Offcanvas

IRS

데이터가 유출된다면?... '사고 대응 계획' 베스트 프랙티스

사고 대응 계획(Incident response plans)은 여러 면에서 가족 유물과도 같다. 조직이 어떻게 적절히 정보 보안 사고를 감지하고 대응하고 효과를 제한시키는 지에 대한 쓰여진 세부사항들은 몇몇에게는 가치가 크지만 잊혀져 있는 경우가 너무 많다. 많은 사람에게 사고 대응 계획은 오랫동안 써보거나 시험을 거치지 않은 상태로 남아있고 그래서 대부분 궁극적으로 데이터 유출이 발생할 때는 해당 목적에 잘 맞지 않게 된다. 전문가들은 현재 강력한 사고 대응 계획에는 무엇이 사고를 구성하는 지를 상세히 규정하는 정책을 포함해야 하고, 이 문서는 조직이 해당 사고에 어떻게 대응해야 하는 지에 대해 상세한 단계별 가이드를 제공해야 한다. 이런 가이드라인들을 따름으로써 조직들은 공격의 피해를 최소화하고 데이터 유출과 보통 연계된 높은 비용과 긴 복구 시간을 줄이길 기대하고 있다. 사고 대응 계획에 대해 모두들 정보보안 커뮤니티에서 얘기를 나누고 있다. 이베이는 자사의 지난해 데이터 유출 대응 실패로 막대한 비판을 받았지만 많은 사고 대응 계획들은 종종 제대로 고려되지 않고 현대 기준으로 제대로 대비되어 있지 않다. 게다가 일부 기업들은 계획조차 가지고 있지 않다. 예를 들어 PAC에서 영국, 프랑스, 독일 내 직원 1,000명 이상의 기업에서 200명의 직원을 대상으로 한 조사에서 전체 기업의 40% 정도가 사고 대응 계획이 없다는 것이 드러났다. 그리고 사고 대응 계획이 있는 기업들 중에서도 오직 30%만 계획을 정기적으로 테스트하고 업데이트 한다고 답해 계속 진화하는 위협들 속에서 매우 걱정되는 부분이다. 결국 APT(Advanced Persistent Threat)의 부상, 점점 늘어나는 사이버-범죄 활동과 보호와 감지에 대한 투자 부족을 언급하며 컴퓨터 암호화 전문가 브루스 슈나이어(Bruce Schneier)는 2014년에 "대응하는데 10년"이라고 이야기한 바 있다. 슬프게도 이것이 유행하는 데에는...

사고대응 IRS incident response plans 사고대응계획 사고대응팀

2016.07.22

사고 대응 계획(Incident response plans)은 여러 면에서 가족 유물과도 같다. 조직이 어떻게 적절히 정보 보안 사고를 감지하고 대응하고 효과를 제한시키는 지에 대한 쓰여진 세부사항들은 몇몇에게는 가치가 크지만 잊혀져 있는 경우가 너무 많다. 많은 사람에게 사고 대응 계획은 오랫동안 써보거나 시험을 거치지 않은 상태로 남아있고 그래서 대부분 궁극적으로 데이터 유출이 발생할 때는 해당 목적에 잘 맞지 않게 된다. 전문가들은 현재 강력한 사고 대응 계획에는 무엇이 사고를 구성하는 지를 상세히 규정하는 정책을 포함해야 하고, 이 문서는 조직이 해당 사고에 어떻게 대응해야 하는 지에 대해 상세한 단계별 가이드를 제공해야 한다. 이런 가이드라인들을 따름으로써 조직들은 공격의 피해를 최소화하고 데이터 유출과 보통 연계된 높은 비용과 긴 복구 시간을 줄이길 기대하고 있다. 사고 대응 계획에 대해 모두들 정보보안 커뮤니티에서 얘기를 나누고 있다. 이베이는 자사의 지난해 데이터 유출 대응 실패로 막대한 비판을 받았지만 많은 사고 대응 계획들은 종종 제대로 고려되지 않고 현대 기준으로 제대로 대비되어 있지 않다. 게다가 일부 기업들은 계획조차 가지고 있지 않다. 예를 들어 PAC에서 영국, 프랑스, 독일 내 직원 1,000명 이상의 기업에서 200명의 직원을 대상으로 한 조사에서 전체 기업의 40% 정도가 사고 대응 계획이 없다는 것이 드러났다. 그리고 사고 대응 계획이 있는 기업들 중에서도 오직 30%만 계획을 정기적으로 테스트하고 업데이트 한다고 답해 계속 진화하는 위협들 속에서 매우 걱정되는 부분이다. 결국 APT(Advanced Persistent Threat)의 부상, 점점 늘어나는 사이버-범죄 활동과 보호와 감지에 대한 투자 부족을 언급하며 컴퓨터 암호화 전문가 브루스 슈나이어(Bruce Schneier)는 2014년에 "대응하는데 10년"이라고 이야기한 바 있다. 슬프게도 이것이 유행하는 데에는...

