Offcanvas

������������

랜섬웨어 관련 소송으로부터 기업을 보호하기 위한 7단계

국제적인 랜섬웨어 범죄 조직만 기업의 돈을 노리는 것은 아니다. 랜섬웨어 공격이 사라진 오랜 뒤에도 기업은 재무적으로 큰 타격이 될 수 있는 위협에 직면할 수 있다. 바로 공격자의 손에 넘어간 개인정보 또는 비즈니스 정보가 넘어간 고객을 대신해 변호사들이 제기하는 소송이다. 킹 앤 스팰딩(King & Spalding)의 소송 및 글로벌 분쟁 부문 리더인 데이비드 밸서는 악의적 행위자들이 계속 기업 IT 시스템의 취약점을 악용하고 개인 데이터에 접근하는 한 데이터 유출과 관련한 법적 소송은 사라지지 않을 것이라면서 “사안이 발전하면서 원고들은 정작 소비자에게 아무런 피해가 없더라도 인과관계와 피해에 관한 새로운 이론을 들고 나온다”라고 설명했다. 법률업체 베이커호스테틀러(BakerHostetler)의 디지털 자산 및 디지털 관리 부문 실장인 테드 코버스는 랜섬웨어 소송 환경이 빠르게 변화할 것으로 전망하면서 “과거에는 소비자가 이런 소송을 제기해왔다. 그러나 공급망 공격이 증가하면서 공급망의 하류에 있는 기업들이 비즈니스 중단, 사고 대응 비용 및 기타 피해에 대한 배상을 받기 위한 소송을 제기하고 나설 가능성이 높아졌다”라고 말했다. 다행히 랜섬웨어 공격이 발생했다고 해서 무조건 소송 위험에 노출되는 것은 아니다. 랜섬웨어 공격의 위험을 최소화하고, 공격이 발생할 경우 즉시 필요한 조치를 취해 피해를 억제하는 것은 전적으로 CISO의 책임이다. CISO가 랜섬웨어 관련 소송으로부터 기업을 보호하기 위한 조치는 다음과 같다.  1. 위험 평가 소송 가능성은 주로 랜섬웨어 공격의 유형, 그리고 정보가 도난당한 경우 그 정보의 종류에 따라 좌우된다. 법률업체 뉴메이어 앤 딜리언(Newmeyer & Dillion)의 파트너인 제프 데니스는 “예를 들어 소비자 대면 웹사이트를 운영하는데 랜섬웨어로 인해 이 웹사이트가 중단되었더라도 소비자 정보가 유출되지 않았다면 집단 소송 가능성은 희박하다”라고 말했다. 그러나 랜섬웨어 공격이 소비자...

랜섬웨어 소송 위험평가 CISO

2021.08.23

국제적인 랜섬웨어 범죄 조직만 기업의 돈을 노리는 것은 아니다. 랜섬웨어 공격이 사라진 오랜 뒤에도 기업은 재무적으로 큰 타격이 될 수 있는 위협에 직면할 수 있다. 바로 공격자의 손에 넘어간 개인정보 또는 비즈니스 정보가 넘어간 고객을 대신해 변호사들이 제기하는 소송이다. 킹 앤 스팰딩(King & Spalding)의 소송 및 글로벌 분쟁 부문 리더인 데이비드 밸서는 악의적 행위자들이 계속 기업 IT 시스템의 취약점을 악용하고 개인 데이터에 접근하는 한 데이터 유출과 관련한 법적 소송은 사라지지 않을 것이라면서 “사안이 발전하면서 원고들은 정작 소비자에게 아무런 피해가 없더라도 인과관계와 피해에 관한 새로운 이론을 들고 나온다”라고 설명했다. 법률업체 베이커호스테틀러(BakerHostetler)의 디지털 자산 및 디지털 관리 부문 실장인 테드 코버스는 랜섬웨어 소송 환경이 빠르게 변화할 것으로 전망하면서 “과거에는 소비자가 이런 소송을 제기해왔다. 그러나 공급망 공격이 증가하면서 공급망의 하류에 있는 기업들이 비즈니스 중단, 사고 대응 비용 및 기타 피해에 대한 배상을 받기 위한 소송을 제기하고 나설 가능성이 높아졌다”라고 말했다. 다행히 랜섬웨어 공격이 발생했다고 해서 무조건 소송 위험에 노출되는 것은 아니다. 랜섬웨어 공격의 위험을 최소화하고, 공격이 발생할 경우 즉시 필요한 조치를 취해 피해를 억제하는 것은 전적으로 CISO의 책임이다. CISO가 랜섬웨어 관련 소송으로부터 기업을 보호하기 위한 조치는 다음과 같다.  1. 위험 평가 소송 가능성은 주로 랜섬웨어 공격의 유형, 그리고 정보가 도난당한 경우 그 정보의 종류에 따라 좌우된다. 법률업체 뉴메이어 앤 딜리언(Newmeyer & Dillion)의 파트너인 제프 데니스는 “예를 들어 소비자 대면 웹사이트를 운영하는데 랜섬웨어로 인해 이 웹사이트가 중단되었더라도 소비자 정보가 유출되지 않았다면 집단 소송 가능성은 희박하다”라고 말했다. 그러나 랜섬웨어 공격이 소비자...

