기업들은 개인정보보호를 위한 기술적 보호대책을 제대로 준비하고 있을까. 고려대학교 정보보호대학원 김인석 교수는 21일 개인정보보호법 대응전략 세미나에서 개인정보보호를 위한 기술적 보호대책에 대해 자세히 설명했다.
 
◇프라이버시&데이터 거버넌스와 흐름통제
우선 김교수는 자사의 개인정보와 기밀정보 보유 현황을 파악하는 것이 프라이버시&데이터 거버넌스의 시작이라고 강조했다.
 
누가 무엇을 가지고 있는지 파악하지 못하고는 어떤 보안정책도 강제할 수 없다는 것이다. 반드시 개인정보 활용이 필요한 사람들에 대해서 필요한 시기 동안만 개인정보 파일을 보유하도록 통제 해야 한다. 즉 누구의 PC에 얼마나 많은 고객의 개인정보가 보관되어 있는지 추적해야 하며, 이들 내용을 지속적으로 삭제권고 혹은 암호화 보관여부를 확인해야 한다고 강조했다.
 
또한 PC뿐 아니라 DBMS, 파일서버 내 개인정보, 스마트폰에 저장된 개인정보 파일에 대한 보호조치도 필요하다.
 
DBMS의 개인정보 보유 현황을 파악해야 한다. DBMS가 오랫동안 운영되면, 무수한 테이블과 뷰가 생성되고 삭제된다. 또 어플리케이션이 개발·운영·폐기된다. 이 과정에서 DBMS내에 어떤 table과 column이 존재하는지 수기로는 파악이 불가능하다. 개인정보 DB Table에 대한 통제를 위해서는 어떤 table에 개인정보가 있는지 자동적으로 식별할 수 있도록 조치해야 한다.  
 
그리고 NT계열의 파일서버와 LINUX/UNIX계열의 파일서버에 보관된 개인정보 보유 현황도 정확히 파악해야 하고 회사업무용 스마트폰에 저장된 개인정보 파일에 대한 식별 및 암호화 그리고 원격 삭제 조치가 가능해야 한다.
 
김교수는 또 개인정보가 어떻게 조회 및 취득되고 어떻게 보관되며 어디로 전송-유출되는지 라이프사이클에 걸쳐서 통제할 수 있어야 한다고 강조했다. 디스커버리와 흐름 통제는 지속적으로 계속 상호보완적으로 수행할 필요가 있다는 것.
 
◇IT보안 기술 인프라 개선 및 내부통제 개선
해킹 피해 최소화를 위한 시스템 개선의 필요성도 강조됐다. 보안이 취약한 위험구간(DMZ)과 내부망(BD) 구간을 분리하지 않은 채 전산망을 구성하고 운영했다면, 고객정보는 안전한 내부망 구간에만 데이터베이스(DB)를 설치·운영토록 하고 고객비밀번호 암호화 등 고객정보 관리강화를 해야 한다.
 
또 망 분리 등 접속경로 통제 강화도 중요한 요소다. 많은 기업들이 인터넷망과 업무망을 분리하지 않아 악성코드 유포사이트에 수시로 노출되면서 악성코드 감염이 해킹의 빌미를 제공하고 있다며 인터넷망과 업무망의 분리를 단계적으로 유도하고 무선망 사용에 대한 보안조치 및 점검 등을 강화해야 하다고 강조했다.
 
더불어 시스템 운영실에서는 전용단말기 사용만을 허용하는 등 시스템 접속통제를 강화하고 시스템운영실내 무선망 접속을 차단해야 한다. 또 사용자식별이 가능하도록 접근권한 부여 등 작업통제 강화 및 비밀번호 변경 등 보안수칙 준수여부 자체점검을 강화해야 한다.
 
민간보안 전문업체를 활용해 매년(외부 공개용 웹 서버 반기) 취약점을 자체 점검토록 하고 이행계획 등을 점검하는 것도 중요하다고 지적했다.
 