2016.07.22

미 국세청, 전자 신고 PIN 기능 없앤다… '반복공격' 때문

미국 국세청(IRS)이 올해 초 데이터 보안 사고를 겪은 후 웹 애플리케이션을 보호하려고 했으나 반복적으로 공격이 발생한 것으로 파악됐다. IRS 세금 문서 1040. Credit : IRS 반복 공격 이후, 미국 국세청은 납세자가 온라인으로 소득세를 신고할 때 사용했던 개인식별번호(PIN) 취득용 웹 기반 툴을 사용하지 않기로 결정했다. 지난주 IRS는 의심스러운 활동 때문에 국세청 웹사이트에서 전자신고 시 PIN을 더는 이용할 수 없다고 발표했다. 올 2월 국세청은 해커들이 IRS 웹사이트에서 PIN을 알아내고자 이름, 사회보장번호, 생년월일 등 훔친 납세자 정보를 이용했다고 밝혔다. 해커들은 자동봇을 이용해 46만 4,000개의 고유한 SSN에 해당하는 PIN을 획득하고자 했다. 하지만 이 봇은 10만 1,000개의 PIN 획득에 성공한 후 차단됐다. 이 사건 이후 IRS는 추가로 적절하게 방어 조치했지만 여전히 자동봇 공격은 계속 증가하고 있다. 추가로 탈취된 PIN 숫자는 적지만 안전을 이유로 IRS는 이 툴을 퇴출하기로 결정했다.   이 웹 애플리케이션으로 연결된 링크가 대부분 상용 세금 소프트웨어 제품에 임베디드 돼 있기 때문에 이는 몇 가지 문제를 야기할 수 있다. 납세자들은 전년도 납세 신고서 복사본에서 총 소득을 조정해 IPN 없이 온라인으로 소득세를 신고할 수 있다. IRS 웹사이트에서 별도의 애플리케이션으로 소득세 신고서의 사본을 확인할 수도 있다. ciokr@idg.co.kr  

프라이버시 개인정보 보호 공격 미국 국세청 세금 PIN 개인식별번호 IRS 반복공격

2016.06.29

미국 국세청(IRS)이 올해 초 데이터 보안 사고를 겪은 후 웹 애플리케이션을 보호하려고 했으나 반복적으로 공격이 발생한 것으로 파악됐다. IRS 세금 문서 1040. Credit : IRS 반복 공격 이후, 미국 국세청은 납세자가 온라인으로 소득세를 신고할 때 사용했던 개인식별번호(PIN) 취득용 웹 기반 툴을 사용하지 않기로 결정했다. 지난주 IRS는 의심스러운 활동 때문에 국세청 웹사이트에서 전자신고 시 PIN을 더는 이용할 수 없다고 발표했다. 올 2월 국세청은 해커들이 IRS 웹사이트에서 PIN을 알아내고자 이름, 사회보장번호, 생년월일 등 훔친 납세자 정보를 이용했다고 밝혔다. 해커들은 자동봇을 이용해 46만 4,000개의 고유한 SSN에 해당하는 PIN을 획득하고자 했다. 하지만 이 봇은 10만 1,000개의 PIN 획득에 성공한 후 차단됐다. 이 사건 이후 IRS는 추가로 적절하게 방어 조치했지만 여전히 자동봇 공격은 계속 증가하고 있다. 추가로 탈취된 PIN 숫자는 적지만 안전을 이유로 IRS는 이 툴을 퇴출하기로 결정했다.   이 웹 애플리케이션으로 연결된 링크가 대부분 상용 세금 소프트웨어 제품에 임베디드 돼 있기 때문에 이는 몇 가지 문제를 야기할 수 있다. 납세자들은 전년도 납세 신고서 복사본에서 총 소득을 조정해 IPN 없이 온라인으로 소득세를 신고할 수 있다. IRS 웹사이트에서 별도의 애플리케이션으로 소득세 신고서의 사본을 확인할 수도 있다. ciokr@idg.co.kr  

2016.06.29

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.4.0.6