|
개인정보와 보호와 활용을 ‘양날의 검’으로 비유하는 것은 적절하지 못하다. 돈이 되는 ‘고급 개인정보’를 훔치려는 사이버 범죄자들이 늘고 있다. 이에 대응하기 위해서는 개인정보를 철저하게 보호해야 한다. 그러나 개인화 서비스가 발달한 현재, ‘개인정보 보호’에만 집중하면 경쟁력있는 서비스를 제공하지 못한다. 개인정보를 안전하게 보호하면서 적법하게 활용할 수 있는 환경이 시급히 필요하다.<편집자>
멀티 클라우드서도 일관적인 데이터 보호 체계 유지
하이브리드 클라우드, 멀티 클라우드를 사용하는 환경에서 섀도우 데이터 문제는 매우 심각하다. 섀도우 클라우드에 저장돼 방치된 개인정보 중 유럽 시민의 정보가 대거 포함돼 있으며, 이것이 유출돼 피해를 입게 된다면 GDPR 위반으로 막대한 벌금과 신뢰 하락으로 인한 피해를 입을 수 있다.
클라우드 데이터 보호를 위한 가장 근본적이고 원칙적인 방법은 데이터를 암호화하는 것이다. 데이터를 암호화 한 후 클라우드에 저장하는 것은 어렵지 않으나 클라우드 애플리케이션에서 암호화해 보호하는 상태에서 업무를 진행하는 것은 쉽지 않다. 개별 클라우드 애플리케이션의 암호화 지원이 필요하고 암호키관리 문제도 해결해야 하기 때문이다.
| |
 |
|
| ▲탈레스 이시큐리티 보메트릭 플랫폼 |
탈레스 이시큐리티의 보메트릭 제품군은 SaaS 기반 키관리(KMaaS)를 이용해 SaaS 애플리케이션에서도 중단 없는 키관리와 암호화가 가능하도록 했다. 또한 클라우드 스토리지의 데이터 보호를 위해 ‘클라우드 인크립션 게이트웨이’를 제공한다. 이 제품은 게이트웨이에서 암호화해 클라우드 스토리지로 전송되는 데이터를 보호한다.
보메트릭 제품군은 파일 단위 암호화를 지원해 애플리케이션에 종속되지 않고 암호화가 가능하다. 애플리케이션 수정이 필요 없고 시스템 성능에 영향을 미치지 않으며 데이터 포맷에 상관없이 암호화 할 수 있다.
보메트릭은 메타데이터를 그대로 둔 채 파일을 암호화하기 때문에 하이퍼바이저, 클라우드, 스토리지 등에서도 민감데이터에 액세스하지 않고 시스템을 관리할 수 있으며, 복제, 마이그레이션, 스냅샷에서도 암호화된 상태를 유지하면서 업무를 진행할 수 있다. 중앙통제가능한 키관리 솔루션과 동적 데이터 마스킹이 포함된 토큰화, SIEM과 통합될 수 있는 시큐리티 인텔리전스 등을 통해 APT 공격을 차단한다.
존 램(John Lam) 탈레스 이시큐리티 아시아 태평양 지역 부사장은 “멀티 클라우드의 데이터를 보호하기 위해서는 단순하면서도 강력한 암호화·키관리 플랫폼이 필요하다. 탈레스 이시큐리티의 보메트릭 제품군은 단일 플랫폼에서 암호화·키관리를 제공해 여러 클라우드를 사용하는 환경에서도 간단하고 편리하게 데이터를 암호화하고, 키를 관리할 수 있다”며 “이러한 장점을 인정받아 한국의 여러 기업들이 클라우드 데이터 보호를 위해 보메트릭을 선택하고 있다”고 설명했다.
암호화의 관건은 ‘키관리’
GDPR에서 개인정보 암호화를 의무적으로 규정하고 있지 않지만, 암호화는 데이터를 보호하는 가장 확실한 방법이다. 우리나라 개인정보보호법에서는 모든 형태로 존재하는 중요 개인 식별번호는 암호화하도록 되어있다.
암호화의 관건은 키관리이다. 키관리에 실패하면 암호화의 의미가 없다. 규제준수만을 위해 도입한 데이터 암호화 솔루션은 사용 편의성만을 강조하며 암호화 데이터와 키를 함께 두는 구조로 설계해 데이터 보안 정책을 무력화하도록 했다. 공격자들이 암호화된 데이터와 키를 함께 가져갈 수 있도록 방치한 것이나 다름없기 때문이다.
암호 키는 강력하게 보호되는 전용 하드웨어 혹은 높은 수준의 보안이 보장된 전용 소프트웨어로 관리할 수 있도록 전용 키관리 솔루션(KMS)을 사용하는 것이 바람직하다. 또한 권한 있는 사람만 권한 범위 내에서 암호화 데이터를 복호화하고 열람할 수 있도록 통제해야 한다.
DB 암호화 시 소명결재 시스템과 결합하는 것도 중요한 요소로 꼽힌다. 신시웨이 관계자는 이 점을 강조하며 “DB에서 중요한 데이터에 대한 작업을 수행하거나, 암호화 된 데이터를 복호화 할 경우 해당 작업에 대한 사전 승인이나 사후에 소명하도록 시스템을 구축해, 부적절한 행위가 발생하지 않도록 업무절차를 명확히 하고, 감독기관에서 관련된 사항에 대한 근거 및 통제현황에 대한 정보를 요청하면, 관련된 증적 자료를 쉽게 추출할 수 있도록 구축해야 한다”고 강조했다. |
iyamm@datanet.co.kr
KT, ‘28GHz 기업전용 5G 네트워크’ 개발 성공
