개인정보보호 관련 법률에 의한 비정형 데이터 암호화 권고 기한이 반기 앞으로 다가왔다. 비정형 데이터는 특별한 형식이나 규격이 정해지지 않은 데이터다. 각종 이미지와 음성 녹음 파일, 영상, 로그 데이터 등을 포함한다.

문제는 비정형 데이터가 정형데이터와 마찬가지로 민감한 개인정보를 담고 있지만, 이에 대한 확실한 암호화 대책이 강구되지 않고 있다는 점이다. 단순히 법을 준수하기 위한 것이 아니라 미래를 내다보고 기존 암호화 방식보다 더 업그레이드 된, 고차원의 정보보호 방식의 도입을 고려해야 한다.

지난 2016년 개인정보보호법 시행령 개정안에 따라 전자적 방법으로 보관하는 주민등록번호는 의무적으로 암호화해야 한다. 개정 개인정보보호법 시행령에서는 모든 기관/기업을 대상으로, 100만명 미만의 주민등록번호를 보유하고 있는 경우 2017년 1월 1일까지, 100만명 이상을 보유하고 있는 경우 2018년 1월 1일까지 해당 비정형 데이터에 대해 암호화 적용을 완료할 것을 명시했다. 이에 따라 금융권을 중심으로 해당하는 모든 기관 및 기업은 법률 준수를 위해 분주하게 움직이고 있다.

정형 데이터 암호화 방식
비정형 데이터 암호화 방식은 ▲커널 방식 ▲에이전트 방식 ▲API 방식 세 가지가 있다. 각 방식이 보유한 특장점은 다음과 같다.

:: 커널(Kernel) 방식
커널 방식은 OS의 커널 단계에 암호화 모듈이 탑재돼 파일 및 폴더를 자동으로 암·복호화 하는 것을 말한다. 즉 커널의 파일시스템, 볼륨, 디스크 레벨에서 쉽게 암·복호화를 수행하는 방식이다. 고객사에서 기존에 운영하고 있는 별도 애플리케이션의 소스를 수정하지 않고도 적용 가능하기 때문에 구축 기간이 비교적 짧고, 유지보수를 위한 특정 인력이 불필요하다는 장점이 있다.

비정형 데이터 암호화 솔루션에 대한 필요성이 대두되던 시장 초기에 수요가 많았으며, 다수의 구축 사례를 찾아볼 수 있다. 하지만 OS 제조사의 모든 버전을 지원하는데 한계가 있고 커널 업데이트로 인한 문제 발생의 소지가 있으며, 상대적으로 보안 정책 관리가 제한적이라는 단점이 있다.

:: 에이전트(Agent) 방식
에이전트 방식은 애플리케이션 서버 내 에이전트를 설치해 OS 레이어에서 파일 자동 암·복호화를 지원하는 방식이다. 기존 애플리케이션의 소스 수정이 필요하지 않거나, 혹은 수정을 최소화해 구축이 용이하고 암호화 적용도 수월하다는 장점이 있다. 또한 OS 업그레이드에 영향을 받지 않는다는 점이 커널 방식과 다르다. 상대적으로 관리자 측면에서의 운영이 용이하지만 에이전트가 상시 서비스가 가능해야 한다는 점에서 서비스 안정성이 보장돼야 한다.

:: API 방식
API 방식은 애플리케이션 서버에 API 모듈을 설치한 후 애플리케이션 상에서 암·복호화를 수행하는 방식이다. 사용 중인 기존 애플리케이션의 소스 수정을 통해 저장 시에는 암호화, 열람 시에는 복호화 하는 연동 방식으로 개발한다. API 방식을 적용 시에는 기존 애플리케이션 개발사 또는 유지보수 업체와 암호화 프로젝트의 협업이 필요하므로 커널 방식에 비해 구축에 소요되는 시간이 길다. 하지만 애플리케이션과 통합된 보안 정책을 제공하고, 파일 단위의 세부적인 정책 관리가 가능해 고객 맞춤형 개발이라는 장점이 있다. 자체 소프트웨어 개발 인력을 보유한 대형 금융기업들이 선호하는 편이다.

하이브리드 방식으로 안정성·운영 효율성 확보
암호화 방식에는 각각의 장단점이 있지만, 단일 방식 암호화를 적용할 경우 리소스의 추가 증설이나 그 적용에 따른 리스크가 발생할 수 있다. 또한 고객의 다양한 시스템 환경에 단일 방식만을 적용하기에는 프로젝트 운영의 한계가 있을 수밖에 없다. 따라서 프로젝트의 안정성을 우선 확보하기 위해 필자는 하이브리드 방식을 추천한다.

