보안 전문가 Q&A

자주 받는 질문

개인정보 접속기록은 얼마나 보관하고 어떻게 점검해야 합니까

개인정보처리시스템의 접속기록은 1년 이상 보관해야 하고, 5만 명 이상의 정보주체를 처리하거나 고유식별정보·민감정보를 처리하는 시스템 등은 2년 이상 보관해야 합니다. 점검은 개정 전 고시가 월 1회 이상을 요구했고, 2026년 11월 1일 시행 개정 고시는 점검 주기·방법·사후조치 절차를 내부 관리계획으로 정해 이행하도록 합니다. 클라우드 API 로그만으로는 누가 어느 정보주체의 정보를 처리했는지가 남지 않으므로 애플리케이션 단의 기록 설계가 필요합니다.

답변 2026-10-22

자주 받는 질문

클라우드 보안 사고로 이어지는 설정 실수에는 어떤 것이 많습니까

클라우드에서 반복해서 지적되는 설정 실수는 외부에 공개된 저장소, 필요 이상으로 넓은 권한, 코드나 설정 파일에 남은 장기 액세스 키, 인터넷 전체에 열린 관리 포트, MFA 없는 관리자 계정입니다. 공통점은 서비스가 정상적으로 동작하는 상태라 사고가 나기 전까지 드러나지 않는다는 것입니다. 계정 단위 공개 차단, 임시 자격 증명, 최소 권한을 기본값으로 두고 예외는 사유와 함께 기록하는 방식이 효과적입니다.

답변 2026-10-22

자주 받는 질문

퇴사자 계정과 권한은 무엇부터 어떤 순서로 정리해야 합니까

퇴사자 권한 정리는 계정 하나를 막는 일이 아니라 그 사람이 알고 있거나 그 사람 이름에 묶인 접근 수단 전체를 끊는 일입니다. 순서는 통합 로그인(SSO) 차단, 개인 이름으로 발급된 액세스 키·API 토큰 교체, 공유 계정 비밀번호와 MFA 기기 회수, 권한 변경 내역 보관입니다. 개인정보처리시스템이라면 안전성 확보조치 기준이 권한을 지체 없이 변경·말소하고 그 내역을 최소 3년간 보관하도록 정합니다.

답변 2026-10-22

자주 받는 질문

ISMS-P 인증을 준비할 때 클라우드에서는 무엇부터 해야 합니까

ISMS-P 준비에서 클라우드 기술 조치는 운영 기록이 쌓여야 증적이 되므로 정책 문서와 함께, 가능하면 먼저 시작하는 편이 유리합니다. 인증 고시는 인증기준에 따른 관리체계를 구축해 최소 2개월 이상 운영한 뒤 신청하도록 정하고 있어, 계정·권한 정리, 감사 로그와 개인정보 접속기록, 암호화, 백업·복구, 취약점 관리를 그 전에 갖춰 두어야 합니다. AWS가 받은 인증은 클라우드 인프라 자체의 보안을 다루며, 고객 계정 안의 설정과 운영은 인증을 받는 기업이 갖춰야 합니다.

답변 2026-10-22

자주 받는 질문

오픈소스 취약점과 SBOM 관리는 어디서부터 시작해야 합니까

SBOM(소프트웨어 구성요소 명세서)은 소프트웨어에 포함된 오픈소스·외부 라이브러리의 이름과 버전, 의존 관계를 기계가 읽을 수 있게 적은 목록이며, 새 취약점이 공개되면 영향받는 서비스를 바로 찾게 해 줍니다. 시작은 운영 중인 서비스 목록을 정하고 빌드할 때마다 SPDX나 CycloneDX 형식으로 SBOM을 자동 생성하는 것이고, 모든 구성요소가 어렵다면 KISA 「SW 공급망 보안 가이드라인」의 권고처럼 외부 라이브러리와 공개 SW부터 관리합니다. 그다음 취약점 정보와 대조해 실제 영향과 악용 여부로 조치 순서를 정합니다.

