산업기밀유출과정보보안전문가활용방안 서울디지털대학교컴퓨터공학부류동주 mipv6sec@paran.com
목 차 I 침해사고및기업정보유출사례 II 기업의정보보안전문가의필요성 서울디지털대학교컴퓨터공학부정보보안특강 1
I 침해사고및기업정보유출사례 - 침해사고사례 -기업정보유출사례 - 정보보호피해현황 - 정보보호사건 / 사고, 누가일으키는가? - 국내대기업의유출사례 - 국내중소기업의유출사례 - 국내중소기업의피해현황 - 개인정보침해관련분석 서울디지털대학교컴퓨터공학부정보보안특강 2
침해사고사례 공격은전문가, 방어는아마추어? 공격자의수준방어자의수준 -최고의실력을가진용병고용 -주어진프로젝트하느라정신없는 -전문적인해킹전문가보안담당자 -보안교육몇번다녀온직원 VS. 서울디지털대학교컴퓨터공학부정보보안특강 3
기업정보및기술유출 적은내부에있다! 기업정보및기술유출 출처 : 파이낸셜뉴스 (2007.05.20) 서울디지털대학교컴퓨터공학부정보보안특강 4
정보보호피해현황 사람이가장취약하다! 해킹기법별 구성설정요류 (76%) 사람에의한실수 E-Mail 및악성프로그램에의한해킹 23% 버퍼오버플로우취약점정보수집 0% 28% S/W 보안오류 0% 악성프로그램 21% 기타 0% 구성설정오류 27% 구성설정오류 E-mail 관련악성프로그램취약점정보수집 S/W 보안오류버퍼오버플로우기타 E-mail 관련 21% 악성프로그램기타2% 0% 취약점정보수집 2% 구성설정오류 E-mail 관련악성프로그램취약점정보수집기타 구성설정오류 75% 2003 년 (~8 월 ) E-mail 관련 24% 2003 년 (~8 월 ) 2004 년 2005 년 서울디지털대학교컴퓨터공학부정보보안특강 5
정보보호피해현황 ( 계속 ) 기업을대상으로개인이공격한다. 해킹대상별 기업 (49%), 개인 (32%) 개인을통한기업해킹 기업 4% 대학 2% 비영리 1% 네트워크 0% 연구소 0% 기업대학비영리연구소네트워크기타 ( 개인 ) 연구소 0% 네트워크 8% 기타 ( 개인 ) 32% 기업 49% 기업대학비영리연구소네트워크기타 ( 개인 ) 기타 ( 개인 ) 93% 비영리 8% 대학 3% 2004 년 2005 년 서울디지털대학교컴퓨터공학부정보보안특강 6
정보보호사건 / 사고, 누가일으키는가? 내부 외부 75% 25% 위험도 파급도발생비율 인가자비인가자인가자비인가자 58% 17% 15% 10% 전문가전문가 비전문가비전문가 전문가전문가 비전문가비전문가 전문가전문가 비전문가비전문가 전문가전문가 비전문가비전문가 정보보호정책보완필요 내부의정보보호시스템정기점검필요 내부의사용자이상패턴진단필요 물리적정보보호체계필요 출입통제, 카드키, 경비체계도입 인증절차및접근제어강화 방화벽, 침입탐지시스템도입을통한정보보호강화 라우터등에서접근통제 서울디지털대학교컴퓨터공학부정보보안특강 7
정보보호사건 / 사고, 누가일으키는가? 출처 : 중소기업청 서울디지털대학교컴퓨터공학부정보보안특강 8
대우해양조선 국내대기업의유출사례 -1 선박제조기술유출 유출된기밀은선박 69 척의설계도관련파일 14 만 5 천개. 원유와자동차운반선같은대형선박이어서한척당설계도값이최소한 20 억원 총 1400 억원이상의피해예상 서울디지털대학교컴퓨터공학부정보보안특강 9
국내대기업의유출사례 -2 두산중공업핵심기술유출과정 - 2007 년 10 월 사장구모씨 상무김모씨, 두산重퇴사 올해구씨와김씨, STX 重에스카우트 두산담수화기술 STX컴퓨터로수차례옮김 입찰기술서류수정, 사우디사업참여추진 서울디지털대학교컴퓨터공학부정보보안특강 10
국내중소기업의유출사례 -1 사례 1 연매출 100 억원규모의한반도체장비제조업체 동남아시아출신의기술훈련생고용. 이회사는그중한직원이영어가능통하고기술에대한지식도많다고판단해연구소로배치하고 R&D 프로젝트에도참여시켰다. 그런데이직원은연구소에서연구가아닌기술유출에몰두했다. 핵심기술노하우를해외경쟁기업에넘긴것을안때는이미출국. 피해금액만 20 억원이넘었다. 서울디지털대학교컴퓨터공학부정보보안특강 11
국내중소기업의유출사례 -2 사례 2 연매출 60 억원규모의한모터드라이버제조업체 제품개발의뢰를받고시제품제작을마무리한후양산발주를기다렸다. 하지만주문회사에는어찌된영문인지연락이오지않았다. 이미샘플과도면을상대편회사에넘겨준게화근 개발된제품은이미중국에서양산되고있는중이었다. 피해규모 : 전년대비매출이 30% 이상떨어졌고 20 여명을구조조정 서울디지털대학교컴퓨터공학부정보보안특강 12
국내중소기업의피해금액 연구소를보유한중소기업 1200 곳을대상으로실시한조사에따르면응답기업의 17.8% 가최근 3 년간산업기밀유출로피해. 특히피해기업의 52.6% 는 2 번이상회사기밀이유출됐다고답했다. 피해금액은 '1 억원이상 ~5 억원미만 ' 이 37.1% 로가장많았고, 이어 '1 억원미만 '(36.2%), '10 억원이상 '(13.6%), '5 억원이상 ~10 억원미만 '(13.1%) 의순 서울디지털대학교컴퓨터공학부정보보안특강 13
