RESOURCE | 정보보안 |  개인정보보호

[tek_sectiontitle st_title=”개인정보보호” st_title_tag=”h1″ st_subtitle_decoration=”” st_separator_enable=”separator_off” st_text_align=”text-center” st_width=”st_fullwidth”]

지식정보사회 고도화의 일종의 부작용인 개인정보 유출사고는 끊임없이 일어납니다. 이러한 사고의 원인은 대부분 기술적 그리고 관리적 보호 조치가 미흡하기 때문입니다. 이에 따라 정보통신망법과 개인정보보호법 등 관련 규제도 점차 현실적으로 구체화 되고 있습니다. 개인정보를 취급하는 사업자 및 개인은 안전한 관리를 위해 물리적 기술적 관리적 조치를 취할 의무가 있습니다.

하지만 개인정보 보호를 위해 어떤 조치를 취해야 하는지 파악하기란 쉬운 일이 아닙니다. 이에 개인정보의 흐름에 따라 최신 기술 동향을 살펴 봄으로써 효과적 방법론을 모색해 보겠습니다.

[tek_sectiontitle st_title=”1. 개인정보 보호” st_title_tag=”h5″ st_subtitle_decoration=”” st_title_color=”#006fff” st_separator_enable=”separator_off” st_text_align=”text-left” st_width=”st_fullwidth”]

개인정보는 1)수집, 2)저장, 3)사용, 4)파기 순서의 수명 주기를 갖습니다.

수집 : 익명화
저장 : 방화벽, 침입 방지 및 접근 통제
이용 : 가상사설망 VPN, 디지털 권한 관리 DRM
파기 : 디지털 디가우저

익명화 기술은 서비스 이용자와 제공자 사이에서 중개 역할을 함으로써 이용자의 익명성을 보장합니다.
인터넷 프로토콜 IP 주소 등 개인정보를 은닉하고 쿠키 저장을 차단하는 등의 기능을 수행합니다.

방화벽은 다양한 형태의 해킹 및 유해 트래픽을 실시간 감시하고 차단하는 기술이고, 침입방지 IPS는 네트워크 내 비정상적 트래픽을 탐지하고 중단하는 기술입니다.

접근 통제란 각종 자원에 대해 허가되지 않은 접근을 차단합니다. 허가되지 않은 접근이란 불법적 사용 및 노출, 수정과 파괴 등 비정상적 행위를 포함합니다.

VPN은 인터넷 등 공중망을 사용해 둘 이상의 네트워크를 안전하게 연결하기 위한 가상의 사설망으로서, 누구에게나 개방되어 있는 공중망 상에 가상적으로 구축되는 논리적 전용망입니다.

DRM은 각종 디지털 컨텐츠의 안전한 배포와 불법 복제 방지를 위한 기술입니다. 디지털 디가우저는 용도 폐기된 디지털 정보를 자기장을 통해 영구히 그리고 완전히 파기합니다.

개인정보보호법이 명시한 개인정보 안정성 확보조치 기준에 따른 기술은 아래와 같습니다.

4조 접근권한의 관리 : 물리적 접근 방지
5조 비밀번호 관리 : 가상사설망 VPN, 데이터 유출 방지 DLP
6조 접근통제 시스템 설치 및 운영 : DB 암호화, 엔드포인트 DLP, DRM
8조 접속기록 보관 및 위변조 방지 : 접근통제, 위변조 방지 스토리지
9조 보안 프로그램 설치 및 운영 : 백신, 패치 관리 SW
10조 물리적 접근 방지 : 지문 등 바이오 인증, 보안 USB

대량의 개인정보 유출사고가 지속됨에 따라 정부는 보다 높은 수준의 보안 조치를 위해, 3개월간 저장개인정보가 일일평균 100만건 이상이거나 전년도 매출액 100억원 이상인 경우에 대해, 정보통신서비스 개인정보 취급자의 컴퓨터에 대한 인터넷망과 업무망의 분리를 의무화하였습니다.

 

[tek_sectiontitle st_title=”2. 주요 기술” st_title_tag=”h5″ st_subtitle_decoration=”” st_title_color=”#006fff” st_separator_enable=”separator_off” st_text_align=”text-left” st_width=”st_fullwidth”]

다양한 개인정보 보호 기술 중 가장 중요한 주요 기술은,

DB 접근을 통제함으로써 유출을 막는 DB 접근제어와, 정보 유출시 내용 노출을 막는 데이터 암호화입니다.

DB 접근제어는 DB에 저장된 개인정보에 접속을 시도하는 사용자를 인가 여부로 구분하여 접근을 통제합니다.
인가된 사용자 및 응용 프로그램 등에 대해 2중으로 접근 권한 여부를 구분해야 합니다.

보안 담당자는 최선을 다해 정보 유출을 막기 위해 노력하지만, 일단 유출 사고가 벌어졌다고 가정하면 데이터 내용 노출을 막을 방법은 암호화뿐입니다.
이렇듯 가장 원천적인 방법이라는 점에서 데이터 암호화는 가장 중요한 정보 보호 기술입니다.

DB 암호화는 DB 서버에서 운영하는 DB의 개인정보를 암호화합니다.
비인가자가 DB 접근제어 시스템을 통과해 정보를 빼내더라도 그 정보는 사용할 수 없으니 무용지물입니다.
개인정보 유출 시에도 해독이 불가능하게 함으로써 정보의 기밀성을 원천적으로 유지하는 근본적 대비책입니다.

DB 암호화를 구현하기 위해서는,
권한 분리, 사용자 인증 및 식별, 암호화, 암호 통신, 인덱스 암호화, 보안감사, 보안관리 등의 기술이 필요하고, 결정적으로 키 관리가 시스템 전 영역에서 빈틈없이 확보되어야 합니다.