중소기업의 개인정보보호 및 보안이슈, 효과적인 대응 위해서는...  

[보안뉴스=김봉석 디에스앤텍 팀장] 전국 약 360만 사업체에서 준수해야 하는 ‘개인정보 보호조치’를 일부 편중된 기업 및 공공, 금융뿐만 아니라 전체 사업자의 80% 이상을 차지하고 있는 중소규모 이하의 사업체에게도 널리 확대할 필요가 있다. 이를 위해서는 저비용으로 운영효과를 극대화 할 수 있도록 ‘개인정보보호법’을 기반으로 중앙관리 및 제어가 가능한 통합 서비스가 필요하다.

최근 개인정보 유노출 사고에 대한 집단소송의 판례를 보면 전반적으로 개인정보 처리자가 개인정보보호를 위해 취할 수 있는 관리적·기술적 보호조치를 얼마나 체계적으로 관리하기 위해 노력하는지 여부와 사업적 환경에 있어서 얼마나 중요성 있게 관리되고 있는지 등이 위법성 여부를 판단하는 핵심 사안이며, 이를 효율적으로 입증하느냐가 소송 결과의 중대한 영향을 미치고 있기 때문에 관리적·운영적 사항이 이슈가 되고 있다.

개인정보보호법 대상이 되는 사업체 현황

5인 이하 소상공인을 제외한 사업체 중 컴퓨터를 1대 이상 보유하여 네트워크가 구축된 사업체 수가 약 41만개에 이른다. 이 중 72.7%는 온·오프라인을 통해 이용자의 개인정보를 수집하고 있다. ‘숙박 및 음식점업(80.7%)’이 타 업종에 비해 주로 온라인으로만 수집하고 ‘금융 및 보험업(93.9%)’은 온·오프라인 모두 수집하는 비율이 상대적으로 높다. 사업체 규모별로 보면 주민번호 수집 및 이용현황이 50인 이하 사업체에 집중되어 있는 것을 알 수 있다.

개인정보 취급 위반 현황

총 47회 756개소 점검결과 과태료 57건, 시정조치 360건 등 행정처분이 총 441건이었다. 위반 현황으로는 개인정보의 처리방침 및 업무위탁 위반사항이 있었고, 안전조치 의무사항에서는 기술적 보호조치 위반 사항이 다수 발견됐다. 금융 및 공공기관은 보안에 대한 내부 프로세스를 나름 갖추고 있지만 업무의 효율성을 저하시키지 않기 위해 기술적인 측면에서만 보안 강화를 하다 보니 취약한 부분이 드러난 경우도 있었다.

DLP(Data Loss Prevention) Service, 중소기업 보안 강화

내부정보 유출방지 솔루션은 이미 SCM, OCC, ILD&P, CMF 등 다양한 솔루션으로 분류되어 활용되고 있으나 최근에는 내부자에 의한 정보 유출 방지에 초점을 두어 나타난 새로운 개념이 DLP(Data Loss Prevention)다.

SCM(Secure Content Management)

웹, 이메일, 인터넷 응용 프로그램을 통해 내부망에 유출되는 비정상 콘텐츠에 대하여 바이러스 차단, 스파이웨어 차단, 웹 필터링, 메시징 보안 등의 4대 보안 기능을 포함하는 통합 콘텐츠 보안 솔루션이다.

OCC(Outbound Content Compliance)

이메일, IM, P2P, FTP 등 내부로부터 외부로 유출되는 콘텐츠를 감시하고 암호화, 필터링 및 차단 기능을 제공하는 솔루션이다.

ILD&P(Information Leakage Detection and Prevention)

내부 민감정보의 불법 유출을 최소화하기 위한 보안 솔루션이다.

CMF(Content Monitoring and Filtering)

내부망에 유출입되는 트래픽의 패킷을 캡처링하고, 세션관리를 통하여 언어 기반으로 내용을 분석함으로써 사전에 정의된 규칙이나 정책에 의해 기밀정보의 유출을 탐지 및 차단하는 DLP 솔루션의 일종이다. 기업 구성원, 프로세스, 기술의 결합을 통해 고객 또는 직원 기록 등의 개인정보, 재무제표, 마케팅 계획과 같은 기업정보, 제품 계획, 소스코드와 같은 지적재산을 포함하는 기밀정보 등이 유출되는 것을 방지하는 역할을 한다.

