정보보호 한잔

📌 3줄 요약1. IEC 62443은 공장·전력·교통·선박 등 OT(운영기술) 환경의 보안 국제표준 시리즈입니다.2. 4개 그룹으로 "누가 무엇을 지키는지"를 나누고, 7대 기본 요구사항(FR)과 보안 수준(SL)으로 "얼마나 지킬지"를 정합니다.3. 2024년부터 신조선에 적용되는 선박 사이버 보안 규격 IACS UR E27도 이 표준을 기반으로 만들어졌습니다.신규 장비 도입 보안성 검토를 하다 보면 공급사 제안서에서 이런 문장을 자주 봅니다."본 제품은 IEC 62443-4-2 인증을 획득했습니다." 그런데 이 한 줄만 보고 "그럼 보안은 됐네"라고 판단하면 안 됩니다. 4-2는 부품(장비) 하나에 대한 요구사항이고, 그 장비가 들어가는 시스템 설계와 운영 조직의 관리는 다른 파트가 다룹니다. 인증..

SAST 결과를 개발팀에 내려보내면 가장 자주 돌아오는 소명이 이겁니다."해당 변수는 char 포인터이며, 공통함수를 이용해 포인터의 메모리를 동적으로 할당하는 부분입니다.이러한 사유로 메모리 버퍼보다 크게 사용할 수 없습니다."읽어보면 그럴듯합니다. 고정 배열이 아니라 필요한 만큼 잡아 쓰는 구조니까 넘칠 일이 없다는 얘기죠. 그런데 이 답변을 그대로 받아 오탐 처리했다가는, 다음 점검 때 같은 항목이 그대로 다시 올라옵니다. 이 글에서는 왜 "동적 할당"이 오탐 근거가 될 수 없는지, 트레이스의 어느 줄을 봐야 하는지, 그리고 어떤 숫자를 받아와야 판정이 끝나는지를 정리했습니다.본문의 코드와 함수명은 설명을 위해 일반화한 예시입니다.특정 제품이나 소스의 실제 코드가 아닙니다.🎯 어떤 진단인가도구에 ..

작년까지만 해도 "양자컴퓨터는 아직 먼 얘기"였습니다. 그런데 올해 5월에 법이 하나 통과되면서 분위기가 바뀌었습니다. 양자과학기술 및 양자산업 육성에 관한 법률」(양자기술산업법) 개정안이 2026년 5월 19일 공포됐고, 오는 11월 20일부터 시행됩니다. 정부·지자체·공공기관에 양자보안체계 구축이 의무화되는 게 핵심입니다. 문제는 용어가 낯설다는 겁니다. PQC, QKD, KCMVP가 한꺼번에 튀어나오는데 셋이 어떻게 다른지, 우리 회사가 대상인지, 지금 뭘 해야 하는지가 정리가 안 됩니다.이 글에서는 세 용어의 차이, 어떤 법에 근거해 누가 의무 대상이 되는지, 실무에서 지금 착수해야 할 순서, 그리고 관련 기관·자격증·참고처를 정리했습니다.🎯 먼저 용어 세 개부터 양자컴퓨터가 나오면 지금 쓰는 ..