클라우드 서비스 보안실증 사례집

클라우드 서비스 보안실증 사례집

■ 지원 사업 개요

○ 목적

클라우드 규제 개건과 관련된 분야(의료, 금융, 교육 등)에 대한 보안실증(클라우드 구축 지원, 안전성 검증 등)을 통해 안전한 클라우드 서비스 도입 사례 발굴

○ 클라우드 보안실증 사례 (2016~2018)

ⓐ 클라우드 기반 의료 개인정보보호 서비스
ⓑ 클라우드 기반 은행권 CMS
ⓒ 클라우드 기반 개인 의료정보 공유 포털
ⓓ 클라우드 기반 통합 의료정보서비스
ⓔ 클라우드 기반 통합 병원정보시스템 서비스
ⓕ 보험대리점의 금융 상담용 개인재무관리(PFMS)
ⓖ 비대면 대화형 전자청약 클라우드 서비스
ⓗ 보험대리점 ERP 보안 클라우드 서비스
ⓘ 원격교육용 온라인평가 클라우드 서비스
ⓙ 클라우드 기반 P2P 결제를 위한 인증 서비스
ⓚ 클라우드 기반의 의료정보 보안 서비스

☞ 첨부파일 :
. 클라우드서비스보안실증사례집(2018)
. 클라우드서비스보안실증사례집(2017)
(출처 : 한국인터넷진흥원)

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

한글 문서를 이용하는 악성코드 프로파일링

 뉴딜코리아 홈페이지

한글 문서를 이용하는 악성코드 프로파일링

2018 사이버 위협 인텔리전스 보고서 (금융보안원)

  CAMPAIGN

  DOKKAEBI
  Documents of Korean and Evil Binary


01 머리글

한글 워드프로세서 파일(Hangul Word Processor, HWP)을 이용하는 악성코드는 우리나라에서 주로 발견되고 있는 특징을 갖는 위협적인 공격 방법 중의 하나이다.

이 공격 방법이 효과적인 이유는 한글 워드프로세서가 주로 한국에서만 사용되고, 한국 정부기관에서 주요 공공문서를 한글 워드프로세서 파일(이하 한글문서)로 작성하고 있으며, 이러한 이유로 인해 국내의 수많은 민간 기업에서도 한글 워드프로세서를 이용하고 있는 등 우리나라의 특수한 환경 때문이다.


한글을 이용한 문서 편집기는 1982년 당시 고등학생이었던 박현철씨에 의해 개발된 애플 2 플러스에서 동작한 “한글 워드프로세서 버전 1.0”이 최초인 것으로 알려져 있으며, 이후 1985년 삼보에서 제작한 IBM PC용 한글 워드프로세서인 “보석글", 1987년 한글화하여 발매되었던 미국 팔란티어 소프트웨어사의 “팔란티어워드프로세서" 그리고 한글 워드프로세서 1.0 정식버전(1989년 4월) 출시 전까지 가장 많이 사용되었던 하나워드(금성소프트웨어 주식회사 개발, 1988년)까지 한글 워드프로세서의 역사는 오래되었다.


따라서, 한글 워드프로세서를 악용한 악성코드(이하 악성 한글문서) 역시 오래 되었으며, 주로 한글 워드프로세서를 활발하게 이용하고 있는 정부기관 및 기업을 대상으로 APT 공격에 활용됨에 따라 국내 보안업체 뿐만 아니라 글로벌 보안업체에서도 관심을 갖고 관련 분석 보고서를 공개하고 있다.


하지만 기존에 공개된 악성 한글문서를 분석한 보고서는 단일 샘플 또는 단일 사고에 대한 단편적인 분석 보고서인 경우가 많아, 악성 한글문서를 이용한 일련의 공격에 대한 전체적인 흐름 및 이해가 부족한 편이다.


이에 금융보안원은 다수의 위협그룹이 다양한 악성 한글문서를 이용해 수행한 공격들에 대한 종합적인 분석과 프로파일링을 통해 현재까지 사용된 각 위협그룹의 악성코드 유포 및 추가 악성코드 생성 방식, 사용한 취약점 등을 도출하여 그 결과를 본 보고서에 기술하였다. 단, 내용의 일부는 사실관계가 명확히 확인되지 않은 것과 정황에 따른 추정도 포함되어 있다


02 개요

침해사고 및 악성코드를 분석하면서 공격자, 제작자를 추적하는 일은 쉽지 않다.

특히 자신을 철저하게 은닉하며 공격하는 사이버테러의 경우에는 더욱 그러하다. 때문에 분석가들은 침해사고 전반에 걸친 TTP(Tactics,Techniques and Procedures)를 분석하여 공격자(그룹)를 프로파일링 한다.


