Cappuccino sapiens

사물인터넷 장비의 위험성, 도를 넘어도 한참 넘었다
클라우드 애플리케이션에서 보안과 기능을 모두 확보하는 9가지 방법
이것은 상상력과 꾸준함의 싸움! 사이버스쿼팅 공격
사이버 보안업체 “대선 앞두고 트럼프 캠프 해킹 공격 증가”

‘탈륨’ 해커조직 또 사이버공격, 개성공단·논문 키워드로 北 관련 연구자 노렸다

전자서명법 등 정보보호 3개법 하위법령 개정안 입법예고

"난공불락 양자암호·클라우드 서버 뚫어라"

코로나 백신정보 탈취 `해킹` 경계령

美 "北 해킹 재개"... ATM 해킹후 3년, 국내 금융권 안전한가

미국 소프트웨어 업체 “기업 33%가 위험한 네트워크 서비스 운영”…사이버 보안 관리 부실

글로벌 칼럼 | 'AWS가 뚫리면?' 클라우드 '시스템적 보안 위험'을 말해야 하는 이유
디지털 변혁 성공하려면? ‘문화’를 바꿔라··· 美 특허청 사례
Cellphone Hacking and Millions in Gulf Deals: Inner Workings of Top Secret Israeli Cyberattack Firm Revealed

이란의 파이오니어 키튼, 기업 침투 경로를 다크웹서 판매

러시아 해커 포럼에 미국 유권자 개인정보 무료로 공개돼

스마트세상에 더 독해진 랜섬웨어…돈 될만한 기업 집중 공격

[Biz Focus] 재무팀 있고, 영업팀 있고, 인사팀 있고, 그럼 사이버보안팀은?

주니퍼 네트웍스 “재택근무↑…기존 네트워크 보안 방식이 문제 더욱 악화시켜”

[개인정보보호 우수사례-한국석유관리원] 개인정보보호 문화의 정착이 우선이다

'대세' 쿠버네티스, 문제는 '보안'··· 베스트 보안 프랙티스 5가지

IDG 블로그 | 클라우드에서 데이터 주권 문제 다루기
금감원, 신협 개인신용정보 관리 소홀로 '기관주의

개인정보보호위원회 '가명정보 처리 가이드라인' 마련
"IT 강한 한국 더 위험한데…보안투자는 되레 뒷전"

[`디지털-뉴노멀`의 미래를 묻다] "사이버보안 `생명`과 직결… 양자·6G 시대 超보안기술 확보할 것"

동국대 정순채 교수 "코로나19로 사이버공격↑…피싱 등 주의해야"

[정순채 칼럼] 코로나19와 사이버공격

Watch this TV show, or this movie? You’re most at risk of cyber crime

Customer (또는Consumer) Identity and Access Management (CIAM)는 고객의 신원확인과 접속관리를 위한 시스템으로, 2014년에 언급되었으나, 고객정보의 마케팅적인 활용측면에서 성숙도가 낮았던 시기로 당시에는 크게 부각이 되지 못했었습니다. 하지만, 유럽의 GDPR에 따라 개인정보 보호에 대한 컴플라이언스가 강화되고, 고객의 구매형태나 쇼핑정보 등의 정보를 통한 새로운 서비스 창출의 기회가 커짐에 따라, CIAM에 대한 중요성이 다시 떠오르고 있습니다.

CIAM은 큰 범위에서 IAM에 속하지만, 현재의 IAM이 기업의 임직원을 위한 ID 인증 및 접근통제로 통용되고 있어 고객을 위한 IAM(고개 IAM)과 직원을 위한 IAM(직원 IAM)으로 구분할 필요가 있습니다. 하지만, 국내에는 아직 두 용어에 대한 정의가 확립되지 않은 상태로, 일단 CIAM을 고객 IAM으로, IAM을 직원 IAM으로 구분하기로 하겠습니다.

CIAM과 IAM간의 차이점

둘간의 근본적인 차이점은 관리하는 속성 및 대상이 고객인지 또는 직원인지에 따라 구분됩니다. 즉, 고객의 속성과 직원의 관리속성에 따라, 둘간의 기능성이 달라지게 됩니다. 또한, 관리대상에 대한 정보의 활용성에 따라 관리 목적이 달라지게 됩니다. 마지막으로는 사용자 수에 따른 요구되는 시스템의 성능차이라고 볼 수 있습니다. 다음은 두 시스템간에 차이점에 대한 항목과 내용 입니다.

