사이버 보안 컨설턴트 · 자카르타

보안은 습관이지, 관문이 아닙니다.

소프트웨어가 계속 움직이면서도 안전하도록 팀을 돕습니다. 좋은 보안은 조용합니다. 마지막 검문소가 아니라 사람들이 일하는 방식 안에 삽니다.

메시지 보내기당신은 누구입니까?

  • 15+년 동안 소프트웨어를 만들고 지켜 왔습니다
  • 4회의 공개 강연 (2023년 이후)
  • 2023OpenText 동남아시아 Best Pre-Sales Consultant
I

당신은 누구입니까?

보안 컨설턴트가 된 개발자이고, 첫 번째 부분을 잊은 적이 없습니다. 2010년에 Oracle 모듈을 썼고, 2011년에 달리기 대회 등록 플랫폼을 만들어 지금도 운영하고 있으며, 그 뒤의 대부분의 해를 인도네시아와 일본의 통신사, 정부 부처, 기업 안에서 그들이 만든 것을 지키도록 돕는 데 썼습니다.

자카르타에 삽니다. 인도네시아어와 영어로 일합니다. 요즘은 OpenText에서 동남아시아 보안 영업의 기술 쪽을 이끌고, 문제가 흥미로울 때는 독립적인 일도 맡습니다.

긴 답

II

무엇을 믿습니까?

보안은 습관이라는 것. 거기서 네 가지가 따라 나옵니다.

  • 늦으면 비쌉니다.

    마지막에 하는 점검은 소프트웨어를 안전하게 만들지 않습니다. 늦게 만들 뿐입니다. 고치는 비용은 기다리는 주마다 커집니다. 안전은 일과 함께 움직여야 합니다.

  • 도구보다 사람.

    모든 통제는 바쁜 하루 속의 누군가가 씁니다. 그 하루에 맞지 않으면 우회됩니다. 그래서 저는 하루를 먼저 보고, 도구는 그 다음에 고릅니다.

  • 숫자만이 증거입니다.

    계획은 약속입니다. 일을 시작하기 전에 숫자를 합의합니다. 심각한 결함을 얼마나 빨리 고치는지, 배포 전에 얼마나 잡아내는지, 배포에 얼마나 걸리는지.

  • 작은 걸음을, 지키기.

    먼저 시범, 다음은 습관, 마지막에 규칙. 이 순서라면 팀은 바뀌는 동안에도 계속 배포하고, 변화는 남습니다.

III

저를 위해 무엇을 해 줄 수 있습니까?

보통 네 가지 중 하나, 자주 두 가지를 함께. 어느 것이 필요한지, 애초에 제가 필요한지, 일찍 말씀드립니다.

전달을 안전하게
파이프라인에 들어 있는 보안. 위협 모델링, 코드와 의존성 검사, 시크릿과 정책 점검, 그리고 모든 팀의 보안 챔피언. 업계에서는 DevSecOps와 애플리케이션 보안이라 부릅니다.
데이터를 지키기
민감한 데이터를 찾고, 분류하고, 암호화하고, 테스트 사본까지 지킵니다. 인도네시아 개인정보 보호법(UU PDP)과 이웃 나라의 법에 맞춥니다.
지켜보고 대응하기
로그, 탐지, 자동 대응. 알려진 공격을 일어나는 그 순간에 봅니다. 통신사와 기업을 위한 SOC 로드맵.
누가 들어오는지 정하기
싱글 사인온, 다중 인증, 특권 접근. 맞는 사람이 맞는 시스템에 닿고, 다른 누구도 닿지 않도록.
IV

어떻게 진행됩니까?

먼저 봅니다. 그다음 계획합니다. 그리고 한 번에 하나씩 바꾸고, 지킵니다. 다섯 개의 동사, 언제나 이 순서로.

  1. 보기

    인터넷을 향한 것, 내부 네트워크, 애플리케이션을 시험하고, 모든 발견을 사업에 드는 비용 순으로 정렬합니다.

  2. 비교하기

    현재 상태를 OWASP DSOMM, NIST, ISO 27001 같은 프레임워크와 견주어, 모든 간극에 이름과 담당자를 붙입니다.

  3. 계획하기

    일을 위험과 의존성에 따라 단계로 나눕니다. 단계마다 분명한 출구와 달성할 숫자가 있습니다.

  4. 바꾸기

    통제는 시범으로 시작해, 스스로 돌아가게 한 뒤, 그제야 모든 배포의 규칙이 됩니다. 팀은 계속 배포합니다.

  5. 지키기

    지표, 감사, 정기 점검이 첫 성과 뒤에도 습관을 정직하게 지킵니다.

V

무엇을 해 왔습니까?

여섯 개의 이야기. 고객이 비공개인 경우 이름은 빼고 사실만 남겼습니다.

전체 프로젝트

VI

어디서 강연했습니까?

2023년 이후 네 번, 모두 같은 생각에 대해. 덧붙이는 보안이 아니라 처음부터 들어 있는 보안.

  • Hackpoint Community Webinar, 온라인

    Securing the Software Development Lifecycle by design

    보안을 뒤따르는 단계가 아니라 소프트웨어를 만드는 방식의 일부로 두면, 위험은 내려가고 속도는 유지됩니다.

  • DevOpsDays Jakarta

    Securing DevOps: data privacy and protection in continuous deployment

    아무것도 기본으로 믿지 않습니다. 데이터는 이동 중, 사용 중, 저장 중에 매번 검증되고 암호화됩니다.

  • Forum Digital BUMN (Fordigi), 자카르타

    Embark on a secure and resilient application SDLC

    애플리케이션 계층과 공급망을 노리는 공격에 맞서는 처음부터 끝까지의 애플리케이션 보안.

  • Indonesia Data Security Symposium, 자카르타

    Pioneering data-centric protection

    인도네시아 개인정보 보호법이 조직에 무엇을 요구하는지, 그리고 현대의 도구와 프레임워크가 어떻게 돕는지.

VII

어떻게 연락합니까?

메시지를 보내 주세요. 지금 어디에 있고 무엇이 바뀌어야 하는지 알려 주세요. 정직하게 답하겠습니다. 정직한 답이 '저는 필요 없다'일 때도요.

메시지 보내기

LinkedIn