초기 DLP 제품은 네트워크상에서 기업들이 정보보안정책을 세우고 이메일 트래픽을 감시하며 정책위반사례를 파악할 수 있었다. 그 후 웹메일, FTP, 보안 웹메일, 인스턴트 메시지까지 프로토콜 영역이 확장되고 정책을 위반하는 정보 전송을 사전에 차단하는 기능이 추가되었고 네트워크상에서 사용하는 동일한 정책을 이용해 파일 서버, 데스크톱, 랩톱 및 다양한 데이터 저장소에 있는 기밀정보의 노출상태를 파악하고 보호하는 기능들을 제공하고 있다.

이후 중요 정보 유출의 마지막 단계인 엔드포인트에 대한 제어방안이 이슈화됐는데, 단말에 산재해 있는 정보의 노출상태 및 검출, 모니터링, 암호화 및 출력, 매체제어 등의 기능을 제공하는 엔드포인트 DLP가 있다.

DLP의 종류
네트워크 DLP는 네트워크에 어플라이언스 장비가 설치되어 게이트웨이 단에서 외부로 전송되는 데이터를 감시하며 중요 데이터가 포함될 경우 트래픽을 차단한다. 네트워크 내부 사용자(클라이언트)와 외부 서버 간 세션을 저장·감시하고 클라이언트가 외부 서버로부터 정보를 요청하는 경우(업로드) 통상적으로 동일 세션에서 많은 데이터를 보내지 않는다. 네트워크 접근제어, 메일 필터링, URL 필터링, 업로드 트래픽 제한 외에 방화벽의 기본 기능인 라우팅, 주소변화, 포트포워딩 기능이 제공된다. 즉, 아웃바운딩 정보를 모니터링 할 수 있다.

엔드포인트 DLP는 관리서버와 엔드포인트에서 동작하는 에이전트로 구성되어 있다. DLP 관리서버는 각각의 에이전트와 연결되어 중앙 집중적인 관리를 제공하며, 정책 수립 및 배포, 이벤트 모니터링, 로그감사, 리포팅 등을 제공한다. 사용자 PC에 설치된 에이전트는 관리서버에서 배포한 정책을 통해 매체통제, 암호화, 이벤트 기록 등을 담당한다.

엔드포인트 DLP는 NAC(Network Access Control)과 연동하여 사용하는 경우도 있다. NAC는 일련의 프로토콜들을 사용해 엔드포인트가 처음 내부망 네트워크에 접근시도를 할 때 기존 내부망에 피해가 가지 않도록 접속하여 엔드포인트에 일련의 보안정책을 적용할 수 있도록 하는 컴퓨터 네트워킹 솔루션이다. 이는 엔드포인트 자동 검역 과정(접근을 허용하기 전에 보안정책을 따르지 않는 기기들을 검역)을 네트워크 시스템에 통합시켜서 라우터, 스위치 그리고 방화벽 같은 네트워크 기반 시설과 맞물려 작동된다.

DLP 솔루션의 주요기술

△ 접근제어

DLP는 일반적으로 기업 내 인사관리 DB와 연결해 역할기반 접근제어(Rule Based Access Control : RBAC)를 수행하는 기능이 제공된다. DLP에서 제공하는 물리적 접근제어는 일반적으로 매체제어를 의미하는 것으로 특정 시스템에 대한 USB, SATA, 블루투스, 와이파이, 스마트폰(저장장치), CD/DVD 등 정보 유출이 가능한 보조기억매체의 접근은 인가된 내부자만이 수행할 수 있도록 한다.

△ 암호화

내부정보에 대한 외부의 불법침입, 송수신 상의 정보 유출 등을 방지하기 위해 암호화 기술을 제공하고 있다. 이는 DRM과 유사한 형태이기 때문에 상호보완적인 역할로도 사용된다.

△ 필터링

내부에서 외부로 반출되는 트래픽, 정보 등에 대해 일정 규칙에 따른 검사 후 이를 제어하는 기술을 의미한다. 이 영역은 네트워크 DLP 솔루션에서 제공하는 경우가 많다. 이는 프로토콜 및 서비스에 따라 이용을 제한하는 것으로 FTP, 메신저, P2P, 웹메일 등의 유출 가능성 있는 서비스 이용을 제한하는 것을 의미한다. 필터링 기술에서 트래픽 제어는 문제없이 수행되고 있으나 콘텐츠 제어기술은 콘텐츠별로 중요도를 판단하는 기준이 각 기업 및 기관의 특성에 따라 달라서 정확도가 상당히 낮은 것이 단점이다.