답변 2026-10-22

자주 받는 질문

OWASP Top 10 2025년판, 무엇이 바뀌었고 무엇부터 대응해야 합니까

OWASP Top 10:2025에서는 취약한 구성요소 항목이 소프트웨어 공급망 실패(A03)로 넓어졌고, 예외 상황 처리 오류(A10)가 새로 들어왔으며, 서버 측 요청 위조(SSRF)는 접근 통제 실패(A01)에 합쳐졌습니다. 대응은 순위를 위에서부터 따라가기보다 피해가 크고 점검 방법이 분명한 접근 통제·보안 설정·의존성 관리부터 시작해 로깅·알림, 예외 처리, 설계 검토로 넓혀 가는 순서가 실무적입니다. Top 10은 위험 분류이므로 세부 점검 항목은 OWASP ASVS 같은 검증 기준으로 내려가야 합니다.

답변 2026-10-22

자주 받는 질문

OTP로 다단계 인증을 쓰고 있는데 패스키로 바꿔야 합니까

OTP나 문자처럼 사람이 코드를 옮겨 입력하는 방식은 가짜 로그인 화면에도 그대로 입력될 수 있어 피싱을 막지 못합니다. 패스키(FIDO2)는 인증이 접속한 사이트의 도메인에 묶여 있어 이 공격을 구조적으로 막으므로, 클라우드 콘솔·통합 로그인(SSO)·관리자 계정부터 우선 전환하는 것이 효과가 큽니다. 전환할 때는 기기 분실에 대비해 계정마다 인증 수단을 두 개 이상 등록하고 복구 절차를 함께 정해야 합니다.

답변 2026-10-22

자주 받는 질문

개인정보 유출을 알게 됐다면 72시간 안에 무엇을 해야 합니까

개인정보처리자는 유출을 알게 된 때부터 72시간 안에 정보주체에게 통지해야 하고, 1천 명 이상이거나 민감정보·고유식별정보가 포함됐거나 외부의 불법 접근으로 유출됐다면 같은 기한 안에 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고해야 합니다. 유출 항목이나 경위를 다 확인하지 못했더라도 확인된 내용으로 먼저 통지·신고하고, 추가 내용은 확인되는 즉시 보완합니다. 해킹이 원인이라면 정보통신망법상 침해사고 신고(알게 된 때부터 24시간)가 별도로 적용될 수 있습니다.

답변 2026-10-22

자주 받는 질문

개인정보 중 무엇을 반드시 암호화해야 합니까

비밀번호·생체인식정보 같은 인증정보는 저장하거나 전송할 때 암호화해야 하고, 비밀번호는 복호화할 수 없는 일방향 방식으로 저장해야 합니다. 정보통신서비스 이용자의 주민등록번호·여권번호·운전면허번호·외국인등록번호·신용카드번호·계좌번호·생체인식정보는 저장할 때 암호화해야 하고, 인터넷 구간으로 주고받는 개인정보는 항목과 관계없이 암호화해야 합니다. 주민등록번호는 개인정보 보호법 제24조의2와 시행령이 전자적으로 보관하는 모든 개인정보처리자에게 암호화 보관을 요구합니다.

답변 2026-10-22

자주 받는 질문

랜섬웨어에 대비하려면 백업을 어떻게 바꿔야 합니까

랜섬웨어에 대비한 백업의 기준은 백업이 있느냐가 아니라, 공격자가 운영 환경의 관리자 권한을 얻었을 때도 백업을 지우거나 암호화할 수 없느냐입니다. 운영과 분리된 저장소·계정에 두고, 보존 기간 동안 누구도 삭제할 수 없는 불변(immutable) 설정을 적용하고, 실제로 복구되는지 정기적으로 시험해야 합니다. KISA는 많은 피해 기업이 백업을 하고도 같은 저장소에 보관해 함께 암호화되면서 복구에 어려움을 겪었다고 경고합니다.

답변 2026-10-22