정보유출방지를 위한 제언

1. 상담 ( 구축 ) 문의 : 솔루션사업부 이유신 이사
Tel : 070-4685-2648 ( 대 )
H/P : 010-2700-2648
E-mail : zion@zionsecurity.co.kr
www.zionsecurity.co.kr

2. 보안의 중요성
정보보호가 중요한 이유
추진배경 및 목적

3. 정보보호가 중요한 이유

4. 1. CEO 에게 정보보호가 중요한 이유
CEO 보안의식 결여 가장 큰 문제
4
○
○ CEO 들이 기업 보안에 대한 관심이
점점 높아져 가고 있지만 아직도 많이
부족한 것이 현실입니다 .
지난해 발생한 기밀 유출사건으로 약 5
조원의 손실을 입었으며 , 63.8% 가 중
소기업의 기밀 유출 사건이였습니다 .
실제로 큰 피해를 주는 회사 기밀 유출
은 퇴직 사원 등의 사람에 의해 발생하
는 경우가 많습니다 . 그렇기 때문에 “
사람”에 대한 관리가 반드시 필요합니다
.
사람에 대한 문제 해결의 열쇠는 바로
CEO 입니다 . CEO 는 정보보호를 기술
적인 문제뿐만 아니라 , 경영 차원의 문
제로 한 단계 격상 시켜 인식해야 합니
다 .
“ 사람”을 신뢰하되 , 기본적인 보안을
위한 제도와 시스템은 갖추어야 하는 것
입니다 .

5. 2. 기술유출 피해사례
국내 유수 중견기업
5
○ 서울중앙지검 첨단범죄수사부 ( 기술유출범죄수사센터 ) 는 , 최근 우리의 기술수준이 높
아져 첨단 IT 기술 등 핵심 기술이 국내외 경쟁 회사로 유출될 가능성이 증대됨에 따라 국내
첨단산업의 보호를 위하여 기술유출사범을 집중 단속한 결과 ,
○ 기업유형 : 핸드폰
○ 유출대상 : 유럽향 GSM/GPRS 스마트폰 제조기술
○ 위반법률 : 부정경쟁방지 및 영업 비밀보호에 관한법률 위반
○ 범죄사실 요지 :
- 업무 목적으로 보관 중이던 스마트폰 소스코드 , 회로도 등을 , 정○○ , 김○○에게 누설
- 채○○와 공모하여 스마트폰 기술자료를 유출
○ 이 사건의 특징
- 유럽향 스마트폰 제조기술 및 개발보드인 FPGA 회로도 등 A 社의 첨단기술 유출
- 피해회사의 전․현직 연구원의 적극적 공모로 회사의 핵심기술이 유출됨으로써 도덕 불감증
○ 이 사건의 특징
- 정보 입수 후 , 신속한 수사로 첨단기술의 해외유출 사용을 사전차단
- 첨범죄수사부내 기술유출범죄수사센터를 중심으로 기술유출 피해 신고 시 신속하고 철저한
수사로 기업의 영업비밀을 보호함
국내 외 기술유출 사건

6. 2. 기술유출 피해사례
국내 중소기업
6
○ 용접기기 관련 기술을 개발하는 A 사는 얼마 전 신입 연구원 B 를 채용하고 신기술
개발에 참여시킴 . 그러나 몇 달이 지나도록 B 는 기대했던 것만큼의 성과를 내지 못
하였고 , 결국 CEO 는 B 의 역량이 부족하다고 판단하여 그를 해고함
이에 불만을 품은 B 는 A 사의 핵심기술 중의 하나인 전원공급장치 도면 등 관련 정
보를 개인 노트북에 다운로드 받는 방식으로 몰래 가지고 나가 , 연구직을 보장받는
대가로 이를 경쟁업체로 넘김
○ 기업유형 : 기계소재
○ 유출대상 : 전원공급장치 관련 기술정보
○ 피해규모 : 약 1 억원
○ 유출인지 : B 가 퇴사한 지 6 개월 후 B 와 친분이 있는 내부 직원에의해 알게 됨
○ 조치사항
- B 에게 전화로 구두 경고하는 수준에서 그침
- 새로 개발된 기술은 가능하면 특허출원을 하고 , 같은 연구소직원이라도 본인이 담
당하고 있는 소스를 타인에게 공개하지 말 것을 교육
전 , 현직 종업원

