헐, 농협전산망도 역시나 인재...18
- [* 비회원 *]
- 등록일 2011-04-21 04:48
- 조회수 935
- http://news.chosun.com/site/data/html_dir/2011/04/20/2011042002347.html
|
||
0
추천하기
다른의견
0
|
파워링크 
등록안내
등록안내
|
 0
 0
▦찌딤
In general, such systems are hard to get access itself.
As the access is hard, the complexity of password is not so important in general; just in my thought. |
|
|
0
0
[* 비회원 *]
그렇지는 않아요. 호스트/시스템 레벨의 보안과 네트웍 레벨의 보안, 그리고 물리적 접근 등등 여러가지 축면에서 모두 원칙과 가이드라인을 세우고 그걸 집행해가야 하는데, 저런 수준의 계정과 암호관리는 학교 실습 시스템에서도 금지되는 거죠. 금융시스템이면 더 말할 것도 없구요. 이건 전반적으로 경영진의 아무 생각 없음이 전산팀이 기본적인 것도 검토해볼 시간과 여유를 안 줄 만큼 혹사를 시키거나, 아니면 진짜 아무 개념없이 운영했다고 볼수 밖에요... 기사를 보면, 국회에서 지적된 그 감사 보고서(지적사항까지 담은)가 실제로 업무팀에게 전달도 되지 않았다가 이번에 일터지면서 전달되었다고 하더군요. 기사 자체는 다른 곳에서도 나온 국회에서 질문과정에서 나타난 사실인데 조선에서 조금 더 자세하게 언급되었기에 조선일보 기사를 링크했을 뿐. 금융전산망은 일반 전산망보다 더 보안과 재해복구가 강조되는 국가 5대기간망에 속하는데, 저런 수준의 관리는 아주 심각한 문제가 있는거죠. 심지어 다른 왠만한 조직에도 있는 CSO(보안 최고 책임자)도 농협에는 없고, 전산 운용을 담당하는 사람이 보안체계까지 담당하고, 게다가 쥐어짜듯이 빡빡하게 운영을 해나가니, 아무래도 일단 돌리고 보자, 보안은 개뿔 이라는 식의 사고가 조직 전체에 퍼져 있었던 듯... 저런식으로 계정이 관리되는 경우는 업무를 수행하기 위한 계정을 공동계정으로 사용하고, 그 계정과 암호를 많은 사람들이 공유히가 위해서 저렇게 한 것 같은데, 결국은 그러면 사고를 쳐도 누가 쳤는지를 알수없고, 대부분 저런식의 분산시스템에서는 같은 계정/암호를 수많은 시스템에 같이 사용하는 경우가 대부분이라서, 그래서 사고가 275개의 시스템에 데이타 삭제가 이루어지고, 다른 시스템은 살아났던게, 아마도 그 다른 시스템은 그 공유계정/암호가 작동하지 않은 것이지 아니었을까 하는 제 개인적인 생각... 아무리 네트웍에 분리된 독립 시스템이라도 비밀번호를 저렇게 단순하게 관리하는 것은 시스템 관리의 피해야 할 기초사항 중의 하나입니다. |
|
|
0
0
▦찌딤
The main source of this disaster is on the failure of humane security.
I don\'t urge that the password like \'0000, 1\' is desirable. But this artile is glossing over that the main source. I think what is really important is that the most important security policy must stem from humane security, and that they should have improved the treatment of them, if not a red carpet. I think that this article has its own intension to avoid this point what I have said. And in reality, the real accident has happened not from the password, but from the failure of humane security. |
|
|
0
0
[* 비회원 *]
It might be...
But to me, it is beyond the failure of human security issue. It is more likely caused by executive leadership issue. Because NH Executive group doesn\'t care much about computer system and security, they didn\'t allocate adequate resources for NH computing system. Since NH IT department doesn\'\'t have basic resources, they couldn\'t do much except running the system daily by patching from problem A to problem B. Managing user authentication is very basic for any system admistration or network administration. I don\'t think the guys from NH IT department is so stupid, or doesn\'t know it at all. It seems to me that they had no room to think about the issue from whole systemic viewpoint. They are barely running their system with the assistance from outsourcing company. I think that assumption is justified how NH IT department is handling the issues after this whole system failure. I guess NH IT department had no choice since they have no resource to run the system per other company\'s IT department standard. So I think it is caused by NH executive leadership issue, not by the result of IT department personal misbehaviors. |
|
|
0
0
▦찌딤
What I indicated \"security policy\" is exactly the same as
what you indicated \"IT mind of executives.\" I don\'t know why you can\'t agree with me. What I can\'t understand is this: This article(writer or editor) and the excutives really want avoid their responsibility. But you are quoting their opinion. Whether the password was \'1\', \'0000\', or \"@#$8dn47gf\" is not so important in this situation. That problem you\'re urging should be dealt with in later after they take the reasonable responsibility about this disater. |
|
0
0
타일러
슬슬 전산 담당자들 잘못으로 몰아가는것처럼 보이는데요
윗분 말씀처럼 접근 자체가 문제라서 비번 안바꾼건 사실 큰 문제가 아닐수도 있습니다 근데 기사보면 마치 인터넷 사이트 로그인할때 비밀번호를 안바꾼것처럼 묘사되죠 |
|
|
0
0
[* 비회원 *]
제게는 전산담당자의 잘못이라기 보다는 경영진이 책임져야할 사항으로 보여집니다. 즉, 회사 규모에 맞는 전산 조직과 인력을 갖추지 않고, 비용 절감만을 강조해서 외주 용역을 주었기 때문에 벌어진 사고라고 보여집니다.
