[카테고리:] 보안교육

출처: http://www.kisa.or.kr/

짦은 말로  사람들에게  보안의 중요성을 고양시킬 수 있는  표어는 중요합니다.
학생들의  공모장이긴 합니다만..   직원교육자료나  홍보자료 제작시 유용할 듯해서 올려봅니다.
이 표어들을 기반으로 좀더 좋은 표어들을 만들수도 있을 것 같기도 합니다.

작년도 표어당선작들은 그다지 공감이 가지 않았는데 올해는 수준이 높아진 느낌입니다.
보안에 대한 인식과 이해가 사회 전반에 걸쳐서 높아진 탓이 아닌가 생각됩니다..  ^^

   한국정보보호진흥원에서  개설한  무료 정보보안 교육이 되겠습니다.  개인정보 취급자의 개인정보보호 관리 능력 제고 위한 전문교육 과정이라고 합니다.  ^^   개인정보 보호가  국가적으로 관심사가 되고 있는 현 상황에서  도움이 많이 될 듯합니다.  오늘부터 신청이 시작되었구요..  기수별로  교육가능한 인원이 많지는 않기 때문에 이번 차수에 교육을 받지 못하더라도     매월 개설되는 다음 강의를 수강할수있다고 합니다.    참고로 저번 교육은 40여명이  참석했다고 하는군요..   이번엔 90명 선착순이라고 합니다.  저도 오늘 신청했습니다. 

   이메일이나  팩스로 신청이 가능합니다. 아래쪽에 첨부된 파일을 참고하세요..  첨부된 PDF문서에는  행사전반에 관한 내역이 소개되어 있으며  워드나 아래한글 파일은  교육 신청양식입니다.  신청이 접수되어  교육인원으로 선정이 되면  문자나 이메일로  통지가 온다고 합니다.  저는 전화걸어서  직접 확인을 했죠.. ^^

▶ 교육개요
-개인정보보호 처리 원칙 및 준수사항 교육
-개인정보보호 책임자 및 취급자의 개인정보보호 관리 능력 제고

▶ 교육대상
-기업 내 개인정보(고객정보) 취급 책임자 또는 실무자

▶ 교육일시
-제3차 교육 일시 : 2009년 6월 25일 (목) 14:00 ~ 18:00 (총 4시간)

▶ 교육신청 기간 및 방법
-교육신청 기간 : 2009년 6월 8일(월) ~ 6월 16일(화) 18:00까지
-교육신청 방법 : 한국CPO포럼 사무국으로 이메일 또는 팩스 접수
-접수처 : info@cpoforum.or.kr, Fax : 02-516-1825(Tel : 02-516-1823)
※ 수강신청인원이 초과할 경우, 차기 교육 대상자로 선정될 수 있습니다.
※ 또한, 신청자가 수강인원을 초과할 경우, 기 교육 수강 업체의 중복 수강이 제한될 수
있습니다.
※ 최종 교육 대상자는 6월 19일(금) 15:00까지 이메일로 통보될 예정입니다.

▶ 교육 관련 문의처
-한국CPO포럼 사무국 : 02-516-1823~4, info@cpoforum.or.kr

▶ 교육내용
 1교시 : 개인정보 책임자와 취급자의 역할
 2교시 : 개인정보보호 관련 법률과 기술적 적용방안
           – 규제조항별 해결방안 (기술사례 교육)
           – 기업별 기술적 조치 Case Study
 3교시 : 개인정보의 Life Cycle과 단계별 준수사항
           – 개인정보의 수집
          – 개인정보의 이용및 제공
           – 개인정보의 파기
 4교시 : 개인정보 기술적, 관리적 보호조치
           – 관리적 접근통제
          – 기술적 접근통제
           – 접속기록 위변조 방지조치
          – 외부 해킹에 의한 기술적 방지조치
           – 암호화 조치
          – 개인정보 영향평가의 적용사례

▶ 향후 교육 일정
-7월, 8월, 9월, 10월, 11월 매월 1회 실시 예정
※ 교육 시작 2주전 교육 공고 및 참가신청 접수

1481933373.pdf1707228854.doc1531558116.hwp
▶ 교육장소
한국회계학원 9층 B강의실(교대역)

좋은 무료보안 교육의 기회가 있어서 소개합니다.
KISA에서 메일로 소개자료가 와서 알게되었는데요…
보안업체들의 나와서  자신들의 제품소개를 하는 세미나와는 다른  유익한 교육의 장이 될듯합니다.

