보안칼럼

SSO(Single Sign-On)는 현대 비즈니스 인프라의 핵심이다. 하나의 인증으로 여러 시스템에 접근할 수 있게 함으로써 사용자 편의성과 운영 효율성을 크게 높인다. 계정 관리 일원화, 인증 정책 통합 적용이라는 장점 덕분에 공공기관부터 금융, 일반 기업까지 SSO 도입은 이미 보편화되었다. 하지만 편의성 이면에는 구조적 리스크가 존재한다. SSO 환경은 개별 시스템이 직접 인증하지 않고 통합 인증 시스템의 결과를 신뢰하는 구조다. 이것은 무슨 의미일까? 인증 서버 장애, 인증 정보 탈취, 관리자 계정 침해 같은 단일 사건이

2025년은 대한민국 정보보호 역사상 가장 뼈아픈 해로, ‘디지털 재난의 원년’으로 기록될 것이다. 국가 기간 통신망의 중추인 KT와 SKT, 그리고 이커머스 시장의 절대 강자인 쿠팡까지 연이어 침해 사고를 겪었다. 특정 기업의 일회성 사고로 치부하기에는 피해 규모와 사회적 파장이 너무 컸다. 개인정보 유출은 단순한 정보 손실이 아니라, 국민의 일상과 기업의 존립을 위협하는 사회적 재난으로 확장되고 있다. 지난 한 해 동안 발생한 일련의 사태는 하나의 질문으로 귀결된다. “왜 이렇게 많은 보안 투자를 하고도 사고는 반복되는가?” 그

한 해가 저물 무렵이면 우리는 흔히 지나온 시간을 돌아보며 ‘다사다난했던 한 해’라는 말로 정리하곤 한다. 그러나 보안의 관점에서 되돌아본 2025년은, 그 표현만으로는 부족할 만큼 파란만장한 한 해였다. SK텔레콤의 유심 정보가 포함된 고객정보 유출 사고를 시작으로, KT의 펨토셀 해킹 사건, 롯데카드의 고객정보 유출 사고까지, 국내 주요 기업들은 단 한순간도 보안 이슈에서 자유롭지 못한 시간을 지나왔다. 그리고 이러한 일련의 사건들은 결국 쿠팡의 개인정보 유출 사고로 그 정점을 찍었다. 이번 칼럼에서는 가장 최근에 발생한 개인정

클라우드 확산, 원격근무 확대, AI 기반 공격의 고도화로 기존 경계 중심 보안은 더 이상 효과적이지 않다. 공격자는 합법적 계정과 정상적인 접근 흐름을 악용하며, 보안의 중심축은 자연스럽게 ‘신원(Identity)’으로 이동하고 있다. 이제 IAM만으로는 동적인 위협을 제어하기 어려워졌고, 정부 역시 N2SF를 통해 강화된 신원-자격증명-접근관리 체계를 요구하고 있다. 본 칼럼은 이러한 변화 속에서 ICAM이 왜 제로트러스트의 핵심 전략으로 부상했는지, 그리고 지금 조직이 ICAM 전환을 고민해야 하는 이유를 간결하게 제시하고자

클라우드, AI, SaaS 환경이 빠르게 확산하면서 기존 물리적 망 분리 중심의 보안 체계는 점차 한계에 직면하고 있다. 그럼에도 불구하고 여전히 일부 기관과 기업은 “망 분리만 지키면 충분하다”는 인식에 머무르고 있다. 본 칼럼은 왜 지금이야말로 제로트러스트 기반 보안으로의 전환이 필요한 시점인지, 그리고 이를 뒷받침하는 국가 망 보안 체계인 N2SF(National Network & Security Framework)가 어떤 의미를 가지는지를 구체적으로 살펴보고자 한다. 특히 최근 국가정보원이 발표한 N2SF 가이드라인 1.0과