시그니처 기반 탐지기법은 외부에 유출되면 안 되는 정보 중 중요한 키워드를 시스템에 등록하여 외부유출 콘텐츠에 대항 키워드가 존재하는지 여부를 판단하는 것이다. 그러나 이 기법은 키워드가 있는 문서 등에만 활용 가능하여 일부 문서는 적용할 수 없으며 문서 검사의 경우에도 중요정보가 아닌 문서가 키워드로 탐색되는 등 정확도가 떨어지고 보안프로토콜(SSL 포함) 통신을 할 경우 제한이 어려운 단점이 있다.

△ 활동 감시

활동 감시는 정보 유출에 대한 분석 및 추적을 수행하기 위해 내부에서 진행되는 유출 가능성 있는 모든 프로세스 감시 및 이력관리를 통한 정보 유출 탐지 업무를 수행한다. 활동 감시는 기본적으로 회사내부 규정 및 법규를 기반으로 보안정책을 관리하는 것이며, 외부에 송신되는 정보는 로그아카이빙 등의 형태로 사후 분석에 활용된다. DLP영역뿐만 아니라 모든 이벤트 대상으로 사후 분석을 위해 통합로그관리 솔루션을 연동하여 DLP의 기능을 강화하고 있다.

DLP Service 활성화를 위한 ITCMS(IT Compliance Management As A Service)

솔루션 기반의 IT컴플라이언스 시스템을 서비스 플랫폼으로 구성, 고비용의 까다로운 운영 프로세스를 저비용의 간소화된 프로세스로 제공하여 현재 기업이 직면한 컴플라이언스 과제 중 개인정보보호를 위한 기술적·관리적 보호조치 등의 세부사항을 효과적으로 적용해 정부와 중소기업간의 상생구조를 만들어 가는 서비스이다.

-개인정보의 안전한 처리를 위한 내부 관리계획 수립 및 이행

-개인정보에 대한 접근 통제 및 접근권한의 제한 조치

-개인정보를 안전하게 저장·전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치

-개인정보 침해사고 발생에 대응하기 위한 접속기록을 보관 및 위변조 방지를 위한 조치

-개인정보에 대한 보안프로그램 설치 및 갱신

중소기업을 위한 DLP 서비스의 접근방법

효율적인 DLP 구축 방안은 기업 환경에 따라 다르다. 네트워크 DLP와 엔드포인트 DLP를 동시에 도입하는 경우도 있지만 두 제품의 특성을 알고 각 기업의 시스템 환경을 분석하여 보호하고자 하는 영역을 명확히 구분해 적용해야 한다.

네트워크 DLP는 이메일, 메신저 등 네트워크 유출방지에 포커싱되어 있다. 하지만 필터링 기술의 단점이 아직 남아 있는 상황이다. 즉 기업 또는 기관의 모든 Outbound 콘텐츠를 점검할 때 발생하는 가장 큰 문제가 네트워크의 가용성 등 성능 및 충돌 문제이다. 따라서 이러한 가용성을 보장하기 위해 엔드포인트 지점에서 중요정보를 점검하는 엔드포인트 DLP가 있는 것이다.

현재까지 발생하고 있는 정보유출의 현황을 보면 엔드포인트에서 발생되는 경우가 많다. 이에 NAC과 연동하여 네트워크를 컨트롤하고 엔드포인트 DLP와 활동 감시를 위한 로그분석 기술을 도입하여 시스템 안정성 및 정보보안의 효율성을 강화하는 것이 우선시 되어야 한다.

하지만 중소규모 이하의 사업체에서는 이런 보안 시스템을 도입하기란 비용적인 문제도 있지만 우선 관리 인력자체가 부족한 것이 현실이다. 백신과 엔드포인트 DLP 서비스, DB암호화 서비스, 방화벽 임대 서비스 등 저비용으로 보안을 할 수 있는 영역들을 검토해 최소의 비용으로 최대의 효과를 낼 수 있는 서비스형 제품들을 검토하는 것이 효율적이다.

서비스형 제품 도입 후 임직원들은 보안의 경각심을 유발시키기 위한 다양한 프로그램을 정부기관에서 지원을 받거나 내부적으로 진행해야 한다. 이보다 더 중요한 것은 직원들이 업무용 PC에서 정보의 유통관계를 누군가 모니터링하고 있다는 경각심을 유발시켜 내부자에 의한 정보 유출을 최소화해야 한다. 이로 인한 중소기업의 보안 활성화가 결국 범국민적으로 보안인식을 업그레이드 하는 방법이다.

[글_ 김봉석 디에스앤텍 마케팅영업팀 팀장(kbs1@dsntech.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>