전통적으로 정보유출은 인터넷, 출력물, USB등의 미디어를 통해서 발생해. 인터넷, 출력물, USB등의 미디어는 조직내부에서 외부로 이어지는 통로역할을 하지.
개인정보보호조치의 궁극적 목적은 개인정보가 조직의 통제범위를 벗어나는 것을 막는거야. 개인정보유출사고는 외부에서의 해킹으로도 발생하고 내부자의 실수나 고의로도 발생해. 실제 2011년에 발생한 대형유출사고는 해킹/APT공격이 원인이었지.
메일을 열었다거나 웹하드에서 설치프로그램을 다운했다거나 하는 경로로 DB관리자 PC가 해킹되는 거야. 그 후, 관리자행동을 면밀하게 관찰하여 ID/PW를 다 뽑아내고 관리자가 자리를 비운 틈을 타서 DB에 접속하는 거지. DBA PC에서 정확한 ID/PW로 들어오니 DB는 당연히 접근을 허용하고 개인정보 수천만건을 보내준 거야.
이 사건을 볼 때 주요서버의 경우 (ID/PW인증뿐 아니라) OTP등을 도입해서 사용자인증을 강화해야 해.
또 권한자가 조회할 경우에도 평소 업무패턴과 다른 접근이 발생하면 이상징후로 판단하고 통제할 필요가 있어. 웹하드나, P2P처럼 신뢰할수 없는 사이트는 접근을 원천적으로 막는것도 생각해볼만한 일이야. 조직 내 악성코드의 70%가 웹하드나 P2P같은 어둠의 사이트로부터 내려온다는 통계도 있어.
구글에서 최초로 시작한 세이프브라우징(Safe Browsing)은 웹브라우저단에서 악성코드감염사이트 접속을 막는 거야. 직원들이 사내에서 악성코드감염사이트에 접속하지 못하도록 세이프브라우징을 도입하는 것도 추천할 만하지. (크롬브라우저 외의) 모든 브라우저에서 접속시 세이프브라우징이 되도록 해야겠어.
그리고 또 하나의 중요한 보호조치는 망분리야. 망분리는 내부망과 인터넷망을 분리하는 거야.
미션임파서블에서 탐크루즈가 천장에서 줄타고 내려가 메인컴퓨터에 침입하는 장면 기억하지? 왜 탐크루즈가 삐질삐질 땀 흘리며 거꾸로 매달려 그 고생을 했겠어? 그 컴퓨터실이 망분리가 되어있었던 거야. 인터넷망으로 외부와 연결되어있으면 밖에서 에어컨틀고 콜라마시며 악성코드 침투시켰겠지. 그게 안되니까 본인이 직접 몸바쳐 인간악성코드역할을 하신거야. 네트워크 대신 줄 매달고 설설설 기었다가 거꾸로 매달렸다가 생고생하면서. 게다가 쫄쫄이 입고~
하지만 망분리 역시 전가의 보도는 아니야(요즘 세상에 그것도 보안에 있어 전가의 보도가 어디 있겠어?) 우린 망분리했으니 발닦고 편하게 자겠다. 이런 생각은 버려야 해.
직원들은 불편한 걸 못 참아. 만일 망분리해서 자료공유가 불편해지면 누군가 (망분리를 뚫고 인터넷에 접속하는) 개구멍 즉 백도어를 만들 거야. 망분리를 하면 USB로 자료가 왔다갔다하게 되는데 이 경우 USB를 통해서 해킹이 이뤄질 수도 있어. 또, 망분리 후에도 패치, 업그레이드, 반드시 필요한 자료전송을 위해서 망연계시스템이 있어야만 해. 망분리는 내부단말기에서 인터넷사용을 막고 외부와의 자료교환을 하나의 게이트웨이를 통해서만 하게 한다는 데 의의가 있어.
개인정보현황파악?흐름통제?기록이 중요
IT환경과 기술은 급변하고 있어. 첨단기술로 둘러싸서 일시적으로 무균실을 만들 수는 있어. 하지만 새로운 해킹기술이 나타나면 그 무균실은 곧 깨지게 돼. 새로운 공격기술 앞에서도 버틸 수 있도록 기본체력을 길러야 해. 개인정보보호에 있어 기본체력은 뭘까? 바로 [개인정보현황파악 및 기록]이야.
실제 개인정보가 사외 어디로?얼마만큼 전송되고 있는지 정확하게 파악?기록하는 회사는 별로 없어. 개인정보가 방치되어 있더라도 회사 내에 있으면 다행이야. 운나쁘게 바로 그 때 감사에 걸린다고 해도 과태료 정도로 끝날 거야. 하지만 사내와 사외의 경계선! 개인정보보호의 마지노선을 넘어가는 그 순간, 개인정보는 통제불능상태가 되고 개인정보관리자는 개인정보유출로 형사처벌받게 될 거야. 개인정보의 흐름을 파악하고 개인정보에 있어 사내와 사외의 경계선이 어디인지, 보안의 마지노선이 어떻게 형성되는지를 알아야 해. 잊지 마 [개인정보현황파악과 기록], 개인정보보호의 가장 중요한 기본이야.
글. 소만사 최일훈 소장 acechoi@somansa.com