7. 2. 기술유출 피해사례
국내 중소기업
7
○ 소프트웨어 부분 국내 최고 기술을 보유하고 있는 B 사에서 개발업무를 담당하던
팀원 5 명이 단체로 회사를 퇴직하고 직접 후발업체를 설립함
B 사에서는 퇴직사원이 후발업체로 이직하는 경우가 종종 있어 이를 알고도 묵인하였
는데 , 얼마 후 퇴직자들이 B 사의 기술 노하우를 이용하여 유사한 제품을 생산 , 판
매하고 있다는 사실을 확인하고 소송을 제기함
○ 기업유형 : 정보통신
○ 유출대상 : 소프트웨어 솔루션
○ 유출배경 : B 사는 ○○ 소프트웨어 관련 분야에서 국내점유율 70% 를 차지하는
국내 선두기업으로 항상 국내•외 후발주자들로 부터 기술유출에 대한 위협을
받고 있음
○ 피해규모 : 사업비 ( 약 20 억원 ) + α
○ 유출인지 : 시장규모가 작을 뿐만 아니라 국내 선두기업으로서 유통
경로를 훤히 꿰뚫고 있기 때문에 자연스럽게 인지 가능
○ 조치사항 : 현재 소송 진행 중이며 , 앞으로 비슷한 사건이 다시 발생 하지 않도록
확실히 사건을 매듭짓고자 함
퇴사 직원

8. 2. 기술유출 피해사례
국내 중소기업
8
○ 기존의 거래업체로부터 제품개발을 의뢰 받은 F 사는 시제품 제작을 마치고 샘플
과 도면을 넘긴 뒤 양산발주를 기다렸으나 , 오랫동안 연락이 오지 않음
한참 후에야 F 사는 거래업체가 자사의 개발 제품을 토대로 중국공장에서 이미 양산
을 시작했다는 사실을 확인하게 됨
○ 기업유형 : 기계소재
○ 유출대상 : 제품 샘플 및 도면
○ 피해규모 : 전년대비 매출이 30% 이상 감소하였고 , 양산을 하지 못하게 됨에
따라 근로자 20 여명을 해고함
○ 유출인지 : 평소 친분이 있던 동종업계 사람이 중국 출장을 갔다
가 소식을 듣고 사장에게 알려줌
○ 조치사항 : 협력업체와 거래를 끊고 , 향후 계약체결건에 대해서는
제품 도면을 100% 공개하지 않는다는 방침을 정함
협력업체 종사자

9. 보안의 중요성

10. 10
1. 보안의 범위
보안
범위
물리적보안
• 출입문 통제
• CCTV 설치 및 운영
• 매체 취급 및 반출입 통제
• 내부자 모니터링 및 외부자 접근통제 등
관리적 보안
• 보안체계 수립
• 보안 정책 / 지침 / 절차 제정
• 주요 자산 식별 및 주요 자산에
대한 접근통제 정책 수립
• 임직원 보안 교육
• 지속적인 관리활동 유지 등
기술적 보안
• 보안 취약점 점검 및 보호대책 적용
• 보안 솔루션 구축 및 운영
• 관리 및 물리적 자산과 연계된
통합관리 방안 수립
• 보안로그 수집 및 주기적 분석 등

