"pe/security" 태그로 연결된 5개 게시물개의 게시물이 있습니다.

접근제어 개념​

• 권한이 있는 계쩡에만 특정 데이터 또는 자원에 접근하는 것이 가능하도록 하는 방법

접근제어 유형​

구분	내용	비고
DAC	사용자나 그룹에 근거한 접근 제어	소유자의 권한 변경
MAC	객체별로 정의된 권한을 근거로 접근 제어	군에서 사용, 중앙집중식
RBAC	역할에 의 한 접근 제어	최소권한, 직무분리, 계층 분리

강제적 접근 통제 모델​

MAC, Mandatory Access Control

벨-라파둘라​

• 군사용 보안구조 요구사항 충족을 위해 미국의 벨과 라파둘라가 최초 개발
• 정보의 파괴나 변조보다는 기밀성 유지에 초점
• 극비, 비밀, 미분류로 분류
• No Read Up, No Write Down

비바 무결성​

• 벨-라파둘라 몯레에서 불법 수정방지 내용 추가로 정의한 무결성 모델
• 비인가자의 데이터 수정 방지 기능
• 낮은 비밀등급에서 높은 비밀등급으로 Write 금지함으로 무결성 오염 방지
• No Write Up, No Read Down

클락-윌슨​

• 상업환경에 적합하게 개발된 불법 수정방지를 위한 접근통제모델로 무결성 방지
• 임무 분리의 원칙
• 상용, 금융, 회계 데이터
• Well-Formed Transactions: 모든 거래사실 기록, 구현 복잡

비교​

구분	벨-라파둘라	비바	클락-윌슨
보호대상	기밀성	무결성	무결성
특징	비인가된 읽기 금지	비인가된 기록 금지	무결성 보존
분야	군사, 정부	금융, 의료	상업, 금융, 회계
장점	기밀성	무결성	무결성 및 신뢰성
단점	유연성 부족	기밀성 부족	복잡한 구현
비고	No Read Up, No Write Down	No Write Up, No Read Down	무결성 검증 절차 사용

접근제어 고려사항​

• 계정이 탈취되는 경우 접근제어로 비밀 보장을 할 수 없으므로, MFA를 활성화하여 보안 강화 필요

참조​

• Sprinto: Types of Security Models

OWASP LLM 개요​

• 기업에서 대규모 언어모델을 배포하고 관리할 때 발생할 수 있는 보안 위험에 대해 대비하기 위한 상위 10가지 취약점

OWASP LLM Top 10 취약점​

1. 프롬프트 인젝션​

• Prompt Injection
• 공격자가 조작된 입력을 통해 LLM을 조종하여 데이터 및 민감 정보를 추출
• 권한 제어, 인간 승인, 사용자 프롬프트에서 신뢰할 수 없는 내용 분리, LLM을 신뢰할 수 없는 것으로 처리

2. 안전하지 않은 출력 처리​

• Insecure Output Handling
• LLM 출력을 검증 없이 보낼 경우 XSS, CSRF, SSRF, 권한 상승, 원격 코드 실행 가능
• 출력을 사용자 입력처럼 취급하여 검증, 출력 인코딩으로 코드실행 차단

3. 훈련 데이터 중독​

• Training Data Poisoning
• 훈련 데이터나 과정에 악의적인 데이터를 주입하여 보안 취약점, 편견, 백도어 삽입
• 공급망 검증, 데이터의 정당성 확인, 사용 사례별 훈련 모델 구축

4. 모델 서비스 거부​

• Model Denial of Service
• 공격자가 LLM 서비스에 DoS 공격하여, 서비스 품질 저하나 높은 비용 초래
• 입력 유효성 검사, 리소스 사용 제한, API 호출 제한

5. 공급망 취약점​

• Supply Chain Vulnerabilities
• 취약한 데이터, 모델, 서비스, 시스템으로 인해 LLM이 취약점에 노출
• 공급업체 평가, 플러그인 테스트, 최신 구성 요소 사용

6. 민감 정보 노출​

• Sensitive Information Disclosure
• LLM이 민감 정보를 공개하여 저작권 침해, 사생활 침해가 발생
• 훈련 데이터 정제, 입력 유효성 검사, 파인 튜닝 시 민감 데이터 주의

7. 안전하지 않은 플러그인 설계​

• Insecure Plugin Design
• 부적절한 입력 검증과 접근 제어 부족으로 인해 데이터 유출, 원격 코드 실행 등이 발생
• 매개 변수 제어, OWASP 가이드라인 적용, 철저한 테스트 및 검증

8. 과도한 권한​

• Excessive Agency
• LLM 기반 시스템이 너무 많은 기능, 권한 또는 자율성을 가지고 있어 오용 가능
• 기능 제한, 권한 제어, 사용자 승인

9. 과도한 의존​

• Overreliance
• LLM에 대한 과도한 의존은 잘못된 정보, 법적 문제, 보안 취약점을 유발
• LLM 출력의 지속적 검토 및 검증, 신뢰할 수 있는 소스와의 비교, 파인튜닝 통한 품질 향상

10. 모델 탈취​

• Model Theft
• 무단 접근을 통해 LLM 모델이 유출되어 경제적 손실, 명성 손상, 민감 정보 접근 위험 발생
• 접근 제어 및 인증 강화, 네트워크 제한, 접근 로그 모니터링

참조​

• OWASP: OWASP Top 10 for Large Language Model Applications

OWASP 개요​

• Open Web Application Security Project
• 소프트웨어의 보안 취약점을 분석하고 연구하는 비영리 단체

OWASP 2024 Top 10 취약점​

1. 접근 권한 취약점​

• Broken Access Control
• 사용자가 권한을 벗어나 행동할 수 없도록 정책 시행
• 취약한 경우 모든 데이터를 무단으로 열람, 수정, 삭제 가능

