컴플라이언스 Insight

안녕하세요.강준수입니다. 요즘 개인정보를 가명정보 처리해서 사용하시는 회사가 많아졌는데요,KISA에서 발간한 가이드라인 공유드립니다. https://www.kisa.or.kr/2060202/form?postSeq=138&page=1 에서 다운로드를 통해 받으시면 됩니다.

안녕하세요. 강준수입니다.오늘은 오랜만에 개인정보보호 관련 컴플라이언스 이슈 내용을 공유드리겠습니다. 요즘 개인정보보호 정책 흐름에서 꽤 중요한 변화가 있었죠...예전처럼 사고가 터진 뒤 조사하고 과징금을 부과하는 방식에서 벗어나,이제는 아예 “사고가 나기 전에 막는 구조”로 방향을 바꾸겠다는 움직임입니다. 실제로 최근 개인정보보호위원회는 반복적이거나 중대한 개인정보보호법 위반에 대해기업 매출의 최대 10%까지 과징금을 부과할 수 있는 방향과 함께,고위험 시스템에 대한 사전 점검 강화 계획을 발표했습니다. (미래를 보는 창 - 전자신문) 이건 단순히 처벌 수위가 올라가는 문제만은 아닙니다.개인정보 보호를 바라보는 방식 자체가 바뀌고 있다는 의미에 가깝습니다.예전에는 ‘사고 발생 후 대응’ 중심이었거든요...

안녕하세요.강준수입니다. 오늘은 '구글 검색'에 관련된 얘기를 해보겠습니다.한때 인터넷의 시작은... 정말 대부분이 비슷했습니다. 어땠냐면요,모르는 게 생기면 구글에 검색하고, 링크를 몇 개 열어보고, 필요한 정보를 직접 찾는 방식이 너무 자연스러웠습니다....그런데 최근 들어 이 흐름이 조금씩 바뀌고 있습니다.특히 젊은 세대를 중심으로 “검색하는 방식” 자체가 달라지고 있습니다. 이제 사람들은 단순히 검색창에 키워드를 입력하는 대신,TikTok에서 검색하고Reddit 후기부터 찾아보고ChatGPT에 바로 질문하고YouTube 요약 영상을 먼저 봅니다즉, “검색 엔진”보다 “바로 답을 주는 플랫폼”으로 이동하고 있는 것입니다.예전 검색은.. ‘탐색’이었던 반면....기존 검색 엔진의 구조는 기본적으로 탐..

안녕하세요.강준수입니다. 오늘은 EDR에 대해서 얘기해보겠습니다.요즘은 EDR이라는 단어, 모르는 분들 없을거라고 생각이 되는데요. 먼저, 예전 기업 보안의 중심은 백신(Vaccine, AV)이었습니다. 백신이 뭐냐... 굳이 설명드리자면 악성코드를 탐지하고 차단하는 방식이 기본이었고,실제로 한동안은 이 구조만으로도 어느 정도는 악성코드 대응이 가능했습니다. 하지만 최근 공격 방식은 완전히 달라졌거든요. 이제 공격자들은 단순한 악성코드 실행보다1. 정상 프로세스를 악용하거나2. 이미 존재하는 시스템 도구를 활용하는 방식으로 움직입니다. 즉, “악성 파일 하나를 잡으면 끝나는 시대”가 아니라는 의미입니다. 이 흐름 속에서 중요해진 것이 바로 EDR(Endpoint Detection & Response)입니..

안녕하세요. 강준수입니다.오늘도 이어서 AI 보안에 대한 얘기를 해보겠습니다. RAG 라는 용어 다들 들어보셨나요? 기업에서 AI를 도입할 때 단순히 질문-답변 수준을 넘어서,내부 문서나 데이터베이스를 연결하는 방식이 빠르게 확산되고 있습니다. 이게 흔히 말하는 RAG(Retrieval-Augmented Generation) 구조입니다. 이 방식은 매우 강력합니다. 왜냐면요. 기존 AI는 “이미 학습한 내용” 으로만 답합니다. 근데...RAG는 “필요한 정보를 그때 찾아서 + 그걸로 답합니다" 내부 자료를 기반으로 답변을 생성하기 때문에,훨씬 정확하고 실무적인 결과를 얻을 수 있습니다.실제로 기업에서는 업무 효율을 크게 높이기 위해 이 구조를 적극적으로 도입하고 있습니다. 그런데 여기서 중요한 문제가 하..