이러한 프로파일링 결과는 새롭게 발생하는 침해사고 및 악성코드를 분석할 때 공격 예상 시나리오나 은닉 기법 파악 등에 도움이 된다.

또한, 공격대상이나 공격목표 등을 예측하여 대비태세를 점검하고, 피해를 예방하여 선제적 대응이 가능하게 한다.


금융보안원은 2015년부터 2018년 상반기까지 알려진1) 악성 한글문서들에 대한 분석을 진행하여 특징점을 분류하고, 이에 따른 연관성 분석 결과와 변화 추이를 살펴보았다.

다양한 악성 한글문서에 대한 연관성 분석 결과, 사이버 공격에 한글문서를 이용한 위협그룹은 크게 블루노로프(Bluenoroff), 김수키(Kimsuky), 스카크러프트(Scarcruft) 3개의 위협그룹으로 구분된다.

각 그룹별로 사용하는 악성 한글문서의 특징 및 추가 생성되는 악성코드는 차이가 있지만, 각 위협그룹의 활동 배경, 목적 그리고 공격 방식상의 유사성을 분석한 결과, 일련의 연속된 침해사고로 판단하여 이를 “Campaign DOKKAEBI: Documents of Korean and Evil Binary” 라는 이름으로 종합 보고서를 작성하였다.

위협그룹이나 침해사고 분석보고서를 공개할 때 코드명을 사용하는 것을 자주 접할 수 있다.

보통 군사작전에서 정보유출에 대비하거나 작전에 의미를 부여, 혹은 단순히 부르기 쉽도록 부여 하던 전통에서 이어진 것으로, 특히, 사이버테러(전쟁)와 관련된 분석결과에 코드명을 부여한다.

비슷하게 하나의 침해사고를 오퍼레이션(작전), 일련의 연속된 침해사고를 캠페인으로 부른다.


이 보고서에서는 악성 한글문서의 악성코드 특징을 추출하고 이를 통한 연관성 분석 결과 등을 담고 있다.
단, 오퍼레이션은 자세한 사항이 알려지지 않아 여러 경로에서 수집한 악성코드 샘플을 토대로 정황을 파악하였고, 또한 현재 수사가 진행중인 사례의 경우도 부분적인 내용만을 포함하고 있다

. 블루노로프 (Bluenoroff) 그룹
. 김수키 (Kimsuky) 그룹
. 스카크러프트 (Scarcruft) 그룹


☞ 추가 내용은 첨부파일(링크)을 참고(Click) 하세요..!

 

금융분야 마이데이터 산업 도입방안

 뉴딜코리아 홈페이지 

금융분야 마이데이터 산업 도입방안

□ 금융분야 마이데이터 도입방안은 ‘금융분야 데이터활용 및 정보보호 종합방안’의 세부추진방안 으로 마련

 - 은행·카드･통신회사에 흩어져 있는 나의 신용정보를 한 번에 쉽게 조회하도록 하고, 신용관리까지 도와주는 ‘내 손안의 금융비서’가 생깁니다.

 - 신용점수･등급 등의 관리뿐 아니라 금융상품의 선택과 자산관리 등에 어려움을 겪는 국민들께도 데이터 기반의 맞춤형 서비스가 제공됩니다.

 - 금년 하반기 중 「신용정보법」 개정 등을 속도감 있게 추진하여, 금융소비자 중심의 혁신성장의 혜택을 하루빨리 체감하실 수 있도록 하겠습니다.

□ 금융분야 마이데이터 산업 도입방안

ㅇ 금융분야 마이데이터 산업에 관한 법률상 규율체계를 도입하여 개인의 정보･소비자주권 실현을 지원하는 독자적 산업으로 육성

  - 현행 신용조회업(Credit Bureau)과 명확한 구분 등을 통해, 금융분야 데이터산업에서의 경쟁과 혁신을 촉진 

  - 소비자의 신용관리․자산관리 및 자기정보통제권 행사 등을 적극 지원할 수 있도록 다양한 부수․겸영업무를 허용

ㅇ 자본금 요건, 금융권 출자의무 등 진입장벽은 최소화하여 금융분야에 창의적인 Player들의 진입을 다양하게 유도

  - 다만, 초기 단계부터 건전한 산업생태계가 조성될 수 있도록* ‘허가제’를 도입․운영

     * 데이터 기반 핀테크 생태계의 조성, 금융상품의 제조･판매와 자문･추천 간의 이해상충, 대형사 정보독점 가능성 등을 종합적으로 고려

ㅇ 정보주체의 주도 하에 정보보호･보안 등의 측면에서 안정적으로 서비스가 제공될 수 있도록 제도적･기술적 여건 마련

  - 정보주체가 본인정보를 능동적･적극적으로 활용할 수 있도록 ‘개인신용정보 이동권*’ 도입(금융회사→마이데이터 사업자)

