일본 정부, 잇단 정보 유출에 기업 대상 보안 경보

세 가지 분야의 대책

첫째는 운영·관리 단계다. 사용 중인 소프트웨어 구성과 취약점을 파악하고 대응 우선순위와 기한을 정하라고 요구했다. 추측하기 쉬운 비밀번호나 무차별 대입 공격으로 관리 화면이 뚫린 사례를 들어 불필요한 관리 화면과 기능을 공개하지 말라고 당부했다. AI 등을 활용한 지속적인 취약점 진단과 로그 분석을 통한 이상 징후 감시도 권고했다.

둘째는 설계·개발 단계다. 개발 초기부터 보안을 고려하는 ‘시큐리티 바이 디자인’을 강조했다. 공개된 앱을 분석해 API로 정보를 부정하게 얻는 수법이 확인된 만큼 접근 제한과 인증 정보의 적절한 관리가 필요하다고 했다. 개인정보를 다루는 시스템은 공개 전 취약점 진단도 권장했다.

셋째는 위탁처 등 공급망을 통한 침입 대책이다. 위탁처나 유지보수 업체 환경을 발판으로 발주처에 침입하는 사례가 있어, VPN과 원격 데스크톱 등 접속 경로를 파악하고 다단계 인증을 도입하라고 요구했다. OSS와 외부 라이브러리에 심각한 취약점이 공개될 때의 초동 절차도 미리 정해야 한다고 밝혔다.

통괄실은 10월 9일에도 보안 패치의 신속한 적용과 다단계 인증 도입 등 조직 전반의 기본 대책을 촉구하는 주의 환기 문서를 낸 바 있다. 이번에는 웹사이트와 모바일 앱의 운영·개발로 범위를 넓혔다.