교육과 공공 부문을 위한 공격적 보안.
학교와 대학, 정부기관에는 시민의 데이터와 빠듯한 예산, 그리고 수십 년에 걸쳐 쌓인 기술이 한데 모여 있습니다. 저희는 이 세 제약을 동시에 염두에 두고 점검합니다.
이 분야를 취약하게 만드는 조합
문제는 기술력 부족인 경우가 드뭅니다. 문제는 누적입니다. 아무도 끄지 못하는 물려받은 시스템, 이전 집행부가 만든 연동, 학기마다 불어나는 사용자, 그리고 주인이 분명치 않은 경계. 공격자에게 정교한 수법은 필요 없습니다. 잊힌 것을 찾아내면 됩니다.
- 낡은 시스템이 운영에 남아 있는 것은 여전히 필수 업무를 떠받치기 때문입니다.
- 사용자층은 크고 자주 바뀌며, 상당수가 관리되지 않는 개인 기기를 씁니다.
- 부서 간의 오래된 연동이 시스템 사이에 암묵적 신뢰를 만듭니다.
- 학생과 시민의 데이터에는 법정 보호 의무가 따르는 민감 범주가 포함됩니다.
이런 환경에서 점검하는 범위
드러난 채 잊힌 것에서 시작해, 개인정보가 실제로 놓여 있는 곳까지 파고듭니다.
학생·교직원·시민 포털: 로그인, 신원 연합, 비밀번호 재설정, 그리고 역할 사이의 객체 단위 권한 확인.
수강신청, 성적, 증명서, 회계. 어떤 역할이 권한 밖의 기록을 읽거나 바꿀 수 있는지 확인합니다.
살아 있는 하위 도메인, 외부에 드러난 스테이징 환경, 부서별 자체 애플리케이션, 예전 이전 작업을 살아남은 서비스.
부서 간 그리고 외부 시스템과의 데이터 교환. 공유 계정 정보와, 호출자를 검증 없이 신뢰하는 서비스도 포함합니다.
실습실이나 도서관, 행정망에서 얻은 접근 권한이 어디까지 닿는지 — 그리고 그 환경들 사이에 실제 장벽이 있는지.
공공데이터 포털과 게시 시스템: 공개가 규정이 요구하는 선을 넘어 노출이 된 지점은 없는지.
법정 의무를 위한 증적
보고서는 기술팀만이 아니라 행정 절차와 책임 소명을 뒷받침하도록 쓰여 있습니다.
- 공공 부문의 개인정보 보호
- 개인정보 보호 법령은 공공기관에도 고유한 체계로 적용됩니다. 악용된 각 상황에서 정보주체의 노출과 영향을 받는 근거를 기록합니다.
- 아동의 정보
- 교육기관은 아동의 정보를 처리합니다. 보호가 강화되는 범주이며, 이는 각 발견 사항에 매기는 심각도를 달라지게 합니다.
- 한계가 있는 공개
- 공개할 의무와 보호할 의무가 함께 있습니다. 공개가 필요한 선을 넘어 노출이 된 지점을 짚어 드립니다.
- 조달 근거
- 보고서는 증적이 붙은 기술 진단을 제공하며, 그 형식은 조달 근거와 예산 우선순위 결정을 뒷받침하는 데 쓰입니다.
예산이 빠듯할 때의 진행 방식
점검보다 파악이 먼저
이런 환경에서는 가치의 절반이 '무엇이 있는지'를 밝혀내는 데 있습니다. 실제 노출면을 그린 다음, 악용에 힘을 쏟을 곳을 정합니다.
노출된 정보 기준의 우선순위
범위가 제한될 때는 개인정보로 이어지는 경로부터 손댑니다. 민감 정보에 닿지 않는 취약점은 뒤로 미룹니다.
낡은 시스템에 대한 조심
지원이 끊긴 시스템에는 거친 조작 없이 노출과 분리를 평가합니다. 빨리 되살릴 수 없는 서비스를 멈추지 않기 위해서입니다.
단계로 나눈 조치 계획
조치는 예산 없이 할 수 있는 것, 조달이 필요한 것, 시스템 교체가 전제인 것으로 나눕니다.
받으시는 것
- 기관장을 위한 경영진 보고서
- 재현 가능한 기술 보고서
- 노출면 목록
- 근거를 붙인 CVSS 평가
- 개인정보 노출 지도
- 비용으로 단계를 나눈 조치 계획
- 조치된 항목의 재점검
- 본 건에 대한 종료 확인서
이 산업군의 자주 묻는 질문
예산 때문에 범위를 줄여도 되나요?
+
됩니다. 이 분야에서는 그게 가장 흔한 방식이기도 합니다. 그럴 때는 먼저 노출면 파악에 투자합니다. 적은 비용으로 상당한 노출이 드러나는 일이 많기 때문입니다. 그다음 개인정보로 이어지는 경로에 악용 역량을 집중합니다. 보고서에는 무엇이 빠졌는지 분명히 적어, 다음 점검이 거기서 시작될 수 있게 합니다.
멈추면 안 되는 낡은 시스템도 점검 대상인가요?
+
대상이되 다루는 방식이 다릅니다. 지원도 복구 계획도 없는 시스템에는 거친 능동 점검을 하지 않습니다. 노출 상태와 기본 계정 정보, 분리 상태를 평가해 공격자가 거기서 어디까지 닿는지를 재되, 중단은 일으키지 않습니다.
보고서를 조달이나 예산 요구에 쓸 수 있나요?
+
가장 흔한 쓰임새 가운데 하나입니다. 재현 가능한 증적이 붙은 진단과, 노력과 비용으로 나눈 조치 계획을 담고 있어 예산 우선순위와 행정 절차를 뒷받침합니다. 기술자와 기관장이 모두 읽을 수 있는 표현으로 씁니다.
미성년자의 정보는 어떻게 다루나요?
+
보호가 강화되는 범주로 대합니다. 시험 데이터로 보여드릴 수 있으면 실제 기록은 건드리지 않고, 증적에서는 식별 정보를 가립니다. 그 집단이 노출되는 발견은 기술 결함 자체가 보통 등급으로 평가될 경우에도 심각도를 올립니다.