     * 유럽연합 일반개인정보보호법(GDPR)에서 새로이 도입된 정보주권인‘Right to Data Portability’를 신용정보법 체계에 맞추어 국내에 수용

  - 금융회사-사업자 간 안전하고 신뢰할 수 있는 방식(표준API)의 정보제공을 통해 개인정보의 오‧남용 가능성을 차단

  - 강력한 본인인증 절차, 사업자의 정보활용·관리실태에 대한 상시감독체계 구축 등을 통해 정보보호･보안에 만전

※ 자세한 내용은 첨부파일을 참고하시기 바랍니다.

컨설팅(ISMS, ISO27001, GDPR, PCIDSS)

취약점 진단 및 모의 침투

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

 

중소형 금융회사 보안수준 진단 가이드

 뉴딜코리아 홈페이지

중소형 금융회사 보안수준 진단 가이드

금융보안연구원, 2014)

본 가이드는 중소형 금융회사를 위한 보안수준 진단 방법론 및 절차, 통계도구 사용법 등을 포함하고 있으며, 진단항목 중 자사에 적용할 수 없는 항목들은 진단 시 제외할 수 있습니다.

본 가이드는 중소형 금융회사에 적합한 보안수준 진단항목과 각 진단항목을 쉽게 이해할 수 있는 진단항목별 상세 해설을 포함하고 있습니다.
 
또한 사용자 편의성을 높이고 진단결과가 지속적으로 유지 관리될 수 있도록 보안수준 진단 절차의 전 과정을 자동화하고 다양한 통계차트를 적용한 시각적인 결과분석이 가능하도록 별도의 통계도구를 개발하여 함께 제공합니다.

첨부파일 : 중소형 금융회사 보안수준 진단 가이드

비중요 정보처리시스템 지정 관련 FAQ

비중요 정보처리시스템 지정 관련 FAQ

본 FAQ는 「전자금융감독규정」에 따른 비중요 정보처리시스템 지정을 하고자 하는 금융회사 및 전자금융업자의 업무 편의를 제고 하기 위함임


1. 전자금융거래를 하지 않는 금융회사의 경우 비중요 정보처리시스템 지정 관련 규정의 적용을 받지 아니하는지?

2. 전자금융거래와 관계없는 정보처리시스템의 경우 망분리 예외 등의 적용을 받기 위해 비중요 정보처리시스템으로 지정할 필요가 있는지?

3. 비중요 정보처리시스템으로 지정할 수 없는 시스템의 범위는?

4. 고유식별정보 또는 개인신용정보에 해쉬함수를 적용하여 일방향 암호화한다면 해당 정보를 처리하는 시스템을 비중요 정보처리 시스템으로 지정할 수 있는지?

5. 클라우드 컴퓨팅 서비스를 이용하기 위해서 반드시 비중요 정보처리 시스템을 지정하여 금융감독원장에게 보고하여야 하는지?

6. 고유식별정보 또는 개인신용정보가 포함되지 않은 개인정보의 처리를 위하여 해당 시스템을 비중요 정보처리시스템으로 지정할 수 있는지?

7. 비중요 정보처리시스템으로 지정하여 클라우드 컴퓨팅 서비스를 이용할 경우 반드시 「금융회사의 정보처리 업무 위탁에 관한 규정」에 따라 정보처리 업무 위탁 보고를 하여야 하는지?

8. 비중요 정보처리시스템 지정을 위해 정보보호위원회의 심의·의결을 거친 경우 심의·의결일로부터 7일 이내 금융감독원에 보고하여야 하는지?

9. 회사 직원들의 인사관련 정보(연락처, 직급, 업무 등)만 처리하는 경우 별도의 비식별화 조치 없이 비중요 정보처리시스템의 지정이 가능한지?

10. 비정형 데이터를 처리하는 정보처리시스템을 비중요 정보처리 시스템으로 지정할 수 있는지?

11. 비중요 정보처리시스템의 기획/설계 단계에서도 관련절차를 거쳐 비중요 정보처리시스템 지정보고가 가능한지?

12. 비중요 정보처리시스템 지정결과 보고 후 구현된 비중요 정보 처리시스템을 제3자에게 위탁하지 않고 내부 전산망에 두어도 문제가 없는지?

