개인정보보호법 시행으로 주민등록번호 암호화 에 의한 DB보안시장 성장

개인정보보호법 시행에 따른 주민등록번호 암호화

대형쇼핑몰을 비롯 대형 금융기관까지 개인정보 유출사고가 수 차례 발생된 이후 개인전보보호법이 주민등록번호 암호화를 의무화함에 따라 DB보안 시장이 들썩이고 있다. 2011년 법 시행 직후 DB암호화와 접근제어 시장이 폭발적인 성장을 기록했던 것처럼 최근 큰 폼의 성장이 이루어지고 있따. 많은 기업이 DB 암호화를 진행했지만, 주요 시스템의 암호화는 진행되지 않았다. 현재 계정계를 포함한 핵심 시스템에 대한 암호화가 진행되고 있다.

지난 2016년 1월 1일부터 주민등록번호를 보관하는 개인정보처리자는 의무적으로 암호화를 해야한다. 2015년 3월 개정된 개인정보보호법에 따라 시행된 것으로, 개정 개인정보보호법은 정보주체의 개인정보 자기결정권을 강화하기 위해 개인정보를 처리할 때 반드시 본인의 동의를 받오록 했으며, 전자적으로 보관하고 있는 모든 주민등록번호는 반드시 암호화 하도록 했다. 

보관중인 주민번호가 100만명 미만 규모일 때 2016년 말까지, 100만명 이상일 경우 2017년 말까지 암호화를 완료해야 한다. 사실상 모든 금융기관은 물론이고, 대형 쇼핑몰은 이에 해당된다. 단 몇 십건의 주민번호라도 암호화 되지 않은채 유출되면 처벌을 받으므로 소규모 사업자도 주민번호를 보관해야 한다면 암호화를 적용해야 한다. 클라우드 서비스를 이용할 때 암호화의 책임은 개인정보를 수집,처리하는 원 사업자에게 있으며, 접적근거 없이 주민번호를 수집하지 못한다. 

정보를 가장 안전하게 보호하는 방법은 암호화 하는 것

규제준수 요건이 강력한 공공기관은 물론이고, DB암호화에 부정적인 입장을 보여왔던 금융기관도 개인정보보호법 준수를 위한 DB암호화 사업을 진행했다. 시장이 급성장하면서 여러 경쟁 솔루션이 등장해 각축전을 벌인 결과, DB암호화 사업을 꾸준히 전개해 온 펜타시큐리티, 이글로벌, 케이사인 3사가 시장 주도권을 쥐고있고 DB접근제어 분야에서는 피앤피시큐어가 부동의 1위 자리를 지키고 있다.

특히 케이사인은 기술유출 혐의로 피소돼 상당기간 소송전을 치렀지만, 공격적이 ㄴ영업전략을 밀어부친 끝에 KB제2호스팩과 합병후 2014년 11월 코스닥 상장에 성공했따. 피앤피시큐어는 NHN엔터테이먼트에 인수된 후 국내외 시장 공략에 앞장서고 있다.

개이정보보호법이 암호화를 의무화한 이유는 개인정보 유출사고를 완벽하게 막을 수 없기 때문이다. 기업/기어관은 개인정보 보호를 위해 전사적인 정보보호 관리체계를 만드록, 여러 보안 시스템을 구축하지만, 개인정보 보호 사고는 끊임없이 발생한다.

버라이즌의 2014년 데이터 유출 조사 보고서에 따르면 정보 유출사고 중 97%가 관리 부주의, 76%는 취약한 인증관리, 69%가 데이터베이스 및 파일 서버로부터 유출된 것으로 나타난다. 또한 대규모 사업체에서 발생하는 데이터 유출 건수의 98%는 노출된 데이터베이스 서버로부터 발생한다. 즉 외부로부터 해킹을 당하거나 악의를 가진 내부 사용자가 고의로 정보를 유출하는 것 외에도 관리와 운영상의 문제로 정보유출 사고를 일으키게 된다는 뜻이다. 데이터를 암호화해 저장하면, 암호화 데이터와 키를 함께 빼가지 않는 이상 데이터 유출로 인한 피해는 막을 수 있다.

