구체적인 문의 내용 최근 정보보호 관련업무를 담당하게 되었고 담당자로서 관련법은 어떠한 것이 있는지 궁금합니다.회사의 웹사이트와 스마트폰앱 유료서비스를 운영함에 있어서 관련법을 위반하고 있지 않은지 걱정됩니다.어디부터 어떻게 시작해야 하는지? 회사 차원에서 조치를 취하지 않으면 당장 큰 문제가 생기지는 않는지?혹시 타사 사례가 있다면 일부 소개해주시면 많은 도움이 되겠습니다. 일반적으로 회사차원의 법적인 문제는 법무팀 또는 계약관계에 있는 법무법인을 통해 […]
구체적인 문의 내용 회사의 전사조직을 대상으로 정보보호 관련 연간 교육계획을 수립하라는 업무지시를 받았습니다.어떻게 접근해야 하는지? 특별히 고려해야 할 사항은 무엇인지? 그리고 타사 사례를 소개해주시면 많은 도움이 되겠습니다. 일반적인 연간 교육계획 수립절차는 몇 가지로 이뤄집니다. 조직에서의 교육은 정보보안 분야만 아니라 직무역량, 인재상 관리와 같이 조직의 HR비전과 관련성이 깊은 주제입니다.따라서, 일반적인 주제에 대한 연간 교육계획을 수립하는 아래의
구체적인 문의 내용 당사는 국내 뿐만 아니라 전세계 10여 나라에 작은 공장을 운영하고 있으며, ISO/IEC 27001과 ISMS인증을 획득하여 적은 인력이지만 ISMS를 운영하고 있습니다. 정보보안 요건 중에 NTP Server설정이 있는데, 구글링 하면 bora.net, kornet 등만 언급되고 있더라고요. 우리나라 뿐만 아니라 유럽 등 전세계 10여 공장에 있는 서버들의 NTP Server 설정을 위해 안전성이 검증된 관리하기 좋은 NTP
구체적인 문의 내용 python으로 간단한 웹크롤러 만들었고 원하는 대로 잘 작동 되었습니다.그런데, 소스 IP를 숨기기 위해 proxychains으로 이 프로그램을 돌리면 proxy들간의 chain에 denied되면서 데이터를 못가져오네요…?관련 글을 구글링해보니깐 많은 개발자들이 동일한 문제를 겪었던것 같은데, 혹시 방법이 없을까요? 우선, 고객님과 똑같은 고생을 해본 개발자로써 반갑기 그지 없습니다~ ^^페이지 이동 구조로 되어 있는 웹사이트의 크롤러를 만들때 Web crawler를
구체적인 문의 내용 Log4j 취약점이 상당히 많은 제품에 영향을 준다고 하는데, 우리 시스템에 영향이 있는 건지 어떻게 알수 있나요? 이미 공격을 당한 것인지도 알 수 있는 방법이 있나요? 긴급하게 중요한 정보들만 공유합니다. 관련 취약점들이 계속 나올수 있기 때문에 지속적으로 모니터링해서 적합한것들을 사용하세요~ 이 취약점의 원격 공격 원리는? (간단한 이해) – https://www.fastly.com/blog/digging-deeper-into-log4shell-0day-rce-exploit-found-in-log4j– https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/ 이 취약점이 어떤 제품들에게 노출되어
구체적인 문의 내용 회사에서 기술적 파트의 정보보안 업무를 담당하고 있습니다. IT부서에서 정보시스템 개발을 Microservice Architecture를 기반으로 하겠다고 합니다.관련 자료를 찾아 보았지만 개념적인 내용들이 대부분이고 IT개발 부서에 구체적으로 어떤 내용들을 보안 요구사항으로 제시해야 하는지 도움을 요청합니다. Microservice Architecture의 보안 요구사항 당사가 금융회사들을 중심으로 Microservice Architectur기반의 정보시스템 개발에 대한 개발보안 컨설팅들을 수행하면서 6개 영역 48개의 표준 보안요구사항을
구체적인 문의 내용 우리회사는 올해 PCI-DSS 인증을 획득하고 그 요구사항에 따라 매년 모의해킹 진단을 받고 있습니다.그런데, 모의해킹 진단결과에서 웹서버에 HTTPS TLS/SSL Cipher Suite 취약점이 있다고 리포트를 받았는데요실제 대상 웹 리스너의 상태를 확인해보면 해당 취약점이 없는 것으로 나옵니다. 모의해킹 진단보고서의 대상은 맞고요 말씀하신 내용에 따르면 외부망에서 진행하는 외부 모의해킹 진단 수행 결과로 짐작됩니다.진단자는 외부망에 위치하여 대상
구체적인 문의 내용 공인 인증서로 HTTPS를 적용하고 있는 웹사이트가 있는데, 클라이언트의 브라우저에서 서버의 공개키로 일부 데이터를 암호화해서 서버에 전달하도록 하고 싶습니다. 어떻게 해야 하나요? 간혹, 모바일 앱이나 웹사이트 모의 해킹 진단을 하다 보면, 서버의 공개키를 이용해서 데이터를 암호화하지 않고 임의의 대칭키 방식으로 데이터를 암호화해서 서버에 전송하는 경우가 있습니다. 대부분의 대칭키 방식은 클라언트에 키가 있기 때문에
구체적인 문의 내용 웹으로 간단한 채팅 기능을 넣으려고 합니다. 보안적으로 고려해야 하는 사항은 무엇이 있나요? Websocket 구현 시 고려해야 하는 보안 사항 1. Authentication mechanism비인가자의 Websocket접근을 방지하기 위하여 적절한 인증 메커니즘을 적용한다. 2. Access Control인가된 사용자 또는 디바이스만 접근할 수 있도록 적절한 방법으로 접근 통제를 적용한다. 3. Session ManagementSession은 비인가된 접근을 방지하기 위하여 적절하게 관리되어야
구체적인 문의 내용 핀테크 사업에 대한 아이디어를 시스템으로 구축해보고 싶습니다.핀테크 시스템 개발을 함에 있어서 반드시 고려해야 할 정보 보호 요건에는 어떤 것이 있는지?신생 업체이기 때문에 컨설팅 등 전문적인 의견을 구하기 어려운 업체들을 위한 가이드라인이 있는지?혹시 타 사 사례가 있다면 일부 소개해주시면 많은 도움이 되겠습니다. 대표적인 핀테크 서비스로 현재 금융권 오픈뱅킹 사업이 있습니다. 오픈뱅킹 서비스를 포함한