13. 금융감독원에 비중요 정보처리시스템 지정 보고 이후 별도의 적합성 등에 대한 승인이 필요한지?

14. 비중요 정보처리시스템 지정 보고 이후 금융감독원장의 개선· 보완 요구 등은 언제까지 이루어지는지?

15. 비중요 정보처리시스템 지정과 관련 ’전자금융거래에 안전성 및 신뢰성에 미치는 영향이 현저히 낮다‘는 의미는 무엇인지?

16. 비중요 정보처리시스템 지정결과 보고서 제출 시 주의할 사항은?


[첨부파일] 비중요 정보처리시스템 지정 관련 FAQ


[참고]
○ 비중요 정보처리시스템 지정 관련 규정 및 시행세칙
   - 전자금융감독규정 : 제14조의2(비중요 정보처리시스템 지정)
   - 전자금융감독규정 시행세칙 : 제2조의3 (비중요 정보처리시스템의 보고)
      http://www.law.go.kr/LSW/main.html

   - 금융권 클라우드 서비스 이용 가이드
        http://cafe.naver.com/rapid7/2676

ISMS 인증컨설팅 | 취약점 진단 및 모의 침투 | 보안솔루션 공급
(070-7867-3721, ismsbok@gmail.com)

블록체인 기술과 보안 고려사항

 뉴딜코리아 홈페이지

블록체인 기술과 보안 고려사항

1. 개요

▷ EU 산하 정보보호기구인 ENISA*는 최근 발표한 보고서1)를 통해 금융권에서 블록체인 시스템 도입 시 고려해야할 보안 이슈(Cybersecurity challenges)와 보안 강화방안을 제시

* ENISA(European Union Agency For Network and Information Security)
- EU 국가 및 기업과 함께 정보보안 관련 정보 수집/분석 및 컨설팅 등의 역할을 수행하며, 네트워크 및 정보 보안 강화를 위한 보고서 및 권고안 등을 발표

▷ 본 보고서에서는 ENISA 보고서의 내용을 중심으로 금융권에서 안전한 블록체인 시스템 도입을 위해 참고 가능한 보안 위협과 이에 대한 대응방안을 제시

2. 금융권 블록체인 도입 시 보안위협
 o 키 도난 및 분실
 o 취약한 키 생성
 o 합의 가로채기
 o 사이드 체인 내 비정상
 o 거래 발생
 o 개인정보 침해
 o 권한 오남용
 o 블록체인 S/W 취약점
 o 스마트 컨트랙트 취약점
 o 분산 서비스 거부 공격
 o 가용성 저하
 o 비정상거래 탐지 불가
 o 상호운용성 미제공


3. 보안 대응방안

▷ 금융권에서 블록체인 도입 시 고려가 필요한 보안위협에 대한 대응방안을 제시
(1) 키 관리
(2) 거래 검증 및 합의
(3) 참여자 권한관리
(4) 블록체인 S/W 보안
(5) 서비스 보안


4. 향후 과제

▷ (추가 보안 고려사항 검토) 블록체인 서비스 개발 및 보안기능 추가에 따라 발생 가능한 보안위협 등 고려사항을 지속적으로 검토

▷ (최신 연구동향 검토) 블록체인의 보안위협에 대한 대응방안 등 관련 보안기술에 대한 신규 개발 및 개선이 계속될 것으로 예상되므로 최신 보안기술 연구동향을 지속 검토할 필요

▷ (평가기준 마련) 제시한 보안 위협 및 대응방안을 기반으로 금융권 블록체인 시스템에 대한 평가항목을 도출하고 제공될 서비스의 중요성 등을 고려하여 세부 평가기준을 개발


■ 상세 내용은 첨부파일을 참고 하세요 ...(출처 : 금융보안원)

뉴딜코리아 컨설팅사업부 (070-7867-3721, ismsbok@gmail.com)

정보보호 관리체계(ISMS) 인증제도 설명회 발표자료 (2017. 04)

출처 : 뉴딜코리아 홈페이지

정보보호 관리체계(ISMS) 인증제도 설명회 발표자료

2017년 4월 27일 개최한 정보보호 관리체계(ISMS) 인증제도 설명회 발표자료를 게시합니다.
​
첨부파일 : 정보보호_관리체계(ISMS)_인증제도_설명회_발표자료

​

​

감사합니다. ( 뉴딜코리아 컨설팅 사업부)

​

ISMS 인증기준 점검항목 (금융분야 ,2017-03-02)

 뉴딜코리아 홈페이지 

금융분야 ISMS 인증기준 점검항목 공개 (2017-03-02)

■ 금융보원은 금융보안 관련 규정 및 표준을 참고하여 금융 분야 특성을 반영한 정보보호관리체계(ISMS) 인증기준 점검항목을 개발해'금융 ISMS 인증기준(점검항목) 전문(324개 점검항목)’을 제시했다.

