감독당국, 로그관리, 접근제어 방식 암호화 오인 규정

지난 3월 금융감독당국의 ‘주민번호 암호화 조치’ 관련 금융권 혼선이 가중되고 있다.

당장 실무부서에서는 그동안 검토해 온 암호화 솔루션의 칼럼 방식 구축을 재검토하는 한편, 파일 암호화 관련 시장에 대한 관심을 높이고 있다.

다만, 지난 3월 조치로 칼럼 기반 고객실명번호 암호화 방식은 완전히 폐기되는 것이 아닌 칼럼 및 파일 암호화 방식 모두를 채택해야 할 것이라고 업계는 조언했다.

◆감독당국의 그동안 조치는 = 지난 1월 금융감독원은 전 금융사에 공문을 보내 ‘주민번호 암호화 조치현황’ 파악을 요청했다.

조사 대상은 내부망에 전자적으로 보관하고 있는 주민등록번호(2015년 12월 31일 기준) 등 암호화 조치 현황을 파악하는 내용을 골자로 했다.

그런데 비슷한 과거 설문과 달리, DBMS에 대한 질의 외에 이미지, 파일(로그, 텍스트, csv 등)까지 암호화 여부 및 계획을 밝히라고 나선 것이다.

이 설문을 근거로, 지난 3월 금융감독원은 주민등록번호 보유량을 기준으로, 100만명 미만은 올 12월 31일까지, 100만명 이상은 오는 2017년 12월 31일까지 암호화를 완료해야 한다고 밝혔다.

최근에는 주민번호 보유량 1만건 이하 기업, 이른바 중소 금융사는 기존의 보호조치를 준용할 수 있다는 입장도 내놓고 있다.

덧붙여 금감원은 ▲로그관리 솔루션에서 제공하는 접근제어 방식을 암호화 조치로 오인 ▲별도 개발한 뷰어로만 볼 수 있는 이미지, 녹취, 영상 등에 암호화 조치로 오인하는 사례가 있어 이를 시정조치할 것을 각 금융회사에 주문했다.

▲ 지난 3월 금융감독원에서 금융회사에 전달한 공문

사실상 금융감독당국이 이미지, 로그파일, 녹취, 영상, 일부 텍스트 등 금융회사가 고객실명번호를 광범위하게 운용하는 모든 지점의 암호화를 의무화하고 나선 것이다.

이후 언론에서는 ‘비정형 데이터 암호화’ 시장에 대한 기사를 쏟아냈고 관련 시장이 들썩이고 있다.

◆후선센터 등 이미지 유출 ‘치명적’ = 금융감독당국이 이같은 조치를 취한 이유는 ‘금융보안’ 이슈가 외부의 DBMS 공격에만 한정돼 있지 않다는 데서 출발한다.

한 금융사 관계자는 “최근 각종 금융보안 사고는 내부자의 정보유출이나 내부자-외부자 공모가 대부분”이라며 “은행의 거래신청서, 보험사의 가입설계서 등을 이미지로 저장해 놓고 있는 시점에서 이 자료가 내외부자에 의해 유출될 경우 문제는 보다 심각해질 수 있다”고 분위기를 전했다.

예를 들어 금융사 기준, 고객정보를 DBMS에 저장, 추출해 사용하는 것 외에 각종 서식을 스캔해 저장, 추출하는 후선센터 업무를 운용중이다.

각종 서식을 스캔해 저장해 놓는데, 이 서식에는 주민번호를 포함해 주소, 전화번호, 가족관계 등 개인의 모든 정보가 수록돼 있다.

심지어 일부 보험사의 가입설계서에는 직장, 연봉까지 기재돼 있는 경우가 허다하다.

콜센터 녹취파일, 이를 텍스트로 변환해 놓은 텍스트 파일, 로그파일 등 그 대상과 수는 무궁무진하다는 게 업계 설명이다.

금융감독당국은 이같이 개인정보가 포괄적이며 깊이 있게 저장된 자료(파일)의 유출에 대비해야 한다고 밝히고 있다.