안녕하세요. 강준수입니다.오늘은 AI 해킹의 대표적인 방식을 소개해드리려고 합니다....많은 사람들이 생성형 AI를 사용할 때 단순히 “질문하면 답해주는 도구”라고 생각합니다.하지만 이 구조 자체가 새로운 공격 방식의 기반이 됩니다.기존처럼 시스템을 뚫는 것이 아니라, AI의 판단을 왜곡하는 방식의 공격이 등장했기 때문입니다. 이걸 ‘프롬프트 인젝션(Prompt Injection)’이라고 합니다.프롬프트 인젝션은 무엇이 다른가?기존 해킹 공격은 보통 코드나 시스템 취약점을 이용합니다.예를 들어 SQL Injection처럼 입력값을 조작해 시스템을 속이는 방식입니다. 반면 프롬프트 인젝션은 코드가 아니라 자연어를 이용합니다. 즉, 공격자가 특정 문장을 입력하면...AI가 그 문장을 ‘명령’으로 해석하고, ..

안녕하세요. 강준수입니다.오늘은 이어서 LLM 기반 생성형 AI에 대해서 써보겠습니다.생성형 AI 안쓰시는 곳 없으실텐데요. 생성형 AI 도입이 정말 빠르게 확산되고 있습니다.요새는 생성형 AI 보안솔루션을 도입하는곳도 있더라구요....어쨌거나 생성형 AI는 문서 작성, 코드 보조, 고객 응대, 데이터 분석 등 다양한 영역에서 활용되면서 업무 효율은 분명히 개선되고 있습니다. 다만 실무 현장에서는 동시에 또 하나의 변화가 나타나고 있습니다.뭐냐하면... AI 사용 가이드라인을 별도로 정의하기 시작했다는 점입니다이건 단순한 내부 규정이 아니라, 기존 보안 체계로는 다루기 어려운 새로운 리스크가 등장했기 때문입니다.기존 보안과 LLM 보안은 다른 영역입니다기존 애플리케이션 보안은 주로 접근 통제와 데이터 보..

안녕하세요. 강준수입니다.저번에는 무분별한 AI 사용에 대해서 글을 썼는데요,오늘은 그럼에도 불구하고 AI를 잘쓰는 방법에 대해서 말씀드려보겠습니다. ... 요즘 AI는 누구나 쉽게 쓸 수 있는 도구가 됐습니다. 그렇죠? 검색하듯이 질문하면 답을 주고, 글도 써주고, 아이디어도 만들어줍니다.그래서 처음에는 이렇게 생각하기 쉽습니다. “이거 다 비슷하게 쓰는 거 아닌가?” 하고요. 그런데 실제로 조금만 써보면 이상한 차이가 느껴집니다.어떤 사람은 AI를 활용해서 일을 훨씬 빠르게 처리하고,결과도 깔끔하게 만들어냅니다. 심지어 그걸로 콘텐츠를 만들거나 수익까지 연결하는 경우도 있습니다. 반대로 어떤 사람은 몇 번 써보다가 “생각보다 별로인데?” 하고 금방 손을 놓습니다. 같은 도구를 쓰는데 왜 이런 차이가 ..

안녕하세요. 강준수입니다. 오늘은 이제 없으면 일을 못하는 그 'AI'에 대한 규제에 대해서 말씀드리겠습니다. 요즘 AI를 사용하는 건 더 이상 특별한 일이 아니죠.정말 간단한 문서 작성부터 외국어 번역, 이미지 생성, 아이디어 정리까지 이젠 정말 너무나도 일상적으로 활용되고 있습니다....업무에서도 자연스럽게 쓰이고 있고,개인적으로도 검색 대신 AI를 사용하는 경우가 점점 늘어나는것 같습니다. 정말 잘 답변해주니까요. 그런데... 이 흐름에 조금씩 변화가 생기고 있습니다. 그동안은 “편하게 쓰면 되는 도구”였던AI가 이제는 규제와 관리의 대상이 되고 있기 때문입니다. 쉽게 말해서, 앞으로는 AI를 사용하는 방식에도 일정한 기준이 생기게 된다는 의미입니다. 이런 변화가 생긴 이유는 생각보다 단순합니다...

안녕하세요. 강준수입니다.오늘은 기초개념으로 헷갈리는 용어 몇개에 대해서 정리해봤습니다. IT 보안이나 인프라 설계를 할 때 정말 많이 쓰이면서도 개념이 헷갈리기 용어들을 정리해 보겠습니다. 1. 인증 (Authentication) vs 인가 (Authorization)보안담당자, 아키텍트라면 매일 다루시겠지만, 의외로 비전공자나 주니어들이 가장 많이 헷갈려 하는 'A' 형제들입니다.인증 (AuthN): "당신이 누구인가?"를 확인하는 절차입니다. (예: ID/PW 입력, 생체 인식)인가 (AuthZ): "당신이 무엇을 할 수 있는가?"를 결정하는 권한 부여입니다. (예: 관리자 페이지 접근 권한, 파일 읽기 권한)비유: 호텔 체크인 시 신분증을 보여주는 것은 인증, 받은 카드키로 내 방 문을 여는 것..