강력한 CIAM은 고객 등록,  셀프 계정관리, 동의 및 선호도 관리, SSO, MFA, 접근관리, 디렉토리 서비스, 데이터 접근 거버넌스 등의 기능을 제공하며, 고객이 접하게 되는 디지털 환경(웹, 모바일, IoT 등)에 상관없이 안전하고 끊임없는 서비스를 제공해야 합니다. 또한, CIAM은 on-premise, private cloud, IDaaS 플렛폼 등 어느 환경에서나 동작이 가능해야 하며, 우수하고 강력한 보안환경을 제공해야 합니다.  ‘2019 Ping Identity report’에 따르면, 81%의 사용자는 데이터 침해사고를 당한 기업 또는 서비스를 사용하지 않을 것이라고 응답 했습니다.

언택스 시대의 디지털 환경으로의 전환함에 따라, 기업은 고객의 정보를 수집 및 분석을 통해 다양한 서비스 및 맞춤형 서비스 제공, 신상품 개발, 마케팅 제공 등의 활동이 증가 되고 있습니다. 이에 따라, 고객의 정보를 안전하게 보관 및 관리하는 것 외에, 크리덴셜 스터핑과 같은 공격으로 부터 고객의 인증정보를 보호하는 환경을 제공함으로써, 고객에게 기업 및 서비스의 신뢰성을 제공하는 것 역시 무엇 보다도 중요 합니다. 기업은 이러한 고객의 요구사항에 따라, 기업환경에 적합한 CIAM 에 대한 자체적인 도입·운영 계획을 수립하고, 디지털 전환 계획과 함께 진행 할 필요가 있습니다.

손병두 "디지털 금융보안 합리화 검토"

코로나19에…보안업계 CC 인증 획득 등도 '차질'

국내 폰 쇼핑몰, 주민번호·카드번호까지 고스란히 노출

마스크 판매 위장 메일로…“악성코드 감염 조심”

개인정보 가명·익명 기술동향 온라인 세미나 열린다

정보화 시대의 필수 기술 '인증'

이더리움 클래식이 또 51% 공격을 당했다… 7000개 블록 재구성

시스코 장비 운영체제서 취약점 발견…"해커 악용 사례 존재"

노르웨이 의회에 사이버 공격…일부 의원·직원 이메일 해킹

과기부 2021년 예산안, 총 17.3조원...사이버보안 예산은 1,890억원

[김승주 교수 칼럼] 해킹에 안전한 제품을 만들려면

SRE와 개발자간 이상적인 협업을 위한 5가지 조언
Iranian hackers are selling access to corporate networks

PC에 랜섬웨어가 감염된 사실을 인지하였지만, 다행스럽게도 큰 피해는 발생하지 않았습니다. 별 증상도 발생하지 않았기 때문에 관계당국에 신고도 하지 않았습니다. 신고를 하면 더욱 귀찮아질 것은 분명합니다.

위의 상황은 실제 기업에서 종종 벌어지고 있는 사건과 사례이기도 합니다. 보안담당자는 침투경로를 모르는 상황에서 찜찜할 수 밖에 없습니다. 큰 피해를 입었다면, 당장에 임원진에 이러한 문제를 해결하기 위한 투자를 요청 할 수 있겠으나, 딱히 그럴 만한 상황이 아닐 수도 있습니다.

랜섬웨어가 침투했다면, 보안에 헛점(절차적, 기술적, 인적)이 내재하고 있는 것입니다. 더구나, 침투경로 조차 파악이 되지 않는다면 문제는 더욱 심각할 수 밖에 없습니다. 당장에 랜섬웨어 솔루션을 도입할 수도, 보안진단을 통해 보안 취약점을 막을 수도 없는 상황이라면 어떻게 해야 할까요?

큰 투자를 하지 않고도, 임직원들과 함께하는 보안조치를 통해 기대 이상의 효과를 볼 수 있습니다.

