최근 비즈니스 환경에서 DB보안은 시대적 과제

지금까지 정보보호의 패러다임은 외부로부터의 불법침입에 대응하기 위한 네트워크 기반의 보안이 중심이었다. 그러나 최근 발생하는 개인정보와 금융자산 유출사고의 대부분이 내부자의 불법행위로 추정되면서 이에 대한 적극적인 대책으로 DB보안에 대한 필요성이 강력히 제기되고 있다. 정보보호의 궁극적인 목표는 DB내부에 체계적으로 저장하여 관리하고 있는 중요 데이터를 안전하게 보호하는 것이다. 이에 DB보안의 성공적인 구축을 위해서는 기술적·관리적 관점에서 사전에 충분한 검토가 필요하며 근본적인 현안과제를 해결해야 한다.

최근 금융권을 비롯한 공공·민간기관, 인터넷 포털 사이트 등에서 개인정보 또는 기업 내의 중요 데이터가 불법유출 및 도용으로 인한 피해가 심각한 사회문제로 대두되고 있다. 지금까지 정보보호 패러다임은 외부로부터의 불법침입에 대응하기 위한 네트워크 기반의 보안이 중심이었다. 그러나 최근의 일련에 발생하는 개인정보와 금융자산 유출사고의 대부분이 내부자의 불법행위로 추정되면서 이에 대한 적극적인 대책으로 DB보안에 대한 필요성이 강력히 제기되고 있다.

개인정보 불법유출 사고에 대해 피해 고객들은 해당 업체를 상대로 민·형사적 소송을 추진하고 해당 기업은 심각한 경제적 손실과 이미지가 실추되는 불미스러운 사태가 연이어 반복되고 있다. 이와 관련해 정부는 각종법규와 고시를 통해 개인정보보호와 DB에 대한 기술적·관리적 보호조치를 강구하고 있으나 아직까지는 DB보안의 필요성에 대한 인식이 부족하여 실질적인 보호조치가 미흡한 실정이다. 이로 인해 그동안 개인정보보호 관련 법률적 규정 및 원칙이 강제성과 처벌기준이 미흡하다는 지적이 끊임없이 제기되면서 정부와 국회는 공공부문과 민간부문으로 이원화된 법률을 통합 및 정비하여 사회 포괄적인 ‘개인정보보호법’ 제정을 추진하였으나 현재까지 찬반 공방으로 인하여 시행시기가 지연되고 있는 상황이다.

DB보안의 핵심 개념 이해해야

정보보호의 궁극적인 목표는 DB내부에 체계적으로 저장하여 관리하고 있는 중요 데이터를 안전하게 보호하는 것이다. 기존의 방화벽, 침입탐지시스템(IDS), VPN 등과 같은 전통적인 네트워크 기반의 정보보호 솔루션은 내부자의 불법행위에 대해 적절히 대응하기가 어려우며 시스템 보안 목적의 Secure OS도 DB사용자들의 행위를 통제하고 감사추적하기에는 한계가 있다.

그러나 상당수의 사람들이 이러한 기존의 정보보호 솔루션으로 DB보안을 하고 있거나 할 수 있다고 오인하고 있는 경우가 의외로 많다. 즉, 비인가자로부터의 DB접속을 원천적으로 차단하는 것을 DB보안이라고 생각하는 것이다. 이는 아직까지도 DB보안의 개념 및 방법론에 대한 이해가 부족하고 정립이 되지 못한 때문이다.

단순히 시스템 측면에서 본다면 DBMS는 다수의 사용자들이 접속 및 공유하여 사용하는 애플리케이션 패키지의 일종이다. 이러한 애플리케이션 패키지 내부에서 행해지는 사용자들의 행위를 방화벽이나 Secure OS와 같은 정보보호 솔루션으로 판별하여 통제하는 것은 사실상 불가능하다. 물론, 비인가자로부터의 DB접속을 원천적으로 차단하는 것은 기존의 정보호호 솔루션으로 얼마든지 가능하겠지만 이것만으로 DB보안을 구현했다고 할 수는 없다. 진정한 DB보안의 개념은 위험분석 및 평가에 따라 DB접근뿐만 아니라 내부에서 수행되는 권한이 부여된 사용자의 모든 행위를 사전 감사하고 통제하는 것이다.

