정보보호 (Security)445 728x90 연령 판별 데이터, 최소 수집부터 설계하는 법 플랫폼이 민감 콘텐츠 정책을 바꾸면 "이 사용자가 성인인가", "최근에 어떤 콘텐츠를 봤는가" 같은 판별 로직이 한꺼번에 늘어납니다. 기능 하나를 추가하는 것처럼 보이지만, 생년월일과 본인확인 결과, 이용 이력이 같은 파이프라인으로 모이기 시작하면 개인정보가 한곳에 쌓이는 구조가 됩니다.이 글에서는 판별에 꼭 필요한 속성만 받고, 원본 대신 판별 결과만 남기며, 보관기간과 접근권한을 정하는 순서를 다룹니다. 법령 해석이나 정책의 세부 기준은 이 글에서 단정하지 않으니, 최종 기준은 법무·개인정보 담당 부서와 해당 기관의 공지에서 확인하셔야 합니다.판별 질문을 먼저 한 문장으로 고정하세요연령 판별 요구는 보통 "정확한 나이"로 시작하지만, 실제로 서비스가 필요한 답은 "기준 연령 이상인지 여부"인 경우가 .. 2026. 10. 16. ISMS-P 인증, 처음 맡은 담당자를 위한 90일 준비 로드맵 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 처음 맡으면 통제 항목이 100개가 넘는 표 앞에서 어디서부터 손대야 할지 막막합니다. 이 글은 "처음 90일에 무엇을 어떤 순서로 하면 되는가"를 담당자 관점에서 정리한 로드맵입니다. 인증 기준의 세부 해석이 아니라 일의 순서에 대한 이야기입니다.1~30일 — 범위를 정하고 현황을 안다첫 달의 목표는 두 가지입니다. 하나는 인증 범위를 확정하는 것입니다. 어떤 서비스, 어떤 시스템, 어떤 조직이 들어가는지가 정해져야 나머지 모든 작업의 크기가 정해집니다. 범위는 넓게 잡고 싶어지지만, 처음에는 핵심 서비스 하나로 좁히는 편이 성공 확률이 높습니다.다른 하나는 자산 목록입니다. 서버, 네트워크 장비, DB, 애플리케이션, 그리고 개인정보 흐름(수집→.. 2026. 10. 9. 재택·하이브리드 근무 시대의 기업 내부보안 — 담당자가 분기마다 점검할 열 가지 사무실 안에만 있던 업무 환경이 집과 카페, 개인 단말로 퍼진 뒤로 내부보안의 경계는 '건물'이 아니라 계정과 단말이 됐습니다. 그런데 점검 체계는 여전히 사무실 기준으로 남아 있는 조직이 많습니다. 이 글은 보안 담당자가 분기마다 한 번씩 돌려 볼 만한 열 가지를 계정·단말·데이터·사람 네 묶음으로 정리한 것입니다. 새로 도구를 사라는 이야기는 없습니다. 지금 있는 것으로 확인되는지를 봅니다.1. 계정과 접근 — "누가 들어올 수 있는가"가장 흔한 사고는 '있는 줄 몰랐던 계정'에서 납니다. 인사 시스템의 퇴직·부서 이동 목록과 계정 목록을 주 1회 기계적으로 대조하는 것만으로 상당 부분이 잡힙니다. 외부에서 들어오는 모든 길(VPN, 메일, 협업 도구, 클라우드 콘솔)에 다단계 인증을 예외 없이 거는.. 2026. 10. 8. 로그 관리 기본 — 무엇을 얼마나 남기고, 어디에 모으고, 누가 언제 보나 사고가 났을 때 가장 먼저 찾는 것이 로그인데, 그때서야 '그 로그는 안 남기고 있었다' 거나 '2주 전 건 이미 지워졌다' 는 것을 알게 되는 경우가 많습니다. 로그 관리는 도구보다 무엇을·얼마나·어디에·누가 보나 네 가지를 정하는 일입니다.1. 무엇을 남기나모든 것을 남기면 아무것도 못 봅니다. 위 다섯 묶음이 기준이고, 특히 개인정보·중요 데이터에 대한 접근 기록(누가·언제·어떤 데이터를·어떻게)은 법적 요구이기도 합니다. 각 기록에는 시각·행위자(계정)·대상·결과·출발지(IP)가 있어야 나중에 사람 이야기가 됩니다.2. 얼마나 남기나보안·감사 로그는 1년 이상을 기본으로 보는 경우가 많고, 법령이나 인증 기준에 따라 더 길게 요구되기도 합니다(개인정보 접근 기록 등은 해당 고시를 확인). 애플리케.. 2026. 7. 27. 접근 권한 검토(Access Review) 분기 운영 절차 — 누가, 무엇을, 왜 가지고 있는가 접근 권한은 늘어나기만 합니다. 부서를 옮겨도 예전 권한이 남고, 프로젝트가 끝나도 시스템 계정은 살아 있고, 급하게 받은 관리자 권한은 돌려주는 사람이 없습니다. 그래서 주기적으로 "이 권한이 아직 필요한가"를 묻는 절차가 필요하고, 이것이 접근 권한 검토입니다. 인증 통제 항목이기도 하지만, 실제 사고(퇴직자 계정·과다 권한)를 줄이는 효과가 가장 분명한 운영 활동이기도 합니다.1. 무엇을 검토하나 — 계정 × 권한 목록시스템마다 '누가 어떤 권한을 가졌는가'를 표로 뽑습니다. 사람 계정만이 아니라 서비스 계정·공용 계정·외주 계정도 포함합니다. 처음에는 핵심 시스템(인사·재무·고객정보·운영 서버·클라우드 콘솔)부터 시작하고, 범위를 분기마다 넓히는 편이 현실적입니다.2. 누가 검토하나 — 권한을 쓰.. 2026. 6. 13. 이전 1 2 3 4 ··· 89 다음 728x90 728x90
