보안사고발생시 대응시간감소및자동화 - IBM1 IBM Security Summit 2017 보안사고발생시 대응시간감소및자동화 April 18, 2017 한국IBM 안사업부 송대근([email protected])

1 IBM Security Summit 2017

보안 사고 발생 시대응시간 감소 및 자동화

April 18, 2017한국 IBM 보안사업부송대근([email protected])


Agenda

• 정보보호 침해사고 대응 현황• 정보보호 침해사고 대응 플랫폼


정보보호 침해사고 대응 현황

사이버 공격 사전 예방: 자산 관리

• 악성코드 및 익스플로잇

• 엔드포인트 패치 관리

• 취약점 관리 자동화

신속한 사고 대응: 기업 피해 최소화

• 글로벌 표준 프로세스 적용

• 정보보호 사고대응

실시간 공격 탐지: 고도화된 상관분석

• 전체 행위 관점의 공격 식별

• 인지보안/인공지능 활용

• 위험 우선 순위 식별 자동화

RESPOND


Page Subject XXX

Page summary XXX

•“If you’re going to invest in one thing, it should be incident response.”

–Keynote address, Gartner Worldwide Security Summit


정보보호 침해사고 대응



보안 관련 언론 보도

보안 서비스도 클라우드가 대세...서비스형 보안이 중소기업 보안 역량 높여줘http://it.chosun.com/news/article.html?no=2824609&sec_no=373

기업, 개인정보 유출대응 매뉴얼 마련 의무화 : 방송통신위원회 & KISAhttp://www.fnnews.com/news/201609211530400601

中 개인정보 불법 유출·매매범 10명 중 1명은 ‘내부자’http://www.boannews.com/media/view.asp?idx=51911&page=1&kind=3

국내 스마트폰 31%만 해킹 방지 프로그램 설치 - 앱에서 비밀번호 등의 금융 정보 탈취…보안 강화해야http://www.newstomato.com/ReadNews.aspx?no=689900

2016년 하반기 보안 위협 5가지 전망http://www.boannews.com/media/view.asp?idx=51723&page=1&kind=1

대형 보안사고로 본 금융권 CISO의 향후 도전과제http://www.boannews.com/media/view.asp?idx=51751&page=1&kind=3

http://it.chosun.com/news/article.html?no=2824609&sec_no=373

http://www.fnnews.com/news/201609211530400601

http://www.boannews.com/media/view.asp?idx=51911&page=1&kind=3

http://www.newstomato.com/ReadNews.aspx?no=689900





파이낸셜 뉴스 - 개인정보 유출대응 매뉴얼 마련해야

[기업이 알아야할 법률 상식]

개인정보를 취급하는 기업들에 비상이 걸렸다. 개인정보 유출에 대비한 매뉴얼을 마련해야 하고 유출사고가 발생하면 최고경영자에게 보고해서 신속대응팀을 구성해야 하는 등 여러 가지 의무가 부가됐기 때문이다.

이같은 내용은 지난 8월말 방송통신위원회(위원장 최성준)와 한국인터넷진흥원(원장 백기승)이 발표한 ‘개인정보유출대응매뉴얼’에 포함돼 있다. 이 매뉴얼에는 개인정보가 유출됐을 때 기업들이 어떤 절차에 따라 대처를 해야하는지, 또 개인정보 유출사태를 막기 위해 기업들이 어떤 조치를 해야 하는지에 대한 상세한 내용이 담겨 있다.

….중략…..

개인정보의 유출도 문제지만 우왕좌왕하는 사이 대처가 늦어지거나 유출사실을 숨기려 했다는 사실이 드러나면서 빈축을 사기도 했다. 정부가 발표한 매뉴얼은 이 같은 행위를 미연에 방지하자는데 있다.

