[컴퓨터월드] 국내 DB접근제어 보안 솔루션 시장은 피앤피시큐어(대표 박천오)가 주도하고 있다. 해가 거듭될수록 피앤피시큐어의 시장장악력은 더 강해지고 있다. 국내 DB 접근제어 보안 솔루션 시장은 피앤피시큐어를 비롯해 웨어밸리, 소만사, 신시웨이, 바넷정보기술 등 5개 회사가 경쟁을 벌이고 있다. 이 가운데 피앤피시큐어사가 70% 안팎의 시장을 점유하고 있을 만큼 확고한 자리매김을 하고 있다. 피앤피시큐어는 경쟁사 고객을 자사 고객으로 확보하는 윈백 사례가 나날이 증가하고 있는가 하면 고객들, 특히 대규모의 기업일수록 피앤피시큐어를 찾는 경우도 계속 증가하고 있다고 한다. 경쟁사들은 앞서나가는 피앤피시큐어의 기술력에 맥을 못 추고 있는 게 현실이다. 피앤피시큐어가 DB 접근제어 보안 솔루션 시장에서 두각을 나타내는 비결이 무엇인지 구축성공사례를 통해 상세히 살펴본다. <편집자 주>

▲ 백순용 피앤피시큐어 기술본부/상무

DB접근제어, ‘내부 시스템 간 유기적인 결합 형태로 변화’

최근 개인정보보호법과 정보통신망법, 그리고 세부 규정인 개인정보 안전성 확보조치 기준 등 관련해 법과 규정이 개인정보를 보호하는 방향으로 개정되면서 각 기업과 기관의 각종 DB를 비롯한 저장되는 모든 데이터에 대한 컴플라이언스가 강화되고 있다. 이에 따라 개인정보를 취급하고 이를 보호하기 위해 DB접근제어시스템을 도입하는 고객들의 트렌드도 변하고 있다.

기존 DB접근제어시스템의 경우 단일 솔루션에만 의존하거나 인사 연동을 통해 운영했던 형태에서 자사의 개인정보처리 시스템과의 연동, 접근 통제 기능 강화, 보안 정책의 자동화를 위한 내부 시스템 간 유기적인 결합, 우회 접속에 대한 접근 통제 강화의 형태로 변화하고 있다.

국내 굴지의 H보험사는 기간계, 정보계 각 업무별로 서로 다른 DB접근제어솔루션을 사용해 기존 시스템의 일부는 제품의 노후화 및 기술지원 미흡으로 인해 필요한 기능에 대해 신속한 대응이 이루어지지 않는 등 여러 문제점이 발생했다.

H보험사 사례를 통해 DB접근제어시스템의 요구 기능 및 구축 트렌드를 살펴본다.

H보험사, 운영상 이슈로 DB접근제어 통합 관리 필요

보안 정책 관리에 있어 일관성 또는 효율성 문제로 데이터마스킹과 같은 보안 정책 적용 시에는 기존 수동 작업으로 인해 휴먼 에러가 빈번하게 발생했다. 특히, 개인정보 테이블 생성 후에 데이터마스킹 정책이 적용되는 시기가 평균적으로 수일 이상 소요되고 있어 마스킹 적용 전에는 개인 정보의 유출 가능성이 있었다.

제품의 노후화로 인해 개발 및 패치가 이루어지지 않는 DB접근제어시스템은 신규 DBMS에 대해서는 모니터링 및 제어 기능이 제공되지 않아 개인정보를 확인할 수 없었기 때문에 개인정보 유출 가능성이 존재했다. 또한 허가되지 않는 고객정보 변조 시 업무 혼선을 초래하기도 했고, 상위 감독기관의 컴플라이언스 위배 및 개인정보 노출 위험에도 직면해 있었다.

특정 업무에 대한 DB접근제어시스템의 경우 이중화 구성이 돼 있지 않아 하드웨어 장애 발생 시에는 업무 중단 또는 지연되는 위험을 가지고 있었고, 장애 복구에는 노후 장비에 대한 부품 수급이 용이하지 않을 경우 최대 7일까지 소요가 예상돼 이중화의 필요성을 가지고 있었다.

특히, 서로 다른 DB접근제어시스템을 운영하기 때문에 사용자 입장에서는 각 시스템에 중복으로 인증을 받아야 하는 불편함이 있었으며, 관리자 입장에서는 중복된 보안정책을 입력해야 하는 번거로움과 일관성 있는 보안 정책을 수립할 수 없는 심각한 문제가 있어 이를 해결할 수 있는 시스템 통합이 시급한 실정이었다.

H보험사는 IT보안 업무 지침 또는 전자금융감독규정 등 컴플라이언스 대응 준수 및 자사의 요구 사항을 충족할 수 있는 제품의 신규 도입 필요성과 개인 정보 유출로 인한 기업 이미지 손실에 따른 대책이 필요했으며, 이에 따라 여러 면에서의 검토 과정을 거쳐 요구 기능을 충족하고 안정적인 기술 지원 인력을 보유하고 있는 제품을 선정하게 됐다.