*참고규정 및 표준* - 금융보안 관련 규정 : 전자금융감독규정, 신용정보업감독규정, 주요정보통신기반시설 취약점 분석 평가 기준, 개인정보의 안전성 확보조치 기준 등 - 정보보호 관련 표준 : 금융전산표준지침, ISO 27001(2013), PCI-DSS(V 3.1)

■ 적용목적
 ㅇ 금융분야 ISMS 인증 신청, 취득기관의 정보보호 역량 강화 및 컴플라이언스 수준 제고
 ㅇ 정보통신(IT) 분야에 초점이 맞춰진 기존 ISMS 점검항목에서 1개 항목을 삭제, 72개 항목을 추가,
     총 324개 점검항목으로 구성)


■  적용시기
 ㅇ 2017년부터 원칙 적용(다만, 금융회사 사정에 따라 자율 선택 가능)
 ㅇ 2018년부터 전면 적용


■ 금융보안원 김영태 보안인증팀장은 “금융 분야 특성으로 인해 기존 점검항목을 그대로 적용하면 인증심사원과 신청기관 간 관점 차이가 발생하곤 했다”면서 “금융 분야 ISMS 점검항목이 일관성 있는 제도 운영에 도움을 줄 것으로 기대한다”고 말했다.

■ 첨부파일 : [금융보안원] 금융 ISMS 인증기준(점검항목) 전문 (324개 점검항목)

금융분야 개인정보보호 가이드라인 개정 (2016년 12월)

금융분야 개인정보보호 가이드라인 개정 (2016년 12월)

  뉴딜코리아 홈페이지

1. 추진배경

금융위원회와 금융감독원은 금융회사의 개인정보 보호업무를 지원하고, 「신용정보의 이용 및 보호에 관한 법률」(이하 신용정보법) 및 「개인정보 보호법」 등 개인정보보호 관련 법률에 따른 명확한 업무 처리기준을 제시하기 위하여 「금융분야 개인정보보호 가이드라인」을 발간(2013년 7월)하고 지속적으로 지도하여 왔습니다.

 이후 금융회사의 개인정보 유출사고 재발방지를 위해 한층 강화된 신용정보법이 개정·시행되어 개인신용정보 동의방식 개선, 개인신용정보 보유기간 제한 등 다양한 제도가 새로이 도입ㆍ운영되었습니다.

 이러한 제도변화 이행의 혼선을 줄이기 위해 금융감독원 및 8개 금융협회가 실무전담반*을 구성․운영하여  가이드라인 개정안을 마련하였으며 금융위원회, 행정자치부와 협의하여 최종안을 확정하였습니다.

* 은행ㆍ여신ㆍ금투협회, 생보ㆍ손보협회, 저축은행중앙회, 신용정보ㆍ대부협회

2. 주요 개정내용

(1) 2014년 이후 개인정보보호 관련 법령 개정사항 반영

(신용정보법) 개인신용정보의 수집ㆍ제공시 필수와 선택 동의사항을 구분하여 설명한 후 동의 받도록 하는 동의방식 개선 등이 포함되어 있습니다.

(개인정보보호법) 주민등록번호를 처리하려면 적법한 근거 법률 및 시행령이 있어야 하며 보관시에는 암호화 등을 통한 안전한 보관 등을 목표로 하였습니다.

(2) 개인(신용)정보 보호업무 기준 명확화 및 판례ㆍ사례 제공

(법률적용) 개인정보보호 관련 법률 간의 적용관계를 명확히 하고, 개인정보 처리단계별 준수해야 할 규정 등을 비교하여 제시하였습니다.

(판례ㆍ해석) 업무 담당자가 실무에 참고할 수 있도록 관련 판례, 유권해석 및 해설서 내용* 등을 수록하였습니다.

* 개인신용정보 정의 관련 판례 및 개인정보의 안전성 확보조치 기준 해설서 Q&A 등

(세부기준) 금융회사의 업무특성을 감안하여 개인신용정보의 수집‧이용‧제공‧삭제 등의 이행방법에 대해 구체적인 사례를 통하여 세부기준을 제공합니다.

​

3) 금융권 개인(신용)정보보호 관련 질의사항 반영

그간 금융회사가 개인(신용)정보 보호업무와 관련하여 문의가 많았던 사항을 정리하여 Q&A를 수록(총 82개)하였습니다.