양자컴퓨터 기술이 빠르게 발전하면서 이에 따른 보안 위협이 점차 현실화되고 있다. 그러나 여전히 일부 기업과 기관은 ‘양자컴퓨터가 상용화된 후 대응하면 된다’는 생각을 가지고 있다. 본 칼럼은 양자암호가 현재 시점에서 보안 전략의 필수 요소인 이유를 명확히 제시하고자 한다. 특히 모스카 이론(Mosca’s Theorem)을 기반으로 양자컴퓨터 시대를 미리 준비해야 하는 이유를 논리적으로 설명한다. 또한 과거 암호 체계 전환 사례를 통해 전략적으로 대응 시간을 계산할 때, 지금이 바로 양자암호를 도입하고 전환을 서둘러야 할 시점임을

국내 PKI 기술의 발전사와 향후 전망: 디지털 신뢰의 뿌리, 그 진화와 미래를 말하다 디지털 전환이 가속화된 지금, 사용자 인증과 데이터 무결성 보장은 모든 온라인 서비스의 출발점이자 핵심 요소다. 그 중심에는 PKI(Public Key Infrastructure), 즉 공개키 기반 구조가 있다. 우리나라는 2000년대 초 공인인증서를 기반으로 한 PKI 인프라가 도입된 이후 지금까지 제도와 기술, 시장의 흐름에 따라 그 모습이 끊임없이 변화해왔다. 공인인증서가 사라진 시대, 민간 인증이 경쟁을 벌이고 생체정보와 양자내성암호의 도

오늘날 AI는 사람과 대화하며 맥락을 이해하고, 시를 쓰며, 그림을 그리고, 우리보다 더 많은 정보를 기억할 수 있다. AI가 새로운 디지털 문명을 창조하는 중이라 해도 과언이 아니다. AI가 21세기 초반의 IT 핵심 기술 중 하나로 자리를 확고히 하는 지금, 보안 분야에서도 AI는 위협을 예측하고 스스로 대응하는 지능형 방어체계의 중심축이 되고 있다. 그러나 밝은 면이 있으면 어두운 면도 있듯이, AI를 무력화하고자 하는 기술 또한 인공지능의 발전과 함께 진화하고 있다. 이번 칼럼에서는 AI의 발전과 함께 변화하는 보안 기술을

“개발자는 AI가 짜준 코드를 그대로 커밋했다. 그런데 이 코드, 정말 회사 것이 맞을까?”  1. AI 코딩 시대의 코드 자산 관리: 기업이 확인해야 할 권리와 책임 ■ AI가 초안을 쓰고 개발자가 다듬는 개발 방식 생성형 AI 기반 코딩 도구가 개발 현장의 기본 도구로 자리 잡았다. 개발자가 자연어로 요구사항을 입력하면 AI가 프로젝트의 기본 구조를 만들고 함수나 모듈 단위의 코드를 작성한다. 개발자는 이를 수정·검토해 저장소에 커밋한다. 최근에는 AI 에이전트가 여러 파일을 한꺼번에 고치고 테스트까지 실행하는 방식도 빠르게

AI가 다른 AI에 일을 맡길 때 권한과 목적은 어떻게 전달되는가. 위임 체인의 세 가지 위험과 실행 전 검증, 기업의 점검 항목을 살펴본다. 1. 권한 희석(Authority Dilution): 위임 체인에서 AI 에이전트 권한이 달라지는 이유 한 개의 AI 에이전트에게 일을 맡기는 시대는 짧았다. 이제 에이전트는 다른 에이전트를 부르고, 그 에이전트는 다시 도구를 부른다. 보안의 질문도 그에 맞춰 바뀌어야 한다. 1.1 위임 체인(Delegation Chain)이란 무엇인가 사용자가 비서 역할의 에이전트A에게 “지난 분기 거래처