이번에 정부가 마련한 ‘대응 매뉴얼’은 기업의 ‘의무위반’을 판단할 기준이 생겼다는 점에서 큰 의미를 갖는다. 직접 제재조치를 하지 않는다고 해도 거액의 손해배상을 해야하는 상황이 생길 수 있게 됐기 때문이다.기업들이 서둘러 실질적인 전산보안 대책과 비상시 대비절차를 마련해야 할 이유다.

[도움말 법무법인 화우 전산·정보·통신팀][email protected] 장용진 기자



보안 관련 언론 보도

금융회사 침해사고 준비도 가이드 나와http://www.etnews.com/20161221000125

금융보안원(원장 허창언)은 금융회사 침해사고 준비도 가이드를 발간했다.

금융회사에 침해사고가 발생할 경우 신속한 사고 조사를 위해 갖춰야 하는 절차와 인력 등 이 담겼다.

금융회사가 사이버공격에 대비한 침해사고 대응 업무를 수행하면서 실무에 참고하는 가이드이다. 가이드는 디지털 증거, 포렌식 유형을 소개한다. 금융회사에서 침해사고 준비도 구축을 위해 고려해야할 법적, 기술적, 인적 요구사항을 안내한다.

금융회사 침해사고 준비도 참조 모델도 제시한다. 금융회사가 자체적으로 침해사고 준비도 항목을 점검하고 적용 수준을확인할 수 있는 체크리스트도 있다.

허창원 금융보안원장은 “금융권 침해 사고 대응 역량이 한층 높아질 것으로 기대한다”면서 “금융권 자율보안 체계를 지원하기 위해 정보보호 선진기법을 도입하겠다”고 말했다.

http://www.etnews.com/20161221000125


정보보호 침해사고 대응지침



정보보호 침해사고 대응지침 - 국가법령정보센터

제1장 총칙

제1조(목적) 본 지침은 정보보호 침해사고에 의해 중요자료 유출 및 정보자산의 손실, 절도, 파괴 등으로 정상적인 업무수행에 지장을 초래하는 사고 발생 시 신속하게 대응하고, 그 과정을 기록 관리함으로써 정보보호 침해사고에 효과적으로대응하는 것을 목적으로 한다.

…중략…

제4장 정보보호 침해사고 대응

제16조(관련 자료의 보존) 정보보호 침해사고 접수 후 정보시스템별 담당자는 침해사고 유형별로 다음 각 호의 절차에 따라 관련 자료를 보존 한다1. 정보보안담당자는 보안사고 처리에 관련된 모든 활동 및 정보를 기록하여 보관한다.2. 보안사고 대응활동과 관련하여 생성된 문서는 비인가자의 접근을 제한하며, 열람 및 사용은 정보보안담당관의 승인을득하여야 한다.


정보보호 침해사고 대응지침순 서 대응 조치

침해·유출사고 발생ㆍ침해·유출사고 발생 징후 입수 및 정보수집ㆍ침해·유출사고 진행에 따라 대응절차 준비

정보수집 / 침해·유출사고대응

ㆍ침해·유출사고의 종류 및 정도에 따라 대응방법 선택ㆍ개별취재 등 언론 대응은 홍보팀으로 이관ㆍ유출경로 추적 및 로그분석

사후 대응 활동ㆍ침해·유출사고 상황 종료 후 이미지 회복 활동 전개ㆍ침해·유출사고대응 내용을 침해·유출사고의식 교육 활용

개인정보 침해·유출사고 신고 개인정보 침해·유출사고 보고 개인정보 침해·유출사고 통지



<수행 업무>

• 침해사고 유형 분류

• 침해사고 대응 절차 정의

• 비상 연락망 정의

• 업무 수행 내역 기록



침해·유출사고 대응 업무분장

담당자 수행 업무 진행사항

정보보안담당 개인정보 침해·유출사고 발생에 따른 정보 수집

대외언론담당사고 발생에 따른 개별취재 등 언론대응(홍보 관련 부서 협조)

- 대 고객 사과문 발표 등

법무담당 사고 발생에 따른 법리 검토

대외언론담당 대응방안 취합 및 대책반 구성·개최 준비

정보보안담당 위험 상황 전사 공유(전 부서 협조)

