DB보안 도입 이후...법·규제 준수하고 보안도 강화 ‘一石二鳥’

현재 1만여 명의 재학생들과 300여명의 교수·교직원들로 구성되어 있는 아주대학교는 졸업생, 재학생, 연구원 등을 포함해 수십만건에 이르는 개인정보보호와 학내 전산시스템의 보안 업그레이드, 그리고 한층 강화된 개인정보보호법을 준수하기 위해 많은 노력을 하고 있다. 

아주대학교는 사내 전산망 보안을 위해 웹방화벽, IPS, 방화벽, VPN 등의 보안 시스템을 갖추고 있었다. 하지만 최근 데이터의 자산가치가 증대함에 따라 중요 데이터에 대한 불법 취득을 목적으로 하는 공격의 증가로 DB보안 강화의 필요성을 느꼈다. 또한, 개정 개인정보보호법 발효 및 정보통신망법의 강화로 인한 컴플라이언스 준수를 위해 DB보안 체계의 업그레이드가 요구됐다. 이에 아주대학교는 지난 2012년부터 DB암호화 솔루션을 시작으로 DB접근제어, 감사솔루션을 연이어 도입하고 이를 효과적으로 운영하고 있다.

지난해 아주대학교는 교육부와 행정자치부의 개인정보보호 실태조사를 받았다. 대체로 좋은 평가를 받았지만 위탁업체에 대한 개인정보보호 교육이 미흡하다는 지적을 받고 작년부터 위탁업체에 대한 개인정보보호 교육을 시작했다. 또한, VPN 도입이 필요하다는 지적에 따라 VPN도 도입하는 등 보안 강화를 위해 신속하고 적극적으로 대응해왔다. 

이와 관련 아주대학교 중앙전산원 조우철 선생은 “학교에서 VPN을 도입하는 것은 쉽지 않다. 그 이유는 구성원이 다양하기 때문이다. 하지만 보안의 중요성을 알고 있기 때문에 우선 전산담당 직원들의 안전한 DB접속을 위해 VPN을 도입했고 ERP 접속자에 대한 VPV은 향후 도입할 계획”이라고 설명했다.

지난 2012년부터 DB보안 필요성과 개인정보보호법 이슈로 DB암호화부터 DB접근제어, 감사솔루션까지 도입한 아주대학교는 시스템에서 구동되는 애플리케이션이 굉장히 많은 편이다. DB암호화 등 DB보안 솔루션을 도입하면서 가장 고려한 부분은 수많은 애플리케이션에 영향을 주지 않고 성능 이슈가 없어야 한다는 것이었다. 그래서 여러 가지 DB보안 솔루션을 비교하고 적용해본 후, 성능 저하가 없는 DB보안 솔루션을 선택하게 됐다.

이와 관련 조우철 선생은 “아주대학교에 가장 적합한 제품으로 오라클의 DB암호화 및 DB접근제어 솔루션을 선택해 도입하게 됐으며 그 이후에 감사를 위해 오라클 오딧 볼트를 추가로 구매했다. 무엇보다 보안 솔루션을 적용했는데도 마치 제품이 없는 것처럼 애플리케이션 성능에 전혀 영향을 주지 않았다”면서 “기존 시스템에 보안 솔루션을 추가했음에도 학생들은 물론 직원들조차 전혀 알아차리지 못할 정도로 시스템 부하가 전혀 없고 DB 성능 저하가 없어 감사 솔루션을 추가로 구매하기로 결정했다”고 말했다. 

이렇듯 아주대학교는 DB 암호화 및 DB 접근제어 솔루션 도입을 통해 교내 학생 및 교직원들의 신상정보 및 성적, 연구실적 등을 암호화하고, 중요 데이터에 대한 내외부로부터의 불필요한 접근을 제한함으로써 데이터 보안체계를 철저히 정립할 수 있었다는 설명이다.

또한 데이터베이스 운영체제의 핵심 단위인 커널(kernel) 자체에서 암호화 기능 및 접근 통제를 수행해 보안 효과는 높이는 한편, 데이터베이스 성능 저하를 최소화했다. 이를 기반으로 웹 사용자 기반 접근제어 및 감사 시스템도 추가로 도입할 수 있었다는 것. 

이를 통해 아주대학교는 로그인 접속 기록 관리 및 중요정보 접근 기록 관리가 보다 효율적으로 이루어질 수 있었고 누가, 언제, 어디서, 어떤 작업을 수행했는지 모니터링이 가능해짐에 따라 비허가자의 모든 접속을 파악하고, 인가자의 모든 활동을 감시할 수 있게 됐다.

또한 대학교 학사행정 업무의 핵심인 수강신청 기간 등에 대한 투명한 감사기록을 통해 신청사항 누락사항이 시스템 오류 또는 학생의 실수로 인한 것인지 명확한 책임 소재 규명이 가능해졌으며, 학생들의 성적 조작 등 악의적인 접근도 방지할 수 있게 됐다는 게 아주대 측의 설명이다.  

아울러 원격으로 감사 데이터를 수행하여 운영시스템 성능에 미치는 영향이 최소화됐으며 감사 데이터의 자동 수집·관리, 중요한 통제 대상의 접근에 대한 모니터링, 실시간 경고 및 감사 보고서 생성이 가능해져 시스템 관리가 용이해졌다.

한편, 아주대학교는 보안강화를 위해 내년엔 개인정보영향평가를  받을 계획이다. 조우철 선생은 “최근 IT 환경에서 보안은 더욱 중요해지고 있다. 이제는 보안을 의무적으로 하기 보다는 전체적인 리스크 감소의 수단으로 보고 투자 관점에서 접근하는 것이 중요하다. 아주대학교는 이러한 관점에서 보안강화를 위한 투자를 확대해 나갈 계획”이라고 강조했다.

[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>