AI 에이전트는 업무 방식을 바꿀 편의성을 제공하지만, 그 자율성에는 구조적 보안 위협이 내재되어 있다. 보안 전문 기업의 관점에서 위협의 실체와 실제 공격 사례를 분석하고, 인증과 안티봇을 비롯한 기술적 대응 방향을 제시한다. 1. 자율형 AI 에이전트의 구조적 취약점: 프롬프트 인젝션과 데이터 유출 리스크 1.1 생성형 AI에서 자율형 에이전트로: 연평균 139% 성장과 구조적 한계 영화 속 아이언맨에게는 자비스라는 인공지능 비서가 있다. 주인의 말 한마디에 자료를 분석하고, 시스템을 제어하며, 스스로 판단해 작업을 대신 수행하

생성형 AI 기반의 자동화 크리덴셜 스터핑 공격이 급증함에 따라 기존 지식 기반 비밀번호 체계는 한계에 봉착했다. 비밀번호 복잡성 정책이 초래하는 보안과 편의성의 역설을 극복하기 위해 소유인증, 기기인증, FIDO2 패스워드리스(Passwordless)가 유기적으로 결합된 차세대 멀티인증(MFA) 아키텍처 구축이 시급하다. CISO 및 보안 결정권자를 위한 3단계 실행 가이드라인과 비즈니스 연속성 확보 전략을 제시한다. 1. AI와 자동화 공격의 대중화: 전통적 비밀번호 방어 체계의 기술적 붕괴 과거 사이버 침투가 독보적인 기술 역

1. 미토스의 등장과 AI의 공격 ① 단독 취약점의 한계 극복과 AI기반의 고도화된 공격 경로 AI가 보안에 들어온 방식이 달라지고 있다. 초기의 생성형 AI는 보안 담당자의 문서 작성과 코드 설명을 돕는 보조 도구에 가까웠다. 그러나 최근 등장한 AI 보안 모델은 취약점을 찾고 여러 약점을 연결하며 공격 가능성이 높은 경로를 제시하는 단계로 이동하고 있다. 미토스가 주목받는 이유는 여기에 있다. 강력한 공격자가 나타났다는 공포를 뒤로하고 보아야 할 것은 분명하다. “AI가 공격과 방어의 시간표를 바꾸고 있다” Mythos 5 (미

데이터의 기밀성(암호화)과 무결성(인증)을 동시에 보장하는 인증 암호화(AEAD, Authenticated Encryption with Associated Data) 방식인 GCM(Galois/Counter Mode)은 블록암호(AES, ARIA 등) 운용 모드의 표준이다. NIST SP 800-38D를 통해 표준화되어 있으며 국내 암호모듈(KCMVP) 제도상에서도 검증대상 운영모드로 채택되어 있다. 이러한 GCM이 안전하게 동작하기 위해서는 nonce(IV)의 유일성과 같이 반드시 지켜져야 하는 운용 조건이 존재한다. 본 칼럼은

1. 경계 기반 보안의 한계와 계정 탈취 위협 ① 디지털 전환의 가속화와 데이터 처리 구조의 근본적 변화 디지털 대전환 시대를 맞이한 기업과 공공기관의 IT 환경은 클라우드, 모바일, 그리고 수많은 IoT 기기가 유기적으로 얽힌 거대한 데이터 허브로 진화했다. 이러한 변화는 비즈니스 전반에 걸쳐 데이터 처리의 실시간성을 강력하게 요구하고 있으며, 이에 따라 보안 시스템 역시 과거의 정적인 방어 체계에서 벗어나 역동적인 탐지 체계로 변화해야 하는 시대적 과제에 직면했다. 하지만 대다수 조직의 보안 인프라는 여전히 방화벽(Firewal

양자컴퓨터 시대를 앞두고 당사 서비스를 대상으로 직접 수행한 PQC 전환 시범 프로젝트의 실제 경험을 바탕으로, 암호자산 탐색·평가 과정의 현실적 도전과 시사점을 공유한다. '우리 시스템의 암호가 양자 위협 앞에 얼마나 안전한가'라는 질문에 답하기 위해 무엇을 해야 하는지, 그리고 PQC 전환을 준비하는 조직이 지금 당장 취해야 할 행동이 무엇인지를 실증적으로 제시한다. 1. 기업이 PQC 전환 로드맵을 서둘러야 하는 이유 2024년 8월, NIST는 ML-KEM(FIPS 203), ML-DSA(FIPS 204), SLH-DSA(F