11. “ 최근 경쟁국가 또는 경쟁기업에 내부 중요정보 및 기술이 유출되는 사례가 급증하면서 국가경쟁력 저하는 물론 해당 기업
의 금전적 피해가 발생하고 있어 이에 대한 적극적인 내부정보보안 체계 수립내부정보보안 체계 수립과 임직원 마인드제고 , 하드웨어 및 소프트웨
어적 보안시스템 구축보안시스템 구축 등을 통해 안정적인 기업환경을 유지해 나가야 할 것입니다 .”
기술유출 피해사례 증가
 경쟁국가 또는 타 경쟁기업으로의 기술유출증가 추
세
( 국정원 발표 )
 `03~`07 년도 12 월까지 기술유출 관련 124 건 적
발로 피해 예상금액 130 조원 추정
 핵심기술로 발전을 하고 있는 기업의 중요정보 유
출시 기업 및 국가 경쟁력 저하
 중소 . 벤처기업은 인력 , 자금부족 등 기술보호 조
치 미흡
 기업 임직원의 기술유출방지 마인드 제고 및 관련
기관과의 유기적인 협조체제 구축 미흡
 중소기업 기술유출 방지 홍보강화 및 방지체계 구
축의 필요성
기술유출 방지 시스템 구축의 필요성
기업의 내부정보 유출방지를
통한 안정적인 기업환경 유지
내부정보 유출현황 파악 내부정보 유출방지 시스템 구축
11
1. 추진배경 및 목적

12. 2. 보안의 중요성
보안의 중요성을 이해하고 있는가 ?
컴퓨터 보안사고 유형별 피해규모
$170,827,000
( 약 1,700 억원 )
$115,753,000 ( 약 1,150 억원 )
$50,099,000 ( 약 500 억원 )
$49,979,000 ( 약 500 억원 )
$18,370,500 ( 약 180 억원 )
$15,134,000 ( 약 150 억원 )
$13,055,000 ( 약 130 억원 )
$11,766,500 (118 억원 )
$6,015,000 ( 약 60 억원 )
$4,503,000 ( 약 45 억원 )
0 20M$
기밀 정보 유출
금융 사
기
내부 네트워크 남용
바이러스
서비스 거부
시스템 파괴
시스템 침투
노트북 절도
전화 사기
비인가자 불법 접근
40M$ 60M$ 100M$ 160M$
12

13. 보안의 중요성을 이해하고 있는가 ?
정보유출 피해 건수
신분별분야별
건
수
방법별구
분
출처 : 국가정보원 (2006 년 산업보안 관련 분석보고 )
13
2. 보안의 중요성

14. 정보보호의 방법 및 절차를 이해하고 있는가 ?
기업과 구성원 간 정보인정
=> 기업은 모든 구성원이 회사의 자산이며 , 직원은 내가 취급하는 정보는 회사의 자산이며 ,
이에 따른 기업의 보호행위를 인정 : 관련규정 제정 및 손질 => 주기적인 교육 / 감사 강화 , 적
절한 상 / 벌 제도 운영
서로를 인정하며 ,
공동운명체 의식 함양
외부로부터의 유혹에
기업방어 자부심 형성
기업 정보보호 행위에
대한 내부 공감대 형성
내부공감대 , 제도적
기반형성
•보안 및 사용자 교육 • 기술적 보완요소 결정
안정적 정책운영
• 취약성 , 위험요소 파악
• 근거마련 및 합의 도출
• 미비점 보안
• 적용 정책 파악
정책적용 기반형성
14
절차
2. 보안의 중요성

15. 보안 ROI (Return On Investment) 를 이해하고 있는가 ?
15
2. 보안의 중요성
보호하고자 하는 정보자산에 관한 철저한 위험성 평가 (Risk Assessment)
RISK = 취약성 (Vulnerability) * 위협 (Threat) * 자산 (Asset)
정보절취 또는 분실에 따른 손실 (5%)
정보누설에 따른 손실 (15%)
프린터 또는 복사장치를 이용한 불법 정보유출 손실 (20%)
Off-Line 에 의한 이동저장매체를 이용한 불법 정보유출 손실 (30%)
On-Line 에 의한 메일이나 유 / 무선 통신을 이용한 불법 정보유출 손실 (30%)
정보를 취급하고 있는 구성원의 수
고객이 평가한 정보의 자산 가치 ( 금액 )
취약성 위험
자산
RISK 종합 (1,000 원 가치의 정보를 취급하는 구성원이 10 명이라고 가정 )
1. 정보절취 또는 분실에 따른 RISK = 0.05*10*1000 = 500 만원
2. 정보누설에 따른 RISK = 0.15*10*1000 = 1500 만원
3. 프린터 또는 복사장치를 이용한 불법 정보유출 RISK = 0.2*10*1000 = 2000 만원
4. Off-Line 에 의한 이동저장매체를 이용한 불법 정보유출 RISK = 0.3*10*1000 = 3000 만원
5. On-Line 에 의한 메일이나 유 / 무선 통신을 이용한 불법 정보유출 RISK = 0.3*10*1000 = 3000 만원
1 억원
+
α
핵심 위협만을 고려하더라도 전체 RISK 120 명일 시 정보자산 약 12 억 + α

