[개인정보처리방침 개정] 정보통신서비스를 제공하는 회사 내 홈페이지의 개인정보처리방침은 이미 개정되어 사용하지 않는 용어가 사용되고 있었고, 기타 법률적인 요건이 검토되지 않은 기본 템플릿의 형태가 많았습니다. 이를 개정된 개인정보 보호법, 정보통신망법에서 사용하는 용어로 바꾸었고, 다른 법률적인 요구사항을 검토하여 적용 및 개정하였습니다.

더보기

[거래소 시스템 취약점 제거] 모의해킹 진단 경력을 살려 먼저 거래소 시스템의 웹 취약점을 발견했습니다. 간단한 소스 수정으로 취약점을 제거하는 경우가 많았지만, 다량의 소스코드를 수정해야 하는 경우도 종종 있었습니다. 그런 경우 개발진, 운영진과 함께 협의하여 취약점이 얼마나, 어떻게 위협이 되는지를 납득시켰습니다. 반복적인 취약점 제거 작업 끝에 30퍼센트 이상의 공격시도를 줄일 수 있었습니다. [ISMS를 위한 보안 증적 생성] ISMS 인증 획득을 위해 새로운 보안 솔루션을 도입하거나, 코인을 관리하는 과정에서 추가적인 보안 조치가 필요했고, 이를 문서화할 필요가 있었습니다. 기존 업무에서 추가적인 작업이 생겨난 것이기 때문에 구성원 간 고충이 생길 수밖에 없었습니다. 때문에 작업 효율을 해치지 않는 선에서의 적용이 필요했고, 지침 내에서 균형적으로 해결해 나갔습니다. [방송통신위원회 점검 대응] 암호화폐 거래소를 대상으로 한 방송통신위원회의 이행점검에 대응했습니다. 방통위의 점검 항목이 ISMS의 그것과 크게 다르지 않았지만, 거래소의 특성상 어쩔 수 없이 기준을 초과하는 부분이 있었습니다. 로그인 사용자의 자동 로그아웃 시간이 그러한 것인데, 차트를 켜놓고 들여다 봐야하는 거래소의 특성상 자동 로그아웃을 추가할 수는 없었습니다. 이에 세션 재사용 불가 등 세션 관리가 충분히 이루어지고 있음을 어필하였고, 추가적인 벌금 없이 성공적으로 점검에 대응할 수 있었습니다.

더보기

[6개월, 200여개의 서비스 점검] 고객사의 ISMS 인증을 위해 통합 모의해킹 프로젝트를 수행했습니다. 6개월간 200여개의 서비스를 점검했고, 이행점검까지 수행해야 했기 때문에 빡빡한 일정의 연속이었습니다. 하지만 각 서비스별 담당자가 달랐고, 점검에 대한 내용을 전혀 알지 못하는 담당자들도 많아 일정이 딜레이 되는 것이 가장 큰 문제였습니다. 이에 고객사의 보안 파트장에게 점검에 대한 공지를 해 줄 것을 부탁하며, 서비스 점검에 필요한 정보를 수집할 목적으로 간략한 양식을 만들어 배포했습니다. 이후 점검이 딜레이 되는 일이 상당 부분 해결되었고, 기한 내에 200여 개의 서비스 점검을 성공적으로 마칠 수 있었습니다.

더보기