안녕하세요,
저는 100인 초반의 상장사에서 전산을 담당하고 있는 새내기 입니다.
최근 임원진이 피싱 사례나 보안에 관심을 보이면서 무언가를 도입해보려고 하는데요.
비슷한 규모의 상장사에서는 어떤 보안을 하고 있는지 궁금합니다!!
사내 보안과 외부적 보안 부터 워낙에 폭이 다양해서 어느 것 부터 시작해야할지 고민이 되는데
우선 임원진들은 협력업체에 저희 회사 메일인척 사칭하는 건이 증가함에 고려하는 걸로 확인됩니다.
해당 이슈에 적합하거나, 그래도 상장사인데 이거는 최소 필요하다 하는 것 추천 부탁드립니다!!
번거로우시겠지만 기업의 규모도 같이 안내해주신다면 참고하는데 더 좋을 것 같습니다
항상 감사합니다!!
해당 질문의 문제를 해결, 도움이 되는 선택된 답변이 있습니다.
작성된 다른 답변도 확인해 보시기 바랍니다..
11개의 답변이 있습니다.
"상장사"라는 타이틀로 별도로 보자면 유출측면보다는 회계관련 사항이 필요할 수도 있습니다.
내부회계관리제도 대상이시라면 DB보안(DBsafer)가 우선일수도 있습니다.
"상장사"에 초점을 두는것이 아니라 "기술유출방지"측면쪽이 강하다 라고하면 대표님의 의견을 정확하게 여쭤보세요.
기술유출방지에서 "내부유출"이냐, "외부침입"이냐에 따라서도 우선순위가 달라질것입니다.
임직원이 어디까지인지는 모르겠으나, 스팸방지는 필요한 사항은 맞지만 모든것을 막을수는 없습니다.
대체적으로 모든것이 없을때 도입시에 임직원들은(경영진제외) 내부유출보안(DLP,가상화,문서중앙화 등)은 심한 거부감이 있으며, 외부침입 보안(방화벽, 스팸필터 등)은 환영합니다.
내부유출 보안적용시는 거의 대부분 업무가 불편해지고 로그가 남는다는 사항에 꺼려하지만, 외부침입 보안은 뚫려도 전산탓만 하면 끝이기 때문입니다.(스팸필터 적용해도 가끔 들어옵니다. 그냥 훅 눌러버리고 탓하기도 합니다.)
상장사라서 보안이 필요하다거나 하진 않을거 같습니다.
그것 보다는 제공하는 서비스 내용에 따라 보안 수준을 정해야 할듯 합니다.
저희 회사도 상장사 이긴 한데요.
보안 별거 없습니다. ㅎ
상장사 여부보다고 ISMS 해당 여부가 더 중요한거 같습니다.
상장사는 좀 다른 부분이 있죠
회계감사에 대햐 보안 취약점 부분이 별도로 진행한다는거 .
그래서 내부망 /외부망 그리고 비인가 접속 NAC , DB 보안 키 관리 등등
햐야할게 많습니다
Genghis Khan | 9달 전
그룹사 전체 매출 2조
계열 상장사 근무
말단사원 | 9달 전
스팸 관련해서는 따로 사용중이신건 없으신가요?
Genghis Khan | 9달 전
메일에 보안은 스팸스나이퍼 사용합니다
일단 솔루션으로 구분하기는 회사마다 상황이 다르니까 말하기 그렇고 ISMS나 ISO27001 적용여부에 따라 다르다는게 더 정확할거같아요. 이게 적용되있으면 보안규정이나 제반 사항들이 일정수준이 되어야 하는 거니까요. 솔루션은 워낙 다양하고 구성하기 나름이라 이렇게 말씀드리긴 그렇고 보안적으로도 공개안되는게 좋기때문에 전부다 알긴힘들꺼에요. 요즘은 클라우드 플레어같은걸로 아예 사전에 다 걸러내버리기도 하고요. 암튼 이부분부턴 컨설팅하기 나름입니다.
말단사원 | 9달 전
다행히 지금 인증 관련은 뭐가 없어서 가장 대중적인 것 부터 살펴봐야 겠네요
감사합니다
저희도 150명 정도 규모의 상장사인데... utm (IPS), DLP, DRM, 문서중앙화, 백신, 스팸메일 이정도 사용중입니다. NAC 은 도입검토중이구요.
말단사원 | 9달 전
안내해주셔서 감사합니다
모든 회사가 동일하지 않나요? 방화벽, DRM, DLP,그리고 망분리, 등등 보안을 하자면 많이 해야 겠죠
말단사원 | 9달 전
할 수록 좋은 건 알고 있지만, 최소의 비용으로 최대의 효율을 바라니 문제네요 ㅠ
원하는 방향성 먼저 확인 후 진행해봐야겠습니다.
