정보보호 한잔

작년까지만 해도 "양자컴퓨터는 아직 먼 얘기"였습니다. 그런데 올해 5월에 법이 하나 통과되면서 분위기가 바뀌었습니다. 양자과학기술 및 양자산업 육성에 관한 법률」(양자기술산업법) 개정안이 2026년 5월 19일 공포됐고, 오는 11월 20일부터 시행됩니다. 정부·지자체·공공기관에 양자보안체계 구축이 의무화되는 게 핵심입니다. 문제는 용어가 낯설다는 겁니다. PQC, QKD, KCMVP가 한꺼번에 튀어나오는데 셋이 어떻게 다른지, 우리 회사가 대상인지, 지금 뭘 해야 하는지가 정리가 안 됩니다.이 글에서는 세 용어의 차이, 어떤 법에 근거해 누가 의무 대상이 되는지, 실무에서 지금 착수해야 할 순서, 그리고 관련 기관·자격증·참고처를 정리했습니다.🎯 먼저 용어 세 개부터 양자컴퓨터가 나오면 지금 쓰는 ..

모바일 앱 취약점 점검을 하다 보면 이런 구조를 자주 만납니다. iOS 네이티브(Swift)는 껍데기, 실제 기능은 전부 Flutter(Dart)Flutter 쪽은 --obfuscate로 난독화가 되어 있는데, 네이티브 쪽은 아무 조치가 없습니다. 심볼을 떠보면 벤더와 플랫폼 심볼만 나오고요. 개발팀은 "네이티브에는 로직이 없어서 할 게 없다"고 답변합니다. 이걸 양호로 볼 수 있을까요? 아니면 "네이티브 난독화 미적용"으로 지적해야 할까요? 이 글에서는 Flutter 앱의 네이티브 영역에 실제로 무엇이 들어 있는지, 왜 그 부분은 난독화 대상이 아닌지, 그리고 그럼에도 반드시 확인해야 하는 한 가지를 정리했습니다.🎯 상황 정리점검 현장에서 마주치는 전형적인 구성입니다.영역구현 내용난독화 상태Flutt..

전자금융기반시설 취약점 분석·평가를 몇 번 돌려보면 이상하게 걸리는 지점이 하나 있습니다.정보보호시스템은 로그를 백업하는 것으로 끝나지 않고, 원격 서버와 실시간으로 연동하고 있는지까지 봅니다. 그런데 같은 점검표에서 서버로 넘어가면 그런 항목이 없습니다. 로깅이 켜져 있는지, 로그 파일 권한이 적절한지, 정기적으로 검토하는지, 보관 기간을 지키는지까지는 보는데 "어디에 보내고 있는가"는 묻지 않습니다.그래서 두 가지 방향으로 의심이 갑니다.정보보호시스템 쪽 요구가 과한 것인지, 아니면 서버는 백업만 되어 있으면 실시간 원격 관리가 필요 없는 것인지. 결론부터 말하면 둘 다 아닙니다. 이건 요구 수준의 문제가 아니라 점검 기준이 어떤 논리로 설계되었는가의 문제이고, 그 설계에는 명확한 의도와 명확한 공백..