DRM의 미래는 없다는 전망은 틀렸다. 클라우드로 전환되면서 DRM이 한계를 맞게 됐다는 분석도 있지만, 클라우드 스토리지를 사용하는 환경이라면 DRM으로 문서를 보호할 수도 있다. DRM은 문서 보호를 위해 가장 강력하고 안전한 방법이다. 다만 전사 문서에 DRM을 적용하는 것은 비효율적이며 생산성을 크게 저하시킨다. 거버넌스 관점에서 문서의 종류·중요도·활용되는 환경에 맞춰 보안 기술을 적용해야 하며, 그 한 방법으로 DRM이 선택될 수 있다. DRM의 현실적인 한계와 해별 방법, 차세대 문서보안 기술을 소개한다.<편집자>
“DRM 시장, 축소되지 않았다”
DRM은 차세대 기술로 진화해야 한다. DRM은 통신·금융·엔터프라이즈에서 주로 사용하고 있으며, DRM과 같이 강력한 수준의 문서보안 기술은 현재는 없는 상황이다. 파수닷컴은 전체 DRM 매출 중 70~80%가 금융기관에서 나오고 있으며, 주요 제조기업, 공공기관에서도 사용하고 있다고 강조하며 DRM 시장은 축소되지 않았다고 강변한다. ISMS 의무 기관으로 지정된 병원에서도 검토하고 있으며, 방산 망분리에도 DRM 사용이 의무로 규정돼 있다.
강봉호 파수닷컴 상무는 “보안은 강력하면서도 편리해야 한다. DRM은 한 번 세팅되면 그 어떤 보안 솔루션보다 편리하게 사용될 수 있다. 예외항목 관리가 어려운 것은 사실이지만, 정책만 잘 정리되면 DRM은 매우 편리한 기술이다”라고 거듭 강조하며 “애플리케이션의 종속성을 낮추면서 DRM을 편리하게 사용하는 기술은 계속해서 연구하고 있다”고 말했다.
이어 강 상무는 “DRM을 쓰느냐, 안 쓰느냐의 문제가 아니라 거버넌스 관점에서의 데이터 보호 전략이 있는지 여부가 중요하다. 데이터를 식별하고 분류·탐지한 후 데이터의 보안 수준에 맞는 기술을 적용해야 한다. 파수 데이터 보안 프레임워크는 다양한 데이터에 최적화된 보안 전략을 제공할 수 있다”고 강조했다.
문서 성격 맞게 보호하는 기술 필요
소프트캠프 역시 DRM의 미래에 대해 고민을 하고 있다. 조직 내부에서만 유통되는 문서라면 DRM 운영에 큰 어려움을 겪지 않지만, 외부 협업 시에는 다양한 문제가 생길 수 밖에 없다.
예를 들어 개인정보를 위탁관리하는 업체가 있다면 원청기업이 암호화된 개인정보 파일을 전달하고, 이 기업은 권한을 가진 조직 혹은 직원이 암호화 파일을 풀어 필요한 업무를 진행한다. 그러나 하청업체에서 DRM 문서를 풀어 연 다음에는 관리가 되지 않는다. 열람·편집 권한을 받은 직원이라면 이를 편집해 다른 용도로 사용할 수 있으며, 이 직원의 PC에 악성코드가 감염돼 있다면 해당 문서를 유출해 나갈 수도 있다.
소프트캠프는 영역DRM 기술로 문서를 보호하는데, 샌드박스 혹은 컨테이너라고 불리는 암호화 영역에 중요한 문서를 보관해 외부로 유통되는 것을 제어한다. 프라이빗 클라우드 서버에 보관하면 외주업체와 안전한 워크스페이스에서 협업할 수 있으며, 샌드박스에 저장된 문서는 관리자 승인 없이 외부로 발송될 수 없어 안전하다. 이 기술은 다수의 금융기관과 공공기관에서 사용하고 있으며, 도입 범위는 점차 확대되고 있다.
배환국 소프트캠프 대표는 “엔드포인트를 통제하는 기술은 이제 한계에 부딪혔다. 엔드포인트에서 직접 암호화하고 통제하는 기술보다 문서의 성격에 맞게 보호하고 활용할 수 있는 기술을 찾아야 한다”며 “다양한 업무 환경에 맞춘 보안 기술이 필요하며, 영역보안 기술은 외부와의 협력이 자주 발생하는 업무 등에서 적합하게 사용될 수 있을 것”이라고 말했다.
한편 소프트캠프는 문서에 포함된 악성파일을 제거하는 파일 무해화 기술(CDR)이 최근 APT 방어를 위해 각광받고 있다고 소개했다. 현재 일본 지자체 망분리 사업에 다수 적용된 CDR 기술은 외부에서 유입되는 문서에서 안전한 텍스트, 이미지 등을 골라내 재조합하는 방식으로, 숨어있는 악성 스크립트를 제거하고 안전한 요소만을 기업 내부로 유입시킨다.
CDR은 다양한 문서에 대한 이해도가 높아야 하며, 새로운 문서와 버전이 출시될 때 마다 이에 맞춰 수정을 해야 한다. 그러나 엔드포인트에서 직접 제어하는 방식이 아니며, 대부분의 문서는 표준 포맷을 따르고 있기 때문에 DRM처럼 매번 공수가 많이 들어가는 것은 아니라고 설명한다.
소프트캠프의 ‘실덱스 에이디’는 문서구조 분석방식을 기반으로 한 CDR 기술을 적용한 솔루션으로, 일본 총무성에서 규정한 지침을 준수하는 무해화 솔루션으로 2015년 실덱스를 선보이며, 지자체 환경에 필요한 기능을 개발해 공급하고 있다.