2021.08.23

"코로나19가 위험 평가 및 대응 방식을 변화시켰다" 2020 보안 우선순위 보고서

새로운 IDG 설문 조사에 따르면, 코로나19로 인해 기관과 기업이 보안 위험을 평가하고 대응하는 방식이 바뀌었다.   보안 계획과 예산 책정은 언제나 모험이다. 현재 위험을 평가하고 가장 가능성이 높은 위협을 예측할 수 있지만, 사이버보안 위험의 유일한 상수는 예측 불가능성(unpredictability)이다. 그 위에 전 세계적인 전염병이 더해지면 CISO는 2021년 리소스를 어디에 요청하고 할당할 것인지 결정하기가 거의 불가능한 상황에 처하게 된다.  IDG는 11월 보안 우선순위 연구 보고서를 발표했다. 이 보고서는 코로나19 시대에 현재 보안의 초점이 무엇인지, 코로나19가 2021년 보안 우선순위와 지출을 주도할 요소를 어떻게 변화시켰는지를 보여주는 것이 목적이다. 미국, 아시아/태평양 및 유럽의 522명의 보안 전문가를 대상으로 한 이번 설문 조사에 따르면, 전염병은 기업이 위험을 평가하고 대응하는 방식을 영구적으로 변화시켰다.  새로운 관점에서 위험 바라보기   코로나19의 여파로 위협 행위자는 공격을 강화했다. 공격자는 많은 사람이 현재 원격으로 일하고 있기 때문에 더 취약해질 것을 알고 있다. 예를 들어, 지난 1년동안 발생한 보안 사고의 36%가 회사에 접속하기 위한 피싱 공격과 관련된 것으로 나타났다.  또한 공격자들은 직원의 업무 공간이 집으로 이동하면서 발생하는 업무 중단이 보안 및 IT 팀을 약하게 만든다는 것을 알고 있다. 응답자는 보안 사고의 29%가 패치가 적용되지 않은 소프트웨어 취약점과 관련이 있다고 답했으며, 대기업은 보안 사고의 34%가 잘못 구성된 서비스나 시스템에서 발생한다고 응답했다.  기업이 이런 위협에 대응하기 위해 IT 및 보안 시스템을 변경함에 따라 공격자는 새로운 약점을 찾아내기 위해 공격 전술을 바꿀 것으로 예상된다. 결과적으로 기업은 위험 평가와 대응 전략을 검토하고 있다. IDG 설문조사 응답자의 62%는 전염병이 위험에 대한 접근 방식...