DB보안은 생각처럼 간단한 기술이 아니다. 일반적으로 DB는 복잡한 아키텍처로 구성되어 있고 다수의 인가된 사용자들과 WEB/WAS 등과 같은 Trusted Host 관계의 연동서버들이 정형적·비정형적인 방법으로 불특정하게 데이터에 접근하기 때문에 체계적인 보안정책을 구현하기가 생각처럼 쉽지 않다.

지금까지의 전통적인 DB보안 기술은 사용자 계정을 분류하여 권한을 부여하고 중요 데이터에 대해서는 가상객체인 뷰(View)를 생성하여 관리를 수행하는 것이 일반적인 접근통제 방법이었다. 그러나 이러한 전통적인 보안방법은 관리 및 구현의 한계가 있기 때문에 현실적인 보안대책이 될 수 없다.

DB보안은 아래 그림과 같이 사용자 인증 및 권한관리 체계를 강화하여 원천적으로 데이터의 접근자체를 차단하거나 선택적으로 허용하여 중요 데이터를 보호하는 내부통제 기술이다. 또한 중요한 정보는 일방향 암호화하여 만일의 불법행위에 의해 유출된 데이터가 악용되지 않도록 관리하고 사용자의 접근행위를 로그에 체계적으로 기록하여 사후추적이 가능하도록 조치하는 것이다.

이러한 DB보안 기술은 DBMS제품별로 자체적으로 제공하기도 하지만 보안수준이 기초 수준에 머물고 상당한 관리적 불편과 성능저하를 초래하는 등 사용자가 요구하는 기대수준에는 크게 미흡하다. 따라서 효율적인 DB보안을 위해서는 상용화된 전문 보안 솔루션을 도입하여 구축하는 것을 고려하게 된다.

현재 DB보안 솔루션은 구현방법 및 목적에 따라 ‘접근제어’와 ‘데이터 암호화’ 부문으로 분류되어 기술개발이 진행되고 있으며 상호 보완적 관계를 유지하고 있다. 일반적으로 DB보안 솔루션들의 대부분은 DB의 성능저하를 최소화하고 관리의 유연성을 제공하기 위해 접근제어 제품은 DB 외부에서 다양한 구현방식으로 설치되어 사용자의 행위를 통제하고 데이터 암호화는 대상 테이블에 대해 별도의 객체를 생성하여 트리거(Trigger) 방식으로 운영되는 것이 기본적 개념이다.

과거에는 접근제어 솔루션들이 각각의 특정한 구현방법을 기반으로 시장에 공급되었으나 최근에는 구현방법별 장단점을 고려하여 혼합된 형태의 하이브리드 방식으로 구축되면서 점차 기능이 표준화되고 있는 경향이다. 부가적으로는 데이터 암호화의 대체방법으로 데이터를 마스킹 처리하는 기술을 제시하기도 있지만 보안성의 한계가 있기 때문에 데이터 암호화에 대한 보안요구사항을 충족하기에는 어렵다.

데이터 암호화 솔루션도 그동안 끊임없이 지적되었던 성능저하 문제와 인덱스 제약사항을 점차적으로 개선하고 있으며 실시간 암호화 기술도 제시되는 등 안정성을 위주로 시장을 공략하고 있는 상황이다. 따라서 DB보안 솔루션 도입을 검토하고 있는 사용자들은 기존의 회의적인 선입견을 버리고 적극적인 자세로 보안제품별 특성을 파악하고 내부 환경에 적합한 솔루션을 선정하는 것이 바람직하다. 무조건 시장점유율이나 인지도만을 고려해서 도입하기 보다는 충분한 성능 및 기능평가를 통하여 최적의 솔루션을 도입하는 전략이 필요하다.

기술적·관리적 문제 충분히 검토

DB보안 솔루션을 도입하고 성공적인 구축을 위해서는 기술적·관리적 관점에서 사전에 충분한 검토가 필요하며 근본적으로 해결해야할 현안과제가 있다.

