기업들은 금융거래 기록과 고객정보 등 다양한 정보들로부터 사업을 더 잘 이해할 수 있고 전체 고객의 참여를 유도하여 고객들과 더 나은 관계로 발전시킬 수 있다. 또한 이러한 정보들은 고객의 신뢰를 구축하고 사업을 성장시킬 수 있도록 도와준다. 이 때문에 기업의 CIO와 CSO는 매우 중요하고 민감한 정보들을 보호하기 위해서 노력해야 한다.
우리가 폭발적으로 급증하는 정보의 시대에 살고 있다는 것은 의심할 여지가 없다. 유튜브(YouTube)로 동영상이 24시간 동안 끊임없이 업로드 된다는 것을 들어 본 적이 있을 것이다. 이것은 얼마나 많은 정보가 사용자들에 의해 만들어지고 있는지를 알 수 있는 재미있는 현상이다. 반면에 전 세계에서 기업에 의해 생성되는 어마어마한 양의 정보는 훨씬 더 흥미진진하고 훨씬 더 가치가 있다. 예를 들면 보잉의 비행기 엔진 한대에서 매 30분마다 10테라바이트의 데이터를 비행 중에 발생시키고 있으니 한대의 비행기가 6시간의 비행으로 120테라바이트의 데이터를 발생시키는 것이다. 어떤 날에는 미국에서만 약 28,573대의 상업용 비행기가 비행을 하고 있으니 그 정보의 양은 엄청나다.
비전문가가 촬영한 유튜브의 동영상과 금융 거래에서의 개인 기록 발췌의 경우에는 그들이 의도하는 대상과 상업용 가치에 커다란 차이가 있다. 회사는 조직 내에서 엄격하게 몇몇의 책임자들만이 고객 정보에 접근할 수 있도록 철저하게 관리하고 있지만 대부분의 유튜브 동영상 소유자들은 그들의 정보를 가능한 많은 사람들과 공유하기를 바랄 것이다. 금융 거래 기록과 고객 정보, 그리고 서비스 사용 양식은 기업이 날마다 처리하는 정보 중 단지 몇 개의 예에 불과하다. 이 정보들로 기업은 사업을 더 잘 이해할 수 있고 전체 고객의 참여를 유도하여 고객들과 더 나은 관계로 발전시킬 수 있다. 더 나아가 고객의 신뢰를 구축하고 사업을 성장시킬 수 있도록 도와준다. CIO와 CSO는 이러한 매우 가치 있고 중요하고 민감한 정보들을 보호하기 위해 반드시 각별한 주의를 기울여야 한다.
CIO와 CSO의 데이터 관리에 대한 도전과 기회
CIO와 CSO에게 주어진 도전은 대내외의 모든 위협으로부터 이러한 정보들을 보호하면서 지속적으로 사용 가능하고 이용할 수 있도록 하는 것이다. 만약 CIO와 CSO가 적절하고 정확하게 이 도전을 성취한다면 조직에서 영웅이 될 것이다. 엄청난 양의 데이터를 비즈니스 인텔리전스(Business Intelligence)로 전환하는 것은 사업이 성장할 수 있도록 통찰력을 확보하는데 도움을 줄 것이다.
해커들 역시 정보로부터 수익내기를 원한다. 약 20년 전 해킹 단체들은 대부분 재미를 위해 해킹을 했다. 하지만 요즘의 해커들은 간단한 신용카드 조작부터 자금 세탁을 통해 수 조원을 만들어내기까지 매우 지능적인 범죄자들이다. CIO들은 원활한 사업을 위해 다양한 정보들을 쉽게 접근할 수 있도록 관리하는 동시에 해커들을 막아내는 과업을 수행해야 한다.
