레이블이 정보보호인 게시물을 표시합니다. 모든 게시물 표시
레이블이 정보보호인 게시물을 표시합니다. 모든 게시물 표시

2016년 5월 15일 일요일

급증하는 이메일 해킹 무역사기, 책임은 누가 지나?

#한국 수출기업 A사는 인도네시아 B기업과 거래를 했다. A사는 B사가 무역대금을 입금하지 않아 연락했다. B사는 “바뀐 계좌로 보냈다”며 A사에 물품 선적을 요구했다. A사는 계좌를 변경한다는 이메일을 보내지 않았다. B사는 “A기업 이메일 해킹 때문에 사기 당했다”며 분쟁을 시작했다. A사는 “확인하지 않고 보낸 B사 책임”이라며 공방하고 있다.
이메일 해킹 무역사기는 범죄자를 잡아도 피해 금액을 되돌려 받기 어렵다.ⓒ게티이미지뱅크<이메일 해킹 무역사기는 범죄자를 잡아도 피해 금액을 되돌려 받기 어렵다.ⓒ게티이미지뱅크>
이메일 해킹 무역사기가 급증하며 기업 간 분쟁도 늘었다. 전문가들은 이메일 해킹 무역사기는 해킹을 당한 쪽 책임이 크다고 입을 모았다. 보안이 허술한 기업이 법적 소송에서 불리하다.

김경환 법무법인 민후 대표변호사는 “해킹 흔적이 나온 쪽이 원칙적으로 책임이 있다”며 “B사가 확인하지 않는 점 등 과실을 고려해 일부 책임을 부담할 수 있다”고 말했다. 김 변호사는 “A사가 해킹 당하지 않았거나 고난이도 공격으로 막기 불가능했다면 원칙적으로 책임이 없다”며 “A사는 B사에 다시 무역대금을 송금해달라고 할 수 있다”고 덧붙였다.

이메일 해킹 무역사기 사건에서 책임을 가리기는 쉽지 않다. 대부분 국제 무역거래에서 사고가 발생하면 해킹이나 악성코드 감염 증거 확보가 어렵다. 국내 기업 침해 사고 흔적을 발견하지 못하면 해외 기업을 조사해야 한다. 증거 PC가 그대로 보존되지 않으면 해당 국가를 방문해 침해 사고 조사나 디지털포렌식을 수행해야 한다.

디지털포렌식 전문기업 김진국 플레인비트 대표는 “해외에 있는 상대기업 PC를 확보해 침해 사고 흔적을 찾아 증거로 채택해야 한다”며 “디지털포렌식 전문가를 파견해야 하는데다 해당 기업 협조가 안 되면 증거를 찾기 어렵다”고 말했다. 그는 “국내서 원격으로 PC 내 침해 사고 흔적이나 증거를 발견하기엔 한계가 있다”고 덧붙였다.
#한국 수출기업 A사는 인도네시아 B기업과 거래를 했다. A사는 B사가 무역대금을 입금하지 않아 연락했다. B사는 “바뀐 계좌로 보냈다”며 A사에 물품 선적을 요구했다. A사는 계좌를 변경한다는 이메일을 보내지 않았다. B사는 “A기업 이메일 해킹 때문에 사기 당했다”며 분쟁을 시작했다. A사는 “확인하지 않고 보낸 B사 책임”이라며 공방하고 있다.
이메일 해킹 무역사기는 범죄자를 잡아도 피해 금액을 되돌려 받기 어렵다.ⓒ게티이미지뱅크<이메일 해킹 무역사기는 범죄자를 잡아도 피해 금액을 되돌려 받기 어렵다.ⓒ게티이미지뱅크>
이메일 해킹 무역사기가 급증하며 기업 간 분쟁도 늘었다. 전문가들은 이메일 해킹 무역사기는 해킹을 당한 쪽 책임이 크다고 입을 모았다. 보안이 허술한 기업이 법적 소송에서 불리하다.

김경환 법무법인 민후 대표변호사는 “해킹 흔적이 나온 쪽이 원칙적으로 책임이 있다”며 “B사가 확인하지 않는 점 등 과실을 고려해 일부 책임을 부담할 수 있다”고 말했다. 김 변호사는 “A사가 해킹 당하지 않았거나 고난이도 공격으로 막기 불가능했다면 원칙적으로 책임이 없다”며 “A사는 B사에 다시 무역대금을 송금해달라고 할 수 있다”고 덧붙였다.

