인생사 새옹지마라더니 2부에서 와이어샤크 패킷 뜯고 스플렁크 대시보드 보면서
"키야~ 나도 이제 보안 좀 아는 전문가? ㅋ" 하고 으스댔던 나 자신,,
뚝스딱스 맞아야 함.
3부엔 AWS 클라우드랑 ISMS-P 인증, GRC와 제로 트러스트를 배우게 됨. 아무도 안믿어요라니 웃기다. 깔깔.
ISMS-P
풀네임이 '정보보호 및 개인정보보호 관리체계 인증'이라길래
"아하! 그냥 우리 회사 보안 장비 잘 갖다 놓고 해킹 안 당하게 성벽 잘 쌓았다고 정부에서 도장 꾹 찍어주는 통과 의례 같은 거구나!"
하고 세상 평화롭고 안일하게 생각했지 ㅋㅋㅋㅋㅋ 나 진짜 뇌가 청순한 감자였음이 틀림없습니다.
근데 그거 아셔야 함. 책이 500페이지임. ㅋㅋㅋ
(하루동안 배운 어마어마한 양)
거기 적힌 카테고리 이름부터가 기를 확 죽이는데
1단계 관리체계 수립 및 운영, 2단계 보호대책 요구사항, 3단계 개인정보 처리 단계별 요구사항... 어쩌구저쩌구... 단어들이 무슨 법과 정치여...
게다가 끝이 안 나요. 대분류, 중분류, 소분류 쪼개지더니 세부 인증 항목이 무려 102개!! 100개가 넘어감!
"예? 교수님? 잠시만요... 이걸 다 하나하나 체크하고 증적 자료를 다 만들어야 한다고요...?"
응애 나 2N년 차 예대생 감자... 근데 이거 생각보다 재밌음 ㅋㅋㅋㅋ 나 이거 잘 맞는 듯요;
보안 관점의 GRC(Governance, Risk, Compliance)는 어른들의 차갑고 냉혹한 사회생활;;
2부까지만 해도 솔직히 나쁜 짓(?) 할 때 "크으, 나 좀 천재 해커 같아! " 이러면서 중2병 도진 상태였는데... GRC 수업 들어가자마자 뚝스딱스 맞고 바로 조신해짐.
"자, 여러분. 우리가 맨날 공격 툴 쏘고 방화벽 룰 짜는 건 보안의 극히 일부분입니다. 진짜 무서운 건 법과 규제예요"
"회사가 이 정보통신망법 규정을 어기고 유출 사고를 내면, 연 매출액의 3% 이하에 해당하는 대가리 깨지는 수준의 과징금이 터집니다. 몇십억, 몇백억이 한 방에 날아가요. 그리고 만약 이 리스크를 알고도 방치하거나 관리체계 수립을 안 하면, 최고정보보호책임자(CISO)는 물론이고 최악의 경우 회사 대표님까지 줄줄이 은팔찌 차고 조사받으러 잡혀갑니다."
...예? 대표님이 잡혀간다고요?
보안이라는 건 회사의 전체적인 경영 전략 안에서, 어떤 위험 요소가 있는지 샅샅이 식별하고 통제하며, 국가가 정한 법적 규제를 칼같이 준수하는 거대한 위험 관리 관점으로 접근해야 하는구나! (구구절절맨)
제로 트러스트 개념도 배웠는데, 이거 완전 의처증/의부증 방역 시스템임 ㅋㅋㅋ
"아무도 믿지 마라! 일단 다 의심해! 너 아까 인증했어? 어쩌라고 지금 또 해!" 내부 네트워크라고 봐주는 거 1도 없음. 들어올 때마다 신원 확인하고 권한 쪼개고 계속 감시하는 지독한 집착의 끝판왕을 볼 수 있습니다. 이게 재밌거든여..
직원 의심증, 의직증 퇴사 사유가 됩니다.
AWS도 찍먹했습니다. 이제 내 노트북 안에서 꼬물거리던 가상 머신의 시대를 지나 아마존의 거대한 클라우드 멀티버스 세계관으로 입장~
3차 조별과제는 개인사정으로 참여 못함..^^...
그리고 나는 이 ISMS-P 수업이 다시 생각해도 너무 웃기고 행복함 ㅋㅋㅋ 왜케 나랑 잘맞지...
나 법 조와했넹..
25년 9월부터 26년 2월까지, 추석이랑 설날 갓-연휴 다 끼워서 알차게 2년에 걸쳐(ㅋ) 들은 이스트소프트 인프라보안 5기! 3부 후기 진짜 끗!!
