개인정보 보호법 제25조(고정형 영상정보처리기기의 설치ㆍ운영 제한)제7항과 제25조의2(이동형 영상정보처리기기의 운영 제한)제4항에 따라 고정형/이동형 영상정보처리기기운영자는 고정형/이동형 영상정보처리기기 운영ㆍ관리 방침을 마련해야 하나, 개인정보 보호법 제30조(개인정보 처리방침의 수립 및 공개)에 따른 개인정보 처리방침을 정할 때 고정형/이동형 영상정보처리기기 운영ㆍ관리에...
개인정보보호위원회에서는 개인정보 보호법 개정사항을 반영하고, 기존 법령 해석 사례집을 하나로 통합하여 정리한 ‘개인정보 보호법 해석 사례집‘을 발간하였습니다. 이와는 별도로 카드뉴스를 통해 알아보는 사례도 있습니다. 아래에 정리해 봤습니다. 온라인 쇼핑몰을 운영하고 있습니다. 고객에게 홍보 자료나...
개인정보 보호법 상 별도의 동의가 필요한 항목과 각각 동의 시 고지 사항 글과 개인정보 보호법 상에서 “공개하여야 할” 항목과 공개 방법 글을 함께 보시면 좋습니다. 제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지) 개인정보처리자가...
개인정보 보호법 상 개인정보처리자가 정보주체에게 “알려야 하는” 항목 및 그 내용 글과 개인정보 보호법 상에서 “공개하여야 할” 항목과 공개 방법 글을 함께 보시면 좋습니다. 정보주체의 동의가 적법하기 위해서는 정보주체의 동의를 받을 때 아래 조건들을...
ISMS-P 인증안내서(2023.11월) 참고자료 링크 페이지에 CPPG와 관련된 링크들이 일부 포함되어 있으나 개인정보관리사 자격검정 대비 가이드 북에서 언급된 학습자료를 따로 모아봤습니다. 공부하면서 관련 링크들도 추가했습니다. 많은 도움이 되길 바랍니다. CPPG 가이드 북 학습자료 링크 참고...
OECD 프라이버시 8원칙, Safe Harbor 원칙, GDPR 제5조는 모두 개인정보 보호와 관련된 국제적인 기준을 제시하는 제도적 틀입니다. 이들은 각각 다른 시기에 다른 지역에서 개발되었지만, 기본적으로 개인정보의 수집, 처리, 저장, 이용에 관한 공통적인 원칙을 다루고...
개인정보 보호법 제4조(정보주체의 권리) 정보주체는 자신의 개인정보 처리와 관련하여 다음 각 호의 권리를 가진다. 개인정보의 처리에 관한 정보를 제공받을 권리 개인정보의 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리 개인정보의 처리 여부를...
개인정보의 분실ㆍ도난ㆍ유출(이하 “유출등”이라 한다)은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고 개인정보가 해당 개인정보처리자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 말한다.(표준 개인정보 보호지침 제25조(개인정보의 유출등)) 개인정보 포탈에서 유출신고를 할...
개인정보의 가치를 산정하는 다양한 방법들 중에서, 델파이법, 가상가치산정법(Contingent Valuation Method, CVM), 그리고 손해배상액 산정법이 있습니다. 이들 각각의 방법은 서로 다른 접근법을 사용하여 개인정보의 가치를 평가합니다. 아래에 각 방법에 대해 구체적으로 설명하겠습니다. 델파이법: 전문가들의 반복적인...
Option-in 방식과 Option-out 방식은 주로 마케팅, 데이터 수집, 개인정보 보호 등에서 사용되는 용어로, 사용자가 특정 행위나 동의를 제공하는 방법을 의미합니다. Option-in 방식은 사용자가 명시적으로 동의하거나 참여 의사를 표현해야만 해당 서비스나 마케팅 활동에 포함되는 방식입니다....
개인정보보호 관련 평가·조사·인증의 종류, 근거, 목적 및 고려사항 등을 알아보겠습니다. 개인정보 침해요인 평가: 법 제8조의2(개인정보 침해요인 평가) 개인정보 보호수준 평가: 법 제11조의2(개인정보 보호수준 평가) 고유식별정보 안전조치 관리실태 조사: 법 제24조(고유식별정보의 처리 제한) 개인정보 처리방침...
2024년 1회(25회) 정보보안기사 실기시험에 단답형으로도 출제되었습니다. “이런 항목도 문제가 되는구나”라고 생각했습니다.Built-in Users, Default Groups and Special Identities에 대해 좀 더 자세한 내용을 알고 싶으신 분은 링크를 클릭하세요.
위험 분석 접근법과 방법론에 대해 정리해 봅니다. 위험 분석 접근법 기준선 접근법(Baseline approach) 체크 리스트 형식의 표준화된 보호 대책을 이용하여 모든 자산(시스템)에 대한 보호의 기본 수준을 정하고 위험 분석을 수행하는 접근법 (장단점) 시간과 비용이...
스위치(L2 스위치, 스위칭 허브)를 사용하는 환경에서는 통상적으로 스니핑(sniffing)이 불가능하지만, 아래 방법으로 가능할 수도 있다.(“스니핑(Sniffing) 공격을 탐지하는 기술“을 함께 읽으시면 좋습니다.) Switch Jamming(MAC flooding) 스위치의 MAC address table을 꽉 채워서 스위치가 허브처럼 동작하게 강제적으로 만들어...
CWE Top 25 Most Dangerous Software Weaknesses는 소프트웨어 보안 취약점의 위험도를 평가하고 우선순위를 매기는 중요한 보고서입니다. Common Weakness Enumeration (CWE)가 2023년 발표한 목록으로, 소프트웨어 보안 취약점 중 가장 위험한 25가지를 나열합니다. 이 목록은 개발자와...
보안장비의 계정관리 취약점 측면에서 점검해야 할 사항 보안장비 디폴트 계정 변경 보안장비에 기본적으로 설정된 관리자 계정을 변경한다 기본 관리자 계정은 인터넷이나 매뉴얼 등에 공개되어 있으므로 기본 관리자 계정을 변경하여 공격자가 해당 계정을 통해 보안장비를...
침해사고란 ①해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스거부 또는 고출력 전자기파 등의 방법이나 ② 정보통신망의 정상적인 보호ㆍ인증 절차를 우회하여 정보통신망에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등을 정보통신망 또는 이와 관련된 정보시스템에 설치하는 방법으로 정보통신망...
DNS(Domain Name Service)는 53/udp,tcp 포트를 사용하여 URL과 IP주소를 매칭하여 알려주는 서비스입니다. master 단독으로 운영할 경우에는 zone transfer를 허용하지 않도록 설정한다(allow-tranfer {none;};) master/slave로 구성할 경우에는 master에는 해당 slave로만 zone trasfer를 허용하도록 설정하고(allow-transfer {slave_ip주소;};), slave에서는 해당...
위험 평가 결과에 따라 식별된 위험을 처리하기 위하여 조직에 적합한 정보보호 대책을 선정하고, 정보보호 대책의 우선순위와 일정·담당자·예산 등을 포함한 이행계획을 수립하여 경영진의 승인을 받아야 한다. 정보보호 대책은 평가된 위험을 허용 가능한 수준(DoA)으로 줄여 조직의...
SQL Injection 취약점은 SQL을 사용하는 웹 애플리케이션에서 S/W개발자가 생각하지 못한 입력 및 조작으로 인해 발생하는 오류로서, 해커는 이를 악용하여 인증우회, 정보유출, 시스템 장애 등의 다양한 공격이 가능합니다. “2023년 CWE가 발표한 가장 위험한 소프트웨어 취약점...