이메일 해킹 무역사기 사건에서 책임을 가리기는 쉽지 않다. 대부분 국제 무역거래에서 사고가 발생하면 해킹이나 악성코드 감염 증거 확보가 어렵다. 국내 기업 침해 사고 흔적을 발견하지 못하면 해외 기업을 조사해야 한다. 증거 PC가 그대로 보존되지 않으면 해당 국가를 방문해 침해 사고 조사나 디지털포렌식을 수행해야 한다.

디지털포렌식 전문기업 김진국 플레인비트 대표는 “해외에 있는 상대기업 PC를 확보해 침해 사고 흔적을 찾아 증거로 채택해야 한다”며 “디지털포렌식 전문가를 파견해야 하는데다 해당 기업 협조가 안 되면 증거를 찾기 어렵다”고 말했다. 그는 “국내서 원격으로 PC 내 침해 사고 흔적이나 증거를 발견하기엔 한계가 있다”고 덧붙였다.

2013년 7월 22일 월요일

정보보호 컨설팅 쉽게 다가가기 중에서

아래 내용은 다음 사이트에서 가져온 글입니다.
출처 : https://www.facebook.com/Jeongboboan

=====================================================

컨설턴트가 알고 있어야 하는 법률

1. 정보통신 이용촉진 및 정보보호 등에 관한 법률/시행령/시행규칙
2. 개인정보 보호법/시행령/시행규칙
3. 부정경쟁방지 및 영업비밀에 관한 법률/시행령
4. 산업기술의 유출방지 및 보호에 관한 법률/시행령/시행규칙
5. 전자금융 거래법/시행령
6. 정보통신기반 보호법/시행령/시행규칙
7. 정보통신산업 진흥법

관련 법률은 www.law.go.kr에서 찾아보시면 됩니다.


==================================================

정보보호 컨설턴트가 되기 위해 관심을 가져야 할 부분

1. 회사의 조직체계 : 조직구성, 조직 R&R, 직무구분, 인사보안
2. 회사의 IT체계 : IT 거버넌스, IT 조직 및 R&R
3. 개발보안: SDLC의 보안, 개발언어 및 개발언어의 취약점 등
4. 물리보안: HVAC, 물리적 보안설비, 출입통제 등
5. 위험평가: 위험평가 방법론, 취약점 진단절차/체크리스트 등
6. 운영보안: 서버, 네트워크 장비 등의 운영절차 보안
7. 침해사고대응: 악성코드 등의 대응절차 등
8. 재해복구: 재해복구체계 구축방안 등
9. 법적요건: 정통망법, 개인정보보호법, 산기법 등

다양한 분야에 관심을 가지고 지식을 습득해야 지 특정 분야에만 편중해서 지식을 쌓는다면 편협한 지식으로 올바른 대책을 수립하기 어렵습니다.


==================================================

정보보호 컨설팅 수행절차

1. 환경분석 : 환경 및 자산 식별/중요도 평가

2. GAP분석(취약점 진단) :
- K-ISMS 통제항목, ISO27001 통제항목 등을 이용하여 현 조직의 GAP에 대한 분석
- 서버, 네트워크장비, 보안장비, DB 등에 대한 기술적 취약점진단
- 웹어플리케이션에 대한 모의해킹

3. 위험식별 및 평가
- GAP분석을 통해 도출된 자산와 취약점 진단 결과를 활용하여 조직이 직면한 위험 식별
- 식별된 위험이 조직에 미칠 수 있는 영향을 고려한 위험평가

4. 정보보호체계 수립
- 정보보호정책지침 수립 : 업무 수행 시 준수해야 할 보안 통제절차를 규정
- 마스터플랜 수립 : 중장기(3년)적으로 정보보호 수준의 지속적 제고를 위해 수행해야 하는 활동

통상적으로 정보보호 관리체계 수립은 4단계로 걸쳐 실행이 되며 인증 획득이 필요한 경우 인증문서의 작성 등의 절차를 추가하게 됩니다.

조직은 각 조직이 처한 현실을 고려하여 4단계를 모두 수행할 수도 있고 기술적 취약점 진단, 모의해킹 등의 세부 모듈의 일부만 수행할 수도 있습니다.

다음에는 각 단계 별로 상세한 활동에 대해 알아보도록 하겠습니다.