첫째, DB보안에서 가장 우선적인 과제는 조직 내에서의 ‘마인드 형성’이다. 특히 사용자들의 거부감이 걸림돌이다.

보안을 적용함으로써 불가피하게 발생하는 처리속도 저하와 불편함을 사용자들은 결코 수용하지 않는다. 또한 내부 정서상 구성원들을 감시하고 통제한다는 것에 대한 부정적 시각도 문제다.

둘째, 체계적인 DB보안의 정책관리를 위한 관리주체가 결정되어야 한다. DB보안은 정보보호의 새로운 영역이다. 하지만 DB는 복잡한 내부 아키텍처와 비즈니스 특성에 대한 심층적인 이해를 필요로 하는 전문적인 관리 분야이기 때문에 일반적으로 정보보호 담당자들이 접근하기에 쉽지 않다. 이로 인해 DB관리자(DBA)가 정책관리를 수행하는 경우가 빈번하다.

상황이 이렇다 보니 정책관리 주체에 대한 명확한 기준이 모호하여 이에 대한 논란이 분분하다. 즉 정보보호 관리체계의 일관성을 유지하고 정책을 수행하는 것이 곧 진정한 보안이므로 ‘정보보호 담당자’가 관리주체라는 측면과 실제 DB에 대한 중요 자원을 보호하고 사용자 및 권한관리 역할을 수행하는 ‘DB관리자(DBA)’가 실질적인 관리주체라는 견해가 대립되고 있다.

전자는 절대적인 권한과 역할을 가지고 있는 DBA도 통제대상이 되어야 함을 주장하고 후자는 현실적으로 DB는 비전문가인 정보보호 담당자가 접근하기에는 한계가 있어 보안정책의 실효성 의문과 부실화를 우려한다. 따라서 효율적인 정책관리를 위해서는 상호 책임과 역할을 정의하고 권한을 분리하여 유기적인 협조체제를 마련하는 것이 중요하다.

셋째, DB모델링 및 설계단계에서부터 충분한 보안이 고려되어야 한다. 대부분의 개발 프로젝트가 시스템이 구축·완료되고 서비스가 개시된 이후에 보안을 적용하는 잘못을 범하고 있다. 이로 인하여 경우에 따라 심각한 성능저하가 발생하여 애플리케이션이 수정되거나 DB모델이 재설계되어야 하는 문제가 발생한다. 따라서 효율적인 DB보안을 위해서는 DB모델링 및 논리적·물리적 설계단계에서부터 보안을 고려하여 개발하도록 방법론 및 지침이 마련되어야 한다.

넷째, 고객들의 DB보안 제품에 대한 지나친 기대심리도 문제점이다. 많은 고객들이 보안 제품을 도입하면 모든 것이 해결될 것으로 기대한다. 그러나 현실적으로는 그렇지 못하다. 제품별로 구현방식에 따라 장·단점이 있고 DB 아키텍처 특성상 기술적으로 해결할 수 없는 한계가 있어 기대만큼의 충분한 보안수준을 제공하지 않는다.

이러한 현상은 DB보안 시장의 활성화를 기대하며 무분별하게 진입하여 난립하고 있는 업체들에게도 일정부분 책임이 있다. 시장이 성숙되지 않은 상황에서 고객 마인드 형성과 인식전환에 대한 노력으로 영역을 확대하기 보다는 과장된 제품홍보와 불필요한 과열경쟁으로 DB보안 시장의 활성화를 저해하고 있다.

실제 DB보안 기술로도 통제가 불가능한 취약점 및 위험은 여전히 존재한다. 가장 대표적인 것이 최근 급증하고 있는 SQL Injection 공격이다. 최근 접근제어 기술이 발전했다고 하더라도 모든 악의적인 SQL Injection 공격을 분석하여 통제하는 것은 한계가 있으며 데이터 암호화 역시도 WEB/WAS서버를 경유한 인가된 세션으로 간주하여 복호화 되면 사실상 통제가 어렵다.