암호화는 정보를 가장 안전하게 보호할 수 있는 방법이지만, 시스템 성능 저하를 일으키고, DB애플리케이션의 수정이 필요하다는 점 때문에 기업이 도입을 꺼려왔다. 대신 DB서버에 대한 접근제어를 강화하고, 내부정보 유출방지 시스템을 통해 중요정보의 불법적인 유출을 통제했다.

2011년 개인정보보호법 발효  이후 규제준수를 위해 DB암호화 도입 사업이 봇물터지듯 터져나왔지만, 트랜잭션 데이터가 많은 계정계 시스템에는 도입되지 않고 분석 위주의 정보계 시스템에 한정돼 구축되었다. 개인벙보 암호화를 적즉적으로 도입하지 않는 것은 다른 나라에서도 마찬가지다. 젬알토의 데이터 유출/침해 인덱스 보고서에서는 2014년 유출된 데이터의 단 1%만이 아모화 된 것으로 분석됐으며, 2015년에는 이보다 다소 개선된 4%의 데이터가 암호화 된 것으로 나타났다.

사이버 공격이 지능화되면서 외부 해킹에 의한 개인정보 유출 사고가 빈번하게 발생되자 각국 정부는 개인정보보호 관련 컴플라이언스를 강화하고 있다. 선진국에서는 우리나라처럼 특정한 보안 시스템을 반드시 갖추도록 하는 규제를 제정하지 않지만, 개인정보 유출로 피해가 발생했을 경우 전적으로 기업이 책임을 지도록 한다. 피해자들의 집단소송이 벌어지는 것은 물론이고, 피해를 입었지만 소송에 참여하지 않은 피해자에게도 동일한 피해보상을 해야 한다.

최적의 암호화 기술을 접목하라

강력한 규주준수 요건과 사회적인 분위기로 기업/기관들은 개인정보 보호를 위한 대책 마련에 나섰으며, 데이터가 유출된다 해도 불법적으로 사용할 수 없도록 하는 암호화에 관심을 보이고 있다. 특히 금융권에서 DB 암호화에 가장 높은 관심을 보이고 있다. 금융기관의 대규모 개인정보 유출 사고로 개인정보보호법이 지속적으로 강회되고 있으며, 핀테크가 활성화되면서 개인정보의 활용이 많아졌기 때문에 금융기관은 보안에 더 많은 투자를 해야한다.

DB암호화는 보험, 증권 등 2ㅔ2금융권에서 활발하게 도입돼 왔으나, 제1금융권은 CRM, ERP 등 내부 업무 시스템과 정보계 일부에만 적용했을 뿐이며 비고소 2016년에 와서야 보관하고 있는 모든 주민번호를 암호화 시켰거나 진행중에 있다.  또한 금융권에서는 로그 데이터, 콜센터 녹취파일 등에 대한 보호사업도 진행되고 있다.

암호화는 표준 암호화 알고리즘을 이용하기 때문에 암호화 솔루션을 제공하는 벤더간의 기술적인 차이는 없다고 봐도 무방하다. 그러나 공개된 표준 암호화 알고리즘을 이용하더라도, 업무의 성격, 데이터의 특징, 시스템 환경, 암호화 목적 등 여러 상황에 맞게 상용화 하는 방법의 차이는 분명히 존재한다.

데이터를 암호화하고 복호화하는 과정에서 장애가 발생하지 않아야 하며, 업무 시스템 성능 영향이나 시스템변경도 최소화할 수 있어야 한다. 반드시 보호해야 할 데이터만 한정적으로 진행하며, 다양한 암호화 기술과 암호화 방법 중 해당 데이터에 적합한 방식을 찾아 암호화 해야 한다.

DB 암호화 솔루션은 컬럼 암호화 방식과 블록 암호화 방식으로 나뉘며, 컬럼 암호화는 플러그인, API, 하이브리드 방식으로 구성된다. 플러그인은 애플리케이션 수정을 최소화 할 수 있으며 API 방식은 애플리케이션 수정이 필요하지만 대규모, 대용량 DB 암호화가 가능하다. 하이브리드 방식은 플러그인과 API를 결합한 방식이다.

블록 암호화는 애플리케이션 수정 없이 암호화할 수 있으며, TDE 방식과 파일 암호화 방식이 있다. TED 는 DB 를 시작할 때에만 키 사용권한 통제가 이뤄지며 일반 DB계정은 통제하지 못하는 문제가 있으며, 파일 암호화는 애플리케이션을 통하지 않고 DB 서버로 바로 접근하는 DBA등 사용자는 암호화되지 않은 데이터에 직접 접근한다는 한계가 있다.

