분류 전체보기3738 728x90 사내 생성형 AI 입력 데이터 통제 기준 세우기 왜 입력 통제가 필요한가직원이 업무 효율을 위해 챗봇에 문서를 붙여 넣는 일은 이제 흔합니다. 문제는 그 입력값이 어디로 가고, 얼마나 남고, 누가 볼 수 있는지를 회사가 모른 채 쓰이는 경우입니다. ISMS-P 관점에서 보면 외부 서비스로 전송되는 정보도 개인정보와 기밀의 흐름에 포함되므로, 수집·이용·제공·파기 단계에 맞춰 기준을 두어야 합니다.허용 범위와 금지 데이터 유형 정하기기준은 쓸 수 있는 것보다 넣으면 안 되는 것을 먼저 명확히 하면 현장에서 판단이 쉽습니다. 최소한 아래 항목은 금지 목록에 넣는 것을 권합니다.고객 및 임직원의 성명, 연락처, 주민등록번호 등 식별 가능한 개인정보미공개 재무 자료, 계약서 원문, 소스코드, 인증키·비밀번호 같은 기밀 정보보안 점검 결과, 취약점 상세, 네트.. 2026. 10. 9. 예방접종 문자 사칭, 부모님 폰 원격제어 점검법 무엇이 문제인가: 접종 안내 문자를 빌린 공격환절기에는 독감 예방접종 안내가 많아지고, 공격자는 이 시기에 맞춰 보건기관을 사칭한 문자를 보낼 수 있습니다. 문자는 예약이나 접종 확인을 핑계로 링크를 누르게 하고, 링크는 '확인용 앱' 설치 페이지로 이어집니다. 그 앱이 원격제어 기능을 가지면 화면 내용, 입력값, 금융 앱 조작까지 제3자에게 넘어갈 수 있습니다. 고령 가족은 안내 문자를 실제로 기다리는 경우가 많아서 링크를 누를 가능성이 높습니다.부모님 폰에서 먼저 볼 설정기종과 안드로이드 버전에 따라 메뉴 이름이 다릅니다. 설정 앱의 검색 기능으로 아래 항목을 찾아 확인하세요.알 수 없는 앱 설치(설치 출처): 브라우저, 문자 앱, 파일 관리자에 설치 허용이 켜져 있는지 봅니다. 평소 쓰지 않는 앱이.. 2026. 10. 9. 명절 직후 사칭 문자, 임직원이 먼저 확인할 것 명절 직후에 사칭 문자가 늘어나는 이유연휴 전후에는 택배 배송이 몰리고, 경조사 연락과 복지 포인트 정산이 한꺼번에 이루어집니다. 공격자는 이 흐름을 그대로 빌려 옵니다. 업무 중간에 문자를 훑어보는 직원은 평소보다 확인 없이 링크를 누르게 됩니다. 교육 자료를 만들 때는 연휴 직후를 특별 주의 기간으로 잡고, 공지를 연휴 전에 미리 내보내는 편이 좋습니다.수법은 대체로 세 갈래입니다. 첫째, 택배 배송 조회나 주소 확인을 요구하는 문자입니다. 둘째, 화환이나 조의금, 복지 지원금 신청을 안내하는 문자입니다. 셋째, 메신저에서 지인이나 상급자를 사칭해 급한 송금이나 인증번호를 요구하는 방식입니다.링크를 누르기 전에 확인할 항목발신 번호와 표시 이름이 평소 연락처와 일치하는지 봅니다. 번호만 같고 이름이 .. 2026. 10. 9. 배포 파이프라인에서 비밀값이 새는 다섯 경로와 막는 법 — 개발보안 실무 API 키, DB 비밀번호, 클라우드 자격증명 같은 비밀값(시크릿) 유출은 침입이 아니라 실수로 시작되는 경우가 대부분입니다. 그리고 그 실수는 거의 늘 배포 파이프라인 어딘가에서 일어납니다. 점검하면서 반복해서 본 다섯 경로와, 각각을 막는 현실적인 방법을 정리했습니다.1. 소스 저장소에 커밋된 키가장 흔하고 가장 오래 남는 경로입니다. .env 파일, 서비스 계정 JSON, 테스트용으로 넣어 둔 하드코딩 키. 한 번 커밋되면 삭제 커밋을 해도 이력에 남습니다. 막는 법은 두 겹입니다. 커밋 전에 시크릿 패턴을 잡는 훅(pre-commit)을 두고, 저장소 전체 이력을 주기적으로 스캔합니다. 전체 이력 스캔은 처음 돌릴 때 생각보다 많이 나옵니다. 나온 것은 지우는 게 아니라 폐기·교체합니다.2. CI.. 2026. 10. 9. ISMS-P 인증, 처음 맡은 담당자를 위한 90일 준비 로드맵 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 처음 맡으면 통제 항목이 100개가 넘는 표 앞에서 어디서부터 손대야 할지 막막합니다. 이 글은 "처음 90일에 무엇을 어떤 순서로 하면 되는가"를 담당자 관점에서 정리한 로드맵입니다. 인증 기준의 세부 해석이 아니라 일의 순서에 대한 이야기입니다.1~30일 — 범위를 정하고 현황을 안다첫 달의 목표는 두 가지입니다. 하나는 인증 범위를 확정하는 것입니다. 어떤 서비스, 어떤 시스템, 어떤 조직이 들어가는지가 정해져야 나머지 모든 작업의 크기가 정해집니다. 범위는 넓게 잡고 싶어지지만, 처음에는 핵심 서비스 하나로 좁히는 편이 성공 확률이 높습니다.다른 하나는 자산 목록입니다. 서버, 네트워크 장비, DB, 애플리케이션, 그리고 개인정보 흐름(수집→.. 2026. 10. 9. 이전 1 2 3 4 5 6 ··· 748 다음 728x90 728x90