이와 마찬가지로 고객의 PC관리 소홀 또는 과실로 인하여 패스워드나 인증서가 유출되어 발생하는 개인정보 유출 및 금융사고도 DB보안 솔루션으로도 해결할 수 없는 영역이다. 이러한 문제해결을 위해서는 DB 자체의 취약점을 분석하여 보안패치를 적용하거나 애플리케이션 보안을 통해 악의적인 불법행위를 차단하여야 한다.

다섯째, 다양한 종류의 DB를 지원할 수 있는 보안 솔루션이 공급되어야 한다. 대부분의 솔루션들이 오라클 등과 같은 특정 벤더 제품에만 특화되어 있어 고객들의 불만을 사고 있다. 이러한 현상은 시장자체가 활성화되지 못하는 원인이기도 하다. 따라서 오라클 이외에 MS-SQL, IBM DB2, 사이베이스, 인포믹스와 같은 외산 DBMS와 Altibase, 티베로 등과 같은 국산 DBMS를 다양하게 지원할 수 있도록 제품이 개발되어야 한다.

마지막으로 성공적인 DB보안 구축을 위해서는 무엇보다 목적과 의지가 분명하여야 한다. 도입 목적이 분명치 않으면 보안정책이 부실해지는 근본적인 원인이 되며 투자효과를 기대하기 어렵게 된다. 실질적으로 중요한 것은 DB보안 솔루션을 도입하는 것이 아니라 보안정책의 내실화를 갖도록 노력하는 것이다. 의외로 상당수의 기관 및 사이트들이 DB보안 솔루션을 도입해놓고도 체계적이고 실질적인 보안정책을 수립하여 적용하지 못하고 부실화하여 방치되는 경우가 종종 발생한다.

DB보안은 시대적 과제

지금까지 살펴 본 DB보안의 기술동향 및 정책적 요구사항을 종합해 보면 최근의 비즈니스 환경에서 DB보안이 시대적 과제임에는 분명하다. 최근 대외적으로 정부의 개인정보보호에 대한 법제정 추진과 지침이 마련되고 내부통제 강화에 대한 필요성이 지속적으로 제기되는 현실을 감안하면 각 기업에서는 이에 대한 적극적인 검토가 이루어져야 할 것이다.

정보보호의 목표는 궁극적으로 조직이 저장하고 있는 DB내부의 중요 데이터를 보호하는 것이다. DB보안은 소극적인 준비가 아니라 근본적이고 적극적인 위험관리 활동이다. 사회 전반의 급속한 정보화 진행에 따라 사이버 범죄의 유형 및 폐해가 점점 다양해지고 있는 상황에서 단순히 네트워크와 시스템 기반의 보호대책만으로는 정보보호의 의미가 퇴색될 수밖에 없다. 진정한 위험은 예측 불가능하고 시간과 장소, 주체의 구분없이 발생하는 것이다.

한편 정보보호의 핵심은 ‘사람’이다. 아무리 완벽한 보안 관리체계를 갖추고 있어도 전체 구성원의 관심과 열정이 없으면 아무 소용이 없다. 우리는 흔히 ‘안전불감증’ 또는 ‘위험불감증’이라는 말을 듣는다. 정보보호에 대한 무관심은 비즈니스의 가장 위협적인 위험요소이며 폐습이다. 보안에 있어 무풍지대란 절대로 있을 수 없다. 한 순간의 방심과 관리 소홀이 개인과 조직 모두에게 고통을 안겨주고 소중한 것을 잃게 만든다.

위험은 항상 잠재되어 있다. 고객의 개인정보와 조직 내의 중요한 정보를 안전하게 보호하는 것은 기업의 당연한 의무이며 책임이다. 만약의 개인정보 또는 중요 데이터의 유출 및 오용으로 인한 폐해의 발생은 기업의 신뢰성 상실은 물론이고 국가 경제사회의 전반에 미치는 영향이 상당하다. 따라서 이제는 정보보호의 정책방향을 내부통제를 강화하는 차원에서 개인정보보호와 DB보안실태를 재점검하고 필요시 적절한 보호조치를 강구하여야 할 것이다.

<글 : 김정상 금융결제원 e사업시스템팀 과장(saintman@kftc.or.kr)>

[월간 정보보호21c 통권 제106호 (info@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>