보안우선순위 제로트러스트 위험평가 디셉션 인증

2020.12.03

새로운 IDG 설문 조사에 따르면, 코로나19로 인해 기관과 기업이 보안 위험을 평가하고 대응하는 방식이 바뀌었다.   보안 계획과 예산 책정은 언제나 모험이다. 현재 위험을 평가하고 가장 가능성이 높은 위협을 예측할 수 있지만, 사이버보안 위험의 유일한 상수는 예측 불가능성(unpredictability)이다. 그 위에 전 세계적인 전염병이 더해지면 CISO는 2021년 리소스를 어디에 요청하고 할당할 것인지 결정하기가 거의 불가능한 상황에 처하게 된다.  IDG는 11월 보안 우선순위 연구 보고서를 발표했다. 이 보고서는 코로나19 시대에 현재 보안의 초점이 무엇인지, 코로나19가 2021년 보안 우선순위와 지출을 주도할 요소를 어떻게 변화시켰는지를 보여주는 것이 목적이다. 미국, 아시아/태평양 및 유럽의 522명의 보안 전문가를 대상으로 한 이번 설문 조사에 따르면, 전염병은 기업이 위험을 평가하고 대응하는 방식을 영구적으로 변화시켰다.  새로운 관점에서 위험 바라보기   코로나19의 여파로 위협 행위자는 공격을 강화했다. 공격자는 많은 사람이 현재 원격으로 일하고 있기 때문에 더 취약해질 것을 알고 있다. 예를 들어, 지난 1년동안 발생한 보안 사고의 36%가 회사에 접속하기 위한 피싱 공격과 관련된 것으로 나타났다.  또한 공격자들은 직원의 업무 공간이 집으로 이동하면서 발생하는 업무 중단이 보안 및 IT 팀을 약하게 만든다는 것을 알고 있다. 응답자는 보안 사고의 29%가 패치가 적용되지 않은 소프트웨어 취약점과 관련이 있다고 답했으며, 대기업은 보안 사고의 34%가 잘못 구성된 서비스나 시스템에서 발생한다고 응답했다.  기업이 이런 위협에 대응하기 위해 IT 및 보안 시스템을 변경함에 따라 공격자는 새로운 약점을 찾아내기 위해 공격 전술을 바꿀 것으로 예상된다. 결과적으로 기업은 위험 평가와 대응 전략을 검토하고 있다. IDG 설문조사 응답자의 62%는 전염병이 위험에 대한 접근 방식...

2020.12.03

강은성의 보안 아키텍트 | 코로나19와 개인정보 위기관리

중국에서 발생한 코로나바이러스 감염증 사태가 전 세계로 확산하고 있다. 지난 1월 20일 국내에서 처음 발생한 확진자 수가 이제는 8천 명을 넘어섰다. 세계적으로도 많은 편이다. 그런데도 우리나라의 코로나19 대응에 대한 세계 유수의 통신사나 G7 국가의 언론, 정부의 찬사가 뉴스에 나온다. 질병관리본부(질본)를 중심으로 한 중앙정부와 지방정부의 신속한 대응, 세계 최고 수준 의료진의 헌신, 마스크 쓰기와 사회적 거리두기를 실천하는 성숙한 국민이 만들어낸 합작품이다. 10여만 원의 진단비와 최대 수천만 원에 이르는 치료비를 무료로 처리해 주는 국내 보건의료체계가 그 토대가 되었음은 물론이다. 강제로 ‘저녁 있는 삶'을 누리는 분들과 함께 이 사태가 빨리 끝나기를 바라면서, 개인정보 위기관리에 대해 교육과 컨설팅을 하는 입장에서 인상적으로 본 몇 가지를 정리해 보려고 한다. 첫째, 위험평가(Risk assessment)에 관한 것이다. 중국에 이어 이탈리아 등 유럽에서 코로나19 확진자가 급증하면서 해당 국가 국민의 국내 입국 제한에 대해 기자가 질문하자 정부에서는 질본과 감염병 전문가들이 ‘위험평가'를 하고 있다고 답변했다. 감염병 분야의 전문가가 아니라서 잘은 모르겠으나, 지난 한 달 동안 습득한 지식을 바탕으로 추측해 보면, 해당 나라에서의 확산 상황과 해당국의 관리 수준, 국내 유입 가능성, 국내 확산 및 관리 상황, 방역 방법, 부작용 등 여러 요소를 종합적으로 평가하지 않을까 싶다.  개인정보보호나 정보보안 분야에서도 위험평가를 수행한다. 정보보안 위험관리에 관한 국제 표준인 ISO 27005에서는 위험평가를 통해 식별된 위험의 수준과 우선순위를 정하여 보안대책을 수립하도록 하고 있다. 각 기업에서는 이에 따라 적절한 위혐평가 방법론을 활용하여 보안위험을 평가하고 보안대책을 마련하여 우선순위에 따라 수행하면 된다. 하지만 실제 현실에서는 ‘개인정보 보호조치’에 관한 법규를 점검 목록으로 만들고, 준수 여부를 O, X로 ‘평가'하여 대책을 ...

