IT부서·협력업체 직원, DB서버 접근 시 보안에 취약
올해 개인정보 관련 법·규제 강화로 DB보안 시장 성장세 전망
한국오라클과 파수닷컴, 오는 6월 9~10일 ‘PIS FAIR 2016’에서 DB보안 강연

[보안뉴스 김태형] 최근 개인정보보호법과 정보통신망법, 그리고 세부 규정인 개인정보 안전성 확보조치 기준 등 관련 법과 규정이 강화되는 방향으로 개정되면서 각 기업과 기관의 각종 DB를 비롯한 저장되는 모든 데이터에 대한 컴플라이언스가 강화됐다. 특히, 지난 2014년 카드사 고객정보 유출 사고 이후 개인정보보호 관련 법·규정은 사업자의 책임이 더욱 강화되는 방향으로 흘러가고 있다.



한국인터넷진흥원(KISA)에 따르면, 국내 개인정보 유출 신고는 지난 2011년부터 2015년까지 67건으로 유출된 개인정보 숫자는 약 1억3천35만건으로 조사됐고, 이 중 공공기관은 10건, 민간은 57건이었다.

이러한 가운데 지난해 2월 개인정보보호법이 개정됐다. 주요 개정 내용을 살펴보면, 주민번호는 반드시 암호화하도록 의무화하는 등 DB보안을 강화했다. DB보안은 특히 개인정보 유출사고 예방을 위해서도 매우 중요한 부분이다. 아울러 행정자치부는 최근 기업이나 공공기관에서 개인정보를 수집·이용할 때 준수해야 하는 안전조치를 규율하고 있는 ‘개인정보 안전성 확보조치 기준’ 개선방안을 마련하고 검토를 거쳐 개정할 예정이다.

‘개인정보 안전성 확보조치 기준’에서 DB보안과 관련된 부분을 보면, 개인정보처리 시스템(DBMS)에 대한 접근권한을 업무담당자에 따라 차등 부여하고 불법적인 접근과 침해사고를 방지하기 위해 접근통제 조치를 취해야 한다. 또한, 외부에서 접근 시에는 안전한 접속수단을 사용하거나 공인인증서 등 안전한 인증수단을 사용하도록 규정하고 있다.

여기서 개인정보처리 시스템은 여러 사용자들이 데이터베이스 내의 데이터에 접근할 수 있도록 해주는 응용프로그램이다. 이는 DB뿐만 아니라, DB에 연결되어 DB를 관리하거나 DB의 개인정보를 처리할 수 있는 응용프로그램(웹서버 포함)까지 포함될 수 있어 DB접근 권한에 대한 보안을 강화해야 한다.

이러한 DB보안에는 DB암호화와 DB접근제어가 있다. 이 중에서 DB접근제어 솔루션은 정보가 유출되거나 무결성이 훼손되는 것을 방지하기 위해 개인정보취급자 등 정보를 볼 수 있는 권한이 주어진 사람에게만 DB에 접근할 수 있도록 통제 및 관리하기 때문에 DB암호화와 함께 DB보안의 핵심이라고 할 수 있다. 하지만 최근엔 DB암호화와 DB접근제어 시스템을 통합해 비용절감과 가시성을 확보하고 DB보안도 강화하는 추세다.

한국인터넷진흥원의 ‘2015 국내 정보보호산업 실태조사’에 따르면, 지난 2014년 DB접근제어 매출은 468억 9,800만원이며, 2015년 매출은 538억 5,200만원으로 약 14.8% 증가한 것으로 집계했다. 아울러 DB접근제어는 제조부문 매출이 41.2%, 공공부문이 28.9%로 주로 제조부문의 수요가 높은 제품으로 나타났다.