하이브리드 방식은 하나 이상의 암호화 방식을 모두 지원하는 형태를 말한다. 고객사의 다양한 업무 시스템 환경에 맞는 적합한 암호화 기술을 혼용해 제공하는 것이다. 시스템 리소스와 암호화의 시급성에 따라서 다양한 암호화 방식을 적용할 수 있기 때문에 무엇보다도 시스템의 부하를 최소화해 성능이 보장된다.

API 방식과 에이전트 방식을 지원하는 한컴시큐어의 하이브리드 방식은 고객사의 업무 시스템 분석을 통해 파일단위 세분화 암호화를 지원하는 API 방식이 기본 제공되고, 패키지 솔루션과 같이 소스 변경이 용이하지 않은 환경에서는 OS 레이어 자동암호화를 지원하는 에이전트 방식을 제공한다. 고객사의 시스템 환경에 따라 유연한 암호화 방식을 적용해 다양한 고객의 수요를 모두 충족시킬 수 있다는 점이 최대 장점이다.

API 방식의 경우 IP 주소, MAC 주소, 프로세스 명을 통해 암·복호화 접근에 대한 권한 제어를 수행해 보안성을 향상시킨다. 또한 API를 이용한 다양한 데몬 및 스케줄러를 통해 기존 애플리케이션과의 연동뿐만 아니라 스토리지 내 파일에 대해 다양한 방식으로의 암호화 적용이 가능해 매우 효율적이다.

또한 스토리지 내 단일 데이터(Data in Rest)가 아닌 파일 자체를 이동시켜도(Data in Motion) 암·복호화 이력 추적이 가능한 유연한 적용 구조를 가지고 있다. 암호화 정책과 복호화 정책을 분리해 관리함으로써 사용자의 관리 편의성도 제공한다.

한컴시큐어의 비정형 데이터 암호화 솔루션인 ‘제큐어파일크립토(XecureFileCrypto)’의 경우, 데이터 암호화 시 원본 파일의 해시 값을 저장하고 파일 추적 기능을 적용하기 때문에 원본 파일, 암호화된 파일과 복호화된 파일 사이의 무결성까지 확인할 수 있다. 직관성과 가독성이 뛰어난 특화된 UI를 제공함으로써 손쉬운 정책 관리도 가능하다.

암호화-암호화 키 관리 솔루션 연동
개인정보 데이터 암호화 이슈가 제기되면서 암호화 키 관리 솔루션(KMS) 시장도 함께 확대됐다. 중요하고 민감한 데이터를 아무리 강력하게 암호화한다 하더라도 암호화 키가 외부에 유출되면 암호화는 무용지물이 되고 만다. 데이터 암호화와 암호화 키 관리 역시 데이터 보호의 핵심이자 필수 요소임을 직시해야 하는 이유이기도 하다.

최근 국내를 타깃으로 하는 국제 대형 사이버공격이 나날이 진화하고 빈도도 잦아졌다. 대규모 피해를 입은 업체들이 공개되고 있다. 데이터 보안이 중요하다는 것은 잘 알지만 상황에 의해 대응 여력이 부족하다거나 상대적으로 소홀하게 받아들인 결과이다. 암호화와 암호화 키 관리가 포함된 데이터 보안이 시급하다.

KMS가 고시된 법적 근거를 살펴보면 개인정보보호법 하위 고시인 개인정보의 안전성 확보조치 기준과 전자금융감독규정, ISMS 인증기준 등 개인정보 보호와 관련된 대부분의 법안에서 암호화 키 관리 절차를 수립해 시행할 것을 규정하고 있다.

10만명 이상의 정보주체에 관한 개인정보를 보유한 대기업, 중견기업 및 공공기관과, 100만명 이상의 정보를 보유한 중소기업 및 단체는 KMS를 필수적으로 도입해야 한다고 명시돼 있다. 이렇듯 컴플라이언스가 지속적으로 강화되면서 여러 금융권 및 공공기관은 새로 발주하는 데이터 보안 시스템 또는 차세대 시스템 도입에 KMS를 기본 영역으로 포함하고 있다.