규제 기관들은 명확하게 기업이 데이터를 남용하지 않기를 원한다. 요즘 많은 국가들이 개인정보보호에 관련한 법을 통해 회사가 보유하고 있는 데이터를 어떻게 취급해야 하는가에 대하여 다양한 규제를 하고 있다. 여러 산업체들은 민감한 데이터들이 어떻게 취급되어야 하는 지에 대한 규정을 만들어서 통제하고 있다. 예를 들면 PCI DSS(Payment Card Industry Data Security Standards)는 은행, 카드사, 밴(VAN)사 및 가맹점들이 어떻게 그 카드 정보를 다루어야 하는지에 대해 명시하고 있다. 만약 정보를 잘못 처리한다면 무거운 벌금이 부여되거나 기업의 신용도가 하락하거나 또는 더 심할 경우 형사 기소로 이어진다.
데이터 암호화
중요한 정보를 보호하는 가장 좋은 방법은 암호화다. 암호화는 평문(Plaintext, 암호화를 하지 않는 데이터)이라고 불리는 문서, 사진, 비디오 파일 등과 같은 정보가 원래의 기계가 읽을 수 있는 형태로부터 알고리즘이라고 알려져 있는 수학적 공식을 통해 암호문(Ciphertext)이라고 알려진 임의의 적절한 그리고 읽을 수 없는 형태로 전환되도록 하는 작업이다.
대칭 키 암호화(Symmetric Key Encryption)와 비대칭 키 암호화(Asymmetric Key Encryption)라고 일컬어지는 두 종류의 암호화 방법이 보편적으로 사용되고 있다. 대칭 키 암호화는 암호화와 복호화에 같은 키가 사용되는 방법으로 대칭 키 알고리즘의 예로는 3DES, AES 또는 SEED(한국인터넷진흥원에서 개발한 한국 데이터 암호화 기준)를 들 수 있다.
비대칭 키 암호화는 암호화와 복호화에 공개키(Public Key)와 개인키(Private Key) 쌍으로 불리는 매우 큰 소수의 수학적으로 관련된 쌍을 이용하는 것이다. 제약 없이 배포되는 공개키는 누군가 암호화된 정보를 키 쌍의 소유자에게 보내고 싶을 때 해당 정보의 암호화에 사용된다. 이 암호화된 정보는 오직 소유자만이 갖고 있는 해당 개인 키에 의해서만 복호화가 가능하다. 비대칭 키 알고리즘의 예로는 RSA와 KCDSA(Korean Certificate-based Digital Signature Algorithm)이 있다.
키는 암호화 알고리즘의 매개변수로서 모든 암호화 방식에서 가장 중요한 정보의 구성 요소이다. 복잡하면 할수록 키는 안전하다. 키의 길이가 길면 길수록 보다 무작위적으로 생성될수록 키는 더욱 안전해진다. 안전하지 않은 키는 기존의 개인용 컴퓨터를 이용한 무작위 대입 공격(Brute Force Attack) 의해서도 쉽게 추출될 수 있다. 만약 키가 어떤 사람의 생일이나 주민 번호 또는 한글 단어나 구절과 같은 이미 알려진 정보를 기반으로 하여 생성되었다면 해커는 그 키를 알아내기 위해서 사전 단어 공격(Dictionary Attack)이라고 불리는 기술을 사용하여 해당 키를 찾아내고 그 암호화된 정보를 쉽게 알아낼 수 있을 것이다.
데이터 보호 전략, 암호키 관리, 그리고 신원 기반의 접근 제어
암호화 표준은 그 안정성이 입증되면서 완성된다. DES 알고리즘은 1974년에 개발되었고 1977년에 미국 정부의 의해 국가 표준으로 채택되었다. 가장 최근에 AES(Advanced Encryption Standard)는 미국 연방 표준으로 2002년 5월에 채택되었다.
암호화 표준이 국제적으로 정부와 산업계에 의해 채택되어 온 것에 비하면 암호화 적용 기술은 여전히 더 많은 발전이 필요하다. 조직내의 안정성 평가에 대한 보안 적용에는 해커들이 이용할 수 있는 여전히 많은 허점이 존재하고 있어서 세계의 CIO와 CSO들은 이 부분에 대해 굉장히 우려를 하고 있고 그들을 잠 못 이루게 하는 것 중 하나이다.