대표적인 DB접근제어 솔루션으로 오라클의 ‘오라클 라벨 시큐리티(Oracle Label Security)’와 ‘오라클 데이터 베이스 볼트(Oracle Database Vault)’가 있다. ‘Oracle Label Security’는 그 분류에 따라 손쉽게 데이터에 대한 접근을 범주화하고 중재한다. 또한, 다계층 보안 및 액세스 제어 규정에 대한 공공 부문의 요건을 충족하도록 개발되었으며 전 세계 정부기관 및 민간기업들이 데이터 기민성을 보호하고 규제 준수를 달성하기 위해 ‘알 필요(need to know)’를 기준으로 데이터에 대한 액세스를 관리하는 데 이용할 수 있다.

또한, 오라클의 ‘Oracle Database Vault’는 조직들이 기존 애플리케이션의 보안을 강화하고 직무 분리(separation-of-duties), 최소 권한 부여 및 여타 데이터 무결성 및 데이터 기밀성을 보장하는 방어조치를 요구하는 규제 요건을 처리할 수 있도록 지원한다. 특히, Oracle Database에 저장된 애플리케이션 데이터를 과도한 권한을 가진 데이터베이스 사용자가 액세스하는 것을 사전에 방지한다.

이와 함께 파수닷컴은 기존 DB보안 솔루션을 커버하는 솔루션으로 DB보안을 강화할 수 있는 제품을 제공한다. 기업들이 클라이언트에서 서버 관리자가 지정한 DB 접근 툴로만 DB에 접근할 수 있고 지정된 툴은 DB쿼리를 암호화하는 방식을 적용해 DB를 보호할 수 있는 ‘솔리드베이스(Solidbase)’와 DB접근제어 솔루션 ‘페이스(Face)’를 통해 DB보안을 강화할 수 있다.

또 모니터랩의 데이터베이스 접근제어 제품 ‘DB 인사이트 에스지(DB INSIGHT SG)’는 최근 제품명을 ‘APPLICATION INSIGHT DFW(AIDFW)’로 바꿨다. 이 제품은 Positive Model 기반의 DB방화벽 제품으로 SQL Query Selt Leaning을 통한 자동정책 생성, 기존 네트워크 환경 변화 없이 구성 가능한 하드웨어 일체형 제품이다.

모니터랩의 심재은 이사는 “현재 국내 DB접근제어 솔루션 시장은 지속적인 성장세를 보이고 있다. 지난 2015년에는 전반적인 경기 불황으로 인해 전년 대비 비슷한 수준의 성장세를 보였다. 하지만 최근 개인정보보호 관련 법과 규제가 강화되고 기업의 정보보호에 대한 책임이 무거워진 영향으로 대형 의료기관 등을 중심으로 DB보안 제품에 대한 관심과 도입이 지속적으로 늘어나고 있는 추세”라고 말했다.

피앤피시큐어의 DB접근제어 솔루션 ‘디비세이퍼(DBSAFER)’는 개인정보 DB에 대한 접근/권한통제, SQL감사 및 로깅 등을 통해 개인정보 유출을 사전에 차단하고 발생 위험을 최소화한다. 이와 연동해 통합접근제어를 제공하는 ‘디비세이퍼 에이엠(DBSAFER AM)’은 시스템 접근통제 솔루션이다.

이와 관련 피앤피시큐어 박천오 대표는 “이제 DB접근제어 시장은 성숙기에 접어들었다. 지난해 피앤피시큐어 매출 증가분을 보면 DB 접근제어가 아니라, 시스템 접근제어 부문에서 달성했다. 하지만 시스템 접근제어 시장도 이제는 성숙기에 접어들고 있다”고 말했다.

신시웨이의 DB접근제어 솔루션 ‘페트라(Petra)’는 스니핑, 게이트웨이, 에이전트 구성 방식의 다양한 기능, 편리한 UI, 실시간 모니터링, 보고서 생성, 감사, SQL Masking 기술 등을 함께 제공한다. 특히 다양한 정책 수립으로 세분화된 사용자별로 접근통제가 가능하며, 쿼리문, 오브젝트에 대한 세부적인 접근통제 정책을 수립 후, 위배되는 세션에 대해 SQL 문장을 차단한다.

