주제: compliance

• 감사 로그: 무엇을 기록하고, 어떻게 온전하게 유지하며, 누가 읽을 수 있는가

  감사 로그는 누가 언제 어떤 객체에 무엇을 했고 결과가 어땠는지에 답합니다. 보안과 관련된 모든 동작에 대해 애플리케이션이 직접 작성하며, 디버그 로그와는 분리해 보관하고, 추가 전용(append-only)이나 write-once 저장소로 신속히 옮겨 변조로부터 보호하며, 접근이 기록되고 제한된 상태에서만 읽을 수 있어야 합니다.

  article · ko · reviewed · 지식 기준일 2026-09-16

• 제조업체의 CRA 취약점 업무 절차 준비: 접수, 증거, 보고 기한 관리

  취약점 접수와 구성요소 기록을 CRA 보고 판단에 연결하는 준비 절차를 제안합니다. 2026년에 이미 적용되는 보고 의무와 2027년 12월에 적용되는 더 폭넓은 취약점 처리 요구 사항을 구분합니다.

  methodology · ko · reviewed · 지식 기준일 2026-10-25

• Checking an operating system's support lifecycle before automating against it

  Automating patch, upgrade or compliance workflows against a host that has already passed end-of-life produces false confidence: no more security fixes are coming regardless of what the automation reports. This methodology lists where each major vendor publishes lifecycle dates and how to fold an EOL check into a pre-flight step.

  methodology · en · reviewed · 지식 기준일 2026-09-24

• Choosing an open-source licence

  Permissive licences (MIT, Apache-2.0) allow reuse with attribution; copyleft licences (GPL, AGPL) require derived works to stay open; Apache-2.0 adds a patent grant. Pick based on what you want downstream users to be able to do, and check dependency compatibility.

  article · en · reviewed · 지식 기준일 2026-09-15

• Software bills of materials with SPDX and CycloneDX

  An SBOM is a machine-readable inventory of the components in a software artifact; SPDX and CycloneDX are the two widely used formats, and generating one per release supports vulnerability matching and licence review.

  article · en · reviewed · 지식 기준일 2026-09-15

• 2026년 9월부터 적용되는 CRA 보고: 요건, 기한, 단일 보고 플랫폼

  CRA는 제조업체에 실제로 악용된 제품 취약점과 심각한 제품 보안 사고를 보고하도록 요구합니다. 두 경우 모두 24시간 및 72시간 단계가 있지만, 최종 보고 기한의 기산점은 서로 다릅니다.

  article · ko · reviewed · 지식 기준일 2026-10-25

• Software-Stücklisten (SBOM): das Inventar der eigenen Lieferkette

  Eine Software-Stückliste zählt maschinenlesbar auf, welche Komponenten in welcher Version in einem gelieferten Artefakt stecken. SPDX (ISO/IEC 5962:2021) und CycloneDX (OWASP) sind die verbreiteten Formate; erzeugt wird sie pro Release aus dem gebauten Artefakt, daneben abgelegt und zum Abgleich mit Schwachstellenmeldungen und Lizenzpflichten genutzt. Zusammen mit Herkunftsnachweisen (SLSA) macht sie die Lieferkette prüfbar.

  article · de · reviewed · 지식 기준일 2026-09-16

• CIS Benchmarks and DISA STIGs as a hardening baseline: what they are and how to apply them selectively

  CIS Benchmarks and DISA STIGs are two independently maintained sets of configuration recommendations; both offer selectable profile levels rather than one fixed target. Applying a profile wholesale without recording exceptions is a common way hardening work breaks a production service.

  article · en · reviewed · 지식 기준일 2026-09-24

• 스위스 사이버공격 보고와 CRA: 운영자와 제품 제조업체의 서로 다른 의무

  스위스의 중요 인프라 보고 의무는 적용 대상 운영자에 대한 일정 요건을 충족하는 사이버공격을 다룹니다. CRA는 스위스 제조업체를 포함해 EU 시장에 공급하는 제품 제조업체를 다루며, 초기 기한이 비슷하다고 해서 수신 기관이나 보고 요건을 서로 대신 적용할 수는 없습니다.

  article · ko · reviewed · 지식 기준일 2026-10-25

• CRA와 오픈소스: 기여자, 제조업체, 스튜어드의 구분

  오픈소스 라이선스만으로 CRA 의무가 결정되지는 않습니다. 이 규정은 상업적 제품 공급, 기여자의 책임 범위 밖에 있는 소프트웨어에 대한 기여, 오픈소스 소프트웨어 스튜어드의 지속적인 지원을 구분하며, 스튜어드의 제24조 의무는 2027년 12월부터 적용됩니다.

  article · ko · reviewed · 지식 기준일 2026-10-25

• Scanning a Linux host against a baseline with OpenSCAP

  oscap xccdf eval runs a SCAP Security Guide profile against a live host or an offline image and writes a human-readable report; reviewing the generated remediation script before running it is what keeps an automated scan from becoming an automated outage.

  methodology · en · reviewed · 지식 기준일 2026-09-24

기계 판독 가능: JSON