◇IT 아웃소싱 관리 개선
김교수는 외주업체 및 외주인력 관리 강화를 강조하며 “많은 기업들이 외주업체에 대한 전담통제인력이 부족하고 반출·입 관리 등 위탁업체 관리가 미흡해 사고가 발생하고 있다”며 “IT보안전담조직에서 아웃소싱 업체 보안관리를 철저히 수행토록 하고, 상주인원 신원조회 등 인력관리 강화방안도 수립해야 한다”고 강조했다.
 
또한 “위탁 가능한 비핵심 업무와 직접 수행할 핵심업무의 범위 등에 대한 적정성 검토가 제대로 이루어지지 않은 채 위탁이 이루어지고 있다”고 지적하며 “외부 위탁 의사결정시 CISO를 참여시키고 위탁업무의 적정성 등에 대한 업무분석과 자체 보안성 검토를 의무화해야 한다”고 말했다.
 
◇서버 접근 통제
서버에 대한 접근 통제도 강조했다. 클라이언트 구간에서는 통합PC보안프로그램을 설치한 사용자에 한해서 네트워크를 허용하고 사용자가 Telnet 서비스를 시스템에 직접 요청시 접속을 막아야 한다. 또 계정통제 감사서버(Proxy)를 경유한 경우만 접속을 허용해야 한다.  
 
네트워크 구간에서 방화벽은 허가된 IP와 업무서비스만 허용하고 DMZ는 내/외주 직원을 통제해야 한다. 내부망에서는 외주직원을 통제하고 계정통제감사서버를 경유한 경우만 접속을 허용해야 한다.
 
계정통제 감사서버는 모든 시스템의 Telnet 접속에 대한 권한을 부여하고 정의된 PC IP, 서버 IP, 계정 정보가 일치한 경우만 접속이 가능케 해야 한다. 또 접속관련 모든 활동내역을 로깅해야 한다.  
 
시스템구간에서는 서버보안 인증방법으로 ID+PWD+OTP 인증방법을 사용해야 한다.
 
또 계정통제 로그 및 서버보안 로그를 통한 사용자 접근 내역에 대한 감사 기능을 수행하고 불법행위 및 정책위반 내용을 실시간 감지하는 모니터링 시스템을 갖춰야 한다고 김교수는 강조했다.
 
◇데이터 접근 통제
해킹으로 정보유출이 이루어지는 최종 단계인 데이터에 대한 접근 통제도 중요한 부분이다. 김교수는 데이터 접근 통제를 위해 클라이언트 구간에서 통합PC보안 프로그램 설치 사용자에 한해서 네트워크를 허용하고 영역보안 및 DB보안 미 설치 시 DB접속 포트를 차단해야 한다. 또 DB보안 게이트웨이(Proxy)를 경유한 경우만 허용해야 한다.  
 
DB보안을 위해서는 Agent 이용 접근통제 방식을 적용하고 통합PC보안과 SSO 연동, DB보안 Gateway로 강제유도, DB보안 정책 리스트 수신 등이 중요하다.
 
영역보안을 위해서는 PC내 보안영역을 구성하고 허가 된 DB접속 툴 만 허용해야 한다. DB 데이터 외부유출 방지를 위해서는 DB 데이터 저장 시 강제로 보안영역으로 저장하고 출력 및 화면 캡쳐도 제어해야 한다.
 
마지막으로 김교수는 “문서보안을 위해서는 보안영역에서 일반 영역으로 문서 반출 시 강제 암호화를 적용해야 하고 네트워크 구간에서 DB보안 게이트웨이의 사용자 접근통제 및 권한관리가 중요하다. 또 쿼리 명령어 통제, 주요 데이터 화면출력 시 마스킹 처리, 비인가 DB보안 접속 툴 제어, 사용자 DB접속 활동내역 로깅 등이 중요한 조치”라고 강조했다.
[데일리시큐=길민권 기자]