이니텍의 통합 접근제어 시스템 ‘시냅(SeNeapp)’은 DB와 시스템 접근제어, 감사로그 기능을 하나로 통합한 제품이다. 특히, 기존 시스템과 DB를 별도의 접근제어 솔루션으로 구축했던 틀을 벗어나 다기능, 고성능을 장점으로 하고 있으며 기업정보보호와 개인정보보호라는 두 영역을 한번에 커버할 수 있다. 또한, 유닉스, 리눅스, 윈도우 환경의 시스템과 다양한 종류의 DBMS(Oracle, MySQL, MS-SQL, Tibero, Altibase등)를 지원해 이러한 시스템을 보유·운영하는 기업의 보안관리 부담을 획기적으로 덜어준다.

웨어밸리의 DB접근제어 솔루션 ‘샤크라맥스(Chakra Max)’는 고객의 데이터베이스 내에 저장되어 있는 정보자산 및 개인정보를 안전하고 편리하게 운영할 수 있는 DB접근에 대해 실시간 추적·감시하는 보안 ·감사(Audit) 솔루션이다. 특히, 기업 및 공공기관에서 운영하는 DB 서버에 누가 언제 어디서 어떤 데이터를 조회하고 변경했는지 100% 기록하며, 보안정책을 지키지 않는다거나 비인가된 사용자가 접근할 경우 경고 알림으로 DB를 보호한다.


▲ 국내·외 주요 DB접근제어 제품 및 주요 기능(업체명 가나다순)

지난 카드사 고객정보 유출사건에서 보듯이, IT부서나 협력업체 직원들이 DB서버에 접근하는 경우, 모니터링과 통제가 어려워 보안의 홀이 생기고 이를 통해 DB가 유출되는 사고가 발생한다. 외부 사용자나 현업부서에서 애플리케이션 서버를 통해 DB에 접근하면 접근기록이 남지만, IT부서나 외부 아웃소싱 개발자들이 DB에 접근할 때는 접근 툴을 사용하기 때문에 DB접근에 대한 모니터링이나 통제가 어렵다. 즉, DBA나 IT 부서, 협력업체 직원들이 DB서버에 접근하는 경우 보안이 취약하다. 이에 DB 접근제어 시스템과 시스템 접근제어 시스템을 통해 보안을 강화하는 방법이 DB보안에 효과적이라고 할 수 있다.

한편, 오는 6월 9일부터 10일까지 양일간 공공기관과 민간기업의 CPO(Chief Privacy Officer: 최고개인정보책임자)와 개인정보처리자, 보안담당자들 4,000여명이 이상이 대거 참가하는 ‘2016 개인정보보호페어(PIS FAIR 2016)’에서 한국오라클과 파수닷컴이 DB보안과 관련된 강연을 진행할 예정이라 관심이 모아지고 있다.

한국오라클의 노형준 부장은 ‘심층 방어 아키텍처를 통한 최적의 DB 보안 구축’이라는 주제로, 파수닷컴의 강봉호 본부장은 ‘효과적인 개인정보 비식별화 및 암호화 방안’을 주제로 강연에 나서 DB 접근제어를 비롯한 DB 보안 강화대책을 구체적으로 소개할 예정이다.

개인정보보호 관련 주무부처인 행정자지부, 방송통신위원회, 개인정보보호위원회가 공동 주최하는 ‘PIS FAIR 2016’는 올해로 6회째를 맞는 국내 최대 규모의 개인정보보호 컨퍼런스로, 공공분야와 민간분야를 아우르기 위해 양일에 걸쳐 ‘CPO워크숍’과 ‘온라인 개인정보보호 컨퍼런스’로 나누어 진행된다.

개인정보보호 관련 법제도와 기술 트렌드, 구축사례 등에 대한 풍성한 강연은 물론 개인정보보호 솔루션 전시, 그리고 참관객들에게 ‘개인정보보호 실천가이드 v.6’가 무료 배포되는 이번 행사의 경우 공공기관 및 기업의 CPO와 개인정보처리자, 보안담당자는 행사 홈페이지(www.pisfair.org/2016/)에서 사전등록시 무료 참관이 가능하다.
[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)