행사명:  제 14회 정보보호 심포지움
일시: 2009년 6월 11일 (목) 10:00-17:00 
장소: 롯데 호텔(잠실) 3층 크리스탈 볼룸

프로그램 다운로드 << 프로그램안내 (HWP) >>

행사안내및 참가신청 사이트:
     http://www.kisa.or.kr/sis2009/ 

등록접수기간: 5월 18일부터  6월 9일 (온라인 등록)  현장등록은 안된다고 합니다.
문의및 연락처:  SIS 2009 사무국 유지연대리 jamie@dreaminno.com  (02)405-5164

   Database 관리및 보안에 도움이 될만한 무료 교육이 있네요..  단순 세미나가 아니고  꽤 많은 날수를 교육하는 것이므로 많은 도움이 될듯합니다.  교육은 Oracle중심으로 진행이 되어서 MS Sql 운영자에겐 도움이 안될수도 있겠습니다.  학생들이라면 추천할만 하지만요..  2주이상 교육을 받는 것이므로  업무와 약간 거리가 있는 내용을 장시간 교육받는 것이 어려울수도 있겠다 싶습니다.  하지만 여건이 된다면 받는 것이 좋겠죠?

 http://www.dbguide.net/educ/educ111003.jsp?mode=view&idx=193779

원문참조: http://www.boannews.com/plan/plan_view.asp?idx=16129
이 글은 보안뉴스에 게재된  기사를 정리한 것임을 밝힙니다.

  ▶ 왜   2009년  주목할 만한 보안 위협이   DDoS 공격인가?
  올해 가장 큰 보안 위협으로 많은 보안 전문가들이 DDoS(분산서비스 거부: Distributed Denial of Service) 공격을 꼽고 있다. 특히 온라인 비즈니스 전문기업들은 막강한 DDoS 공격을 막아내지 못하면 사업 자체가 무너질 수 있어 이에 대한 철저한 대비가 있어야 한다고 전문가들은 경고하고 있다. 
 
  DDoS 공격은 이제 기업의 이윤과 관계되는 모든 IT 인프라를 대상으로 확대되고 있고 특히 기업이윤 창출의 원천인 서비스 자체를 공격하고 있다. 이 때문에 서비스에 직접적인 영향을 끼치고 있음에도 불구하고 기존의 보안 솔루션이나 체계로는 방어하기가 어렵고 동시에 ‘이용자 보호’, ‘지속 가능한 경영’ 자체를 위협하며 금전을 요구하는 협박의 형태로 점점 더 많은 기업에 위해를 가하고 있어 커다란 사회적 문제로 대두되고 있다. 특히 전문가들은 올해 가장 큰 보안 위협으로 DDoS 공격을 꼽았으며 세계 경제의 위기가 더욱 심화되는 가운데 금품을 노린 DDoS 공격이 더욱 증가할 것으로 전망되고 있다. 이에 각 기업과 공공기관의 보안 담당자들은 DDoS 공격을 방어하는 것에 사활을 걸고 있다

   이러한 가운데 최근 들어 DDoS 공격에 대한 암흑의 비즈니스 현장이 공개되기도 했다. 한 보안업체의 대표는 DDoS가 기승을 부림에 따라 DDoS IP와 해킹 경로를 추적하던 중, 돈을 받고 DDoS 공격을 대행해주는 업자의 메신저 주소를 알아내 이를 통해 정보를 얻을 수 있었던 것.   이에 따르면 이들 DDoS 공격자들은 전문적인 기술이 있는 것이 아니라 중국산 DDoS 프로그램과 DDoS 악성 코드에 감염된 PC IP 리스트를 구매해서 공격에 활용하는 것으로 알려졌다. 특히 2~3종의 중국 DDoS 툴이 빈번하게 사용되며 DDoS 공격에 이용되는 봇 PC IP 리스트는 수만 건 당 수백만 원에 거래되는 것으로 확인됐다.
 
