• 정부·기관 대응 및 국정과제
- 과기정통부는 미래전략기술 육성과 침해사고 대응 등 국정 과제 및 현안에 대응하기 위해 조직역량 강화를 추진하고 있다.
- 쿠팡 사태를 계기로 2차관 주재 범부처 전담반(TF)이 가동되었으며, 주요 논의 내용은 침해사고 조사·수사, 이용자 보호, 정보보호 및 개인정보보호 인증제도 개편, 기업의 책임성 강화 등이다.
- 동시에 주요정보통신기반시설의 관리·물리적 취약점 분석 및 기술적 취약점 평가 방법에 대한 안내서와 상세 가이드가 발표되어 보안 인프라 점검 및 평가 기준을 제공하고 있다.
- 방송미디어통신위원회에서는 2025년 방송통신발전기금 분담금 면제·경감에 따른 감면사업자 공고를 통해 관련 산업의 보안 및 기술 혁신에 영향을 줄 수 있는 정책을 발표하였다.
- 국가정책조정회의 제8회 통합 보도자료와 KISA Insight 2025 Vol.05에서는 글로벌 OT 보안 이슈와 해외 사이버 일일동향, 그리고 랜섬웨어 및 다크웹 관련 이슈의 최신 동향이 다뤄졌다.
- 개인정보위는 ‘신한카드’ 관련 조사를 착수·진행 중이며, CISSP 교육 자료에서는 Linux 보안과 조직 내 컴플라이언스 요구사항을 연계하는 내용이 소개되었다.
• 오픈소스 기반 보안 도구 및 개발 지원
- Infisical: 비밀, 인증서, 권한 관리 등 민감 정보 관리에 특화된 오픈소스 플랫폼으로, 기업 내부 보안 관리 체계 강화에 도움을 줄 수 있다.
- Gitleaks: Git 저장소 내 비밀 정보 누출 탐지 도구로, 코드베이스에서 민감 정보가 유출되지 않도록 모니터링해 주는 역할을 한다.
- Nuclei: 빠르고 커스터마이징 가능한 YAML 기반 취약점 스캐너로, 애플리케이션, API, 네트워크, DNS, 클라우드 구성 등 다양한 영역의 보안 취약점을 효과적으로 탐지할 수 있다.
- Single Sign-On Multi-Factor Portal: 웹 애플리케이션 구간의 다중 인증을 구현할 수 있도록 OpenID Certified™ 표준을 충족하는 도구이다.
- OpenZeppelin Contracts: 스마트 컨트랙트 보안 개발에 필수적인 라이브러리로, 블록체인 및 디앱 보안 관리에 유용하다.
- NGINX Open Source Repository: 공식 NGINX 오픈소스 저장소를 통해 웹 서버 및 애플리케이션의 보안 업데이트와 함께 올바른 설정 관리가 가능하다.
- 추가적으로 컨테이너, 쿠버네티스, 클라우드 환경 전반의 취약점, 미스컨피규레이션, 비밀정보, SBOM 분석 도구와 인터넷 트래픽 모니터링, 웹 애플리케이션 보안용 payloads 및 우회 기법 목록 등 다양한 자료가 GitHub에서 활발히 공유되고 있다.
• 보안관리 담당자로서의 주목 포인트
- 정부의 국정과제와 정책 변화를 면밀히 추적하고, 공공기관 및 기업의 침해 대응 체계와 물리·기술적 취약점 평가 방법 가이드를 숙지해야 한다.
- 주요 보안 도구 및 오픈소스 프로젝트(GitHub 상 다수의 프로젝트)를 활용하여 내부 보안체계를 점검하고, 최신 취약점 및 공격 기법에 대응할 수 있도록 지속적으로 업데이트하는 것이 필요하다.
- 랜섬웨어, 다크웹 관련 범죄 동향 및 글로벌 OT 보안 이슈 등 외부 위협 상황을 정기적으로 분석하여 대응 전략을 재검토하며, 특히 개인정보 보호 관련 조사 사례에 주목해야 한다.
- CISSP와 같은 전문 보안 교육 자료들을 통해 리눅스 보안, 클라우드, 컨테이너 보안 등 기술적 영역과 조직 내 컴플라이언스 요구사항을 동시에 강화하는 교육 프로그램을 마련할 필요가 있다.
• 최신 동향 및 추가 정보
- 오픈소스 보안 도구 커뮤니티는 최근 급증하는 클라우드 및 컨테이너 보안 이슈에 대응하기 위해 도구들을 활발히 개발 및 업데이트하고 있으며, 이는 기업 보안관리자의 실무 환경에서 중요한 참고 자료를 제공한다.
- 정부 및 관계 부처에서 발표하는 보고서와 가이드는 ICT 기반시설의 보안 취약점을 종합적으로 평가하는 기준을 마련하고 있어, 보안 정책 수립 및 인프라 점검 프로세스에 즉각 반영되어야 한다.
- GitHub에서 제공되는 다수의 프로젝트(Infisical, Gitleaks, Nuclei, OpenZeppelin 등)는 최신 보안 위협 및 공격 기법에 대한 대응책 마련에 필수적인 자료이므로, 정기적으로 관련 업데이트를 모니터링 할 것을 권장한다.
댓글 없음:
댓글 쓰기