로그무결성3 728x90 로그 관리 기본 — 무엇을 얼마나 남기고, 어디에 모으고, 누가 언제 보나 사고가 났을 때 가장 먼저 찾는 것이 로그인데, 그때서야 '그 로그는 안 남기고 있었다' 거나 '2주 전 건 이미 지워졌다' 는 것을 알게 되는 경우가 많습니다. 로그 관리는 도구보다 무엇을·얼마나·어디에·누가 보나 네 가지를 정하는 일입니다.1. 무엇을 남기나모든 것을 남기면 아무것도 못 봅니다. 위 다섯 묶음이 기준이고, 특히 개인정보·중요 데이터에 대한 접근 기록(누가·언제·어떤 데이터를·어떻게)은 법적 요구이기도 합니다. 각 기록에는 시각·행위자(계정)·대상·결과·출발지(IP)가 있어야 나중에 사람 이야기가 됩니다.2. 얼마나 남기나보안·감사 로그는 1년 이상을 기본으로 보는 경우가 많고, 법령이나 인증 기준에 따라 더 길게 요구되기도 합니다(개인정보 접근 기록 등은 해당 고시를 확인). 애플리케.. 2026. 7. 27. 외부 위탁업체 도입 시 필수 보안 검토 핵심 요건 및 통제 기준 체크리스트 전체 구조(왜 이렇게 점검해야 하나)위탁은 “업무를 맡기는 것”이 아니라 권한·데이터·로그·운영 결정권 일부를 외부에 열어주는 것입니다.따라서 위탁 보안은 기술만 보면 실패합니다.✅ 위탁 보안의 핵심 4원칙1️⃣ 책임 불변: 사고 책임은 위탁사(우리)로 귀결2️⃣ 통제 분리: 운영을 맡겨도 보안 통제권은 내부가 보유3️⃣ 추적 가능: “누가/언제/무엇을” 했는지 증적이 남아야 함4️⃣ 최소 노출: 데이터/권한/시스템 노출을 업무 최소 단위로 제한위탁 유형별 리스크 차이(적용 범위 정리)위탁 유형핵심 리스크최우선 통제CS/콜센터개인정보 유출, 본인확인 미흡마스킹/반출통제/녹취·조회 로그인프라/IDC 운영관리자 권한 오남용, 계정 회수Jump/PAM/MFA/세션기록클라우드 MSP콘솔 권한 과다, 설정 변경I.. 2026. 1. 3. 개인정보보호법 및 안전성 확보조치 기준에 따른 어드민·DB 접속기록 관리 개인정보보호법(PIPA) + 시행령 + 「개인정보의 안전성 확보조치 기준」(PIPC 고시) 관점에서, 개인정보처리시스템 로그를 “어디까지/어떻게” 남겨야 감사에 견딜 수 있는지를 정리한 가이드입니다.법에서 요구하는 “로그”의 핵심 취지결론부터 말씀드리면, 법이 원하는 건 “SQL 원문을 다 남겨라”가 아니라 “누가(계정), 언제(시간), 어디서(IP/단말), 무엇을(조회/수정/삭제/다운로드), 누구의 개인정보를(대상 식별), 어떤 결과로(성공/실패) 처리했는지”를 사후에 입증 가능하게 하라는 것입니다.개인정보보호법 제29조는 안전조치 의무에 ‘접속기록 보관 등’을 명시합니다.시행령은 제29조를 구체화해 개인정보처리자가 취해야 할 안전조치(내부관리계획, 접근권한 관리 등)를 열거합니다.“개인정보처리시스템”.. 2025. 12. 17. 이전 1 다음 728x90 728x90
