“DB보안만 제대로 구축한다면 유출사고 1/3로 줄일 수 있어”

[보안뉴스= 노형준 한국오라클 부장] 최근 안타까울 정도로 많은 개인정보 유출사고가 발생했고, 계속해서 발생하고 있다. 더욱 더 안타까운 것은 유출 규모가 점점 더 커져가고 있다는 것이다. 그런데 지금까지 보안이 전혀 구축되어 있지 않아서 이렇게도 많은 개인정보가 유출된 것일까?

프롤로그 - 보안, 핵심이 중요하다
안타깝게도 그렇지는 않다. 물론 보안이 제대로 구축되지 않아서 문제가 된 경우도 있겠으나, 적지 않은 경우가 나름의 보안을 구축했음에도 불구하고 정보가 유출되는 사고가 발생했으니 이것은 보안의 필요성은 인식했지만 핵심적인 사안을 놓친 것이 원인이 되었다고 볼 수 있다.

돌이켜 보면, 지금까지의 IT 보안은 외부에서의 침입을 막고 탐지해 내는 쪽에 초점을 맞추었던 것이 사실이다. 그런데 최근 일어난 개인정보 유출사고의 대부분은 외부에서의 침입에 의한 것이 아닌 내부자에 의해 일어난 것이었다. 즉, 기존의 패러다임으로 구축된 IT 보안 솔루션 및 방법론으로는 막을 수 없는 사태였고, 개인정보보호를 위한 보안의 측면에서 보면 기존의 IT 보안들은 핵심이 빠진 미완성의 보안이었던 것이다.

개인정보보호의 핵심 - DB 보안
그러면 개인정보의 보호를 위한 보안은 어떻게 구축하는 것이 최선일까? 이를 위해 객관적인 자료 하나를 살펴보기로 하자. 버라이즌(Verizon)에서는 매년 데이터 유출(Data Breach)에 대한 보고서를 작성하여 배포한다. 그림에서 알 수 있듯이, 2013년에 배포된 자료에 의하면 가장 기본적인 보안위협이 가장 핵심적인 유출의 원인이라고 기술하고 있고, 아울러 무려 67%, 즉 3건 중 2건의 데이터 유출이 DB나 파일서버로부터 일어났음을 보여주고 있다. 이 얘기는 DB보안만 제대로 구축했더라면 유출사고를 1/3로 줄일 수 있었다는 것이며, 결과적으로 개인정보보호의 핵심은 ‘DB 보안’이 될 수 밖에 없음을 알려주는 좋은 근거라 할 수 있다.



최적의 DB 보안 구축 - 심층 방어(Def ense-in-Depth) 아키텍처의 수립
모순(矛盾)이라는 말의 유래를 잘 알고 있으리라 믿는다. 초나라의 무기 상인이 무기를 팔며, 자신의 창은 그 어떤 방패도 뚫을 수 있다고 선전했고, 또 자신의 방패는 그 어떤 창도 막아낼 수 있다고 선전했다.

그러자 명나라 왕 신하 중 한 사람이 그 상인에게 “당신이 그 어떤 방패도 다 뚫을 수 있다고 선전하는 창으로 그 어떤 창도 막아낼 수 있다고 선전하는 방패를 찌르면 어떻게 됩니까?”하고 질문을 던지자 상인은 아무 대답도 하지 못했다는 이야기이다. 잘 알다시피 모순의 국어 사전적 의미는 ‘어떤 사실의 앞뒤, 또는 두 사실이 이치상 어긋나서 서로 맞지 않음을 이르는 말’인데, 지금 여기서 언급하고자 하는 것은 ‘모순’이라는 말 자체의 뜻에 대한 설명이 아니고, 모순이라는 말의 유래와 ‘보안’의 상황을 비교하는 것이다.

‘모든 보안을 무력화할 수 있는 해킹 툴 또는 해커’가 존재할 수 있을까? 반대로, ‘모든 해킹 툴 또는 해커를 무력화할 수 있는 보안 시스템’이 존재할 수 있을까? 정답은 둘 다 ‘없음’이라고 본다. 그러나 보안의 영역에서는 일반적으로 창과 방패의 싸움, 즉 정보를 빼내려는 자와 정보를 보호하려는 자의 싸움에서 창이 이기는 싸움으로 본다. 그래서 이러한 창과 방패의 싸움에서 방패가 이길 수 있는 또는 지더라도 최대한 늦게 지기 위한 최선의 방법으로 고안된 개념이 바로 ‘Defense-in-Depth’이다.

즉, 단순한 하나의 강력한 방어막으로 중요한 정보를 보호하는 것이 아닌 여러 겹의 방어막을 구축해 설령 하나의 방어막이 무너지더라도 그 다음 방어막으로 추가 보호를 하고, 또 그 다음 방어막으로 추가 보호를 하여 중요한 정보를 최대한으로 보호하자는 취지다. 이것을 조금 다른 각도에서 설명하면, 기존의 보안전략과는 다르게 단편적인 기능의 나열 및 구축이 아닌 아키텍처 기반의 통합적 접근을 실행하자는 얘기가 된다.

즉, 암호화를 통해 저장되어 있는 정보를 보호하고, 접근제어를 통해 권한 분리 및 권한의 최소화를 실행하여 데이터의 불법적 유출을 차단해야 한다. 이와 함께 구축된 DB보안 사항에 대한 지속적 감사를 통해 사전 차단에 실패한 경우에 대한 탐지를 실행해 피해를 최소화하는 최적의 DB보안 구축을 완료할 수 있다는 것이다.



에필로그 - 끝의 시작
많은 사람들이 이미 개인정보는 유출될 만큼 유출되었고, 더 이상은 유출되어 봤자 무서울 것도 없다는 얘기를 하곤 한다. 그러나 이것은 ‘끝의 시작’이라는 아이러니한 상황을 전혀 이해하지 못하는 사람들의 얘기다. 우리들의 개인정보가 유출될 만큼 유출되었기 때문에 개인정보의 유출은, 혹은 개인정보에 대한 탈취 시도는 이제 끝났다라고 생각하기 쉽지만, 하나의 파도가 지나고 나면 그 다음에는 더 큰 파도가 오듯이 앞으로는 단순히 주민등록번호와 전화번호 정도의 정보가 아닌 더 많은 핵심적인 위협이 될 수 있는 정보의 탈취를 시도하는 것으로 개인정보의 탈취 시도는 진화할 것이다. 결국, 끝은 또 다른 시작의 연장선인 것이다.

‘늦었다고 생각할 때가 가장 빠른 때’이다. 즉, 이미 조금 늦었다고 생각하는 지금이야말로 DB보안을 구축하기에 가장 적절한 시기이다. 심층 방어 아키텍처를 구체화하는 암호화, 접근제어, 감사 솔루션을 이용해 ‘개인정보보호를 위한 최적의 DB 보안의 구축을 지금 바로 시작하자’는 당부를 하고 싶다.
[글_ 노형준 한국오라클 Security Solution Specialist/부장(hyeongjoon.noh@oracle.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>