내부정보, 보안USB로 통제·차단

국민연금공단 보안 USB 구축사례

보안성 강화와 편의성 최대화에 중점

우리나라 사회복지의 대표기관인 국민연금공단은 국민의 개인정보보호를 위해 지난 2004년부터 로그관리 시스템과 권한관리시스 템을 도입, 다단계의 보안인증절차(PC 비밀번호, 전자인증, 업무별 권한관리)를 거친 후 전산망 접속이 가능하도록 하는 등 개인정보보호를 위한 물리적·제도적으로 다양한 시스템을 마련했다. 이러한 가운데 국민연금 공단은 올해 내부정보유출 방지와 개인정보보호를 강화하기 위해 세이퍼존의 보안USB를 도입, 현재 구축완료를 앞두고 실제 운영을 위한 테스트 중에 있다.

국민연금공단은 국민가입자와 수급자 등 전 국민에 대한 정보관리가 주요 임무인 만큼, 관리하고 있는 방대 한 정보데이터의 안전한 관리가 매우 중요하다. 특히 공단은 재해나 재난시에도 데이터의 손실 없이 바로 복구가 가능하도록 정보데이터를 실시간으로 이중화해 관리하고 있다.

이는 단순히 데이터의 백업 개념이 아니라, 제3의 장소에서 별도로 수시로 변동되는 데이터를 실시간으로 저장· 관리하고 있음을 의미한다.

우호승 국민연금공단 정보시스템실 실장은 “공단은 무엇보다 데이터의 안전관리와 보안을 최우선으로 하고 있다”며 “특히 사생활 침해 방지와 개인정보보호를 위해 수년전부터 선도적으로 보안시스템을 구축하고 주기적인 보안점검과 감사를 통해 취약점을 보완해 나가 고 있다”고 설명했다.

내부정보 유출, 취약점 점검과 보안 강화가 효과적

국민연금공단은 지난 2004년부터 데이터를 열람한 내용과 일시, 장소, 사용PC 등을 기록하는 로그 관리 시스템을 개발·운영하기 시작했다. 이후 직원별 업무권한 을 부여한 업무권한 관리 시스템을 도입해 권한이 주어 진 직원만이 담당업무와 관련된 DB에만 접근하고 열람 할 수 있도록 했다. 그리고 지난 2006년에는 DRM시스템을 구축, 직원의 PC 등에서 다운 받는 공단의 정보자료는 모두 암호화하도록 해, 복사·저장된 자료가 외부 로 유출 되더라도 암호화되어 있기 때문에 파일을 열어 볼 수 없도록 했다.

그리고 올해에는 이러한 보안 시스템을 더욱 강화하고 보안성을 한 층 더 높이기 위해 NAC시스템과 보안USB 시스템을 도입키로 하고 현재 구축 마무리 단계를 진행하고 있다. 우 실장은 “보안은 100% 완벽할 수 없다는 말처럼 언제나 새로운 해킹 기술과 공격 툴이 개발되고 있기 때문에 주기적으로 취약점을 점검하고 보완하지 않으면 큰 피해를 볼 수 있다”면서 “이번에 구축하는 보안USB는 PC를 활용한 각종 보조저장 매체를 이용한 복사·저장 자체를 제어하고 암호화하는 기능으로 내부정보유출방지를 위해 보안을 강화하는 시스템이다”고 설명했다.

그는 국민들의 개인정보보호와 정보보안을 위해 추진되는 이번 프로젝트에서 국정원보안적합성검증을 필한 세이퍼존 보안USB 솔루션이 공개경쟁입찰을 통해 수 주된 만큼 기대도 크다고 말했다. 이 외에 공단은 일반적인 USB를 보안USB로 전환해서 사용할 수 있는 기능을 추가하는 등 사용자들의 편의성을 최대한 고려해 진행하고 있다.

매체 중앙관리로 접근 통제· 자료유출 방지

이번 국민연금공단 프로젝트와 관련해 세이퍼존 김상진 본부장은 “이번 프로젝트는 국민연금공단의 PC 자료 무단 유출을 방지하고 개인 정보보호를 강화하기 위한 것으로 세이퍼존의 보조기억매체 관리시스템 ‘데프콘 시큐어 USB(DefCon Secure USB)’를 국민연금공단 의 IT환경과 기존 보안시스템의 변동 없이 구축하고 있다”고 밝혔다.

