사이버보안 정책, 공공 데이터 노출 경고에서 산업 표준 초안으로 확대

주요 동향

두 건의 공식 공지는 일본이 서로 다른 단계의 사이버보안 문제에 대응하고 있음을 보여준다. 하나는 기관과 기업에 개정된 산업 지침에 대한 의견 제출을 요청하고, 다른 하나는 이미 노출되었을 가능성이 있는 데이터에 대해 개인에게 경고한다.

1. 경제산업성, CPSF 버전 1.1에 대한 2개월간의 의견 수렴 개시

정부는 사이버·물리 보안 프레임워크 개정안에 대한 임의적 공개 의견 수렴을 시작했으며, 의견은 10월 23일 16:00부터 12월 22일 00:00까지 제출할 수 있다. 이번 개정안은 거버넌스 및 공급망 위험에 대한 연계를 강화하는 내용을 포함해 최신 NIST 및 ISO 표준을 반영하도록 프레임워크의 운영 보안 조치와 관련 부록을 업데이트한다. 경제산업성은 AI 에이전트와 AI를 활용한 공격도 새롭게 부상하는 위험으로 지목하지만, 이러한 위험을 다루는 보다 포괄적인 변경은 향후 개정 단계에서 이루어질 것이라고 밝혔다. 따라서 이 문서는 제안일 뿐, 구속력이 있거나 최종 확정된 표준이 아니다. (의견 수렴 페이지 열기, 공식 개정 개요 읽기)

2. 디지털청, 과거 문의 양식 데이터가 노출되었을 가능성 경고

디지털청에 따르면 Studio는 자사의 클라우드 환경에 대한 무단 접근을 보고했으며, 이로 인해 데이터가 외부에서 취득되었을 가능성이 생겼다. 잠재적 영향 대상 기록에는 2021년 5월부터 2023년 3월까지 입력된 여러 유형의 국민 문의 및 행사 신청 자료와 디지털청 또는 수탁업체의 Studio 계정 35개가 포함된다. 디지털청은 실제 영향 범위를 계속 확인하고 있었으므로, 제시된 최대 수치를 확인된 유출 건수로 해석해서는 안 된다. 디지털청은 공지 발표 시점까지 2차 피해가 확인되지 않았다고 밝혔으며, 의심스러운 메시지, 링크, 첨부 파일과 인증 정보 또는 결제 정보 요구에 주의할 것을 당부했다. (디지털청 공지 읽기)

독자와 조직이 알아둘 점

두 동향에는 서로 다른 대응이 필요하다. 조직은 프레임워크 초안을 검토하고 기한 전에 의견을 제출할지 결정할 수 있다. 해당 서비스를 통해 과거 디지털청에 문의한 사람은 자신의 데이터가 반드시 노출되었다고 단정하지 않으면서도 예상치 못한 연락에 신중하게 대응해야 한다.