  특히 5~10만개의 공격 IP를 보유한 공격 툴의 경우 500~1000만원 정도의 금액으로 중국에서 구매할 수 있으며 이런 IP는 매일 새로 업데이트 되고 업데이트 정보도 판매될 만큼 조직적인 것으로 밝혀졌다. 이렇게 해서 DDoS 공격자들은 1일에 1백만원 내외의 돈을 받고 1Gbps에서 10Gbps 급의 공격을 하루에 3~5개의 사이트를 대상으로 하고 있는 것으로 알려졌다. 이러한 상황이기 때문에 현재 대형 커뮤니티 사이트나 온라인 게임업체, 금융권 등의 기업에서는 중국 DDoS 공격 툴을 비롯, 다양한 DDoS공격에 적합한 Anti DDoS 전용 장비의 도입·설치나 서비스의 이용이 시급하다.
하지만 이러한 것만으로는 다양한 DDoS 공격을 방어하기에 한계가 있다. 즉 이 외에도 여러 가지 복합적인 보안 시스템과 정책이 필요하다고 전문가들은 말한다

  ▶ 금품 노린 DDoS 공격 증가 
   2009년 1월 한국정보보호진흥원(이하 KISA)은 ‘2009년 침해사고 전망’ 자료를 통해 글로벌 경제위기와 더불어 2009년에도 금품 갈취성 DDoS 공격은 더욱 증가할 것으로 예상된다고 전망하기도 했다.

   Kisa에서 분석한 2008년 DDoS공격의 특징
1. 금품갈취성 DDoS 지속 발생
2. 조직화된 사이버 범죄로 발전
3. 자동화된 공격 도구 성행
4. 협박 및 공격수법 지능화

  Kisa에서 예상한 2008년 DDoS공격의 경향
1. 금품갈취성 DDoS 지속증가
2. 사회갈등 표출형 DDoS 발생증가
3. DDoS 공격용 악성코드 유포기법 지능화
  금전을 노린 관련범죄의 가능성에 대해서는 인터폴과의 공조를 통한 범인검거 등 수사기관의 대응도 점차 강화될 것으로 내다봤다.  사회갈등 표출형 DDoS 발생증가에 대해서 특정인이나 특정집단에 의한 사회갈등 표출형 DDoS공격이 증가할 것으로 전망했다.  DDoS 공격용 악성코드 유포기법에 있어서는  대량 악성코드 유포 공격자들의 수법이 한 층 지능화될 것으로 보인다.  

   올해도 이런 양상은 더욱 가속화되어 보안장비 우회, 사회공학적 기법 등 보다 다양한 공격기법이 결합해 DDoS공격용 악성코드가 유포될 것으로 예측했다.

   ▶ DDoS 방어를 위해 무엇을 할 것인가? (by KISA의 한 관계자)  
“아무리 성능이 뛰어난 보안장비라고 해도 유입되는 공격 트래픽의 규모가 회선 대역폭을 초과한다면 보안장비로 DDoS 공격을 방어하는 것은 한계가 있다.
1. DDoS공격을 예방하는 가장 좋은 방법은 공격근원지 발생을 억제하는 것
2. 국내 인터넷이용자들이 자신의 컴퓨터를 항상 최신 업데이트 상태로 유지하고 백신 사용을 생활화
3. 인터넷서비스를 제공하는 ISP/IDC 사업자는 유관기관과 공조하여 DDoS 공격 조종지를 탐지
4. 침해사고에 악용되는 악성도메인을 사전에 선제적으로 차단
5. 네트워크의 안정성 강화 및 고객의 피해를 예방하기 위해 DDoS 탐지 및 차단시스템 등에 적극 투자

불법소프트웨어 사용은 보안관리자로서 매우 신경쓰이는 일이 아닐수없습니다.
관리도 힘들뿐더러  단속에 걸리기라도 하면  회사의 이미지 실추와 발생되는 비용이 장난이 아니게되죠..
요즘은 불법소프트웨어에 숨어있는 악성코드도 조심해야 하구요..  