이외에 원본데이터는 별도로 보관한 상태로 다른 문자로 치환해 보여주는 토큰화와 화면상에 나타나는 데이터를 다른 문자나 기호로 보여주는 마스킹, 로그관리, 테스트 데이터 변환 등 여러 기술이 추가로 제안된다.

암호화, 키관리가 핵심이다

DB암호화는 DBMS에서 기본적으로 제공하고 있다. 오라클 트랜스패러트 데이터 인크립션(TDE) 솔루션은 데이터베잇의 커널에서 암호화와 복호화를 수행해 보안 효과를 그대화하고 성능저하를 최소화한다. 마스킹 기술과 접근제어, 키관리 기능도 데이터 보호 포트폴리오에 포함돼 있으며, 계정,접근권한 관리와 인증, 감사 기술 등과 함께 포괄적인 데이터 보호 전략을 수립할 수 있도록 제안한다. 특히 이는 데이터베이스 커널에서 수행돼 암호화 솔루션의 도입에 따른 성능 저하 및 기존 DB기능에 대한 사용 제약을 최소화한다.

그러나 앞서 설명했듯이 TDE는 키관리와 접근통제가 이뤄지지 않는 구간이 있기 때문에 이 구간에 대한 기술이 추가로 필요하다. 오라클은 데이터 보호 포트폴리오를 통해 보안홀을 제거할 수 있다고 주장하지만, 보다 전문적인 보안 솔루션으로 암호화 데이터를 안전하게 운영하는 방법이 볼편적으로 많이 사용된다.

암호화 데이터는 키가 있어야 복고화되기 때문에 키관리가 매우 중요하다. 공격자는 암호화 데이터만 빼가지 않으며 반드시 복호화 키를 함께 가져가기 때문에 키를 유출당하지 않도록 관리해야 한다. 초기에 구축한 DB 암호화는 암호화 키를 암호화 서버에 함께 저장했다. 이는 비싼 금고를 사서 돈을 넣은 후 열쇠를 금고 옆에 두고 있는 것이나 마찬가지로 도둑에게 금고와 열쇠를 함께 가져가도록 방치하는 셈이다.

일부 암호화 솔루션은 DB 서버 내에서 암호화와 키관리가 함께 이뤄지도록 해 보안 취약성을 더욱 높였다. 이 방식은 권한 있는 사용자가 DB서버에 접근해서 암호화된 데이터와 키를 제한 없이 유출할 수 있다. 안전한 DB 암호화를 위해서는 DB 서버와 암호화 서버, 키관리 서버를 분리해 운영해야 하며, 키관리 서버는 전용 하드웨어 어플라이언스에 높은 수준의 암호화 기술로 관리돼야 한다. DB 서버 메모리에 키를 보관하는 경우도 종종 있는데, 공격자가 DB 서버를 장악하면 메모리에 저장된 키에 자유롭게 접근할 수 있기 때문에 결코 안전한 방법이 아니다.

더불어 DB관리자와 암호화 키 관리자 계정을 분리해 운영해 관리자 계정을 탈취당해도 키관리 계정을 보호해 키관리 서버에 접근하지 못하도록 해야 하며, CC인증, FIPS 인증 등 공인 인증을 획득한 안전한 제품을 사용하는 것이 좋다.

해외솔루션에 대항하는 국내 솔루션들

DB암호화 시장에 해외솔루션이 적극적으로 드라이브를 걸고 있지만, 암호화 시장은 국내 솔루션이 막강한 장악력을 갖고 있다. 국내 솔루션은 합리적인 가격과 유연한 커스터마이징을 제공해 까다로운 국내 고객의 요구를 만족시킬 수 있기 때문이다. 국내 고객들은 암호화를 적용해도 DB 성능에 영향을 미치지 말아야하며, 애플리케이션 수정 없이 안정적으로 운영되기를 바란다. 기존에 구축된 DB시스템 변경을 최소화하면서 암호화 구축을 요구하기 때문에 즉각적인 기술지원이 이뤄지는 국내 솔루션이 강세를 보이고 있는 것이다.

