점검했다는 기록이
곧 방어입니다
심사와 평가는 “했는가”보다 “기록이 있는가”를 봅니다.
취약점 악용은 패치가 나오기 평균 약 7일 전에 시작됩니다.
국가 배후 그룹이 AI 코딩 에이전트로 약 30곳을 공격했고, 작업의 80~90%를 AI가 했다고 보고됐습니다.
- 2026년 10월 31일부터
접속기록 점검 기준이 바뀝니다
접속기록 점검의 주기·방법·사후조치를 내부 관리계획에 정하고 이행해야 합니다.
근거: 개인정보의 안전성 확보조치 기준 제8조제2항 (고시 제2025-9호)
- 2026년 9월 ~ 2027년 3월
공공기관 1,458곳 개인정보 보호수준 평가
유출 감점이 최대 10점에서 20점으로 늘고, 사후 대응이 미흡하면 최대 5점을 더 깎습니다.
근거: 개인정보보호위원회 2026년 보호수준 평가 안내
- 2027년 1월 1일
공공시스템 취약점 점검·침투테스트가 의무가 됩니다
공공시스템마다 연 1회 이상 취약점 점검과 외부 침투테스트를 해야 합니다.
근거: 개인정보의 안전성 확보조치 기준 제18조
- 2027년 7월 1일
ISMS-P 인증 의무화
시행일은 법률로 정해졌고, 대상(공공시스템운영기관·이동통신사·본인확인기관·대규모 사업자)은 시행령 확정 전입니다.
근거: 개인정보 보호법 제32조의2제1항 단서 (2027-07-01 시행)
모으고, 판정하고, 남깁니다
사람은 미흡과 경보만 확인합니다.
설정과 기록을 매일 모읍니다
클라우드·서버·DB 설정과 접속기록을 읽기 전용으로 모읍니다.
| 수집원 | 증적 | 시각 |
|---|---|---|
| 접속기록 엑셀 | 개인정보처리시스템 접속기록 9월분 | 02:30 |
| 리눅스 서버 | 세션 시간제한·비밀번호 정책 | 02:31 |
| DB (Oracle) | 계정·권한 목록 | 02:33 |
| 인사 명단 | 퇴직자 계정 대사 | 02:34 |
| 출발지 IP | 징후 | 조치 |
|---|---|---|
| 203.0.113.47 | 웹 취약 경로 탐침 23회 | 막는 중 |
| 198.51.100.9 | SSH 로그인 실패 14회 | 경보만: 위조할 수 있는 UDP 로그 |
| 2001:db8:4a1::17 | 4xx 응답 212회 | 차단 실패 |
예시 데이터입니다(문서용 IP 대역).
징후를 보면
바로 막고, 이유를 남깁니다
기준을 넘은 IP는 막고, 막지 않았다면 그 이유를 기록합니다.
- 자동 차단은 기관 관리자가 켭니다
- 차단은 최대 24시간이며 언제든 비상 정지할 수 있습니다
- 판정과 차단은 규칙이 정하고, AI는 설명 초안만 씁니다
인터넷이 없는 망에서도 됩니다
밖으로 나가는 것은 서명·암호화한 반출 파일 하나입니다.
서버·DB·접속기록을 모아 판정합니다. 원본 로그는 나가지 않습니다.
판정과 요약 증적을 보안 USB나 망연계로 옮깁니다.
반입 때 9단계를 확인하고, 읽기 전용 링크로 봅니다.
기관마다 보는 기준이 다릅니다
자주 묻는 질문
KISA가 운영하는 정보보호·개인정보보호 통합 인증이며, 인증기준은 101개(ISMS 80개, 개인정보 21개)입니다. 정보통신서비스 매출 100억 원 이상 또는 일평균 이용자 100만 명 이상인 사업자 등은 지금도 정보통신망법상 ISMS(또는 ISMS-P) 인증 의무가 있습니다. 2027년 7월부터 공공시스템운영기관·이동통신사·본인확인기관·대규모 사업자에 ISMS-P 의무화가 시행될 예정입니다.
더 궁금한 점은 도움말에 있습니다.
점검 대상과 일정을 알려 주세요
맞는 구성과 견적을 안내합니다.