1. 직원들에게 사건의 경각심을 고취시키고, 이상한 이메일을 열람하지 않도록 교육을 합니다.

2. 보안정책에 랜섬웨어 관련 조항(신고절차, 담당자 역할, 조치절차, 패널티 등)을 포함하고, 직원들에게 공지 및 교육 합니다.

3. 가상의 메일(이벤트 당첨, 연봉협상 등)을 만들어, 외부 메일계정을 통해 직원들에게 발송하여 훈련을 실시 합니다.

4. 수상한 메일 수신시 신고체계를 수립·운영하고, 신고 우수자에게는 포상을 통해 동기부여를 합니다.

5. 유휴기간(야간, 장시간 서비스 중지 등) 중에 서비스에 영향이 없다면, 관련 시스템들을 정지 또는 휴면 모드로 설정합니다.

보안을 강화하기 위해 고가의 보안장비와 소프트웨어를 구입하는 것이 능수가 아닙니다. 보안 취약점은 주변상황에 따라 있을 수도, 없을 수도 있습니다. 따라서, 마스크 착용과 손만 잘 씻어도 바이러스에 감염되지 않는 것처럼, 주변 상황만 잘 정리해도 보안을 강화할 수 있습니다.

[클라우드 활용 리포트] 코로나19로 ‘클라우드 서비스’ 전성시대 활짝

우리나라 전력 25% 담당 ‘원자력 발전소’의 안전·보안현황 진단

“코로나19, 에너지·제조업 ICS도 위협”

다크웹 포럼들의 트래픽 분석했더니, 통계 조작 난무한 듯

데이터 쌓일수록 불안한 `공공 클라우드` 초비상

[단독-중국 블랙마켓②] 네이버 회원계정과 주소록DB 대량 판매 계속…피싱 피해 속출

공유 오피스 보안 괜찮나…프린터등서 악성코드 위험 노출

트렌드마이크로, 2020 상반기 보안 위협 보고서 발표

파이어아이, 클라우드 보안 백서 공개

하반기 주요 사이버보안·해킹 대회 모두 비대면으로 열린다

[보안칼럼] 재택근무 도입 후, 개인정보 유출 위험 최소화하려면

[기고] 인공지능 보안관제: 허와 실

9월부터 SSL 인증서 유효기간 2년→1년, 미리 대비해야

[보안 따라잡기]`코로나 재확산`에 다시 재택근무로…보안 주의할 점은

사이버전쟁 수행능력 세계 1위, 중국 맞을까?

미 국무부 "北 악성사이버 활동, 세계 각국 위협"

공공 1천500개, 민간 2천개 기업 개인정보처리자 실태조사 결과

시스코 제품 보안취약점…업데이트하세요

[기자수첩] 코로나19와 디도스 공격

디지털 변혁 성공하려면... CIO가 나눠야 할 대화 5가지
간편+보안…은행들 블록체인에 꽂혔다

보안기술 경연대회 'K-사이버 시큐리티 챌린지' 참가신청 접수

국제해킹방어대회 ‘코드게이트 2020’ 비대면 개최

Morocco’s CIH Bank Falls Victim to International Hacking Attack

Germany: Coronavirus contact data from restaurant visits vulnerable to hacking

북한의 비글보이즈, 30개국 넘는 곳에서 금융 조직 공격 중

MS, 새로운 정보 탈취형 멀웨어 발견해 IoC 공유

인도 조직 주로 노리는 트랜스패런트 트라이브, 새 공격 도구 사용

글로벌 비즈니스 리더 40%, 최우선 보안 투자분야로 ‘클라우드’ 꼽아

하이브리드 클라우드 복잡성, 조급한 도입에 따르는 보안 위험
데이터 3법 시행…보안·데이터 산업 뜬다

비대면 확산에 은행권 보안 비상체제
"북한에 국방망 해킹" 정부, 전산망 기업들 상대 손배소 패소

단독-중국 블랙마켓①] 국내 이커머스 기업 판매자 계정정보까지 거래중…실상 공개

90세에 새 치아가? 해방 100주년에 한국인이 누릴 기술

소프트웨어 내 API 오류 검사해주는 도구, 무료로 풀리다

[기고] 네트워크 공격 방식의 변화, 감시 체계 강화 필요성 대두