또한 그는 “국민연금공단의 이번 시스템 구축은 올 11월 중에 완료될 예정이며 공단본부 5개 통합지원센터와 91개 지사, 22개 사무소의 모든 PC에 에이전트와 보안USB가 배포될 계획이다”며 “공단은 이를 통해 비인가 자의 공단 내부 네트워크 접근과 휴대용 저장매체를 이용한 자료 유출을 차단할 수 있다”고 설명했다.

또한 그는 “이번 공단의 보안 USB 구축을 기반으로 향후 국정원의 ‘USB메모리 등 보조기억매체 보안관리지침’ 적용 대상 기관과 기업이 늘어나면서 이러한 기관과 기업에 적합한 중앙관리가 가능한 보안 솔루션 도입 수요가 증가할 것이라고 전망했다. 이와 관련, 우 실장은 “이번 프로젝트는 현재 구축이 완료 단계에 있다”며 “앞으로 기능을 보완해 테스트 단 계를 거치고 모든 점검 등이 끝나는 시점인 11월 중순 이면 본격 가동하게 될 것”이라고 밝혔다. 그는 또 “이렇게 보안USB가 본격 가동되면 공단 내에 관리되고 있는 개인정보는 USB메모리 등 휴대용 보조저장매체를 통한 무단 복사와 유출이 매체 중앙관리 시스템을 통해 효과적으로 통제· 관리· 차단될 수 있을 것”이라 고 강조했다.

한편 세이퍼존의 DefCon Secure USB는 국가정보원 의‘USB 등 보조기억매체 보안관리지침’을 만족하며 보 조기억매체로의 데이터유출을 철저히 제어함과 동시에 관리자 및 사용자 중심의 설계로 업무의 연속성을 유지할 수 있다. 특히 사용자인증 및 식별기능, 지정데이타 암복호화기능, 저장된 자료의 임의 복제 방지기능, 분실시 데이터 보호를 위한 삭제기능 등이 4가지 필수 기능을 모두 충족하고 있다.

이러한 기능 외에도 다수의 PC보안 솔루션의 구축경험 과 고객지원 노하우를 바탕으로 안정성과 타 저장매체, 무선랜, 블루투스, CD-RW 등을 통제 및 로깅할 수 있으며 일반 USB도 사용 등록 후 이용이 가능하다. 또한 모듈 추가로 PC보안으로의 확장 구현이 가능하고 웹 기반의 UI와 관리자 중심의 플렉스 기반 레포트도 지원된다는 점이 장점이다.

김대봉 세이퍼존 부장은 “DefCon Secure USB 특징 과 장점은 무엇보다 모든 추가 기능들을 단일 Agent에 Plug-In방식으로 추가하여 구현함으로써 PC의 부하를 최소화 할 수 있으며 통합보안관리를 실현할 수 있다” 며 “ESM, 백신로그 및 다양한 솔루션과의 연동을 통해 관리자의 편의성을 증대 및 보안 시너지 효과 극대화를 이룰 수 있다”고 설명했다.

이 외에도 8년간의 수많은 구축 경험과 노하우를 바탕으로 기존 애플리케이션과의 충돌 없이 구축 될 수 있는 안정된 솔루션이며 자산관리, 출력물보안, 인터넷 모니터링 시스템과의 확장성을 제공, 온라인을 통한 정보유출뿐만 아니라, 오프라인을 통해서 정보가 유출 되는 것을 방지 할 수 있다고 덧붙였다. 한편 사용자의 편의성도 고려해 웹 기반의 UI와 관리자 중심의 플렉스 기반 레포트도 지원, 추가 작성 없이 보고서를 출력 할 수 있다는 것도 세이퍼존만의 장점이다.