3. 향후 추진계획 및 기대효과

개정된 「금융분야 개인정보보호 가이드라인」을 배포*(2017년 2월)하여 금융회사의 개인정보 관련 법률 이해도를 제고하고 자체적으로 법률을 준수하도록 안내ㆍ지도함으로써 금융소비자의 개인정보가 안전하게 수집ㆍ처리ㆍ관리될 수 있는 신뢰감 있는 금융거래 환경을 마련할 것입니다.

* 각 업권별 협회를 통하여 인쇄책자를 배포하고 금융감독원 홈페이지에도 전자파일을 게시

향후 동 가이드라인에 법령 개정사항 등을 지속적으로 반영하여 금융회사가 개인(신용)정보보호를 위해 준수해야 할 제도 등을 안내할 예정입니다.

​


[첨부] : 금융분야 개인정보보호 가이드라인 개정 (2016년 12월) 

빅데이터 활성화 위한 비식별 개인정보 활용 요건 구체화해야 (국가인권위원회)

 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2679​

인권위, 빅데이터 활성화 위한 비식별 개인정보 활용 요건 구체화해야
‘신용정보법 개정안’, 개인정보 비식별 조치의 개념과 구체적 절차 정하고
비식별 정보에 대한 안전성 확보, 재식별 방지 방안 등 담아야

o 국가인권위원회(위원장 이성호)는 금융․신용 분야 빅데이터 산업 활성화를 고려한 ｢신용정보의 이용 및 보호에 관한 법률 일부 개정 법률안(이하 ‘신용정보법 개정안’)｣ 이 ｢헌법｣이 보장하는 개인정보 자기결정권을 침해할 우려가 있다고 보고, 이를 보완해야 한다는 의견을 표명하였다.

o 인권위는 금융위원장에게 ｢신용정보법 개정안｣에 비식별 조치의 개념 및 구체적 절차를 규정하고, 비식별 정보를 목적 외로 이용하거나 제공할 수 있는 요건을 제한하며, 비식별 정보를 제공받는 ‘제3자’의 범위를 금융․신용 분야로 한정하고, 재식별 방지를 위한 조치 및 비식별 정보에 대한 안전성 확보 방안 등을 보완하는 것이 바람직하다는 의견을 표명하였다.

o 최근 기업이나 공공기관 등은 새로운 상품이나 서비스의 개발․개선, 마케팅, 정책 수립 등을 위해 빅데이터를 적극 활용하는 추세이다. 그러나 빅데이터 처리과정에서 정보주체 개인의 동의없이도 개인정보를 수집하거나 이용할 수 있다.

o 이 과정에서 개인정보 침해 우려를 줄이기 위해 개인을 식별할 수 없도록 가명을 쓰는 등 정보의 일부를 가공하여 활용하는 ‘개인정보 비식별 조치’가 대안으로 제시되고 있다.

o 2016. 4. 금융위원회가 입법예고한 ｢신용정보법 개정안｣은 특정 개인을 식별할 수 없도록 처리한 개인정보를 정보주체 동의없이 이용, 제3자에게 제공할 수 있어 비식별 조치를 적용하기만 하면 빅데이터 활용 등 개인정보를 당초 수집 및 이용 목적 외로 활용하거나 제3자에게 제공할 수 있도록 하고 있다.

o 그러나 비식별 조치를 했더라도 비식별 조치의 방법, 수준에 따라 특정 개인이 재식별할 위험성이 여전히 남아 있어 정보주체를 식별할 수 있는 가능성이 완전히 제거되었다고 보기는 어렵다.

o 이에 인권위는 빅데이터의 활용을 통한 편익 증진과 개인정보 보호의 조화가 적절히 이루어질 수 있도록 의견을 표명한 것이다.

※ 붙임 : 1) 결정문 1부.2) 신용정보법 개정안 1부. 끝.

​

금융권 개인정보 비식별 조치 발표자료

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2647

금융권 개인정보 비식별 조치 발표자료

2016년 9월 9일 진행되었던 금융권 개인정보 비식별 조치 세미나 발표자료를 공지하였으니 업무하실 때 참고하여 주시기 바랍니다.