CIO 질병관리본부 사회적 거리두기 ISO 27005 COVID-19 코비드 코로나바이러스 코로나19 위험평가 코로나 메르스 시큐리티 아키텍트 보안 아키텍트 강은성 개인정보보호 CISO CSO 질본

2020.03.16

중국에서 발생한 코로나바이러스 감염증 사태가 전 세계로 확산하고 있다. 지난 1월 20일 국내에서 처음 발생한 확진자 수가 이제는 8천 명을 넘어섰다. 세계적으로도 많은 편이다. 그런데도 우리나라의 코로나19 대응에 대한 세계 유수의 통신사나 G7 국가의 언론, 정부의 찬사가 뉴스에 나온다. 질병관리본부(질본)를 중심으로 한 중앙정부와 지방정부의 신속한 대응, 세계 최고 수준 의료진의 헌신, 마스크 쓰기와 사회적 거리두기를 실천하는 성숙한 국민이 만들어낸 합작품이다. 10여만 원의 진단비와 최대 수천만 원에 이르는 치료비를 무료로 처리해 주는 국내 보건의료체계가 그 토대가 되었음은 물론이다. 강제로 ‘저녁 있는 삶'을 누리는 분들과 함께 이 사태가 빨리 끝나기를 바라면서, 개인정보 위기관리에 대해 교육과 컨설팅을 하는 입장에서 인상적으로 본 몇 가지를 정리해 보려고 한다. 첫째, 위험평가(Risk assessment)에 관한 것이다. 중국에 이어 이탈리아 등 유럽에서 코로나19 확진자가 급증하면서 해당 국가 국민의 국내 입국 제한에 대해 기자가 질문하자 정부에서는 질본과 감염병 전문가들이 ‘위험평가'를 하고 있다고 답변했다. 감염병 분야의 전문가가 아니라서 잘은 모르겠으나, 지난 한 달 동안 습득한 지식을 바탕으로 추측해 보면, 해당 나라에서의 확산 상황과 해당국의 관리 수준, 국내 유입 가능성, 국내 확산 및 관리 상황, 방역 방법, 부작용 등 여러 요소를 종합적으로 평가하지 않을까 싶다.  개인정보보호나 정보보안 분야에서도 위험평가를 수행한다. 정보보안 위험관리에 관한 국제 표준인 ISO 27005에서는 위험평가를 통해 식별된 위험의 수준과 우선순위를 정하여 보안대책을 수립하도록 하고 있다. 각 기업에서는 이에 따라 적절한 위혐평가 방법론을 활용하여 보안위험을 평가하고 보안대책을 마련하여 우선순위에 따라 수행하면 된다. 하지만 실제 현실에서는 ‘개인정보 보호조치’에 관한 법규를 점검 목록으로 만들고, 준수 여부를 O, X로 ‘평가'하여 대책을 ...

