“정보 유출땐 회복 불능 피해”…암호화 도입 등 적극 움직임
“외부공격은 웹방화벽으로 내부는 접근제어 철벽관리”
“외부공격은 웹방화벽으로 내부는 접근제어 철벽관리”
■ 개인정보 방패 `DB보안`
그동안 정부와 국내 기업들은 대형 보안사고가 터질 때만 반짝 보안 분야에 투자하다가 이후 소홀해지는 병폐를 반복해 왔다. 2009년 7.7 분산서비스거부(DDoS, 이하 디도스) 공격으로 정부 시스템이 공격을 받았을 때는 디도스 대응 장비 구축이 반짝 유행했고, 2013년 3.20 사이버테러가 일어났을 때는 지능형지속위협(APT) 대응 장비를 구축하는데 급급했다.
문제는 사이버 위협이 발생한 부분에 대한 땜질식 보안시스템 구축이 점점 더 큰 보안 구멍을 낳고 있다는 점이다. 최근 연이은 개인정보 유출 사고는 고도의 교묘한 해킹 기술이 동원된 것이 아니라 내부자가 보안 정책을 무시한 채 외주 용역업체 직원에게 고객 정보를 함부로 맡기거나 기업이 미처 신경 쓰지 못한 보안 취약점을 초보적인 해킹으로 뚫고 들어와 정보를 빼내는 형태로 나타나고 있다. 조금만 방심하거나 `설마 해커가 여기까지 들어오랴' 싶은 안일함을 여지없이 공격하는 것이다.
더구나 정보유출 사고는 이미 2003년 옥션의 1000만 가입자 개인정보 유출 사고를 시작으로 2011년 SK커뮤니케이션즈의 3500만명, 2012년 KT의 780만명 등 뼈저린 사고 경험이 있음에도 제대로 된 정보 접근관리나 제어가 이뤄지지 않고 있는 것이 문제다.
한 보안 전문가는 "기업들은 대규모 정보유출 사고가 발생해도 이를 `남의 일'로만 여길 뿐 당장 `우리 회사'에서 그런 일이 발생하지 않는 한 보안 투자를 미루는 경향이 강했다"면서 "그야말로 소 잃고 외양간조차 고치지 않은 격"이라고 꼬집었다.
실제로 지난해 6.25 사이버테러로 인해 청와대 홈페이지가 변조되면서 10만명의 개인정보가 빠져나가는 등 크고 작은 정보유출 사고가 줄을 이었지만 이를 방어하는 DB보안 솔루션을 구매한 기업은 많지 않다.
지식정보보안산업협회가 조사한 2013년 정보보안시장 동향을 보면 DB보안 시장은 총 623억4600만원 규모로 2012년에 비해 단 0.4% 성장하는데 그쳤다. 그나마도 공공 매출 비중이 전체의 30.6%로 편중돼 있어 민간기업들이 상대적으로 DB관리와 보안에 소홀했다는 것을 단적으로 보여준다.
다만 올 초부터 연이어 발생한 초대형 정보유출 사고로 인해 이같은 기류에도 변화가 생길 것으로 보인다. 고객 정보를 유출한 신용카드 3사의 대표가 모두 해임을 당하면서 기업 경영자들의 주요 경영지표에 `보안'이 드디어 이름을 올리게 된 것이다. 따라서 그동안 웬만한 보안사고에도 투자를 하지 않았던 기업들도 이제야 말로 보안에 대해 투자를 하기 시작할 것으로 전망된다.
DB보안업체 웨어밸리 관계자는 "개인정보 유출사고를 당한 신용카드사를 포함해 금융계 전반적으로 추가적인 데이터 보안사고 방지를 위해 전사적인 데이터 보안 기능 점검 및 개선작업에 착수한 상태"라고 전했다.
기업들 사이에서도 지금까지 필요성은 느끼고 있었으나 시스템 성능상의 이유로 구축하지 못했던 DB암호화에도 적극적인 투자를 결정, 암호화 솔루션 도입을 진행하고 있다는 것이 이 관계자의 설명이다.