발표자료 : http://cafe.naver.com/rapid7/2647

주최,주관 : 한국신용정보원, 금융보안원
후       원 : 금융위원회, 금융감독원

비식별전문기관 : 뉴딜코리아

금융분야 주민등록번호 수집·이용 가이드라인

 뉴딜코리아 홈페이지 | 뉴딜코리아

http://cafe.naver.com/rapid7/2584

  

금융분야 주민등록번호 수집·이용 가이드라인

<목   차> 
Ⅰ. 가이드라인 개요   1. 가이드라인 마련 배경
   2. 금융분야 주민번호 처리 근거

Ⅱ. 주민번호 처리 기준   1. 주민번호 수집·이용이 의무인 경우
   2. 주민번호 수집·이용이 허용되는 경우
   3. 주민번호 수집·이용이 불가능한 경우
   4. 주민번호 수집·이용 최소화

Ⅲ. 주민번호 처리 사례   1. 업무주체별 주민번호 처리 사례
   2. 금융업권별 주민번호 처리 사례(Q&A)

Ⅳ. 금융분야 주민번호 처리 근거 법령   (참고) 관계법령


첨부 : 금융분야 주민등록번호 수집·이용 가이드라인

블록체인 기술 개념 및 적용 현황

블록체인 기술 개념 및 적용 현황

블록체인 기술은 P2P 네트워크를 이용하여 거래내역을 분산.저장함으로써 서버 설치 및 운영에 따르는 전산비용을 낮추면서도 보안을 강화할 수 있는 이상적인 기술이다.

기존 클라이언트-서버 구조에서는 서비스를 제공하기 위해 서버를 설치.운영하여 사용자가 늘어날수록 서버 및 네트워크 용량을 늘려야 하기 때문에 확장성에 따른 비용 증가의 문제가 있다.

블록체인을 이용한 분산 네트워크 구조에서는 이러한 문제가 발생하지 않는다는 것이 가장 큰 장점으로 부각되고 있다.
​

본 고에서는 블록체인 기술의 개념을 정리하고, 기술의 동향과 흐름을 파악하여 향후 다양한 적용 분야 중 특히 보안 분야에 적용이 가능하다는 것을 시사점으로 도출하였다 

첨부파일 : 블록체인 기술 개념 및 적용 현황

진화하는 신종 보이스피싱을 주의하세요 ! (금융감독원)

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2406

​

진화하는 신종 보이스피싱을 주의하세요 !

금융질서문란행위자 해제를 빙자한 금전 요구 등

◈ 신종 보이스피싱 사례(‘16.1/4분기)

□ 금융당국의 제도개선 내용을 범죄에 악이용
❶ “금융질서문란행위자”로 등록되었다며 이를 해제하기 위해서 금전 입금을 요구
❷ “민생침해 5대 금융악을 척결하기 위한 특별대책” 문구를 사용해 파밍을 시도

□ 대포통장 확보 및 자금인출이 어려워지자 구직자를 기만, 구직자로 하여금 자금인출을 유도
❸ 자동차딜러 취업을 빙자, 자동차 구매대금이 입금된 것으로 속여 피해금 인출 유도
❹ 쇼핑몰 취업을 빙자, 환불업무를 담당하는 것으로 속여 피해금 이체 유도

□ 저금리로 정부지원자금 대출을 받게 해준다며 고금리대출을 받게 하고 이를 편취
❺ 고금리대출을 받은 후 납입증명서를 발급해준다는 명목으로 대출금을 편취
❻ 고금리대출을 받아 신용도를 떨어뜨린 후 저금리대출로 대환한다며 대출금을 편취

⇒ 보이스피싱 수법은 나날이 진화하고 있으니, 의심스러운 경우 금감원(☎1332)으로 문의


1. 신종 보이스피싱 출현 배경

(1) ‘그놈 목소리 공개’ 이후 정부기관을 사칭하며 금전을 편취하는 유형의 보이스피싱에 대한 금융소비자의 면역력이 강화

(2) 대포통장 근절 대책 및 처벌 강화로 대포통장 확보가 점점 어려워짐에 따라 사기범의 대포통장 이용수법도 갈수록 지능화됨

(3) 대출사기도 신용등급을 상승시켜 기존 대출을 저금리 대출로 전환해준다는 방식에서 벗어나 다양한 방식으로 진화

2. 신종 보이스피싱 유형 (<붙임1> 신종 보이스피싱 사례)

□ 금융당국의 최근 제도 개선 내용을 범죄에 역이용하는 등 금융사기 수법이 갈수록 지능화 되고 있음


◦ 신용정보 과다조회로 인해 금융질서문란행위자로 등록되어 금융거래가 정지된다고 기만하면서 해제 비용을 요구하는 사례 발생

- ‘16.3.12.부터 대포통장을 거래하거나 대출사기를 저지른 자 등은 금융질서문란행위자로 등록, 최장 12년간 금융거래시 불이익을 받게 되는 제도개선 내용을 범죄에 인용