국내중소기업의유출관련조사 피의자질의 ' 보안관리및감독체계허술 '(24.8%) ' 임직원들의보안의식부족 '(23.5%) ' 개인의재산상이익추구 '(14.3%) ' 회사의처우에대한불만 '(11.3%) ' 보안비용에대한투자곤란 '(10.1%) 출처 : 중소기업청 서울디지털대학교컴퓨터공학부정보보안특강 14
개인정보침해접수현황 참조 : 한국정보보호진흥원정보보호뉴스 7 월호 서울디지털대학교컴퓨터공학부정보보안특강 15
개인정보침해동향분석 참조 : 한국정보보호진흥원정보보호뉴스 7 월호 서울디지털대학교컴퓨터공학부정보보안특강 16
II 기업의정보보안전문가의필요성 - 보안전문가의정의 - 보안전문가의필요성 - 보안전문가의역할 - 국내현황 -결론 서울디지털대학교컴퓨터공학부정보보안특강 17
보안전문가 (CSO/CPO) 의정의 CSO/CPO 란, 기업보안을위한정책수립은물론, 기술적대책과법률적대응까지총 괄하는최고보안책임자 정책수립 기술적대책 법률적대응 서울디지털대학교컴퓨터공학부정보보안특강 18
보안전문가의필요성 기업정보보호의당면현실 전현직직원에대한기술유출비중 80% 금전적유혹 경쟁사로부터의매수 앙심을품은전현직근로자 내부인사관리로는정보유출차단한계 서울디지털대학교컴퓨터공학부정보보안특강 19
보안전문가의필요성 ( 계속 ) 개인정보보호법에명시 개인정보보호법 제 20 조의 2 ( 개인정보관리책임관의지정 ) 1 공공기관의장은소관처리정보의보호및관리를위하여개인정보관리책임관을지정하여야한다. 2 개인정보관리책임관의자격요건 지정및운영등에관하여필요한사항은대통령령으로정한다. [ 본조신설 2007.5.17] [[ 시행일 2007.11.18]] 법에명시된대로 2007 년 11 월 18 일부터는반드시 CPO 를의무적으로두어야한다. 서울디지털대학교컴퓨터공학부정보보안특강 20
보안전문가의필요성 ( 계속 ) 해외로부터의영향 사베인즈 - 옥슬리법의영향으로내부통제프로세스의강화를위해 CSO/CPO 의역할과필요성이더욱강화될조짐. 향후사베인즈 - 옥슬리법과비슷한수준의법이국내에도도입될움직임 바젤 II 협약에따라 IT 의 Risk 도적극적으로관리대상이되어 CSO/CPO 의역할과필요성이강화될조짐 2008 년부터바젤 II 시행예정 서울디지털대학교컴퓨터공학부정보보안특강 21
보안전문가의역할 사내보안관련전반을관장 상세업무 보안전문가의역할 (1) 최고경영자 (CEO) 의경호 시설안전관리 법률문제대응 기술유출대응등 서울디지털대학교컴퓨터공학부정보보안특강 22
보안전문가의역할 ( 계속 ) 내부로부터의위험방지 상세업무 보안전문가의역할 (2) 보안교육 보안교육커리큘럼설계 보안교육의실시 보안시스템구축 보안시스템의평가및도입 보안시스템의유지관리및운영 서울디지털대학교컴퓨터공학부정보보안특강 23
보안전문가의국내추진현황 보안인력및관련업무의통합 일원화의필요성 국내의경우 : - 규모가큰외국계글로벌기업들과삼성전자, LG 전자등 일부대기업만이 CSO 체제를구축하고통합보안조직을운영 대부분기업들은 물리적보안, IT 보안, 관리적보안업무를다른부서에서담당담당자간의업무협조도원활하지않음더욱이보안업무를다른업무와겸임하고있는경우도많음 서울디지털대학교컴퓨터공학부정보보안특강 24
국내중소기업의현황 중소기업들은또보안관리제도, 기밀관리시스템, 보안감독체계구축등산업기밀관리노력을강화하는추세 문제점및애로사항 핵심인력의유출위험성 (29.8%) 보안인프라투자곤란 (23.8%) 임직원의기밀보호관심부족 (15.9%) 법적 제도적장치미흡 (13.0%) 정부지원대책요구사항 보안시스템구축지원 (22.9%) 보안투자에대한지원제도확충 (19.7%) 산업보안교육확대 (16.1%) 보안진단및마스터플랜수립지원 (13.9%) 등에대해서는정부지원이필요한것으로응답. 서울디지털대학교컴퓨터공학부정보보안특강 25
보안전문가의도입 사내보안전문가 (CSO/CPO) 의도입 보안업무총괄 보안을단순한 기술 이아닌 경영 차원으로격상 미국마이크로소프트 (MS) 나제너럴모터스 (GM) 등대기업의 CSO/CPO( 최고보안책임자 ) 도입 기술유출징후가있을경우 국가정보원 산업기밀보호센터 http://www.nisc.go.kr 111 상담 / 신고지원 서울디지털대학교컴퓨터공학부정보보안특강 26
결론 끊임없는보안위협보안과기업경영과의연계발전전반적인사회보안의식고취추가비용부담발생논란실제사고후의비용보다는작은비용의보험으로인식경영관련기술적책임과권한강화향후분리되지않은권력은기업의발전저해요소국가적차원에서의보안교육지원시급지속적인보안교육및온라인보안강화교육지원 서울디지털대학교컴퓨터공학부정보보안특강 27