저런 식으로 관리될 수 밖에 없는 이유가 제 경험에 의하면 외주 용역의 비중이 크고, 관리해야할 시스템에 비해 인력이 절대 부족하기 때문에 보안에 신경쓸 여력이 없어서 그냥 업무 돌아가게 하기도 모자라서 서로 작업의 편의성을 위해서 간단하게 계정과 암호를 만들어서 공유를 한거죠. 외주 용역도 자주 바뀌는 상황이면 더 말할 것도 없죠. 아마도 농협에서 보안 예산을 줄인 이유가 외주 용역이 IBM이고,, IBM 이 하는 건데 뭐 보안에 문제가 있겠어 하는 심리도 있었겠죠. 문제는 방화벽도 완벽하진 않다는 거죠. 그 부분도 루프홀이 있을 수가 있고, 우회하는 방법을 찾아낼 수도 있으니까요. 그래서, 보안/네트웍/시스템 운용하는 경우, 이중/삼중/사중으로 재해복구 시스템을 비롯해서 보안 모델을 겹겹이 만들어서 다른 것들이 뚫려도 또 다른 것들이 막을 수 있게 만드는데... 시스템 계정을 저렇게 관리하는데, 전산 책임자가 나와서 \"이중, 삼중으로 방화벽이 구축되어서 뚫릴리가 없다\"라고 한말을 어떻게 믿을 수가 있냐 하는 거죠. 방화벽도 저렇게 어설프게 관리되지 않았는지... 저런 수준의 비번관리는 실무자의 입장에서는 경악할 일입니다. |
|
0
0
[* 비회원 *]
제 경험상으로 보면, 전산 담당자들이 저렇게 부실하게 관리할 수 없게 경영진들이 만들었으면, 그건 경영진이 책임져야할 문제이지 전산 담당자가 책임져야할 사안은 아니라고 봅니다.
그들은 최선을 다했겠죠. 아마도 매일 매일 시스템 문제 생긴 거나 바뀌는 규정, 새로운 상품 개발 등등을 반영하기 위해서 보안을 전체적으로 감독하고 폴리시를 세우고, 프로시져를 작성하고 그걸 실제로 집행하는 일에 투입할 여력이 없었던게죠. 그런 상황에서 방화벽이 제대로 관리되었을리가 없죠. 저건 농협 경영진에서 전산 운영팀과 전산시설을 돈만 들어가는 낭비적인 요소로 생각하고 있었다는 걸 반영하는 듯 합니다. 아니면 저렇게 기본적인 계정 관리를 못할리가 없죠. 일단 돌리고 보는게 중요하기 때문에 다른 문제 - 계정관리나 보안 통제 등 - 는 일단 뒷전으로 미뤄두고 급한 일부터 처리하다 보니 저렇게 된거죠. 그러니, 전산사고 터지고 나서 복구도 평소에 그에 대비한 프로시져나 플랜이 제대로 서 있지도 않고, 훈련도 되지 않았으니, 우왕좌왕하는 거죠... 제가 보기에는 저 기사를 보고, 이건 농협 경영진이 얼마나 전산 운영팀을 푸대접하고 열악한 인원보충과 예산을 주었는지 느껴져서 글을 올린 거였습니다. 심지어는 감사 결과 지적 나왔는데도 그 지적사항과 시행 권고도 실무자들에게 전달되지 않았었다니 할말이 없죠. |
|
|
|
 |
|
| △ 이전글▽ 다음글 | 목록보기 |
|
원래 조직이 클수록 시스템 공용 아이디 사용은 최소한으로 줄이고, 각각 개인계정을 발급하되, 그걸 TACACS/RADIOUS/LDAP 등등으로 묶어서 사용자 등급 제한 등등을 시행하고, 또한 그 사용자가 어떤 명령어를 수행하였나 등등을 다 기록을 남기게 되어 있음.
Single Sign On 시스템이 그런 단점을 극복하기 위해서 소개 된지 한참 된 걸로 앎.
아니면, 대부분 같은 암호를 사용하면, 잠시 파견 나온 임시직도 거의 전 시스템을 시스템 계정으로 접근할 수 있다는 건데, 이건 보안에서 최소한의 사용자 통제도 이루어지지 않은 전형적인 실패케이스...