Quiz: The Constraints Regulation Leaves on Site

은행 고객사에서 원본 로그를 반출할 수 없다는 것을 알았다. 조사 계획을 어떻게 짜야 하는가?

• 반출 승인을 받을 때까지 조사를 보류한다
• 업무망 안에서 집계와 요약을 만들고 그 결과를 가지고 나오는 방향으로 설계한다
• 담당자에게 개인 메일로 보내 달라고 요청한다
• 화면을 촬영해 나중에 옮겨 적는다

조사 보고서에 계좌번호 110-4378-567278 을 언급해야 한다. 어떻게 쓰는 것이 맞는가?

• 110-****-**7278 처럼 앞 3자리와 뒤 4자리만 남긴다
• 전부 별표로 가려 계좌번호가 있었다는 사실만 남긴다
• 그대로 적되 보고서를 암호화한다
• 뒤 4자리만 적고 앞은 아예 쓰지 않는다

주민등록번호는 왜 마스킹해서 적는 것이 아니라 아예 적지 않는가?

• 자릿수가 길어 보고서 가독성을 해치기 때문에
• 뒷자리를 가려도 앞 6자리가 생년월일이라 그 자체로 식별력이 크기 때문에
• 주민등록번호는 조회 자체가 금지되어 있기 때문에
• 마스킹 형식이 기관마다 달라 표준이 없기 때문에

조사 중에 만든 임시 CSV 와 슬랙에 붙인 조회 결과는 어떻게 다뤄야 하는가?

• 정식 보고서가 아니므로 마스킹 기준을 적용하지 않아도 된다
• 조사 기간에만 보관하면 되므로 그대로 두어도 된다
• 정식 보고서와 같은 기준을 적용한다. 유출은 오히려 중간 산출물에서 더 자주 난다
• 암호를 걸어 두면 원본 값을 그대로 남겨도 된다

망분리 환경에서 일정을 잡을 때 반드시 고려해야 할 것은?

• 업무망 PC 의 사양이 낮아 도구가 느리게 도는 것
• 검색과 시스템 조회를 동시에 할 수 없고, 권한과 반출 승인에 며칠이 걸린다는 것
• 업무망은 야간에 차단되어 밤에는 일할 수 없다는 것
• 업무망에서는 SQL 을 쓸 수 없다는 것

제약 때문에 확인하지 못한 로그가 있어 원인을 추정만 할 수 있다. 보고서에 어떻게 써야 하는가?

• 확인한 것처럼 단정해 쓴다. 추정이라고 쓰면 신뢰를 잃는다
• 그 부분은 아예 쓰지 않는다
• 무엇을 왜 확인하지 못했는지와 함께 추정임을 밝힌다
• 확인할 때까지 보고서 제출을 미룬다