'수강신청' 감사시스템 덕분에 안전
비 허가자 모든 접속 파악… 인가자 모든 활동 감시
2016년까지 APT대응 등 다양한 보안강화 전략 이행
비 허가자 모든 접속 파악… 인가자 모든 활동 감시
2016년까지 APT대응 등 다양한 보안강화 전략 이행
8월이 되면 동국대학교 정보관리처에는 긴장감이 감돈다. '수강신청' 전쟁이 시작되기 때문이다. 입시와 더불어 대학 학사행정에서 가장 고된 업무이자 학생들의 한 학기를 좌우할 수 있는 수강신청 기간이 되면 학교 내 모든 망을 수강신청 시스템으로 돌릴 정도로 부하가 폭주한다. 12일 찾은 서울 중구 필동에 위치한 동국대 정보관리처는 수강신청 기간을 맞아 '비상시국'이었다.
"수강신청 이후 정정기간이 되면 학생들의 항의가 쏟아집니다. '분명히 나는 00과목에 신청을 했는데 내 신청 사항이 없어졌다'든지, '다 선택하고 마지막 순간에 입력을 눌렀는데 갑자기 에러가 뜨는 바람에 재신청하려고 보니 이미 정원이 마감됐다면서 시스템 탓이니 책임지라'는 식이죠."
한창 시스템 점검에 여념이 없던 문상국 동국대 정보기획팀장은 수강신청 기간의 어려움에 대해 토로했다. 동국대가 학사행정시스템에 감사기능을 구현한 것도 이 때문. 오라클 오딧볼트를 적용했는데 언제, 어디서, 누가, 무엇을, 어떻게 했는지 시스템 접속에 대한 모든 로그와 기록이 남는다. 수강신청을 분명히 했는데 시스템 오류로 날아가 버렸다는 학생 항의를 듣고 감사 기록을 들춰보면 사실 접속한 사실조차 없었다는 것도 이 덕에 알게 됐다는 것이다.
감사시스템은 무엇보다 동국대 전산시스템의 보안 강화에 큰 기여를 했다. 문 팀장은 "동국대 정보보호의 원칙은 '비허가자의 모든 접속을 파악한다'와 '인가자의 모든 활동을 감시한다'는 것"이라면서 "그러나 막상 권한이 있는 내부자(인가자)가 학생 정보를 빼돌린다든지, 교수가 자신의 계정을 조교에게 공유했는데 그 정보가 새서 결국 개인정보 유출로 이어진다든지, 위협 요인이 너무나 많다"고 말했다.
개인정보보호법이 시행되면서 대학이 보유한 모든 학생, 교직원의 수십만건 주민등록번호를 암호화하고, 단계별로 망분리를 하며 외부로 주민번호가 오갈 때 비정상적인 유출이 있는지를 철저히 감시해야 한다. 이에 문 팀장은 감사기능을 이용해 비 허가자의 모든 접속을 파악하고 인가자의 모든 활동을 감시했다.
그는 "감사시스템은 아예 '삭제'기능이 없고, 모든 접속 로그가 남게 되는 것"이라며 "교내에서 학사행정 말고도 장학생 신청이나 교직원 연말정산 등을 하려면 주민번호와 같은 민감한 개인정보가 수십만건씩 교육부, 국세청 등 외부로 나갈 수밖에 없는데 이에 대한 모든 로그를 남기고 이를 분석해 정보유출 태세를 감시하는 것"이라고 설명했다.
정보를 유출하려는 시도가 있거나 사이버 공격이 가해진다면 관리자에게 경고 메시지가 실시간으로 전달돼 신속하게 대응할 수 있고, 만에 하나 정보가 유출되더라도 로그를 분석해 어떤 경로로 유출됐는지 원인 파악을 할 수 있다.
문 팀장은 "오는 2016년까지 정보보호 로드맵에 따라 ISMS 인증, APT 대응솔루션 구축 등 다양한 보안 강화 전략을 이행하고 있다"면서 "대학에서 다루는 많은 개인정보를 보다 철저하게 보호해 안전한 환경을 만들어나가겠다"고 강조했다.
강은성기자 esther@
"수강신청 이후 정정기간이 되면 학생들의 항의가 쏟아집니다. '분명히 나는 00과목에 신청을 했는데 내 신청 사항이 없어졌다'든지, '다 선택하고 마지막 순간에 입력을 눌렀는데 갑자기 에러가 뜨는 바람에 재신청하려고 보니 이미 정원이 마감됐다면서 시스템 탓이니 책임지라'는 식이죠."
한창 시스템 점검에 여념이 없던 문상국 동국대 정보기획팀장은 수강신청 기간의 어려움에 대해 토로했다. 동국대가 학사행정시스템에 감사기능을 구현한 것도 이 때문. 오라클 오딧볼트를 적용했는데 언제, 어디서, 누가, 무엇을, 어떻게 했는지 시스템 접속에 대한 모든 로그와 기록이 남는다. 수강신청을 분명히 했는데 시스템 오류로 날아가 버렸다는 학생 항의를 듣고 감사 기록을 들춰보면 사실 접속한 사실조차 없었다는 것도 이 덕에 알게 됐다는 것이다.
감사시스템은 무엇보다 동국대 전산시스템의 보안 강화에 큰 기여를 했다. 문 팀장은 "동국대 정보보호의 원칙은 '비허가자의 모든 접속을 파악한다'와 '인가자의 모든 활동을 감시한다'는 것"이라면서 "그러나 막상 권한이 있는 내부자(인가자)가 학생 정보를 빼돌린다든지, 교수가 자신의 계정을 조교에게 공유했는데 그 정보가 새서 결국 개인정보 유출로 이어진다든지, 위협 요인이 너무나 많다"고 말했다.
개인정보보호법이 시행되면서 대학이 보유한 모든 학생, 교직원의 수십만건 주민등록번호를 암호화하고, 단계별로 망분리를 하며 외부로 주민번호가 오갈 때 비정상적인 유출이 있는지를 철저히 감시해야 한다. 이에 문 팀장은 감사기능을 이용해 비 허가자의 모든 접속을 파악하고 인가자의 모든 활동을 감시했다.
그는 "감사시스템은 아예 '삭제'기능이 없고, 모든 접속 로그가 남게 되는 것"이라며 "교내에서 학사행정 말고도 장학생 신청이나 교직원 연말정산 등을 하려면 주민번호와 같은 민감한 개인정보가 수십만건씩 교육부, 국세청 등 외부로 나갈 수밖에 없는데 이에 대한 모든 로그를 남기고 이를 분석해 정보유출 태세를 감시하는 것"이라고 설명했다.
정보를 유출하려는 시도가 있거나 사이버 공격이 가해진다면 관리자에게 경고 메시지가 실시간으로 전달돼 신속하게 대응할 수 있고, 만에 하나 정보가 유출되더라도 로그를 분석해 어떤 경로로 유출됐는지 원인 파악을 할 수 있다.
문 팀장은 "오는 2016년까지 정보보호 로드맵에 따라 ISMS 인증, APT 대응솔루션 구축 등 다양한 보안 강화 전략을 이행하고 있다"면서 "대학에서 다루는 많은 개인정보를 보다 철저하게 보호해 안전한 환경을 만들어나가겠다"고 강조했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