감사합니다
피싱은 솔직히 스팸차단 솔루션을 도입한다고 해도 막을순 없습니다. 악성메일 훈련을 통해 임직원 개개인들이 보안에 신경쓰고 불필요한메일은 읽지 않는 습관을 들이는게 중요합니다.
보안솔루션들은 상장사 정도되면 DLP와 백신, NAC정도 도입하신 뒤에 임직원 보안교육을 통해 보안을 신경쓰는게 좋습니다.
요즘은 피싱메일이 많은 이유가 외부에서는 해커들이 뚫지를 못하니, 내부에서 외부로 빼돌리기 때문에 피싱이나 랜섬웨어 등과 같은 방법을 통하는 것입니다.
내부의 적이 무서우니 내부 직원부터 보안교육을 통해 관리하는게 좋을듯 싶습니다.
말단사원 | 9달 전
저희 회사 내에서 피싱이 발생하면 그나마 다행인데
협력 업체에 저희를 사칭해서 메일이 가는게 반복되다보니 위에서 찾아보라 하네요..
말씀처럼 내부 보안을 강화한다고 나아지지는 않을 듯한데 이 기회에 도입할 수 있다면 하고 싶네요 ㅠㅠ
보안 교육도 같이 전달해서 강화해보겠습니다.
감사합니다
에이스퐝 | 9달 전
메일을 사칭해서 나가도 실제 그쪽 협력업체에서 스팸차단솔루션이 없으면,
해당 협력업체 전산담당자나 관리자에게 smtp단 로그를 보면 실제 보낸 사람 주소와 IP가 일치하지 않으면 열어보지 말라고 알려주는 것도 좋은 방법일듯 합니다.
실제 메일이 해킹당해서 보낸게 아니라 사칭해서 가면 그건 어쩔수가 없는 거라.. 사용자들이
진짜 의심을 가지고 조심하는수밖엔 없습니다.
기업의 규모 상장 비상장에 따른 요구사항이 다르니 솔루션상담실을 통하여 전문가의 도움을 받으시길 바랍니다.
말단사원 | 9달 전
네 한번 물어봐서 좀 더 자세한 도움을 받아봐야겠네요 감사합니다
상장사이냐 아니냐로 보안에 차이가 있을까요..?
회사 규모, 업종 특성, 개인 정보 보유 규모 등등에 의해 보안 대상, 보안 등급 등에 차이가 있지 않을까 싶은데요~
말단사원 | 9달 전
주변 회사는 어떻게 하는지가 위에서 궁금해 비슷한 사례를 찾아보고자 합니다.
말씀대로 상장사 보다는 규모와 동종 업계는 어떻게 하고 있는지를 좀 더 알아봐야겠네요
감사합니다
보안 인증이나 심사에서 기본적으로 고려하는 관리적,물리적,기술적 측면을 큰 카테고리로 생각하셔서
고민하시면 될 것 같습니다.
아래 단계는 정형화된 보안 로드맵 까지 아니지만 개인적으로 참고하는 내용이긴 한데
회사 마다 어느쪽에 더 비중을 두느냐에 따라 단계가 달라지긴 할거라 참고만 하시면 될 거 같습니다 !
1단계 : 백신, 방화벽(요즘 방화벽은 IDS/IPS까지 지원하는 게 많습니다.), 자산관리, 통합보안솔루션(매체제어,파일 유출 방지 기능 등)
2단계 : 패치관리(PMS) , 웹방화벽(WAF), 메일보안, 출력물보안, 로그관리, 업무시스템 개인정보보안, 통합로그관리, 키보드보안, 싱글사인온(SSO) , DB암호화, DB 접근제어
3단계 : 좀비PC탐지, 보안OS, 시스템취약점 분석 , 웹스캐너,, 보안구성관리(SCM) , 통합계정관리 , 2FA 인증, 통합PC보안 - PC 가상화
4단계 : 모바일보안,위협/위험관리시스템, 바이오시스템(정맥,홍체,다중인식 등)
말단사원 | 9달 전
자세히 기재해주셔서 감사합니다.
개인적으로는 DLP 쪽을 도입하고 싶지만 임직원은 스팸 방지에 초점인 듯 해서 의사결정이 필요할 것 같네요.
어느쪽에 비중을 더 두는지 먼저 확인 후 찾아봐야할 것 같습니다
감사합니다!!