비영리기관에서 웹호스팅으로 운영하는 홈페이지를 맡게 되었는데요.
내용들이 중요하다보니, 해킹대비, 개인정보보안 등 기본적으로 해야하는 것들은 점검하고 개선하고 싶은데,
KISA 는 중소기업만을 대상으로 점검해 주는 것 같고,
어떤 사항을 어떻게 점검/ 준비 해야 할 지 모르겠네요.
좋은 말씀 부탁드립니다.
감사합니다.
비영리기관에서 웹호스팅으로 운영하는 홈페이지를 맡게 되었는데요.
내용들이 중요하다보니, 해킹대비, 개인정보보안 등 기본적으로 해야하는 것들은 점검하고 개선하고 싶은데,
KISA 는 중소기업만을 대상으로 점검해 주는 것 같고,
어떤 사항을 어떻게 점검/ 준비 해야 할 지 모르겠네요.
좋은 말씀 부탁드립니다.
감사합니다.
늘 그렇듯이 비용이 문제가 될 것입니다.
방법과 비용 자체에 대해서 전혀 몰라서요. ㅠㅠ
https://theori.io/ko
보안 컨설팅 전문 업체들에게 견적을 받아보시는 것도 좋겠습니다.
아시겠지만 비영리기관이다보니 예산에 제한이 있어서요. ㅠㅠ
보안 컨설팅은 훨씬 포괄적이며, 비용 또한 범위에 따라 천차만별입니다.
전문 업체에 진단 맡기시면 될텐데요..
https://www.ksecurity.or.kr/kisis/subIndex/469.do
개인정보 살표 보세요.
암호 -- 암호화 해야겠죠.
그리고 DB 접근.. 특히나 DB 인젝선 공격에 대응하고 있는지.
방화벽 포트 접근도 잘 막혀 있는지.
관리자 아이디가 admin, administrator 이런거 아닌지.
암호는 12자리 이상인지.
PHP, ASP 보안 패치 되어 있는지.
서버 보안 되어 있는지..
그리고 유지보수 .. 대응 되어 있는지
DB백업, 서비스 소스 백업은 잘 되어 있는지..
랜섬웨어 걸리면 어덯게 복구할건지
각 장애별 극복 방안 준비 되어 있는지...
등등등.
근데 잘 모르시는 분이 맏으셨네요...
어차피 점검 받아봐야 1회성이고, 꾸준히 점검및 관리를 해줘야 보안이 유지됩니다
아무도 모니터링 안 하고, 관리도 안 해서 방치중인 서버 좀비되기 딱 좋습니다
언제나 그렇듯이 돈과 인력이 문제죠. ㅠㅠ
저런 1회성 점검 큰 의미 없습니다 (어제 없던 취약점이 오늘 발표되는식인게 현실)
오늘 점검 받아서 다 조치해놔도 1달쯤 지나서 보면 다른거땜에 털림
1) 홈페이지 취약점 점검 및 조치가이드
- https://www.nirs.go.kr/ncia_MJS/board/dev/board/board.jsp?id=data_101&mode=view&idx=3952
2) 소프트웨어 보안약점 진단가이드
- https://www.kisa.or.kr/2060204/form?postSeq=9
3) 소프트웨어 개발 보안 가이드
- https://www.kisa.or.kr/2060204/form?postSeq=5
명함필요하시면 말씀하시구용