▲ <그림 1> H보험사의 AS-IS DB접근제어시스템 구성도

<그림 1>과 같이 H보험사는 사용자와 DB접근제어시스템 구간, 개인정보처리시스템과의 연동, DB접근시스템과 서버 구간, 서버, 관리의 효율성 등 여러 문제점을 가지고 있었다.

AS-IS와 주요 문제점은 아래의 <표1>과 같이 나열할 수 있다.

▲ <표 1> 기능 미흡 사항과 컴플라이언스 미충족에 대한 주요 문제점(AS-IS)

H보험사는 2017년 상반기 ‘DB세이퍼 엔터프라이즈 V5.0(DBSAFER Enterprise V5.0)’ DB접근제어솔루션을 도입함에 따라 기존 운영상의 이슈에 따른 여러 문제점들을 해결했을 뿐만 아니라 전자금융감독규정 및 내부 IT보안 업무지침 준수에 필요한 보안 기능들을 만족하고 있다.

이기종 DBMS 모니터링 및 내부 보안 강화

H보험사는 또 ‘오라클12c(Oracle12c)’를 신규 도입했는데, 이에 대한 제어가 필요했을 뿐만 아니라 기존 DB접근제어솔루션의 노후화로 모니터링이 불가했던 ‘사이베이스(Sybase)’, ‘포스트그레스큐엘(PostgreSQL)’, ‘인포믹스(Informix)’ 등과 같은 DBMS의 모니터링이 가능하게 됐다. 특히 ‘DB세이퍼(DBSAFER)’에서 제공하는 관리 툴을 이용해 서로 다른 DBMS의 관리와 업무 및 권한별 그룹 정책을 사용해 DB접근 권한 관리를 함으로써 모니터링 업무의 효율성을 높였을 뿐만 아니라 관리 측면에서도 기존 대비 편의성을 향상시킬 수 있었다.

기존 별도의 DB접근제어시스템 운영 상황에서는 보안 정책 수준을 동일하게 적용하기가 어려웠을 뿐만 아니라 기능 제공 수준이 서로 달라 운영 및 보안상의 많은 허점이 있었다.

신규 구축 과정에서 미흡한 기능을 통합해 표준화된 보안 정책 적용이 가능함에 따라 내부 보안을 강화할 수 있게 됐다.

DBMS접근 툴에서 파일 저장 시 파일을 암호화할 수가 없어 보안의 문제점을 가지고 있었던 반면, ‘쿼리박스-S(QueryBox-S)’를 통한 이기종 DBMS 접근 툴 통합을 통해 파일 저장 시 암호화 적용 기능을 제공함으로써 내부 보안을 강화할 수 있게 됐다.

DB접근제어는 액세서리가 아닌 ‘신체의 일부’

H보험사의 도입 사유 중 하나는 내부 개인정보처리시스템과의 연동을 통해 내부 보안을 강화하는 것이었다. 대상 시스템은 메타DB(MetaDB), 문서 보안, 인사시스템, 결재시스템 등이었다. 고객사 내부 시스템과의 연동을 통한 보안 정책 자동화 구현은 다른 고객사 구축에 있어서도 심심치 않게 발생되는 보안 트렌드라고 할 수 있다.

기존의 구축 형태는 인사 DB와의 연동과 같이 일부 내부 시스템과 연동하는 수준에 지나지 않았으나, 최근 여러 고객사의 경우 메타DB, 결재시스템, ITSM(IT Service Management)솔루션과의 연동 등 다양한 형태의 연동 요구가 나타나고 있다.

DB접근제어솔루션은 대표적인 고객사 자산의 일부로 인간으로 비교하면 단순히 물건과 같은 액세서리가 아니라 신체의 일부로 반드시 필요한 시스템으로 여겨지고 있다고 볼 수 있다. 이에 ‘DB세이퍼’는 다양한 고객사와 풍부한 구축 및 연동 경험이 있어 어렵지 않게 H보험사의 연동 요구 사항을 만족할 수 있었다. 다음은 H보험사에 구축한 ‘DB세이퍼’를 통해 개선된 기능 가운데 가장 주요한 내용을 살펴보면 다음과 같다.

• 메타DB 연동을 통한 개인정보 데이터마스킹 정책 자동화
  개인정보의 속성과 대상 정보를 포함하고 있는 메타DB와의 주기적인 연동을 통해 기존 수동 적용으로 인한 데이터마스킹 항목 누락과 같은 관리자의 실수를 예방할 수 있었고, 오랜 기간이 걸렸던 작업도 자동화함으로써 운영상의 문제점을 해결할 수 있었다.
  