평소에 교육을 철저히 하고  불법소프트웨어가 사용되지 않도록 철저히 관리해야 합니다.
메일을 통해 사전에 인지를 시키고  자산관리 소프트웨어를 통해  사용현황을 collect한후
교정조치에 들어가야 겠습니다.  (이게 힘들더라구요..    불필요한거 삭제,  꼭 필요한거 구매…)
요즘 분위기는 신규로 구매하는 것이 그리 쉽지않겠네요..(금융위기의 여파로 …)
아래는 불법소프트웨어의 사용을 경고하고  그 결과(?)를 인지시키는  보안교육메일입니다.
모든 회사가 다 동일하게 적용되는 문제일 듯합니다.  ^^

  행안부에서  올해 13만명에게 개인정보교육을 실시할 예정이라고 합니다.  정말 많군요.. 온오프라인 교육이 계획되어 있다고 합니다.  온라인교육사이트까지 만들어서  적극적으로 교육에 나선다고 합니다.   개인정보문제가  국가적으로 어려움을 주고 있는 현실을 반영한듯 합니다.   

출처: http://www.ddaily.co.kr/news/news_view.php?uid=49752

  공공기관의 개인정보보호 교육이 의무화되고 민간기업이 쉽게 개인정보보호 교육을 받을 수 있도록 온라인 교육과정이 개설, 운영된다.  행정안전부(장관 이달곤)는 개인정보보호에 대한 인식부족으로 개인정보 침해사고가 지속적으로 발생함에 따라 올해 공공기관과 민간기업 13만 명에 대한 교육을 실시하는 등 개인정보보호 교육을 대폭 강화한다고 11일 밝혔다.

   개인정보보호 교육 효과를 높이기 위해 기존의 집합·이론 교육을 탈피, 시간과 장소에 제약을 받지 않고 교육을 받을 수 있는 교육환경을 조성하고 현장중심 교육도 실시할 방침이다.  우선, 공공기관의 개인정보보호 교육을 강화하기 위해서는 개인정보보호법령을 제정해 각급기관의 개인정보보호 교육 실시와 개인정보 취급자 등의 교육이수를 법적으로 의무화해 체계적이고 지속적인 교육을 추진할 계획이다.
또 한 각급 기관의 개인정보보호 최고 책임자를 대상으로 개인정보보호 중요성에 대한 인식을 높일 수 있도록 연 2회 워크숍을 개최하고, 업무담당자를 대상으로 개인정보보호 법·제도와 기술적 보호조치 등에 대한 전문교육을 공무원 교육기관과 전국 권역별 순회교육을 통해 실시한다. 민간기업의 개인정보보호 교육을 위해서는 기업 활동에 지장 받지 않고 언제 어디서나 학습할 수 있도록 온라인 교육과정(가칭 개인정보보호 배움나라)을 개발, 올해 8월부터 한국정보보호진흥원과 사업자 협회 등을 통해 보급할 계획이다. 백화점·정유사 등 개인정보를 다량 취급하는 사업자를 중심으로 담당자 대상 집합전문교육도 진행한다. 아울러 민간기업에서 실무적으로 활용할 수 있는 사례 위주의 개인정보보호 지침서를 제작·배포하고, 민간기업이 개인정보보호 교육을 희망하는 경우 교육교재와 전문강사를 무료로 지원할 방침이다. 세부 교육일정과 교육지원 내용은 각 협회의 정기간행물과 한국정보보호진흥원(www.kisa.or.kr) 홈페이지 등에서 안내할 예정이다.

  행정안전부는 “각급 공공기관의 교육 실적 등을 ‘2009년 개인정보보호 수준 평가’에 반영하고, 민간기업은 ‘개인정보보호 실천협의회’ 등을 통해 교육을 유도하는 등 국가사회 전반에 걸쳐 개인정보보호 문화가정착될 수 있도록 교육을 지속적으로 추진해 나갈 것”이라고 밝혔다.