2020.03.16

칼럼 | '모두가 알지만 누구도 말하지 않는' 10가지 보안 위험

전통적인 정보보호 위험관리 프로세스에는 막연함이 가득하다. 잠재적 위협(Threat)과 위협으로 생길 수 있는 위험(Risk)을 분류하며 발생 가능성을 측정한다. 만약 그것들이 완화되지 않을 경우의 손실도 추정해야 한다. 완화와 제어를 위한 비용은 잠재적 손실과 비교해 측정된다. 만약 위험과 위협이 유발하는 것보다 완화하는 데 드는 비용이 저렴하고, 실행하기 용이하다면 완화 조치가 진행된다. 사건 가능성과 잠재적 손해를 계산하는 것은 어려울 수 있다. 도대체 어떤 사람이 한 해 동안 랜섬웨어와 DDoS, 내부 공격이 얼마나 일어날지 정확하게 예측할 수 있을까? 또는 누가 사건 발생 가능성이 60%가 아닌 20%임을 증명할 수 있을까?  모두가 복잡다난한 예측 문제로 고군분투한다. 그러나 이 밖에도 위험관리에 영향을 미치는 수많은 요소가 있다. 누구나 알지만 아무도 이야기하지 않는 10가지 보안 위험 요소를 알아보자.   1. '발생할지도 모르는' 위험과 싸우기 모든 위험 평가는 일어날 수도 있는 일과 아무것도 하지 않는 것 사이의 싸움이다. 전에 발생한 적이 없는 위험이라면 더욱더 그렇다. 많은 사람이 아무것도 하지 않는 것이 비용적으로 저렴하다고 생각한다. 발생하지도 않은 일에 대비하는 사람은 돈을 낭비한다고 본다. 사람들은 "왜 돈을 쓰지? 절대 일어나지 않을 텐데!"라고 말한다.  항상 해왔던 일을 하면서 현상을 유지하는 것은 어렵지 않다. 그래서 선제적으로 위험에 대응하기가 어렵다. 큰 비용이 드는 경우는 훨씬 더 순탄치 않다. 대부분 피해가 발생할 때까지 기다렸다가 해결한다.  나는 주로 9.11 테러와 항공 여행 안전을 예로 든다. 항공 여행 전문가가 2001년 9월 11일 이전에 납치범이 커터칼로 조종석을 탈취하거나 비행기에 폭발물을 밀반입할 수 있다는 사실을 미리 알지 못했던 것을 말하려는 게 아니다. 이런 위험은 십수 년 전부터 경고돼 왔다. 하지만 9.11 테러 이전에 비행기 탑승을 위...

보안 랜섬웨어 위험관리 위험 악성코드 위협 취약점 해커 DDoS 해킹 위험평가

2019.11.28

전통적인 정보보호 위험관리 프로세스에는 막연함이 가득하다. 잠재적 위협(Threat)과 위협으로 생길 수 있는 위험(Risk)을 분류하며 발생 가능성을 측정한다. 만약 그것들이 완화되지 않을 경우의 손실도 추정해야 한다. 완화와 제어를 위한 비용은 잠재적 손실과 비교해 측정된다. 만약 위험과 위협이 유발하는 것보다 완화하는 데 드는 비용이 저렴하고, 실행하기 용이하다면 완화 조치가 진행된다. 사건 가능성과 잠재적 손해를 계산하는 것은 어려울 수 있다. 도대체 어떤 사람이 한 해 동안 랜섬웨어와 DDoS, 내부 공격이 얼마나 일어날지 정확하게 예측할 수 있을까? 또는 누가 사건 발생 가능성이 60%가 아닌 20%임을 증명할 수 있을까?  모두가 복잡다난한 예측 문제로 고군분투한다. 그러나 이 밖에도 위험관리에 영향을 미치는 수많은 요소가 있다. 누구나 알지만 아무도 이야기하지 않는 10가지 보안 위험 요소를 알아보자.   1. '발생할지도 모르는' 위험과 싸우기 모든 위험 평가는 일어날 수도 있는 일과 아무것도 하지 않는 것 사이의 싸움이다. 전에 발생한 적이 없는 위험이라면 더욱더 그렇다. 많은 사람이 아무것도 하지 않는 것이 비용적으로 저렴하다고 생각한다. 발생하지도 않은 일에 대비하는 사람은 돈을 낭비한다고 본다. 사람들은 "왜 돈을 쓰지? 절대 일어나지 않을 텐데!"라고 말한다.  항상 해왔던 일을 하면서 현상을 유지하는 것은 어렵지 않다. 그래서 선제적으로 위험에 대응하기가 어렵다. 큰 비용이 드는 경우는 훨씬 더 순탄치 않다. 대부분 피해가 발생할 때까지 기다렸다가 해결한다.  나는 주로 9.11 테러와 항공 여행 안전을 예로 든다. 항공 여행 전문가가 2001년 9월 11일 이전에 납치범이 커터칼로 조종석을 탈취하거나 비행기에 폭발물을 밀반입할 수 있다는 사실을 미리 알지 못했던 것을 말하려는 게 아니다. 이런 위험은 십수 년 전부터 경고돼 왔다. 하지만 9.11 테러 이전에 비행기 탑승을 위...

2019.11.28

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2023 International Data Group. All rights reserved.

10.5.0.9