16. 추진 배경 및 목적

17. 17
“ 인터넷 환경의 급속한 발전에 따른 기업 업무환경의 개방화 등으로 주로 비 인가자 침입에 대한 해킹 및 정보유출 방어를
목적으로 기업의 보안시스템을 구축 하였으나 , 최근에는 내부 인가자내부 인가자에에 의한 기업 정보유출 문제의한 기업 정보유출 문제가 심각하게 대두가 심각하게 대두되고 있
어 이에 대응한 내부정보 유출방지 시스템 구축으로 발전내부정보 유출방지 시스템 구축으로 발전 확산확산되고 있습니다 .”
침입탐지
침입차단
가설 사설망
침입탐지
침입차단
가설 사설망
취약성 분석
계정관리
호스트 이벤트 감시
및 탐지
취약성 분석
계정관리
호스트 이벤트 감시
및 탐지
PC 방화벽
Anti-Virus
PC 자원관리
PC 방화벽
Anti-Virus
PC 자원관리
Network 보안 Server 보안 PC` 보안 내부정보 유출방지 보안
비 인가자 ( 외부자 ) 에 대응한 시스템 구축비 인가자 ( 외부자 ) 에 대응한 시스템 구축 인가자 ( 내부자 ) 에 대응한 시스템 구축인가자 ( 내부자 ) 에 대응한 시스템 구축
방어적인 시스템 구축방어적인 시스템 구축 능동적인 시스템 구축능동적인 시스템 구축
하드웨어적인 시스템 구축하드웨어적인 시스템 구축 소프트웨어적인 시스템 구축소프트웨어적인 시스템 구축
저장매체장치 통제
메일 , 메신저 통제
저장매체장치 통제
메일 , 메신저 통제
프린트 워터마킹
사용자 ID,PW 보호
프린트 워터마킹
사용자 ID,PW 보호
1. 기업의 보안시스템 구축 동향

18. 18
“ 최근에 기업의 정보유출 사례를 보면 인가자에 의한 사례가 급증하고 있어 이에 대한 불법 유출형태를 분석하고 주 보안
기능의 완성도 및 솔루션 도입비용기능의 완성도 및 솔루션 도입비용 ,, 관리 및 운영의 효율성관리 및 운영의 효율성 ,, 업무환경 변화의 최소화업무환경 변화의 최소화 등을 고려하여 시스템을 구축하는 것
이 바람직할 것입니다 .”
솔루션 도입 시 고려사항
이동형 저장매체 통제
Mail 및
Messenger 통제
프린트 통제
출력물 워터마킹
연동 구축
( 문서보안 )
노트북 등 반출입통제
관리 및 운영의
효율성 측면 고려 시스템 도입 및
구축비용 측면고려
기존 업무환경에
대한 변화 최소화 고려
솔루션의 주기능
완성도 측면 고려
솔루션 도입 및 구축범위
2. 내부정보 유출방지를 위한 구축 제언