가장 먼저 DB 암호화 제품을 사용용화한 펜타시큐리티는 암호화솔루션을 넘어 암호화 플랫폼으로 진화했다고 자사의 앞선 경쟁력을 강조한다. 이 회사의 다이모 제품군은 암호화, 접근제어, 접속기록, 모니터링 기능을 제공하고 있으며, 핀테크, IOT, POS, 산업시스템 등 다양한 기술분야에 적용될 수 있으며 플랫폼으로 제공된다.

암호화 키관리 시스템 디아모 KMS 디아모 컴포넌트 뿐 아니라 외부 애플리케이션, 아라클 TED 서버 키관리도 가능하다. 더불어 통합 로그관리 시스템 디아모 LMS, 테스트 데이터 변환 시스템 디아모DTS 등을 추가하면서 데니터 보호 포트폴리오를 완성한다.

이글로벌의 큐브원은 대용량 DB암호화 기술이 뛰어난 제품으로 대형 유통사, 금융권 에서 활용되고 있다. 금융권 DR운영 기준을 충족할 수 있는 기능요건을 갖췄다. 1대의 관리콘솔에서 다수의 DB 애플리케이션 서버를 운영해 DB를 잘 모르는 보안관리자도 운영할 수 있다. 또한 권한 있는 사용자에 의한 정보유출을 막기 위해 대량 복호화 시도 통제, 차단 기능을 옵션으로 제공한다. 

케인사인의 시큐어DB는 암호화와 접근제어, 로그감사를 통합해 기업의 중요한 데이터를 보호한다. 데이터를 컬럼 단위로 암호화하고, 세분화된 접근 제어기능을 제공하며 선택적인 감시 기능으로 사후 책임추적을 가능하게 한다.

DB암호화, 접근제어 통합 구성

DB암호화와 접근제어를 통합하는 것은 비용을 절감하고 관리를 쉽게 하는 장점이 있을 뿐 아니라 실제 DB 에 접속하는 사용자에 대한 가시성을 확보할 수 있어 실 사용자에 대한 로그관리가 가능하다는 장점이 있다. DB접근제어 시스템을 통과해 DB암호화 시스템에 접속하는 사용자의 IP는 DB접근제어 시스템 IP로 변경되기 때문에 실제 어떤 사용자가 어떤 데이터를 암호화/복호화 하는지 파악할 수 없다. DB암호화 시스템에서는 특정 KP에 대해서만 복호화하는 접근통제 정책을 적용하는데, DB접근제어 시스템으로 인해 암호화 시스템의 접근통제가 무력화되고 로그기록을 남길 수 없어 향후 사고가 발생했을 때 추적이 어려워진다.

접근통제가 무력화된 암호화 시스템은 접근하는 모든 사용자 요청에 대해 복호화를 수행하기 때문에 암호화를 해야 할 필요가 없어진다. 암호화는 권한 있는 사람이 권한 내에서 복호화를 요청했을 때에만 이룰 수 행해 데이터가 불법적으로 유통되지 않도록 하는 시스템인데, 모든 요청에 대해 복호화를 제공한다면 굳이 암호화를 할 필요 없이 접근제어 시스템만 있는 것이나 마찬가지다.

DBMS는 성능과 언정성에 매우 민감한 시스템으로 보안 시스템으로 인해 처리속도가 느려지거나 장애가 발생한다면 비즈니스에 큰 타격을 입을 수 도 있따. 그러나 데이터를 보호하지 않으면 비지니스에 더 큰 피해를 입힐 수도 있으며, 개인정보 유출사고나 기밀정보 유출로 인해 사업을 중단해야 할 상황까지 당하게 될 가능성도 있다. 이 때문에 DB솔루션을 공급하는 기업들은 성능과 안정성을 보장하면서 보안까지 높일 수 있는 방법을 연구하고 있다. 웨어벨리의 경우 DB 접근제어 솔루션 샤크라맥스를 비롯해 DB관리, 개발, 작업결재, 취약점 분석, 그리고 접근제어, 암호화에 이르기까지 DB와 관련된 기술을 다양하게 개발해 제공하고 있다.

