금융 정보보호 컨퍼런스 후기

[truefeel]

지난 목요일(9.10)에 있었던 '제 3회 금융 정보보호 컨퍼런스(FISCON 2009)' 내용을 간략히 정리했다.

1. 금융부문 IT 및 정보보호 감독방향 (금융감독원 부국장)

- 은행 전자금융 거래 비중 81.8% (거래건수 기준). 은행은 82.2%, 증권은 77.5%
- 국가핵심기반 지정 금융회사 : 전산부문 연 1회 이상 정기 훈련
- 인터넷 뱅킹 이용한도 규제
1) 3등급 : 보안카드 -> 1회 1천만원, 1일 5천만원.
2) 1등급 : OTP 사용할 경우 등급이 상향 -> 1회 1억원, 1일 5억원.

- 자화자찬식으로 77 DDoS에 잘 대응했다는 발표를... (개인적 생각)
그 이유로 1) 올초에 장비 도입 권유 2) 작년 8월 대응 훈련 을 예로 들었다.
큰 피해없이 대응이 잘 됐다라고 발표를 했지만, 이는 정부나 기관입장을 대변하는 얘기일 뿐이다.
고객의 입장에서 얘기를 해야하지 않을까.

2. 교육사이버안전센터 구축 현황 및 발전 방향 (교육과학기술부 팀장)

해당 정부부처의 대표로 발표를 했을텐데, 아쉬운 발표였다. 정리할 내용이 없다.

3. 개인정보보호 정책방향 (행정안전부 서기관)

- 구글에서 admin 페이지 검색하면 로긴 없이 볼 수 있는 지자체 사이트도 있어.
- 금감원 홈피에서 보이스 피싱 당한 사람 목록이 노출된 적이 있다고.
- CCTV가 최대 설치된 곳은 영국
- 단일면적당 CCTV가 최대 설치된 나라는 우리 나라. 1km2 당 25대 정도
CCTV천국이라고 해도 되지 않을까 싶다. 점점 빅브라더 시대가 오고 있다. ㅠ.ㅠ (개인적 생각)

- 개인정보 유출통지 제도 도입 -> 회원의 개인정보가 유출될 경우 통지해야 한다는 것임
- 8월 현재 1325개 사이트가 아이핀 도입.
- 2009년 현재 7천여개 웹사이트 대상으로 주민번호 노출여부 지속 점검 중 (현재 노출 건수는 점점 줄어들고 있음. 2008년 2.3% 미만)

4. DDoS 관련 발표

DDoS 발표 3가지 모두 새롭게 다가온 내용은 없었다. 워낙 이번 77 DDoS공격에 대한 분석자료가 많이 공개되어 있는 탓일 것이다.
발표 내용 정리보다는 A3C, 안철수연구소의 분석 자료를 참고하는게...

- A3C의 '7.7 DDoS 분석'
- 안철수연구소의 77 DDoS 분석 자료 (v1.2)

마지막 세션인 'DDoS 공격 대응기술 (나우콤 이사)' 발표 후 질문자가 없어서, 좌장인 충남대 교수님이 질문을 했다.

- 질문 (충남대 교수) : 유형별로 DDoS 장비를 사야하는가, 장비 하나로 가능한가
- 답변 (나우콤 이사) : 1대로 모든 유형을 막을 수 있는 장비여야 한다. 그런 장비가 아니면 잘 못된 것이다.

'모든 유형을 막는 장비가 있고, 그 장비 하나면 된다'라는 인식을 갖을 수도 있어서 언급한다. 또한 발표자가 나우콤 임원이라서, 그런 장비가 나우콤 것이다라는 인식을 갖을 수도 있다. 모든 유형을 막는다? 요즘 장비들 다양한 유형을 차단한다. 그리나 유형별로 모두 좋은 성능을 발휘하는 것이 아니다. 장비별로 공격 유형에 따라 차단 성능의 차이가 난다.

1차적으로 운영 사이트에 들어오는 공격유형과 서비스 유형에 적합한 장비를 도입하고,
2차로 상보적인 장비를 추가 도입하는게 나은 구성이 될 것이다. 소규모 사이트라면 사이트에 맞는 최적의 장비 1대밖에 운영할 수 밖에 없지만....

※ 발표 내용에서 제 개인적인 생각은 '개인적 생각'으로 표시를 해뒀다.