* <붙임2> 금융질서문란행위자(‘16.3.10. 보도참고자료) - 첨부파일


◦ 네이버 등 포털사이트에 접속하면 금융감독원을 사칭, “민생침해 5대 금융악을 척결하기 위한 특별대책” 문구를 사용하는 팝업을 띄워 파밍(Pharming)* 사기를 유도

* 이메일 등을 통해 이용자의 PC를 악성코드에 감염시키고 가짜 사이트로 연결되게 하여 이를 통해 개인정보나 금융거래정보 등을 탈취하는 수법

□ 대포통장 확보가 어려워지고, 지연인출제도 등으로 자금 인출이 어려워지자, 구직자를 기만하여 구직자로 하여금 자금인출 등을 유도
◦ A씨(구직자)에게 자동차딜러 취업을 빙자, 회사가 차량 구매 자금을 전액 지급하니 본인 명의로 차량을 구매한 후 회사 명의로 이전하면 수당을 지급한다고 속이고 구직자의 통장으로 피해금 입금을 요구

- 차량 구매 자금으로 오인한 A씨는 이를 인출하여 사기범에게 전달하였고, 피해자의 신고로 인하여 대포통장 명의인으로 등록

◦ B씨(구직자)에게 쇼핑몰 취업을 빙자, 환불업무를 담당하니 B씨명의 계좌로 돈이 입금되면 환불을 요구하는 고객의 계좌로돈을 이체해주라고 기만

- 환불업무 처리를 해주는 것으로 오인한 B씨는 사기범이 지정한 계좌로 이체한 후 피해자의 신고로 인하여 대포통장명의인으로 등록
□ 저금리로 정부지원자금 대출을 받게 해준다며 대출금을 편취
◦ 저금리 대출을 받기 위해서는 고금리 대출기록이 있어야 한다며 대부업체 등에서 고금리 대출을 받게 한 후,

- 법무용 납입증명서*를 발급해준다는 명목으로 대출금을 사기범이 확보한 대포통장으로 입금하게 하여 이를 편취

* 고금리 대출을 받았고 대출금을 상환하였다는 증명서

◦ 자산관리공사에서 저금리로 대출을 받기 위해서는 우선 저축은행 및 대부업체에서 고금리 대출을 받아 신용도를 낮춘후 대환해야 한다며 고금리대출을 받게 한 후

- 대환대출을 빙자하여 대포통장으로 입금하게 하여 이를 편취


3. 금융소비자 당부 사항
□ 금융당국의 제도개선 내용에 대해서 올바른 이해가 필요
◦ 신용정보 조회만으로는 금융질서문란행위자로 등록되지 않으며,설령 등록된 경우라 하더라도 금전 지급을 통해 해제할 수 없음

◦ 포탈사이트에서 금감원 팝업창이 뜨는 경우는 파밍일 가능성이 높으니 악성코드 감염여부를 반드시 체크*할 것

* 한국인터넷진흥원(KISA)에서 운영하는 “KISA보호나라(http://www.boho.or.kr)”홈페이지에 접속하여 게시된 치료절차를 수행

□ 출처불명의 자금을 대신 인출․이체해주는 행위는 일절 금지
◦ 본인의 통장에서 자금을 대신 인출․이체해 준 사람도 범죄에 대한 인식 정도에 따라 형사처벌*을 받을 소지가 있음

* 전자금융거래법 및 형법(사기죄, 사기방조죄 등) 위반

◦ 또한 대포통장 명의인이 되어, “금융질서문란행위자”로 등록되면 각종 금융거래 제한으로 정상적인 사회생활이 곤란해질 수 있으니 각별한 유의 당부

- 신규 계좌 개설 거절, 인터넷뱅킹․ATM기 이용 등 비대면거래 제한, 신규대출 거절 및 신용카드 이용한도 축소 등

□ 정상적인 금융기관은 저금리대출을 받기 위해서 고금리 대출을 먼저 받으라고 요구하지 않으며,

◦ 대출금 상환시에는 해당 금융회사 계좌가 맞는지 여부를 확인할 것


□ 추가 자료는 첨부 파일을 참고하세요 ~ 뉴딜코리아 ~

☞ 출처 : http://www.fss.or.kr

2016 금융개혁과 정보보안 콘퍼런스

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2156

안녕하십니까
뉴딜코리아 서재균 입니다

2016 금융개혁과 정보보안 콘퍼런스 정보 공유 드립니다

시간이 허락되시면 참관하여 새로운 정보 확인  바랍니다

감사합니다

- 뉴딜코리아 -


사전등록 : http://www.dongabiz.com/infosec/