SSO(Single Sign-On)는 현대 비즈니스 인프라의 핵심이다. 하나의 인증으로 여러 시스템에 접근할 수 있게 함으로써 사용자 편의성과 운영 효율성을 크게 높인다. 계정 관리 일원화, 인증 정책 통합 적용이라는 장점 덕분에 공공기관부터 금융, 일반 기업까지 SSO 도입은 이미 보편화되었다. 하지만 편의성 이면에는 구조적 리스크가 존재한다. SSO 환경은 개별 시스템이 직접 인증하지 않고 통합 인증 시스템의 결과를 신뢰하는 구조다. 이것은 무슨 의미일까? 인증 서버 장애, 인증 정보 탈취, 관리자 계정 침해 같은 단일 사건이

양자컴퓨팅이 '창'이라면, 이에 대응하는 양자내성암호(Post-Quantum Cryptography, PQC)는 '방패'에 비유할 수 있다. 양자컴퓨터가 현재의 암호 알고리즘(특히 RSA 또는 ECC)을 쉽게 해독할 수 있는 잠재력을 가진 반면, PQC는 양자컴퓨터의 공격에 대항할 수 있도록 설계된 암호 알고리즘이다. 양자내성암호는 특정 수학적 문제를 기반으로 하며, 대표적인 예로 격자 기반 암호(Lattice-based cryptography), 코드 기반 암호(Code-based cryptography), 다변수 다항식 기반 암

간편인증 패러다임의 전환 과정을 살펴보면, 인증 기술은 정보보호와 신원확인을 위한 필수적인 수단으로 디지털 기술의 발전과 함께 꾸준히 진화해왔다. 1990년대 후반 (구)공인인증서의 도입은 인터넷 금융과 전자상거래 등에 필수적인 인증과 전자서명을 가능하게 하여 관련 산업 발전의 밑거름이 되었다. 그러나 시간이 지날수록 각종 보안 문제가 대두되고 사용자 편의성을 저해하는 등 공인인증서의 여러 가지 부정적인 요소가 부각되었다. 이에 따라 2020년 전자서명법 개정을 통해 (구)공인인증서의 독점이 폐지되면서 민간 간편인증서비스가 본격적으

'개인정보 보호를 위한 법제도의 변화와 자기주권신원 기술 동향' 파트2에서는 자기주권신원(SSI) 개념과 탈중앙화 신원인증(DID) 기술을 알아보고 이를 구현한 구체적인 사례를 살펴본다. 자기주권 신원(SSI) 개념과 탈중앙화 신원관리 기술 중앙집중형 신원 인증 방식의 한계 자기주권 신원(Self-sovereign Identity, SSI) 개념과 탈중앙화 신원관리 기술은 중앙화 된 신원 인증 방식의 여러 단점이 드러나고, 개인정보 보호 및 디지털 신원관리의 중요성이 부각되는 세계적 추세와 맞물려 발전했다. 전통적인 디지털 신원 시

우리는 사람과 사물, 서비스가 인터넷을 통해 그물처럼 연결된 초 연결 시대의 한 가운데 살고 있다. 이 복잡한 빛과 전자의 길을 통해 현대인들은 삶의 많은 부분을 인터넷에 '업로드'했다. 이 길을 따라 이동하는 정보 중에는 이름, 생년월일, 서비스 계정, 주소, 신용카드 번호 등 수많은 개인정보도 포함되어 있다. 서비스에 전달된 개인정보는 보고싶던 영화, 새로운 보험 계약, 내일 아침 반찬거리, 고장 난 수도꼭지를 대체할 부품 등으로 바뀌어 온·오프라인을 통해 우리에게 되돌아온다. 기본적인 의식주 활동부터 노동, 여가생활까지 온라인