  또한, ‘DB세이퍼’가 제공하고 있는 DB 스캐너를 통해 주기적으로 DB를 스캔함으로써 메타DB에 누락된 개인정보를 검출해 정책에 반영함으로써 보안상 홀을 최대한 방지할 수 있었고, 고객사 전용 보고서를 통해 개인정보 유출에 대한 이상관리 프로세스도 크게 개선했다.

 

• 기타 내부 시스템과의 연동을 통한 보안 강화
  문서 보안 시스템과의 연동으로 DBMS 툴에서 파일 저장 시 문서보안 적용이 가능해 비 암호화 문서 유출에 대한 이슈를 크게 개선했다. 이는 ‘DB세이퍼’가 제공하는 이기종 DBMS 간에도 접속할 수 있는 SQL 클라이언트 중앙 관리 툴인 ‘쿼리박스-S’를 통해 가능한 일이었다.
  
  부서이동, 퇴사자에 대한 권한 자동 회수 등의 인사업무와의 연동을 통해 내부 사용자에 대한 보안을 강화할 수 있었다. H보험사 내의 결재시스템과의 연동으로 개인정보 조회에 대한 소명 처리 및 프로세스 정립을 통해 조회 사용자의 보안 인식을 강화할 수 있었으며, 마스킹 해제 권한 자동 회수로 관리자의 마스킹 해제 권한 적용 시 발생할 수 있는 권한 회수 실수를 최소화할 수 있었다.

IT보안 업무 지침 및 컴플라이언스 준수 위한 보안 기능

한편 H보험사는 DB접근제어시스템 통합 구축 사업으로 그동안 운영상 이슈 해소와 내부 시스템과의 연동을 통한 보안 정책의 자동화, 효율성 및 관리의 편의성 증대, 그리고 컴플라이언스 준수를 위한 보안 기능 등을 적용함으로써 보안성을 강화했다. 주요 내용을 정리하면 다음과 같다.

• 우회 접근 통제 강화
  네트워크 접근이 아닌 서버의 콘솔을 통한 접근에 대해서는 기존의 고전적인 스니핑(Sniffing) 방식이나 방화벽을 통한 방법으로는 절대로 제공할 수 없는 기능이다. ‘DB세이퍼’에서 유일하게 제공하는 기능으로 서버 에이전트를 이용해 콘솔을 통한 우회 접속 사용자에 대해 직접 제어가 가능하도록 했다. 또한, 허가 받지 않은 프로그램에 대한 접속에 대해서도 통제할 수 있도록 기능을 제공해 우회 접근에 대한 통제를 강화했다.

 

• 기타 보안 기능
  감사 데이터의 암호화 저장 및 보관 기능과 시스템 관리자에 의한 불법적인 감사 데이터 위·변조 방지 기능을 제공함으로써 개인정보의 기술적·관리적 보호조치 기준에 만족하는 기능을 제공한다.
  
  기존 시스템의 이중화 구성 문제로 서버 장애 시 복구시간 동안 업무 마비의 위험을 가지고 있었던 반면, 이번 신규 구축을 통해 게이트웨이 서버의 이중화뿐만 아니라 정책/감사 로그 서버의 이중화를 통해 업무의 무중단 서비스를 제공할 수 있게 됐다.

 

▲ <그림 2> H보험사의 구축 후 DB접근제어시스템 구성도

<그림 2>는 구축 전 문제였던 부분의 처리상황을 보여주고 있으며, 문제 해결에 대한 구체적인 기능 내용은 <표 2>와 같다.

▲ <표 2> 기능 충족과 적용된 컴플라이언스 충족 기능(TO-BE)

‘DB세이퍼’, ITSM 및 내부결재시스템과의 연동은 높은 점수

H보험사를 비롯해 최근 내로라할 만한 고객정보 취급 고객사의 DB접근제어솔루션 구축의 경우 내부 개인정보처리시스템과의 연동을 통해 개인정보테이블 신규 발생 시 실시간적으로 보안 정책이 자동으로 적용 및 운영되도록 하는데 초점을 맞추고 있다.

이는 고객사 내부의 개인정보 보호의 필요성이 이전보다 더 중요해졌다는 의미도 있겠지만, DB접근제어솔루션이 단지 고객사 내부 시스템과 독립적으로 운용되는 솔루션이 아니라 신체의 일부와 같이 반드시 다른 기관과 함께 상존, 상생해 동작해야 하는 시스템으로 인식되고 있다고 볼 수 있다.

‘DB세이퍼’는 ITSM, 내부 결재시스템, 메타DB 연동 등 다양한 시스템과의 연동 경험과 구축 노하우를 보유하고 있어 H보험사의 경우에도 어려움 없이 프로젝트를 진행할 수 있었다.

현재 고객들은 H보험사와 같이 제품의 노후화와 기술 지원의 미흡 등을 인해 발생되는 문제점을 해소하고 사내 개인정보처리시스템과의 유기적인 연동을 위해 다양한 경험과 노하우, 안정된 기술지원 인력을 보유하고 있는 회사의 제품을 선호하고 있다.