KMS 도입 시 가장 중요한 것은 국제 표준을 준용했는가 여부다. IT 분야의 여러 국제 표준화 기구 중 국제 개방형 기술 표준화 단체인 OASIS는 보안, 사물인터넷, 클라우드 컴퓨팅 등 다양한 IT 산업분야의 세계 표준을 제정한다. OASIS에서 활동 중인 기술의회는 총 68개로, 이중 국제 키 관리 상호 운용 표준(KMIP) 기술의회에는 한컴시큐어가 회원사로 활동하고 있다.

KMIP는 다양한 애플리케이션 암호 시스템이 하나의 프로토콜로 통신할 수 있도록 한다. 불필요한 중복과 키 관리 프로세스의 불일치를 제거해 더 나은 보안을 제공하고, 경제적 부담을 줄이는 것을 목표로 제정됐다. KMIP 기술의회는 벤더간의 상호 연동 테스트를 주기적으로 시행한다. 각각의 서버와 클라이언트 간 테스트를 진행한 후, 결과를 공유하며 끝없는 상호 피드백을 통해 기술력을 향상시켜 나간다.

또한 회원사가 제출한 표준화 안건에 대해서도 이해당사자 간 논의하고 합의점을 도출해 표준 규격에 일치되는지에 대한 시험단계를 거쳐 표준화 적용여부를 결정한다. 한컴시큐어는 2명의 보팅 멤버(Voting Member)가 투표권을 행사하고 있다. 현재 제안한 3건의 안이 모두 통과돼 KMIP v2.0에 적용키로 결정되기도 했다.

암호화 키관리, 국제 표준 준용해야
국제 표준 준용의 중요성에 대한 이해가 높아지면서 KMIP를 적용한 제품이 꾸준히 증가하고 있다. 한컴시큐어의 통합 키 관리 솔루션 ‘제큐어키매니저(XecureKeyManager)’는 KMIP를 준수한 제품으로, 국제 상호 연동 테스트에서 기술력을 검증 받은 바 있다. 현재 다양한 암호화 솔루션 사이의 호환성을 제공하고 있다. 연동하려는 제품이 KMIP를 준수하지 않는 경우에는 클라이언트 SDK를 별도로 제공해 유연한 통합 관리가 가능하다.

암호화 키가 유출되는 것을 원천적으로 차단하기 위해서는 암호화된 데이터와 암호화 키가 안전한 장소에 물리적으로 분리 저장되고 관리돼야 한다. 이를 위해 암호화 키 보안 전용 장비인 하드웨어 보안 모듈(HSM)이 쓰인다. 대부분의 보안 제품이 미국 연방정부의 정보보안 기준인 FIPS 140-2 레벨 2 또는 3의 인증을 받고자 한다. 국내에서는 국정원 암호모듈인증(KCMVP)은 필수 사항이다. 보안성을 검증 받은 증거는 안전하고 신뢰할 수 있는 제품이라는 마크로 확인할 수 있다. 보안 기업에서 자체적으로 암호 모듈을 개발해 KCMVP를 획득했다면 해당 기업과 제품의 신뢰성 또한 검증된 것이다.

제큐어키매니저는 FIPS 140-2 레벨 3, CC EAL 4+ 인증을 받아 군사 기밀 처리 등급의 강력한 보안성을 제공하는 HSM을 사용하고 있으며, KCMVP를 획득했다.

빅데이터 시대, 비정형 데이터 암호화 필수
최근 금융권을 중심으로 빅데이터 분석 플랫폼 구축 프로젝트가 확산되고 있다. 향후에는 상품 열람 이력과 콜센터 상담 내용, 심지어 SNS의 댓글까지 분석하며 고객의 행동패턴을 파악할 것이다. 핵심은 이러한 빅데이터 기반의 데이터 저장 환경이 발전할수록 비정형 데이터에 암호화가 필요한 민감한 고객정보가 포함 될 가능성도 커진다는 것이다.

지난 6월 정부는 개인정보 실태조사에 비정형 데이터를 포함시키는 방안을 마련했다. 이는 2016년 개인정보보호법 시행령 개정과 같은 맥락으로, 비정형 데이터 보안의 중요성을 감지하고 체계적으로 관리해 보안 취약성을 사전에 차단하기 위한 것이다.

비정형 데이터의 보안강화 조치는 이제 권고가 아닌 필수사항이 되고 있다. 단순히 법을 준수하고자 하는 차원에서가 아닌, 다양한 공격으로부터 고객의 중요한 정보를 확실히 지켜내 줄 수 있는 유연하고도 체계화 된 솔루션을 도입해야 한다.