Fortune지가 선정한 500대 기업 중 한 기업의 최고 보안 책임자(CSO)는 그가 절대 보고 싶지 않은 것은 그의 이름이 뉴스의 헤드라인에 나오는 것이라고 말했다. 이것은 이미 조직 내에 엄청난 규모의 보안 침해가 이루어지고 있다는 말로 해석될 수 있다. 그렇다면 어떻게 중요한 정보가 보호되고 있다고 확신할 수 있을까? 또 어디서부터 시작해야 할까?
● 데이터 관리 정책의 수립
제일 먼저 기업의 데이터 관리 정책을 설립해야 한다. 정보에 따라서 의도하는 목적이 다르다. 제품 소개 자료나 공개 기업들의 재무 보고서 등과 같은 공공의 데이터는 반드시 모든 사람들이 이용할 수 있어야 한다. 하지만 인사정보에 관한 기록은 인사과에서도 허가 받은 소수의 특정 직원에 의해서만 접근이 가능하도록 제한되는 것처럼 제품 디자인 문서와 내부 문서와 같은 극비 데이터들은 소수의 그룹에서만 공유되어야 한다.
데이터 관리 정책은 그 회사에서 사용되는 모든 기업 정보의 수집, 저장, 보안, 관리 및 보급에 대하여 전반적으로 포괄하는 체제에 대해 잘 설명하고 있어야 하고 데이터 수집, 저장, 보안, 관리, 보급 및 그 데이터의 질을 관리하는 책임과 의무가 어떤 것인지 명확하게 정의해야 한다.
데이터 관리 정책은 최신의 가장 좋은 방안을 채택하기 위하여 그리고 새로운 사업의 변화에 대응하기 위하여 주기적으로 검토되어야 한다.
● 데이터의 암호화
또한 민감하고 중요한 모든 정보들을 암호화해야 한다. 고객 정보나 재무 기록과 같은 민감한 정보로 구성된 데이터베이스는 반드시 암호화되어야 한다. 이것은 단지 좋은 방안이기 때문이 아니라 고객의 개인정보보호와 같은 법적 절차를 준수하는 회사의 능력을 향상시키기 위해서도 중요하다.
전체 데이터베이스를 암호화하는 것은 그리 어려운 일이 아니다. Oracle 11g와 Microsoft SQL Server 2008와 같은 최신 데이터베이스 소프트웨어들은 암호화를 복잡하거나 어렵지 않게 사업 운영에 사용할 있게 도와주는 Transparent Database Encryption(TDE)라고 불리는 암호화 기법을 내재하고 있다. 또한 국내 업체들의 강력한 DB 암호화 솔루션들 또한 널리 사용되고 있다.
● 암호화 키 보호
이 외에도 하드웨어 전용 장비 내에서 암호화 키를 보호해야 한다. 많은 회사들이 암호화를 채택하고 있지만 대부분의 회사들은 서버의 하드디스크에 암호화 키를 방치하고 있다. 아마도 서버에 다양한 보안 설정이 되어 있어서 안전하다고 생각하는 것이지만 이것은 적절한 방법이 아니다. 실제로 이것은 집의 앞문을 잠근 다음에 열쇠를 앞문 밖에 두는 것과 다를 바가 없다.
아마 경비원이 아파트 출입구에서 감시를 하고 있을 수도 있지만 어느 누군가가 그 출입구를 통과한다면 당신의 집에 들어갈 수 있고 당신의 아파트에 있는 그들이 원하는 어떤 것이라도 가져갈 수 있을 것이다.
암호화 키는 하드웨어 전용 보안 장비에 의해서 별도로 보호하는 것을 강력히 권장한다. 하드웨어 암호화 모듈 또는 HSM(Hardware Security Module)이라고 널리 알려져 있는 상용 장비는 일반적으로 미국 NIST(National Institute of Science and Technology)에서 정의한 FIPS 140-2 또는 CC(Common Criteria)의 국제 기준 중 하나에 맞도록 설계 되어 있다. 유효한 인증서가 표준 관리 기관에 의해 발행되기 전, 안정성 확보를 위해 반드시 지정된 독립적인 연구소로부터 해당 장비를 검증받아야 한다.