◆비정형 데이터 암호화의 특징은 = 금융감독당국이 지적한 대로 다양한 형태의 파일 암호화는 기존 보호 방식으로 암호화를 했다고 규정하기는 어려운 점이 많다.

로그 현황파일의 경우, 통합로그 시스템내 접근제어(SIEM) 등으로 보안조치를 취하고 있다.

이 방식은 애초 접근을 차단한 것이지 접속 후 로그 파일이 저장된 DB서버에 대해 해킹을 시도하거나 정보를 유출할 경우는 다른 얘기가 된다.

이미지 파일은 엔터프라이즈 컨텐츠 매니지먼트(ECM) 등 솔루션으로 활용, 문서관리 및 PC단 DRM 처리로 보안조치를 취하고 있다.

이 방식 역시 인증 이슈, 키 관리 이슈, 성능 이슈 등 문제로 완전한 DBMS 보안 조치라고 보기 어렵다는 게 업계 중론이다.

또 각종 파일을 저장한 디스크의 ‘웜(Worm)’ 스토리지 역시 쓰기(Write)를 못하게 만들어졌지만, 궁극적인 암호화는 아니다.

녹취 파일은 콜센터 시스템(CTI) 업체가 제작한 자체 보안솔루션 운영으로 다소 암호화 성격이 짙어 보이지만, 고객상담 내용을 텍스트로 변형한 경우는 DB암호화 처리를 해야 한다.

◆칼럼, 파일 암호화 각각의 특성은 = 오라클, MS SQL, IBM DB2-UDB 등 사용 RDBMS 내 암호화는 ▲API 방식 ▲플러그인 방식 두 가지로 정리된다.

API 방식의 경우, 애플리케이션의 라이브러리에 암호화를 산입, 소스코드 변경으로 암호화하고, 플러그인은 DBMS 자체에서 칼럼을 지정해 암호화하는 방식이다.

국내에서는 약 7~8개 업체들이 이 칼럼방식 암호화를 채택, 금융권 영업에 한창이다.

비정형 데이터는 그러나 이 두 가지 방식 적용이 만만치 않다는 난제를 안는다.

즉 이미지, 로그, 녹취, 영상 등 파일은 각각의 DB를 채택하고 있기 때문에 각 파일의 특성에 따라 암호화 방식을 달리해야 한다.

문제는 여기서 출발한다.

은행 기준, 계정계 연계 DBMS로 칼럼 단위 암호화만 하면 되는 것으로 이해했지만, 이제 단위업무 서버까지 DB암호화 정책을 반영해야 하기 때문이다.

특히 비정형 DB암호화 대상 자체가 워낙 방대하고 특성도 다르며, 운영방식도 차이를 보이고, 막대한 비용이 부담이라는 게 현장의 목소리다.

칼럼단위 암호화를 기준으로 신한은행의 경우(14개 업무, AP 61대, 864 코어 기준) 주민등록번호를 대상으로 한 사업에서 약 15억 이상을 투입했다. 

파일단위 암호화는 이 주민번호 암호화 시장의 10배 이상 투자를 예고한다는 게 금융사의 추론이다.

◆금융권 대응은 = 현재 은행권 기준 30% 가량이 주민번호 대상 DB암호화 조치를 마무리 한 것으로 보인다.

신한은행이 지난 2015년 이글로벌시스템(대표 강희창)의 DB암호화 솔루션을 적용했고, 전북은행이 이니텍과 관련 조치를 마무리했다.

차세대시스템을 추진중인 우리은행, 중앙회 조합 분리 구축을 추진중인 농협 등은 내년 12월 전에 마무리한다는 계획이다.

보험사, 증권사 등 제2금융권은 상당부분 칼럼단위 암호화는 마친 것으로 보인다.

그러나 이번 비정형데이터 암호화 의무 조치로 칼럼 단위 암호화를 마친 금융사나, 그렇지 못한 금융사 모두 DB암호화 정책을 대폭 수정해야 하는 과제에 놓였다.

