[테마특강] 기업정보 보안시스템 구축 방향

최병원

<>고려대학교 수학교육과 졸업

<>대우그룹 DB Administrator

<>대우그룹 인터네트 담당부서장 겸 보안대책위원

인터네트가 최근 기업으로까지 확산되면서 폐쇄적인 기업의 네트워크망이공개망인 TCP/IP망으로 전환, 기업내 전 컴퓨터시스템이 국내는 물론 해외에도완전 개방됐다. 이에 따라 국내 기업들의 서버시스템에 해커들이 침입, 정보를 유출하거나 파괴하는 일이 자주 발생하면서 인터네트에 방화벽(Firewall)을 설치하거나 시큐리티 소프트웨어를 설치하는 작업을 서두르고 있다.

컴퓨터시스템 환경이 클라이언트 서버 환경으로 바뀌어 요즘의 컴퓨터시스템은 과거의 호스트 장비와 달리 특별한 전기시설이나 냉방시설 없이 상온에서어디나 설치가 가능하게 됐다. 별도로 컴퓨터 룸을 마련하지 않고도 아무데나 사용자와 가까운 곳에 설치할 수 있게 된 것이다. 바로 여기에 정보보안의 취약 포인트가 있다. 현재 기업들은 대부분 통신회선을 통해 정보를 탈취당하는 문제에만 신경을 곤두세우고 있다. 반면 약간의 고민과 준비만 있으면 대처방안을 낼 수 있는 물리적인 보안대책에는 소홀한 느낌이다. 정보보안은 단 한군데라도 허술한 구멍이 있으면 어떠한 투자를 해도 소용이 없어기업 전체적으로 막대한 피해를 보게 된다.

기업의 컴퓨터보안시스템은 보안의 강도를 높일수록 비용이 기하급수적으로늘어나게 되어 있다. 따라서 기업은 가장 효율이 좋은 보안관리를 구성하는것이 현명하다. 기업의 정보보안정책은 컴퓨터시스템의 보안을 완벽하게하기보다는 적정한 수준에서 해킹대책을 포함한 기업 보안체계로 입안해야한다.

일반적으로 보안체계 소프트웨어나 방화벽 솔루션을 판매하는 업자들은 자신들의 소프트웨어를 구입하면 완벽한 보안을 이룰 수 있는 것처럼 현혹하지만절대보안이란 존재할 수 없다. 때문에 보안체계가 무너질 것에 대비해 이벤트 로깅과 모니터링 기능을 갖추었는지, 복구에 대비해 백업과 그 복구기능이 있는지를 확인하는 것이 바람직하다. 보안시스템 구축시 특히 주목해야할 문제들은 다음과 같다.

첫째, 보안체계를 갖춘 시스템이라도 이용자가 사용하기 쉬워야 한다.

보안관리는 외부로부터 침입을 막아 보호하는 기능이 있지만 역으로 내부사용자를 불편하게 만들기도 한다. 그중에 가장 심각한 문제가 시스템에 접근할 때마다 인증서가 필요하다는 점이다. 기업 정보시스템의 다운사이징으로여러 유형의 시스템에 정보가 산재되어 각각 시스템별로 보안관리를 위해사용자의 비밀번호를 등록해 사용하게 된다. 사용자가 시스템을 이용할 때마다시스템의 Sign On 화면을 통해 사용자 ID와 비밀번호를 확인해야 한다면너무 불편해서 업무 효율이 떨어지는 역효과가 나게 된다. 그래서 기업 인트라네트워크 안에서는 한번 Sign On한 내용이 네트워크 전체에 인증되어 모든시스템을 사용할 수 있도록 사용자의 편의를 고려해야 한다. 실제로 많은 제품들이 상용화되어 각 플랫폼별로 각기 적합한 시큐리티시스템을 사용하더라도 사용자는 하나의 시스템인 것처럼 사용하게 해주는 단일 Sing On기능이지원되고 있다.

둘째, 보안은 관리가 중요하다

기업이 보유한 시스템은 여러가지이기 때문에 보안관리시스템을 이해하고사용하는 것이 결코 쉽지 않다. 그런만큼 보안관리는 반드시 중앙집중관리가되는 것이 바람직하다.

예방이 우선인 것이 보안의 목표다. 기업의 이윤추구 생리상 돈이 천문학적으로 드는 절대보안을 구현할 수는 없다. 항상 침입이 있을 수 있다고 생각해 관리방안을 마련해야 한다. 실시간으로 부정침입자나 자료의 부정사용자를 감시, 색출하는 자동화된 대처방법을 마련해야 한다. 물론 실시간으로감시하는 모든 행적에 대해 흔적을 남기도록 대처방안을 마련해 사후에라도범법행위를 추적, 색출해낼 수 있도록 해야 한다. 그리고 보안은 인증된 사용자의 보안의식이 없으면 보안체계가 쉽게 무너지게 되어 있으므로 계속적인내부 사용자 교육에 힘써야 한다.