그렇다면 DB보안을 `제대로'하려면 어떻게 해야 하는 것일까. 전문가들은 그간 `무늬만' DB보안 형태로 흉내내기식 보안환경을 구축해 놓고 DB보안을 했다고 말하는 기업이 적지 않았다며, 이제는 이같은 보안 구멍으로 정보유출 사고가 반드시 일어나고야 만다는 경각심을 갖고 최대한 그 틈을 메우기 위한 투자가 이뤄져야 한다고 조언한다.
개인정보가 실제로 저장돼 있는 데이터베이스(DB)는 거의 대부분은 기업 내부 망에 존재한다. 외부 해킹에 의해 정보유출 사고가 일어나는 경우는 대개 다른 시스템을 경유해 발생한다. 대표적인 사례가 최근 1200만명의 가입자 유출사고를 일으킨 KT의 사례다. 외부에 개방돼 있는 홈페이지 웹 서버를 통해 해커가 KT 내부 개인정보를 빼간 것이다.
내부자에 의해 개인정보유출이 발생하는 경우는 보통 내부 직원이 DB에 직접 접속을 해 정보를 빼내는 것으로 보안 정책을 제대로 설정하지 않았거나 관리감독을 부실하게 한 틈을 노리는 경우가 많다.
김수영 모니터랩 제품기획팀장은 "외부자에 의한 웹 서버 해킹을 방지하기 위해서는 웹 방화벽을 통해 웹 서버 자체에 대한 공격을 효과적으로 차단하는 것이 효과적일 것이다. 내부자의 DB서버 직접 접근을 제어하기 위해서는 DB 접근 제어, 권한 제어를 통한 내부자 통제를 활용하는 것이 효과적이라 할 수 있다"면서 "핵심 관문을 먼저 통제, 관리하는 것이 중요하다"고 강조했다.
내부 망에서 DB 방화벽으로 접근제어를 하고 그 이외의 접근 경로로 DB에 바로 접속하는 경로에 대한 우회경로를 환경에 따라 반드시 차단해야 비로소 개인정보 유출 방지를 위한 `첫 단추'를 꿸 수 있다는 것이다.
김 팀장은 "물론 이 정도는 초기 단계일 뿐"이라며 "실제 DB사용자 이 외의 대역에 대해서는 내부의 방화벽이나 네트워크 장비, 또는 서버 보안 솔루션으로 사전에 차단해야 좀 더 심층적인 정보유출 방어를 할 수 있고 이런 부분이 마무리 돼야 비로소 `DB보안을 했다'고 말할 수 있는 상태"라고 설명했다.
무엇보다 DB보안을 구현할 때는 DB에 인가되지 않은 변경사항이나 오남용, 삭제, 정보 유출 등을 탐지할 수 있도록 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)을 반드시 고려해 구성해야 한다고 전문가들은 강조했다.
DB접근제어 부분에서 보자면 개인정보보호법상의 정형 데이터와 비정형 데이터에 대한 보안으로 관리, 기술, 물리적이 관점으로 나누어서 진행돼야 하며, 관리자와 사용자에 대한 접근 권한을 부여해야 한다는 것이다. 기술적인 관점은 DB방화벽의 기술을 체계적으로 구성하며 개인 정보 데이터를 보호하는 것이며, 물리적인 관점에서의 DB보안은 백업과 이중화를 통해 가용성을 보장하는 것을 의미한다.
웨어밸리 관계자는 "그동안 DB보안은 DB에 존재하는 수많은 개인정보 및 계좌정보를 보호하기 위해 전체 범위에 걸치지 않고 특정부분에만 국한해 보안 기술을 적용하다가 최근에서야 접근통제/암호화/작업결재/취약점분석 등 한국데이터베이스진흥원에서 추진하는 DB 보안 기술을 체계적으로 적용하기 시작했다"면서 "기업은 고객의 소중한 개인정보를 더이상 불미스럽게 유출시키는 일이 없도록 다양한 프레임워크와 자체 가이드라인을 마련, 보안 기틀 마련에 힘써야 한다"고 강조했다.