◆DB암호화 업계는 = 비정형 데이터 암호화 의무 조치로 기존 칼럼단위 기술 관련업체와 파일 단위 시장이 당분간 동반 성장할 것으로 예상된다.

칼럼단위 암호화 관련 업체는 신한은행을 필두로 한 이글로벌시스템, 이니텍, 케이사인, 펜타시큐리티 등 약 7~8개 회사들이 경쟁중이다.

비정형 데이터 암호화 관련 시장은 보메트릭 코리아, 케이사인, 펜타, 피앤피시큐어 등 업체들의 활약이 기대된다.

이문형 보메트릭 코리아 지사장은 “보메트릭의 ‘트랜스 페어런트 인크립션(Transparent Encryption)’은 윈도, 유닉스(HP UX, AIX, 솔라리스), 리눅스 등 모든 플랫폼을 지원하는 파일 암호화 솔루션”이라고 소개했다.

이 지사장은 이어 “이 방식은 소스코드 변경 없고 구축 기간이 짧다는 강점을 갖는다”고 덧붙였다.

‘트랜스 페어런트 인크립션’은 ▲커널에서 동작하는 암호 모듈이 파일에 대한 물리적인 데이터 입출력에 대해 암복호화 수행 ▲애플리케이션 수정없이 정형 데이터 및 비정형 데이터, 빅 데이터 보호 ▲암호화 및 키 관리, 정책 기반의 접근 통제 ▲암호 키 장비 DSM과 암호화 통신(TLS) 등 기능을 제공한다. <그림1 ‘커널 레벨의 파일 단위 암호화 솔루션’ 참조>

▲ 그림1 ‘커널 레벨의 파일 단위 암호화 솔루션’

보메트릭은 KB지주 CRM을 비롯해 하나카드, 대우증권 등 금융사와 LG유플러스, 대교, 울산대병원 등을 레퍼런스로 확보하고 있다.

코스닥 상장사 케이사인(대표 최승락)은 그동안 공공 시장에서 성과 및 자사 비정형 데이터(이미 및 파일) 암호화 솔루션 ‘시큐어 DB 엔파일(SecureDB NFile)’의 금융 영업을 강화중이다.

‘시큐어 DB 엔파일’은 하드웨어 일체형(어플라이언스)를 이용한 실시간 파일 암호화 솔루션이다. <그림2 ‘시큐어 DB 엔파일 제품 구성 및 프로세스 흐름도’ 참조>

▲ 그림2 ‘시큐어 DB 엔파일 제품 구성’

▲ 그림2 ‘시큐어 DB 엔파일 프로세스 흐름도’

이미지, 녹취, 영상, 로그 및 모든 문서파일에 대한 암호화를 지원하고, 솔루션 암호화 대상 파일에 대한 OS 유저, 프로세스에 대한 접근제어 및 감사이력 기록 기능을 내장한 통합 보안제품이다.

특히 ‘시큐어 DB 엔파일’은 암호화 전후 파일 쓰기 성능 3~5% 이내 저하, 파일 읽기 성능 저하가 거의 없다는 성능 이점을 제공한다.

김동철 케이사인 수석컨설턴트 이사는 “어플라이언스 장비를 채택한 이유는 보안사고 유형 중 키 관리에 방점을 두고, 기업 내부 사용자의 암호화 무력화 시도조차 차단하기 위한 기술적인 조치”라고 설명했다.

피앤피시큐어(대표 박천오)는 로그파일·파일시스템 실시간 암호화 솔루션 ‘DB 세이퍼 데이터 크립토(DBSAFER DataCrypto)’를 최근 발표한 바 있다.

한편 비정형 데이터를 있는 그대로 암호화하기 보다 ‘일정한 규칙’을 넣어 정형 모델로 만들어 성능 이슈 해소 및 구축기간 단축효과를 기대할 수 있다는 제안도 나오고 있다.

이상거래탐지 관련 국내 금융권 레퍼런스를 갖고 있는 ‘스플렁크’ 솔루션이 비정형 데이터 암호화 시장과 함께 주목받고 있다.

<김동기 기자>kdk@bikorea.net