DefCon Secure USB의 주요 기능

● 사용자식별 및 인증기능 : 사용자 식별은 보조기억매체 등록 시 서버에 기존 인사 DB와 연동된 정보와 매칭하여 식별하며 인증은 USB를 접속하면 패스워드 로그인 기능을 통하여 인증을 하며 패스워드는 암호화 된 형태로 USB보안영역에 저장된다.
● 저장데이타 암복호화기능 : 보조기억매체로 파일 복사/이동시 선택적 또는 강제적으로 파일을 암호화 한다. 암호화는 PW 지정과 파일 암호화의 2단계 구조를 지원하며 Agent가 설치되어 있지 않은 PC에서는 암호화된 파일이 복호화되지 않는다.
● 저장된 자료의 임의복제 방지기능 : 보조기억매체에 저장된 파일은 임의적으로 복제할 수 없고 사용자의 인증절차를 거쳐야만 복제할 수 있다. 또한 복제된 내역에 대해서는 USB의 보안영역에 로그를 저장하고 있어 서버와 통신시 로그가 서버로 저장된다.
● 분실시 데이터 보호를 위한 삭제기능 : 보조기억매체 분실시 삭제는 2가지 프로세스로 구현한다. 서버와 통신이 되는 지역에서는 관리자의 분실등록으로 데이터를 원천 삭제할 수 있으며 오프라인이나 통신이 되지 않는 지역에서는 패스워드 실패 횟수에 따른 삭제를 구현한다.
● 다중 보조기억매체 제어 기능 : PC에 고정 장착된 보조기억매체 장치(FDD, CDRW, DVD RW)는 보안정책 및 관리자의 승인 절차에 따라 사용한다. 이동식 저장매체(외장형 디스크, USB메모리, 플래시메모리)는 USB 시리얼 번호 및 사용자등록 후 보안정책에 따라 사용 보조기억매체의 반출은 승인 후 반출하여 사용할 수 있으며 미승인된 보조기억매체는 사용금지 된다.

사용자 편의와 보안성 강화

공단은 이번 보안USB의 구축으로 인한 업무 불편은 최소화 했다. 무엇보다 사용자 편의성을 최우선으로 고려하면서도 보안은 최대한 강화했다. 보안 USB를 사용 해 파일을 읽거나 저장한다고 하면 승인 정책을 따르면 가능하다.

우 실장은 “특히 관리시스템의 도입은 매체 사용의 현황과 사후 기록 등, 관리 점검부분에서도 훨씬 더 사용하기 편리하게 될 것”이라고 말했다. 현재까지 공단은 보 안에 많은 투자를 해왔다. 주기적인 직원 교육을 비롯해 취약점 점검, 보안 컨설팅 등을 통해 물리적, 제도적 시스템을 보완해가고 있다. 이번 보안USB의 구축도 이러 한 부분의 연장선에서 진행된다고 우실장은 강조했다. 하지만 우 실장은 “보안관리는 시스템적인 부분보다는 내부 직원들의 보안 의식이 가장 중요하다. 특히 공단 은 직원들의 보안의식 제고를 위해 신입직원 교육에 ‘정보보안’과목을 신설해 신입직원 교육을 실시하고 있으며 기존 직원들에게는 주기적인 직무교육에도 이 과목 을 신설, 직원들의 보안 교육을 진행하고 있다”고 설명 했다.

그는 또 로그관리를 통해 올해부터 수시 모니터링 제도를 도입해 직원들의 업무목적 외에 국민들의 개인정보 에 접근·열람한 기록들을 자체 감사를 통해 점검하고 규정을 위반한 직원에 대해서는 타 기관보다 더 엄중한 징계와 처벌을 받게 된다고 덧붙였다.

이러한 이유로 공단은 현재까지 개인정보가 유출되어 직접적인 인권, 재산권을 침해하는 사고가 발생하지 않았으며 앞으로도 공단은 개인정보보호를 위해 시스템 을 지속적으로 보완해 나갈 방침이다.

한편 국민연금공단은 건강보험공단 등을 비롯, 보건복 지부 산하 31개 기관의 개인정보보호를 강화하기 위해 건립되는 ‘보건복지가족 사이버안전센터’가 올 12월 구 축·완료되면 공단은 해킹 등, 외부로부터의 사이버침해에 대한 예방 및 대응 활동을 통한 개인정보보호를 더욱 확고하게 할 것으로 전망하고 있다.

<글/사진 : 김태형 기자 (is21@boannews.com)>

[정보보호21c (info@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)