강은성기자 esther@
그동안 정부와 국내 기업들은 대형 보안사고가 터질 때만 반짝 보안 분야에 투자하다가 이후 소홀해지는 병폐를 반복해 왔다. 2009년 7.7 분산서비스거부(DDoS, 이하 디도스) 공격으로 정부 시스템이 공격을 받았을 때는 디도스 대응 장비 구축이 반짝 유행했고, 2013년 3.20 사이버테러가 일어났을 때는 지능형지속위협(APT) 대응 장비를 구축하는데 급급했다.
문제는 사이버 위협이 발생한 부분에 대한 땜질식 보안시스템 구축이 점점 더 큰 보안 구멍을 낳고 있다는 점이다. 최근 연이은 개인정보 유출 사고는 고도의 교묘한 해킹 기술이 동원된 것이 아니라 내부자가 보안 정책을 무시한 채 외주 용역업체 직원에게 고객 정보를 함부로 맡기거나 기업이 미처 신경 쓰지 못한 보안 취약점을 초보적인 해킹으로 뚫고 들어와 정보를 빼내는 형태로 나타나고 있다. 조금만 방심하거나 `설마 해커가 여기까지 들어오랴' 싶은 안일함을 여지없이 공격하는 것이다.
더구나 정보유출 사고는 이미 2003년 옥션의 1000만 가입자 개인정보 유출 사고를 시작으로 2011년 SK커뮤니케이션즈의 3500만명, 2012년 KT의 780만명 등 뼈저린 사고 경험이 있음에도 제대로 된 정보 접근관리나 제어가 이뤄지지 않고 있는 것이 문제다.
한 보안 전문가는 "기업들은 대규모 정보유출 사고가 발생해도 이를 `남의 일'로만 여길 뿐 당장 `우리 회사'에서 그런 일이 발생하지 않는 한 보안 투자를 미루는 경향이 강했다"면서 "그야말로 소 잃고 외양간조차 고치지 않은 격"이라고 꼬집었다.
실제로 지난해 6.25 사이버테러로 인해 청와대 홈페이지가 변조되면서 10만명의 개인정보가 빠져나가는 등 크고 작은 정보유출 사고가 줄을 이었지만 이를 방어하는 DB보안 솔루션을 구매한 기업은 많지 않다.
지식정보보안산업협회가 조사한 2013년 정보보안시장 동향을 보면 DB보안 시장은 총 623억4600만원 규모로 2012년에 비해 단 0.4% 성장하는데 그쳤다. 그나마도 공공 매출 비중이 전체의 30.6%로 편중돼 있어 민간기업들이 상대적으로 DB관리와 보안에 소홀했다는 것을 단적으로 보여준다.
다만 올 초부터 연이어 발생한 초대형 정보유출 사고로 인해 이같은 기류에도 변화가 생길 것으로 보인다. 고객 정보를 유출한 신용카드 3사의 대표가 모두 해임을 당하면서 기업 경영자들의 주요 경영지표에 `보안'이 드디어 이름을 올리게 된 것이다. 따라서 그동안 웬만한 보안사고에도 투자를 하지 않았던 기업들도 이제야 말로 보안에 대해 투자를 하기 시작할 것으로 전망된다.
DB보안업체 웨어밸리 관계자는 "개인정보 유출사고를 당한 신용카드사를 포함해 금융계 전반적으로 추가적인 데이터 보안사고 방지를 위해 전사적인 데이터 보안 기능 점검 및 개선작업에 착수한 상태"라고 전했다.
기업들 사이에서도 지금까지 필요성은 느끼고 있었으나 시스템 성능상의 이유로 구축하지 못했던 DB암호화에도 적극적인 투자를 결정, 암호화 솔루션 도입을 진행하고 있다는 것이 이 관계자의 설명이다.
