지난 2005년경부터 국내에 선을 보인 DB보안은 그간 성능 저하 등을 우려로 전사적인 대규모 도입이 이어지지는 못했지만 꾸준히 고객단에 적용되며 변화, 발전하고 있다.
특히 올초 발생한 옥션 개인정보유출 사고 등과 같은 대형 보안 사고는 DB보안이 적용돼 있었다면 막을 수 있는 인재로 DB보안 솔루션의 필요성을 더욱 절실히 느끼게 한다.
그러나 아직도 DB보안 솔루션이 과연 우리 시스템에서 어떤 식으로 구현될 수 있는지, DB보안을 구현하면 어떤 효과를 얻을 수 있는지 의문을 가진 고객들이 더 많을 것이다.
여기서는 DB보안의 주요 실제 운영사례를 중심으로 DB보안이 어떤 식으로 구현될 수 있으며 어떤 장점을 줄 수 있는지 알아본다.
펜타시큐리티 ‘A대학’․‘B공공기관’
완벽한 보안에 빠른 응답속도까지 ‘문제없다’
A대학교는 수만명의 학생들의 성적 등 각종 학사행정 자료가 포함돼있는 통합행정 DB시스템을 안전하게 보안하기 위해 펜타시큐리티의 DB보안 솔루션 ‘디아모’를 도입했다.
약 20여개 업무 시스템이 사용하는 통합 행정 DB 시스템에 디아모를 도입한 후 A대학교는 해킹 등으로 인한 정보유출과 변조에 대해 확실한 방지 대책을 마련했다며 만족하고 있다.
A대학교의 시스템 사양은 오라클 8.1.7, AIX 4.3.3, 8CPU였으며 암호화 대상 컬럼은 학생 성적정보와 교직원 비밀번호 등 약 12개의 컬럼이었다. 최대 로우(ROW) 건수는 약 13,300,000건으로 적지 않은 트랜잭션이었음에도 동시 수강 신청 기간 등의 웹 시스템 과부하 시간에도 DB 가용성 보장과 빠른 응답속도를 보장했다.
이에 따라 A대학교는 도서관 업무 등에도 디아모를 추가도입, 활용하고 있다.
또 다른 사례인 B 공공기관의 경우 대국민 포털시스템의 개인 신상정보 보호를 위해 설계 구축 단계부터 펜타시큐리티의 DB보안 솔루션 ‘디아모’를 선정, DB암호화를 고려한 설계를 진행했다.
B 공공기관의 대국민 포털 시스템은 최대 로우 건수 약 7,000,000건이었으며 주민번호, 비밀번호, 핸드폰과 일반전화, 이메일 등의 연락처 등 55개 컬럼에 대한 암호화를 진행했다. B 공공기관의 시스템 사양은 오라클 9i였는데 컬럼수와 관계없이 DB시스템 부하 및 응답시간 모두 만족했으며 대량 데이터, 다량의 암호화 커럼에도 응답시간에 문제가 없어 매우 만족하게 사용하고 있다.
웨어밸리 ‘대한생명’
DB보안 도입으로 보안성, 운영성 모두 ‘만족’
많은 기업들과 같이 대한생명 역시 사내에 산재해 있는 수많은 데이타베이스를 어떻게 통합적으로 보호하고 효율적으로 운영할 것인가에 대하여 고민했다.
대한생명의 보안 담당자와 DBA는 데이타베이스 보안과 운영 측면에서 DB별로 보안절차가 표준화 되어있지 않고 이기종 DB에 대한 클라이언트별 계정 및 권한 조치가 복잡하고 미비하다, 자원 운영의 최적화와 효율성을 높이기 위하여 운영관리 측면에서의 성능관리가 필요하다 등의 문제점을 인식했다.
이에 대해 대한생명 관리자들은 전사적 DB에 대한 접근 통제와 사후 기록을 통한 보안강화, 보안·성능관점의 다양한 DB 운영 분석 보고서를 통하여 적극적인 보안 대응과 운영 효율성 강화 등의 관점에서 DB보안 솔루션이 필요하다고 판단, 웨어밸리의 ‘샤크라’를 도입하게 됐다.
대한생명은 ISO ISO27001 인증과 함께, 내부자의 건전한 정보이용 체계 확립과 데이터베이스 운영 관리 효율성 향상을 위한 DB 보안시스템 구축 프로젝트를 수행했다.
대한생명이 DB보안 프로젝트 구축에 있어서 가장 중요점을 둔 사안은 기존 업무의 변경이나 시스템의 성능 저하 없이 ▲데이타베이스의 모든 접근에 대한 감시, ▲데이타베이스접근 Tool의 표준화를 통한 접근 절차 확립, ▲데이타베이스 운영 중 발생할 수 있는 보안.성능적 문제 원인을 조기에 발견 ,조치 할 수 있는 시스템을 구축하는 것이었다.
프로젝트 결과 대한생명은 웨어밸리의 트러스티드오렌지와 샤크라를 통한 전사적 표준 툴 적용 및 사전사후 감시체계 구축으로 보안적인 측면과 운영적인 측면의 만족을 얻게 됐다.
보안정책 관리, 분석 및 보고서 작성, DB 접근 내역의 실시간 통계 정보를 통한 다양한 로그 분석, 철저한 로깅으로 문제 발생시 추적. 감사 가능 등의 보안적 측면의 강화와 통합인증 및 DB 접근절차 일원화, 비인가 툴 및 사용자의 데이타베이스접근에 대한 철저한 통제 및 경보 발생 등의 운영적인 이점을 얻게 돼 상당히 만족스럽게 운영하고 있다.
전자신문인터넷 장윤정 기자linda@etnews.co.kr