파수닷컴은 DB암호화 솔루션 솔리드베이스와 DB접근제어 및 애플리케이션 보안 솔루션 페이스로 구성된 DB보안 제품군을 제공해 DB보안을 강화한다. 솔리드베이스는 색인처리 로직을 이용해 암호화 데이터를 빠르게 검색, 처리할 수 있도록 하며 원본데이터를 빠르게 검색, 처리할 수 있도록 하며 원본데이터와 동일한 길이의 암호화 데이터를 생성시켜 테이블 컬럼 길이 변경 없이 암호화를 구축한다. 페이스는 지정되지 않은 PC와 애플리케이션이 DB서버에 접근하는 것을 차단하는 솔루션으로, 외주개발사 보안, 고객정보조회 애플리케이션, 협업 환경에서 사용할 수 있다.

DB/시스템 접근제어 통합

DBA나 IT부서에서 서버에 직접 접근할 경우 DB접근 통제가 약하다. 외부 사용자나 현업부서에서는 애플리케이션 서버를 통해 3티어로 DBMS에 접근하기 때문에 DBMS 접근 기록이 남지만, IT부서나 외부 아웃소싱 개발자들은 오렌지, 골든, 토드 와같은 2티어 타입의 접근 툴을 사용하기 때문에 데이터 사용을 모니터링 하기 어렵다. 따라서 DB 접근제어 및 시스템 ㅈ덥근제어 제품을 소개하면서 데이터 보안 시장을 공략한다. 데이터 암호화 제품 세이프DB는 FPE를 적용해 데이터의 형태와 길이를 유지한 암호화가 가능하다. 대용량 파일 이미지 암호화, 데이터 마스킹, 개인정보 검색, 대량정보 조회 방지 등의 기능을 제공한다.

접근제어 제품 시넵은 DB와 시스템 접근제어, 감사로그 기능을 통합한 제품으로, 기업정보보호와 개인정보보호 요건을갖출 수 있다. 유닉스, 리눅스, 윈도우 등 이기종 시스템과 오라클, mysql, ms-sql, 티베로, 알티베이스 등 다양한 DBMS를 지원한다. DB접근제어와 시스템 접근제어를 통합한 또 다른 제어품으로 NHN엔터테인먼트에 인수된 피앤피시큐어의 디비세이퍼가 있다. 디비세이퍼는 웨어밸리 샤크라맥스와 DB접근제어 시장 1, 2위를 다투는 솔루션이다. 피앤피시큐어는 DB접근제어, 시스템 접근제어, 계정관리 기능을 통합한 디비세이퍼 엔터프라이즈 V5.0 으로 내부부안을 위한 접근제어 기능을 통합적으로 제공한바 있다. 피앤피시큐어는 NHN엔터테인먼트 기술을 결합한 차세대 디비세이퍼를 출시하기도 했다.

모니터랩은 DB쿼리에 대한 모니터링 기술을 제공하는 애플리케이션 인사이트 데이터베이스 방화벽을 DB접근제어 제품으로 소개한다. 이 제품은 2014년 11월 시행된 정보통신망법 행정안전부 정보통신 보안업무 규정에서 행정기관의 DB쿼리 모니터링 제공 요건을 만족시킨다. 로깅 법제화, 접속 기록 위변조, 도난 방지, 완전한 쿼리 분석제공을 통해 사용자 기반 권한제어, 접근제어, 프로파일 기반의 자동화된 보안 정책을 구현한다.

어댑티브 프로파일링 기술을 활용해 스키마, 객체, 사용자, IP, 시간에 따른 DML 정밀 분석이 가능하며 DB서버로 보내는 SQL 구문 전체를 학습해 일반 프록시 게이트웨이 보다 3배 이상 높은 성능을 구현한다.

기업은 과연 비싼 솔루션을 도입할 필요가 있는가?

개인정보보호법은 기업의 입장에서 보면 비싼 솔루션에 투자를 해야 하고, 마케팅에 이용할 수 있는 정보의 수가 줄기 때문에 성장에 걸림돌이 되는 것임에는 틀림이 없다. 하지만 반대로 기업의 인지도와 규모만 믿고 자신의 정보를 제공하고 거래를 하였으나 자신의 정보가 모두 유출되어 피해를 본다면 개인의 입장에서는 그 기업을 등 질수 밖에 없는 요인이된다. 기업은 대다수의 고객이 등을 진다면 존재의 이유가 사라지는 것이다. 단순히 당장 투자되는 설비와 솔루션에 대한 비용만 생각할 것이 아니라 멀리 보고 고객의 소중한 정보를 보호할 의무를 다한다면 우리 소비자는 해당 기업의 충성도는 당연히 높아질 것이다.