그렇다면 DB보안을 `제대로'하려면 어떻게 해야 하는 것일까. 전문가들은 그간 `무늬만' DB보안 형태로 흉내내기식 보안환경을 구축해 놓고 DB보안을 했다고 말하는 기업이 적지 않았다며, 이제는 이같은 보안 구멍으로 정보유출 사고가 반드시 일어나고야 만다는 경각심을 갖고 최대한 그 틈을 메우기 위한 투자가 이뤄져야 한다고 조언한다.
개인정보가 실제로 저장돼 있는 데이터베이스(DB)는 거의 대부분은 기업 내부 망에 존재한다. 외부 해킹에 의해 정보유출 사고가 일어나는 경우는 대개 다른 시스템을 경유해 발생한다. 대표적인 사례가 최근 1200만명의 가입자 유출사고를 일으킨 KT의 사례다. 외부에 개방돼 있는 홈페이지 웹 서버를 통해 해커가 KT 내부 개인정보를 빼간 것이다.
내부자에 의해 개인정보유출이 발생하는 경우는 보통 내부 직원이 DB에 직접 접속을 해 정보를 빼내는 것으로 보안 정책을 제대로 설정하지 않았거나 관리감독을 부실하게 한 틈을 노리는 경우가 많다.
김수영 모니터랩 제품기획팀장은 "외부자에 의한 웹 서버 해킹을 방지하기 위해서는 웹 방화벽을 통해 웹 서버 자체에 대한 공격을 효과적으로 차단하는 것이 효과적일 것이다. 내부자의 DB서버 직접 접근을 제어하기 위해서는 DB 접근 제어, 권한 제어를 통한 내부자 통제를 활용하는 것이 효과적이라 할 수 있다"면서 "핵심 관문을 먼저 통제, 관리하는 것이 중요하다"고 강조했다.
내부 망에서 DB 방화벽으로 접근제어를 하고 그 이외의 접근 경로로 DB에 바로 접속하는 경로에 대한 우회경로를 환경에 따라 반드시 차단해야 비로소 개인정보 유출 방지를 위한 `첫 단추'를 꿸 수 있다는 것이다.
김 팀장은 "물론 이 정도는 초기 단계일 뿐"이라며 "실제 DB사용자 이 외의 대역에 대해서는 내부의 방화벽이나 네트워크 장비, 또는 서버 보안 솔루션으로 사전에 차단해야 좀 더 심층적인 정보유출 방어를 할 수 있고 이런 부분이 마무리 돼야 비로소 `DB보안을 했다'고 말할 수 있는 상태"라고 설명했다.
무엇보다 DB보안을 구현할 때는 DB에 인가되지 않은 변경사항이나 오남용, 삭제, 정보 유출 등을 탐지할 수 있도록 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)을 반드시 고려해 구성해야 한다고 전문가들은 강조했다.
DB접근제어 부분에서 보자면 개인정보보호법상의 정형 데이터와 비정형 데이터에 대한 보안으로 관리, 기술, 물리적이 관점으로 나누어서 진행돼야 하며, 관리자와 사용자에 대한 접근 권한을 부여해야 한다는 것이다. 기술적인 관점은 DB방화벽의 기술을 체계적으로 구성하며 개인 정보 데이터를 보호하는 것이며, 물리적인 관점에서의 DB보안은 백업과 이중화를 통해 가용성을 보장하는 것을 의미한다.
웨어밸리 관계자는 "그동안 DB보안은 DB에 존재하는 수많은 개인정보 및 계좌정보를 보호하기 위해 전체 범위에 걸치지 않고 특정부분에만 국한해 보안 기술을 적용하다가 최근에서야 접근통제/암호화/작업결재/취약점분석 등 한국데이터베이스진흥원에서 추진하는 DB 보안 기술을 체계적으로 적용하기 시작했다"면서 "기업은 고객의 소중한 개인정보를 더이상 불미스럽게 유출시키는 일이 없도록 다양한 프레임워크와 자체 가이드라인을 마련, 보안 기틀 마련에 힘써야 한다"고 강조했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