정보보안책임자 대응방안 검토, 대응방침 결정

Good Poor



공격 유형별 대응 체계 세분화

<수행 업무>

• 공격 유형 분류

• 대응 절차 정의

• 보고 체계 정의


정보보호 침해사고 대응이슈



• 전문 역량 차이




• 프로세스 혼선




• 프로세스 혼선

• 법규 적용 및 이행


정보보호 침해사고 대응이슈순 서 대응 조치

침해·유출사고 발생ㆍ침해·유출사고 발생 징후 입수 및 정보수집ㆍ침해·유출사고 진행에 따라 대응절차 준비

정보수집 / 침해·유출사고대응

ㆍ침해·유출사고의 종류 및 정도에 따라 대응방법 선택ㆍ개별취재 등 언론 대응은 홍보팀으로 이관ㆍ유출경로 추적 및 로그분석

사후 대응 활동ㆍ침해·유출사고 상황 종료 후 이미지 회복 활동 전개ㆍ침해·유출사고대응 내용을 침해·유출사고의식 교육 활용

전문 역량 차이 프로세스 혼선 법규 적용 및 이행

• 기술 이해

• 업무 프로세스 이해

• 업무 협업 채널 미정의

• 연락망 부재

• 정보보호 사고대응 규정 이행

• 정보보호 사고대응 형상 관리


정보보호 침해사고 대응 플랫폼



• 정보보호 침해사고 대응 시간 단축

• 자동화 및 국제 표준 프로세스 내장

• 보안팀 대응 역량 업그레이드



사전 예방 실시간 탐지 침해 대응

APT 공격 차단/취약점 관리 고위험 이슈 식별, 보안인텔리전스를 활용한 이상 감시

정보보호 표준 대응 절차 및 조직특성 적용

정보보호 대응 업무 자동화

• 정보보호 대응지침 이행

• 기업표준 대응지침 이행

글로벌 표준 프로세스 제공

• 산업 표준 워크 플로우

• SOP*, NIST**, SANS 외

정보보호 업무 형상 관리

• 진척 관리, 이행 점검

• 사고 대응 타임 테이블

*SOP(Standard Operating Procedure)**NIST(National Institute of Standards and Technology)


Resilient

Our Mission리질리언트는 사이버공격에 대한 대응 능력을 강화시키고 핵심 비지니스 보호를 목적으로 합니다.

What We Do우리는 조직의 정보보호 침해사고 대응에 필요한 업무 협업 채널과 정보보호 사고대응 프로세스를 제공 합니다. 우리의 플랫폼은 좀더 효과적이고 지능적으로 시간을 단축해 사고 대응을 수행할 수 있습니다.



• 사람과 프로세스, 기술을 통합하고자원 활용을 최적화

• 정보보호 대응팀에게 자동화된 대응액션을 부여해 표준화된 프로세스적용

• 정보보호 대응 진척관리, 보안인텔리전스 확보, 맞춤형 프로세스적용

• 정보보호 규정 준수 사항 적용 훈련



업무 프로세스 정의

침해 유형별 업무프로세스(Phases) 및 태스크(Tasks) 기본 제공

침해 관련 유형별 변동 사항 자동 업데이트

사용자 업무프로세스(Phases) 정의

사용자 태스크(Tasks) 정의

침해대응 정보 수집

침해대응요원 대응 가이드, 조건별 대응 항목 표기

정보 유출 관련 항목 정의(민감정보, 카드정보, 금융정보 등)

타임라인 관리

포렌식, 사고 관련 근거 정보 수집

태스크 관리

사이버 보안 사고 유형별 체크리스트(Tasks) 자동 정의 및 할당

진척사항 관리, To do 이행 점검, 대응 이력 조회

처리 담당 지정 및 마감 시한 정의

자동화 액션 정의(예, 방화벽 차단, API 연동 등)

