하루 트래픽 10억 이상 감당하는 사이트의 보안대응책은?

[보안뉴스 김정완] 하루 페이지뷰가 10억에 달하는 회사가 있다. 도대체 어떤 회사길래 이런 숫자가 나오는 걸까? 참고로 네이버의 일일 페이지뷰는 약 9억이다. 국내 인터넷 전체 일일 페이지뷰가 약 50억 수준인 것을 감안하면 상당한 수치다.

현재 하루 10억 이상의 무시할 수 없는 트래픽을 담당하고 있는 (주)디엔에이소프트(대표 김연수)는 국내 최대 온라인 광고 네트워크 서비스인 ‘리얼클릭’과 ‘리얼센스’ 서비스를 통해 3천 여개의 온라인 매체와 실시간으로 자료를 송수신하고 있다. 보안 이슈에 가장 민감한 회사 중 하나다. 이에 정형석 디엔에이소프트 부설연구소장을 만나 회사의 보안대응책 등을 들어봤다.

- 우선 간략한 디엔에이소프트에 대한 소개 말씀?

디엔에이소프트는 네트워크 광고시장 분야에서 자체 특허 및 시스템 기반의 기술력을 자랑하는 국내 1위의 온라인 마케팅기업이다. 일일 트래픽이 10억으로 국내 최상위 포털 수준이며 실제 운영중인 각각의 개별광고 노출지면의 총합인 슬롯트래픽은 40억에 달한다. 포털, 언론매체사 등 3,000개 제휴 네트워크사를 보유하고 있다.

- 기업에게 있어 정보보안이란 무엇이라고 생각하는지?

정보화 시대에 기업의 정보는 기업의 핵심 자산의 하나다. 정보보안이란 기업의 핵심적인 자산을 지키는 필수적인 활동이라고 생각한다. 결국 정보보안은 기업에게 있어 선택이 아닌 필수요소로서 기업별 상황에 따라 적절한 보안수준을 유지하기 위해 필요한 수준의 투자가 반드시 이루어져야 한다.

- 디엔에이소프트는 해커로부터 안전한가?

방화벽 장비와 전문업체를 선정해 24시간 외부 해킹에 대비하고 있다. 내부 DB에는 비밀번호뿐 아니라 핸드폰번호와 이메일주소 등의 중요 데이터가 모두 암호화되어 저장된다. 지난 2010년 이미 보안 장비와 서비스를 한차례 업그레이드했고 이후로도 매출대비 2~3%를 지속적으로 보안에 투자하는 등 외부적 위협요소를 최소화하는데 노력하고 있다.

- 매출대비 2~3%의 보안 투자는 실제 그렇게 높은 비율은 아니라고 생각되는데  향후 보안 투자에 대한 부분은 어떻게?

높은 보안 수준의 확보는 일시적인 투자나 활동으로 달성되는 것이 아니라 지속적인 의지를 가지고 투자가 이루어져야 한다고 본다. 디엔에이소프트에서는 특히 보안이 매우 중요한 온라인 서비스를 제공하고 있기에 보안에 대한 투자를 지속적으로 해 나갈 것이다.

또한 당사의 투자는 간접적인 부분을 제외하고 방화벽 장비구매, 전문업체 컨설팅과 모니터링 서비스 이용 등 직접 투자금액만 반영한 것으로서 매출의 2~3% 수준은 적지 않은 수준이라 생각한다. 중소기업청, 지방자치단체 등에서 중소기업지원 프로그램의 일환으로서 이러한 보안관련 컨설팅, 서비스, 장비 등을 지원해 준다면 중소기업에 큰 도움이 될 것이다.

- 외부적 위협요소로는 무엇이 있으며 그에 따른 대응은 어떻게 하고 있는가?

통상적으로 기업체의 고객정보를 원하는 것은 해커들뿐만이 아니다. 정부를 비롯한 기관에서 포괄적인 고객자료를 요청할 수도 있으며, 제휴업체에서 마케팅에 필요한 고객 자료를 입수하려는 시도를 할 수도 있다.

고객파일 등을 노리는 해커로부터는 방화벽 구축 등 시스템보안에 힘쓰고 있다. 기관에 제출해야하는 조세자료는 원천징수하여 결과를 송부한다. 광고대행사 등 제휴업체로 고객정보가 새어나가는 것을 방지하기 위해서 광고대행사와 광고주의 관리자 페이지가 다르게 설계되어있고 책임자 승인 없이는 정보의 아웃바운드가 금지되어 있다. 내부직원이 사용하는 인트라넷 조회화면도 페이지별 권한이 따로 부여되어 있다. 고급정보는 극히 일부직원이 사용하며 로그기록을 따로 가진다.

- 내부적인 보안 방침이나 가이드라인이 있는가?

현재 디엔에이소프트에서는 보안과 관련해서 다음과 같은 내부적인 가이드라인이 있다.

△전 직원 보안서약서 작성 △정기적인 보안서약서 실행내역 점검 △외부업체의 보안서약서 작성 △보안 담당자의 보안교육 정기적 실행 △퇴직자의 업무관련 모든 권한 및 정보 접근 일괄 정지 △직원pc 비밀번호 8자리이상 숫자+문자 혼용 사용 및 주기적 강제 교체(월 1회) △전 직원 PC 매일 점심시간 바이러스 자동검사 및 치료 △월 1회 한번 무작위 선정으로 대상 컴퓨터 진단 △주기적인 PC 데이터 백업 강제 수행 △책임자의 승인이 없는 정보의 아웃바운드 금지

또한 전 직원의 보안 서약서 작성을 제외하고는 모두 기본적인 항목이다. 하지만 비밀번호 교체나 자료백업, 백신프로그램 운용 등은 개인이 계속 성실하게 지켜나가기 쉽지 않은 사항이라 주기적으로 강제 수행한다.

- 광고시장 분야에서 실질적으로 경험한 보안상의 위협은 어떤 것들이 있나?

리얼클릭의 사업영역은 온라인 네트워크 광고 서비스이다. 당사 시스템을 통해 수많은 온라인 사이트 광고지면이 운영되고 있고 어마어마한 양의 사용자 PC에서 접근이 이루어진다. 바이러스, 악성코드 등의 유포 경로로서 매우 적합한 대상이 될 수 있어서 끊임없는 외부 공격이 이루어지고 있다.

이에 따라 당사는 최고 수준의 보안 장비와 체계로 보안에 각별히 신경 쓰고 있으며 이러한 공격에서부터 시스템과 고객의 정보를 보호하여 안정적인 서비스를 하고 있다.

[김정완 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>