● 신원기반 접근 제어
이에 덧붙여 신원 기반의 접근 제어 적용을 적용해야 한다. 위협요소는 외부로부터만 발생하는 것이 아니다. 통계적으로 조직은 외부의 보안 위협보다 내부의 보안 위협에 훨씬 더 많이 노출되어 있다. 보안 침해는 단 한번만 있을 수도 있고 시스템 전반에 걸쳐 지속적으로 발생할 수도 있다.
이것은 또한 데이터뿐만 아니라 기업의 이미지까지 문제가 될 수 있다. 최근의 보안 침해 사고를 예를 들면 Stuxnet 웜(Worm)을 만들어낸 해커는 Realtek Semiconductor과 JMicron Technology의 두 합법적인 회사로부터 디지털 인증서(Digital Certificate)를 훔쳐냈고 이 도둑맞은 인증서들은 해당 업체들의 엄격한 보안 감시 아래에서도 멀웨어(Malware)가 활동할 수 있도록 도와주었다. 이 사고로 인해 두 합법적인 회사는 그들의 실추된 회사 이미지와 명성에 대해 상상할 수 없이 어마어마한 비용을 내야만 했다. 만약 이 회사들이 암호화 서명 키를 HSM에 저장했었다면 절대 일어나지 않을 사고였다.
기업체들은 Microsoft Active Directory와 같은 기존에 도입된 LDAP 시스템을 이용하여 데이터베이스를 사용하는 직원의 역할과 책임을 할당할 수 있다. 또한 IT팀이 디렉토리 서비스(Directory Service)를 이용하여 네트워크 접근과 데이터베이스 접근 권한을 관리할 수 있도록 해준다. 만약 직원이 입사를 하거나 퇴사를 한다면 이 직원의 접근 권한은 정책에 따라서 변경될 것이다.
● 키 관리체계 수립
마지막으로 가장 중요한 것은 데이터가 증가함에 따라 키 관리체계를 수립해야 한다. CIO가 고려해야 하는 또 다른 사항은 더 많은 데이터가 암호화되고 더 많은 암호키가 사용되면 어떻게 그 암호화 키의 라이프 사이클을 관리하느냐이다.
현재 운영하고 있는 데이터베이스에 사용되는 새로운 키를 언제 만들어야 하고 언제 교체하고 언제 그 키들을 삭제해야 할까? 만약 그 키가 잘못 사용되거나 관리된다면 최악의 상황을 맞이할 것임이 분명하다. 어떠한 CIO도 데이터베이스가 철저하게 암호화되어 있고 백업이 되어 있음에도 불구하고 암호화 키가 유출되었다는 뉴스로 잠에서 깨어나고 싶지 않을 것이다. 이는 회사가 중요한 데이터를 완전히 분실했다는 의미이다.
데이터 보호 전략은 절대적
기업의 데이터 암호화와 키 관리는 전 세계에서 발생하는 기업들의 방대한 데이터 양만큼이나 점점 더 중요해 지고 있다. 비즈니스에서 이러한 데이터들은 매우 중요하고 필수적이다. 또한 공격자는 기업의 데이터에 관심을 갖게 되며 더불어 다양한 내부 위협이 존재한다.
따라서 CIO와 CSO는 반드시 그들의 조직이 차세대 데이터 관리 및 보호 체계로 전환할 수 있도록 대비를 해야 한다. 데이터 보호 전략을 채택하는 것은 절대적으로 중요하다. 하드웨어 보안 모듈(Hardware Security Module, HSM)의 사용은 보안을 최고 수준으로 구현할 수 있도록 보장한다.
<글 : Jim Yip 탈레스정보기술보안(Thales Information Technology
Security) APAC 마케팅 담당(jim.yip@thales-esecurity.com) >
[월간 정보보호21c 통권 제123호(info@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
[2024-12-02] 
.jpg)