산업 규정 준수

산업 규정(Regulators) 항목 정보 제공(예, PCI, HIPPA, FCC 등)

정보 유출 관련 데이터 타입 유형 정의

글로벌 표준 정보보호 규정 자동 적용



업무 프로세스 정의

침해 유형별 업무프로세스(Phases) 및 태스크(Tasks) 기본 제공

침해 관련 유형별 변동 사항 자동 업데이트

사용자 업무프로세스(Phases) 정의

사용자 태스크(Tasks) 정의

산업 규정 준수

산업 규정(Regulators) 항목 정보 제공(예, PCI, HIPPA, FCC 등)

정보 유출 관련 데이터 타입 유형 정의

지역별 사법 조항(US 연방 정부)



태스크 관리

사이버 보안 사고 유형별 체크리스트(Tasks) 자동 정의 및 할당

진척사항 관리, To do 이행 점검, 대응 이력 조회

처리 담당 지정 및 마감 시한 정의

자동화 액션 정의(예, 방화벽 차단, API 연동 등)

침해대응 정보 수집

침해대응요원 대응 가이드, 조건별 대응 항목 표기

정보 유출 관련 항목 정의(민감정보, 카드정보, 금융정보 등)

타임라인 관리

포렌식, 사고 관련 근거 정보 수집



::

App Logs

F/W Logs

DHCP Logs

티켓 생성/사고 감지

AUTOMATIC ENRICHMENT

인텔리전스:

취약점관리

DNS분석:

MANUALLY INVOKED ENRICHMENT

엔드포인트:

APT대응:

웹게이트웨이:

액션 모듈

RESILIENT’S 정보보호침해사고 대응 플랫폼

MANUALLYINVOKED REMEDIATION

IT 헬프데스크:

포렌식:

계정관리



“This is the decade of response…sophisticated, robust, and resilient.”

-Bruce Schneier, CTO, Resilient

ibm.com/security

securityintelligence.com

xforce.ibmcloud.com

@ibmsecurity

youtube/user/ibmsecuritysolutions

© Copyright IBM Corporation 2016. All rights reserved. The information contained in these materials is provided for informational purposes only, and is provided AS IS without warranty of any kind, express or implied. IBM shall not be responsible for any damages arising out of the use of, or otherwise related to, these materials. Nothing contained in these materials is intended to, nor shall have the effect of, creating any warranties or representations from IBM or its suppliers or licensors, or altering the terms and conditions of the applicable license agreement governing the use of IBM software. References in these materials to IBM products, programs, or services do not imply that they will be available in all countries in which IBM operates. Product release dates and / or capabilities referenced in these materials may change at any time at IBM’s sole discretion based on market opportunities or other factors, and are not intended to be a commitment to future product or feature availability in any way. IBM, the IBM logo, and other IBM products and services are trademarks of the International Business Machines Corporation, in the United States, other countries or both. Other company, product, or service names may be trademarks or service marks of others.

Statement of Good Security Practices: IT system security involves protecting systems and information through prevention, detection and response to improper access from within and outside your enterprise. Improper access can result in information being altered, destroyed, misappropriated or misused or can result in damage to or misuse of your systems, including for use in attacks on others. No IT system or product should be considered completely secure and no single product, service or security measure can be completely effective in preventing improper use or access. IBM systems, products and services are designed to be part of a lawful, comprehensive security approach, which will necessarily involve additional operational procedures, and may require other systems, products or services to be most effective.

IBM DOES NOT WARRANT THAT ANYSYSTEMS, PRODUCTS OR SERVICES ARE IMMUNE FROM, OR WILL MAKE YOUR ENTERPRISE IMMUNE FROM, THE MALICIOUS OR ILLEGAL CONDUCT OF ANY PARTY.

FOLLOW US ON:

THANK YOU

Documents

보안사고발생시 대응시간감소및자동화 - IBM1 IBM Security Summit 2017 보안사고발생시 대응시간감소및자동화 April 18, 2017 한국IBM 안사업부 송대근([email protected])