Ben DH Kim – Notes from Building Cyber Security Startup

지난 2025년 11월, 쿠팡에서 보안사고가 발생되었다. 이번 사고는 퇴사한 직원이 반출한 JWT 서명 키 하나에서 시작됐다. 하지만 이를 단순한 개인의 일탈로 치부해서는 안 된다. 이 사고는 101개 항목의 ISMS-P 인증을 획득하고도 정작 ‘퇴사자 시크릿 로테이션’ 같은 핵심 보안 조치는 놓치게 만드는, 한국형 보안 규제 시스템의 구조적 실패를 적나라하게 보여준 사건이다.…

인터넷 뱅킹을 하려면 은행 사이트가 요구하는 프로그램들을 설치해야 한다. 키보드 보안, 방화벽, 인증서 관리 프로그램… 어느새 PC에는 수십 개의 “보안” 프로그램이 쌓인다. 그런데 이 프로그램들이 오히려 해커의 침투 경로가 되고 있다면? 2023년 국가정보원이 발표한 충격적인 사실이 있다. 북한 해커들이 바로 이 “보안 프로그램”의 취약점을 악용해 국내 기관 수십 곳의 PC를…

한국에서 일정 규모 이상의 기업은 ISMS(정보보호 관리체계) 인증이 법적 의무다. 정보통신망법에 따라 매출액, 이용자 수 등 기준을 충족하면 반드시 받아야 한다. 인증을 받지 않으면 과태료가 부과된다. 이렇게 강제되는 인증이니 당연히 실효성이 있을 거라고 생각하기 쉽다. 하지만 현실은 다르다. ISMS 인증을 받은 기업에서 대형 침해사고가 터지고, 인증 심사를 통과한 직후에 개인정보가…

한국의 개인정보보호법은 두 가지 극단 사이에서 균형을 잃었다. 무엇이 개인정보인지는 해석에 따라 거의 모든 정보가 포함될 수 있을 만큼 넓게 정의하면서, 그 정보를 어떻게 다뤄야 하는지는 구체적인 기술 명세로 경직되게 통제한다. 보호해야 할 대상의 경계는 흐릿한데 보호 방법은 구체적인 체크리스트로 고정되어 있다. 이 구조적 모순이 실무에서 어떤 문제를 만드는지, 전…

N번의 미국 출장, 그리고 첫 질병 예상치 못한 고비 올해만 벌써 4번째 미국 장기 출장을 왔다. RSAC 참가, Blackhat+Defcon 라스베가스 출장, 샌프란시스코 3주, 이번 비지니스 샌프란시스코 출장! 이렇게 3번은 동안 큰 사고 없이, 열병 없이 지나갈 줄 알았는데… 이번 4번째 출장에서 한국에서부터 자꾸 가지고 있던 통풍이 Flare 되어버렸다. 미국 의료…

아산 보이저 글로벌 트랙에 서류 합격을 하고, 영어면접과 캐쥬얼한 인터뷰를 마친 뒤 아산재단 측에서 주신 정주영 회장님의 자서전 ‘이 땅에 태어나서 나의 살아온 이야기’를 읽었다. 아쉽게도 면접 결과가 좋지는 않았지만(데미지가 한 2일정도 가서, 열심히 뛰었다.), 오늘 새벽에 문득 이 책이 다시 떠올라 손에 잡았다. 면접결과는 아쉽지만(내년에 한번 더!), 책은 주변에서…

2020년 이후로는 회고를 연단위로 가졌던 적은 없는 것 같다, 사실 개인적인 회고는 매일같이 일어나고 있는데 별도로 기록할게 있으면 따로, 개인적으로 사용하고 있는 노션에 하거나 기억력이 좋은 편이기에 매일아침마다 어제의 일을 회상하고, 후회하고, 생각하는 편이다. (물론 개선까지 이어지는건 장기적인 노력이 필요한 것 같다, 잘 안된다.) 올해는 좀 특이한 경험들을 많이 했는데,…