기업들이 자사의 기업 이미지에 가장 나쁜 영향을 주는 것으로 ‘개인정보 유출’과 같은 보안 사고를 손꼽고 있는 것으로 조사되었다고 합니다.   방송통신위원회와 한국정보보호진흥원에서 어제인 5월7일에  코엑스 그랜드볼륨에서 “방송통신융합 환경에서 기업정보보호 전략 세미나”를 개최했는데 여기서 나온 내용입니다. IT데일리에 게재된 기사를 다시 요약했답니다.  가고싶었는데  가지못했는데  기사로 정리가 되어있더군요… ^^

원문출처: http://www.itdaily.kr/news/articleView.html?idxno=19336

출처:  언스트앤영의  어드바이저리의 김민수 이사의 강연
       (‘기업 위험관리를 위한 IT 컴플라이언스 대응 전략’ 세션중)

▶ 10대 기업 리스크
1. 신용경색
2. 규제&컴플라이언스
3. 불황심화
4. 급진적 그린(GREEN)화
5. 비전통적 참여자
6. 비용 축소
7. 관리 능력
8. 집행한 얼라이언스와 거래
9. 비즈니스 모델 중복
10. 평판 리스크  
이 가운데 대규모 개인정보 유출 사고는 해당 기업의 평판 리스크에 막대한 영향을 주고 있는 것으로 분석됨

▶ 기업들이 가장 크게 우려하는 것은 ?
보안 사고로 인한 금전적 부담, 신뢰도 하락 보다도 브랜드 가치 추락의 추락을 우려함

▶ 한국이 전세계 개인정보 유출사고 10위권안에 들었다
대규모 개인정보 유출 사고가 일어난 기업들의 경우 DB보안 솔루션, 중요 데이터의 DRM 적용, 이동식 저장매체 통제, 고객정보 접근기록에 대한 주기적인 감사/모니터링 가운데 하나라도 적용됐었다면 한국이 전 세계 개인정보유출 사고로 10위권 안에 드는 불명예스런 일은 없었을 것

 ▶ IT 위험 관리는 어떻게?
기업들은 IT위험 관리를 통해 비즈니스 위험을 낮출 수 있고, 단순한 제품 도입이 아닌 보안관리체계부터 완성해야 함.

 ▶  IT 위험 관리의 대상
1. 조직의 IT자산(서버시스템, 네트워크, DB, 애플리케이션 등)
2.  IT관련 업무 프로세스(기획, 개발, 운영, 유지보수 등)

▶  IT위험관리의 주요 효과
1.  IT위험관리 수준의 지표화 가능
2. 효과적인 IT거버넌스 이행
3. 정보화 예산의 효율적인 집행
4. 적절한 IT컴플라이언스 대응

▶ 보안컴플라이언스 강화와 기업 브랜드 리스크 감소를 위해선 무엇을?
보안컴플라이언스 강화와 기업 브랜드 리스크 감소를 위해 개인정보보호와 연관된 위험을 엄격한 수준으로 관리
기업 내부 정보에 대한 중요도가 다를 수 있는 제3의 계약자에게 특별한 정보보안 요구사항과 통제를 수립  필요

CISSP라는 자격은  따고 끝이 아니고 자격유지를 위한 노력을 해야하죠.. ^^

지난주 CISSP KOREA에서 개최한 세미나를 참석하기도 했었죠.. ^^ 6CPE를 주더군요..

3CPE를  주는 웹 세미나를 소개합니다.  시간이 좀 늦는게 흠이지만.. 

그래도 3 CPE를 주니깐..  ^^ 

========================================================================

(ISC)2 e-Symposium 웹 세미나

주제 : Working Intelligently and Protecting Your Windows Infrastructure
일시 : 2009년 4월 30일 새벽 02:30 (한국시간)
CPE 포인트: 3 CPE 획득
웨비나 사이트 : http://isc2.brighttalk.com/

영어로 진행됩니다. ^^