19. 19
“ 기업 내부정보유출방지 시스템기업 내부정보유출방지 시스템 을 도입하는 경우 , 기업 내부 임직원의 마인드 제고는 물론 정보 유출방지를 위한 보안 수준
의 극대화와 이와 관련한 업무의 기회비용을 최소화 함으로써 전체적으로 기업의 대외 경쟁력 제고에 기여할 것으로 기대됩
니다 .”
• 내부 인가자 PC 에서 정보가 유출되는 경로를 원천적으로 감시하고 차단하는 기능
• 외부 유출 파일에 대한 원본 보관 및 내용요약 등을 통한 감사 관리기능 강화
• 사용자 인증기반 방식에 의한 보안기능 강화
• 비효과적 기능 구성을 제외한 내부정보유출방지 기능 집중화
• 편리한 Web GUI 기반의 통합 관리와 3Tier 관리기반으로 유연한 관리업무 제고 및 체계화
내부정보
유출방지기술
안정적인 보안체계 수립성공적인 시스템 구축
사용자 측면
• 내부정보보안에 대한 마인드 제고
• 보안 업무 추가에 따른 비효율성 최소화
• 불필요한 PC 자원활용 최소화
• 내부정보보안에 대한 마인드 제고
• 보안 업무 추가에 따른 비효율성 최소화
• 불필요한 PC 자원활용 최소화
관리 / 운영적 측면
• 외부유출파일에 대한 원본 / 요약관리를
통한 보안감사 강화
• 3Tier 의 유연한 보안관리체계 구축
• 통합된 GUI 로 관리의 편이성 증대
• 외부유출파일에 대한 원본 / 요약관리를
통한 보안감사 강화
• 3Tier 의 유연한 보안관리체계 구축
• 통합된 GUI 로 관리의 편이성 증대
기술적 측면
• 직급 , 부서 , 담당 업무 등의 특성에 따른
역할 지정으로 효율적인 사용자 관리 수행
• 사내 정보유출 매개체에 대한 부당한
사용을 접근 차단
• 직급 , 부서 , 담당 업무 등의 특성에 따른
역할 지정으로 효율적인 사용자 관리 수행
• 사내 정보유출 매개체에 대한 부당한
사용을 접근 차단
3. 도입 기대효과

20. 보안의 중요성을 이해하고 있는가 ?
전산환경 개선 및 비용절감 효과 (300 명 기준 )
20
4. 보안시스템 구축 전 후
항목 구축 전 구축 후 효과 비고
네트워크 트래픽
평균 80~90% 이
상
평균 60% 수준
유지
약 30% 향
상
업무 외적 웹서핑 자제 ,
불필요한 파일공유 근절
사무용품
구매
프린터 토너 , 카트리지 교체
주기
평균 2 개월 평균 3 개월
약 50% 절
감
불필요한 출력 ( 인쇄 )
근절
프린터 인쇄용지 1 개월 소모
량
평균 6~7 Box 평균 4~5 Box
약 35% 절
감

21. 구축 전 / 후 보안효과 분석
21
5. 구축 전 / 후 보안효과 분석
보안 프로그램 설치 전 보안 프로그램 설치 후
이동식 디스크 자유롭게 이동 / 복사 가
능
이동식 디스크로 중요파일을 외부 유출 사고로 인해 이동식 디스크 이동 / 복사
불가능
프린트 출력을 자유롭게 가능
프린트 출력물을 외부 유출이 빈번하게 일어나서 프린트 출력 시 고객사에 맞는 워
터마크 이미지와 같이 출력을 해서 외부 유출을 차단함 .
출력물에 대한 경각심으로 인해 불필요한 출력을 하지 않음
업무 외 사이트 접근 가능 직원들의 업무 외 인터넷 사용을 막아 업무 집중을 가능하도록 함 .
외부 메신저 차단 불필요한 메신저를 사용을 막아 업무 집중을 가능하게 함
비 정상적인 사용자가 내부로 접근이
가능 .
비 정상적인 사용자의 접근을 차단
불필요한 접근을 최소화하여 네트워크 비용을 줄일 수 있음 .
네트워크의 공격을 막을 수 있음 .

22. 시온시큐리티는
공공기관 및 대기업을 대상으로 하는
풍부한 프로젝트경험과 관련분야 전문가들로 본 사업에 전력을 다하여
성공적인 보안시스템구축을 통해
보안 관리 효율성을 이룩할 수 있도록
전사적인 노력을 경주하여 성공적인 구축사례로 남기겠습니다 .
상담 ( 구축 ) 문의
솔루션사업부 이유신 이사
Tel : 070-4685-2648 ( 대 )
H/P : 010-2700-2648
E-mail : zion@zionsecurity.co.kr
www.zionsecurity.co.kr