2. 암호화 오류​

• Cryptographic Failures
• 적절한 암호화가 없을시 민감 데이터 노출 가능

3. 인젝션​

• Injection
• SQL, NoSQL, ORM, LDAP의 인젝션 취약점
• 사용자 제공 데이터 조작을 위한 공격, XSS 포함

4. 안전하지 않은 설계​

• Insecure Design
• 설계 단계에서 발생하는 보안 결함
• 요구사항 및 리소스 관리, 보안 설계, 보안 개발 생명 주기

5. 보안 설정 오류​

• Security Misconfiguration
• 어플리케이션 보안 설정이 누락되거나 클라우드 서비스 권한이 잘못된 경우

6. 취약하고 오래된 컴포넌트​

• Vulnerable and Outdated Components
• 취약한 어플리케이션, 라이브러리, 프레임워크 등의 보안 위협

7. 식별 및 인증 오류​

• Identification and Authentication Failures
• 취약한 인증에서 식별까지 포함된 보안 결함
• 사용자 신원확인, 인증, 세션관리 취약점

8. 소프트웨어 및 데이터 무결성 오류​

• Software and Data Integrity Failures
• 안전하지 않은 역직렬화가 병합된 항목으로, 어플리케이션이 신뢰할 수 없는 소스, 저장소, 라이브러리, 모듈에 의존하는 경우 발생

9. 보안 로깅 및 모니터링 오류​

• Security Logging and Monitoring Failures
• 로깅으로 공격 발생 감지 및 대응까지 포함

10. 서버 측 요청 위조​

• Server-Side Request Forgery
• 어플리케이션이 사용자 제공 URL의 유효성을 검사하지 않고 원격 리소스를 가져올 때 발생

참조​

• OWASP: OWASP Top Ten

ISMS-P 개요​

정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합한지 인증하는 제도

법적 근거​

• 정보통신망법 제 47조
• 개인정보 보호법 제 32조 2

인증 체계​

• 정책기관: 과기정통부, 개인정보보호위원회
• 인증기관: 한국인터넷진흥원(KISA), 금융보안원(FSI)
• 심사기관: 한국정보통신진흥협회(KAIT), 한국정보통신기술협회(TTA), 개인정보보호협회(OPA), 차세대정보보안인증원(NISC)

인증 기준​

1. 관리체계 수립 및 운영​

• 관리체계 기반마련
• 위험관리
• 관리체계 점검 및 개선
• 관리체계 운영

2. 보호대책 요구사항​

• 정책, 조직, 자산관리
• 인적보안
• 외부자보안
• 물리보안
• 인증 및 권한관리
• 접근통제
• 암호화
• 정보시스템 도입 및 개발 보안
• 시스템 및 서비스 운영 관리
• 시스템 및 서비스 보안 관리
• 사고 예방 및 대응
• 재해복구

3. 개인정보 처리단계별 요구사항​

• 개인정보 수집 시 보호 조치
• 개인정보 보유 및 이용 시 보호조치
• 개인정보 제공 시 보호조치
• 개인정보 파기 시 보호조치
• 정보주체 권리 보호

참조​

• KISA: ISMS-P 제도소개

법적 근거​

개인정보 보호법 및 시행령 2차 개정사항 안내서 및 현장설명회 자료

주요 변경사항​

보호수준평가, CPO 자격요건, 손해배상책임 대상, 국외 개인정보 처리방침

구분	기존내용	변경내용
공공기관 개인정보 보호수준 평가	진단 결과의 법적 근거 미비, 평가 절차와 대상 선정 기준 부재	평가 절차와 기준 명확화, 법적 근거 신설, 결과 공개 및 연간 평가 실시
개인정보 보호책임자 제도 개선	CPO 자격 요건과 협의회 부재	CPO 자격 요건 강화, CPO 협의회 신설로 협력 강화
완전자동화 결정에 대한 정보주체의 권리	AI 결정에 대한 정보주체 권리 미규정	AI 결정에 대해 설명 요구 및 권리 거부 가능 근거 마련
손해배상책임 보장 의무대상 확대	손해배상책임 이행 의무 대상 제한적	의무 대상을 모든 개인정보처리자로 확대, 매출액 및 보유량 기준 정비
고유식별정보의 관리실태 정기조사	불규칙적 조사로 관리 미흡	관리실태 정기조사 주기 3년으로 명확화, 관리 강화
국외 수집·이전 개인정보 처리방침 공개	국외 이전 개인정보 처리방침 비공개	국외에서 수집하거나 이전하는 개인정보 처리방침 공개 의무화

CPO​

실무4년, 박사2년, 개인정보 거버넌스

구분	기존 요건	개정 요건
자격 요건	명확히 정의되지 않음	개인정보보호, 정보보호, 정보기술 경력 합쳐 총 4년 이상, 개인정보보호 경력은 최소 2년 이상 필요
학위 인정	학위 취득에 따른 경력 인정 규정 없음	- 박사학위: 개인정보보호 경력 2년 인정 - 석사학위: 개인정보보호 경력 1년 인정 - 학사학위: 개인정보보호 경력 6개월 인정
업무 범위	일반적인 개인정보 보호 업무	- 개인정보 보호 계획 수립 및 시행 - 개인정보 처리 실태 조사 및 개선 - 불만 처리 및 피해 구제 - 내부 통제 시스템 구축 - 개인정보 보호 교육 계획 수립 및 시행
독립성 보장	독립성 보장에 대한 명확한 규정 없음	개인정보처리자는 CPO가 업무를 독립적으로 수행할 수 있도록 지원, 업무 수행 중 불이익 주지 않아야 함