반응형

MFA 2

88. 위탁(수탁) 관리가 약하면 개인정보보호는 절반만 한 거다

개인정보 보호를 얘기할 때 암호화나 접근통제 같은 기술 조치가 먼저 떠오르지만, 실무에서 사고의 시작점은 의외로 위탁(수탁) 구간인 경우가 많다.내부에서 아무리 통제를 잘해도, 외부 업체가 처리하는 구간이 느슨하면 전체 리스크가 그쪽으로 새어 나간다.위탁 관리는 “계약서 한 장”으로 끝나지 않는다.오히려 계약 이후에 운영을 어떻게 굴리느냐가 핵심이다.위탁을 명확히 정의하지 않으면 통제가 시작되지 않는다가장 먼저 정리해야 하는 건 “이게 위탁인가?”다.단순 구매(라이선스/솔루션)인지운영대행(계정 접근/원격 접속)이 포함되는지데이터 처리(수집·보관·가공)를 실제로 수행하는지이 경계가 애매하면, 수탁사 접근권한·재위탁·파기 책임도 흐려진다.그래서 사전 검토에서부터 업무 흐름을 기준으로 위탁 여부를 먼저 확정하..

카테고리 없음 2026.01.26

84. IAM(계정·권한) 설계가 보안의 80%라는 말이 과장이 아닌 이유

보안 솔루션을 도입하는 것보다, 계정과 권한을 정리하는 게 더 어렵고 더 중요하다는 말을 실무에서 자주 느낀다.실제 사고 사례를 보면 침해의 시작점이 “취약점”인 경우도 많지만, 확산과 피해 규모는 “권한”이 결정하는 경우가 많다.그래서 보안 담당자 입장에서 가장 먼저 기본기를 점검한다면, 나는 IAM(Identity and Access Management)을 꼽고 싶다.권한은 ‘누가 뭘 할 수 있나’가 아니라 ‘누가 뭘 못 하게 할 건가’다권한 체계가 흔들리는 조직에는 몇 가지 공통점이 있다.계정이 역할이 아니라 사람 단위로 부여된다예외 권한이 회수되지 않는다관리자 권한이 너무 넓게 퍼져 있다시스템별로 계정 체계가 제각각이라 통제가 어렵다이 상태에서는 보안 점검을 해도 체감 개선이 잘 안 된다.왜냐하면..

카테고리 없음 2026.01.20
반응형