강좌입니다.

서비스로  ISACA 기본서  15권 목록을 다운로드 받을수있는  다운로드페이지를 소개합니다.

다운로드 페이지 보기