디스크 통째 암호화, 간단하지만 파일 암호화보다 덜 안전
이메일 암호화 기술 발전으로 디지털 저작권 분야도 덩달아 발전

[보안뉴스 문가용] 애플과 FBI의 사건에서 정부의 프라이버시 침해 문제가 대두되긴 했지만 해당 사건은 기업이 사용하는 암호화 기술에 대한 문제 역시 만만치 않게 시사하고 있다. 그러나 ‘암호화’라는 게 말은 무성한데 도대체 실제 일상의 업무 환경에서 보안 담당자들이 정말로 알아야 하는 것들은 무엇인지에 대해서는 알려진 바가 없다시피 한다.



디지털 가디언(Digital Guardian)의 제품 전략 부문 부회장인 토니 테멜리스(Tony Themelis)는 “암호화의 가장 기본이 되는 네 가지 유형을 먼저 파악하고, 기업의 상황에서 가장 적합한 것을 선택해 그것을 발전시켜 나가는 것이 가장 효과적인 전략”이라고 설명한다. 그 네 가지 유형이 무엇인지 알아보았다.

1. 파일과 폴더 암호화
신기종 랩탑들에는 소위 PKI라고 하는 공개키기반구조가 장착이 되어 있다. 그러나 이는 대부분 디스크 암호화를 위한 것으로 컴퓨터가 물리적으로 없어졌을 때(분실 및 도난)에만 진가를 발휘한다. 하지만 우리가 매일 필요로 하는 ‘암호화’ 기술은 중요한 정보가 담겨 있는 파일이나 폴더의 암호화다. 그래서 정말로 민감한 정보를 보호하기 위해서 보안 담당자들은 추가적인 암호화 기술을 도입한다. 물론 기술 구매의 결정은 회사가 한다. 소스코드, 엔지니어링 관련 기밀 문서, 도면 등 지적재산 등 역시 따로 암호화를 할 필요가 있다. 폴더 째든 개별 파일이든 상관없다.

2. 이메일의 암호화
최근 이메일 암호화 솔루션들이 많이 활용되고 있다. 기본적으로 한 컴퓨터를 떠나 도착지에 다다른 이메일의 내용을 암호화해 보호하는 기능들을 대부분 가지고 있다. 보통 메시지가 도착한 후 보낸 사람은 메일의 보안과 사용에 대해 책임과 권한을 갖지 않는 것이 일반적이다.

디지털 저작권에 대한 논의는 수년 전부터 끊임없이 이어져 왔는데, 아직 현장에서 제대로 적용되고 있지는 않다. 하지만 이메일 보안 솔루션처럼 ‘내용물’에 대한 보안이 대두되면서 덩달아 디지털 저작권에도 변화가 오고 있다. 특히 이메일을 받은 사람이 언제 정보를 사용할 수 있을지도 지정해주는 솔루션들이 등장하면서 저작권의 개념부터 조금씩 변화가 생기고 있는 것이다. 물론 아직 ‘일반적인’ 사항이 결정된 것은 아니고, 기업마다 정책을 다르게 적용하고 있다. 앞으로도 그렇게 굳어질 가능성이 많다.

어떻게 되든 앞으로 보안 담당자들은 이제 이메일의 콘텐츠를 읽기 전용으로 할 것인지, 24시간 내에 자동으로 삭제되도록 할 것인지 결정을 할 수 있게 될 것이다. 이렇게 되면 ‘정책의 내용’ 자체에 대한 보안도 철저히 지켜져야 할 것인데, 내용물 보안의 다음 단계는 정책의 보안이 될 것이라는 의견들이 많은 이유다.

3. 클라우드 기반의 파일 암호화
클라우드 환경이 바뀌어도 파일 암호화의 표준 대부분은 그대로 유지된다. 하지만 보안 담당자들이 놓치지 말아야 할 것이 있는데, 클라우드 제공 업체가 기존 네트워크에서 파일을 암호화하던 것과 같은 방식으로 암호화를 하기 위한 필수 API들을 갖추고 있는지 확인하는 것이다. 유명 클라우드 서비스인 박스(Box)나 드랍박스(DropBox), 오피스 365(Office 365) 등은 이런 API들을 갖추고 있거나, 갖추고 있는 클라우드 접근 보안 브로커(cloud access security broker, CASB)와 파트너십을 맺고 있다. 이런 식으로 보안을 도모하는 것이 업계 관행처럼 흘러가고 있기는 하지만 아직 완전히 정착된 것이 아니니 확인을 한 번씩 해보는 것이 안전하다.

4. 착탈식 미디어의 암호화
암호화를 도입하려는 기업들 대부분 USB와 같은 착탈식 및 휴대용 미디어의 암호화부터 시작한다. 제일 쉽기 때문이다. 이런 류의 하드드라이브나 USB를 사용할 때 모든 데이터를 암호화해야 한다고 명시하기만 하면 된다. 그러나 점점 더 많은 업체들이 USB 등에 저장되어 있을 수 있는 PCI DSS나 HIPAA 등의 민감한 정보들을 따로 암호화하기 시작했다. 착탈식 미디어를 통째로 암호화하는 것에 대한 고민을 하기 시작한 것이다. 아직 이 부분은 더 지켜봐야 하겠지만 드라이브를 통째로 암호화하는 것이 파일을 암호화하는 것보다 덜 안전하다는 인식이 깔리기 시작했다는 건 분명하다.

글 : 스티브 주리어(Steve Zurier)
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)