셋째, 데이터 암호화를 통한 통신보안이 필요하다.

"스니커즈"라는 미국 영화를 보면 국가 정보망의 통신망에 회선을 연결해통신 데이터 분석장비와 사설 컴퓨터를 이용해 국가전산망의 암호키를 찾아나라의 비밀을 탈취, 범죄에 이용하는 것을 볼 수 있다. 통신회선이나 전파는완전히 대중앞에 공개되어 있는 것이므로 보안에 가장 취약지역이라 할 수있다. 지금 인터네트에서 전자결제가 본격 도입되지 못하는 이유도 사실 이러한 통신보안 문제 때문이라 해도 과언이 아니다. 그래서 데이터 암호화 방법이 많이 나오고 있으며 여러나라가 그 표준을 정하고자 노력하고 있다. 현재까지 미국 상무성 표준국이 채택한 DES(Data Encryption Standard)방식과공개키 방식의 RSA(MIT대학의 Rivest.Shamir.Adleman이 제창)방식이 보편적으로 사용되고 있다.

2020년대를 배경으로 한 또 다른 미국 영화에선 텔레비전 장면이나 사진등이미지를 데이터 암호화의 키로 사용하는 것을 보여준 바 있다. 현재 복잡하다는 1백28비트 키도 컴퓨터의 발달에 따라 순식간에 깨질 것이고 더욱 복잡한 영상이미지 같은 메가급 키가 동원될 것이라 예상된다.

넷째, 방화벽을 이용한 통신보안이 절실하다.

방화벽은 인트라네트를 구성하는데 필수적이면서도 가장 기초적인 인터네트(TCP/IP망) 보안체계다. 일부 사람들은 방화벽으로 모든 보안대책을 세운것으로 생각하는 경우가 있는데 이는 잘못된 생각이다. 방화벽은 단순히 기업의 인트라네트워크와 외부 인터네트와의 연결지점에서 기업 정보의 성곽과대문 역할을 하는 정보다. 이처럼 성능이 단순하기 때문에 방화벽을 통과한경우에 대비한 대책을 따로 마련해야 한다. 그러나 대부분의 기업에서 방화벽 설치만으로 그치는 경우가 많은데 이는 매우 위험한 것으로 방화벽 자체가 바이러스에 감염되기도 하고 그 자체가 해킹의 대상이 되는 경우도 많아절대 안전하다고 안심해서는 안된다.

아무리 좋은 보안 소프트웨어나 방화벽을 가지고 보안시스템을 구축하더라도기업 전사적인 보안정책이 없거나 설사 있더라도 사용자들이 함께 지키려노력하지 않는다면 소용이 없다. 아무리 어려운 암호키 시스템이나 IC카드시스템도 보안장치가 되지 못한다.

아주 비싼 소프트웨어로 보안관리를 철저히 하는 어느 회사에 도둑이 들어중요한 데이터 서버의 데이터 저장장치를 모두 떼어 달아난 사건이 있었다.

이런 경우의 보안은 시스템 사용부서의 부분적 시스템 보안대책만 신경쓰느라 전사적으로 물리적.논리적 보안대책을 마련하지 못한 상태에서 발생한좋은 예다. 몇천만원, 몇억원을 들여 통신보안 문제까지 해결했으나 경비원의경비 소홀이나 경비가 없는 뒷문을 통한 침입으로 인해 기업의 소중한 정보를 잃게 되는 허망한 경우가 허다하게 일어나고 있다. 그래서 그 모든 것에우선하여 전사적인 보안정책을 수립해야 하는 것이다.

전사적인 보안정책을 수립할 때 반드시 다음과 같은 사항을 고려해야 한다.

첫째, 보안의 목적이 분명해야 한다. 보안을 하되 필요없는 데이터나 자원보안을 위해 막대한 자금을 투자하는 것은 어리석은 일이다. 불법 정보유출을막는 것이 보안하는 목적의 하나가 되어야지 전부가 되어서는 안된다. 적정한 사람이 허용된 정보를 쉽고 정확하게 원하는 시간에 접근할 수 있도록하여 기업의 이익을 꾀하는데 관리의 목적을 두어야 한다.

둘째, 위협요소의 정의와 그에 따른 대책마련이다. 대부분의 기업이 방화벽이나 보안 소프트웨어로 보안관리하기 위해 집착하기 때문에 여러 유형의사고를 당하게 된다. 컴퓨터 네트워크의 구간별 위협요소를 예상해 보면 최초단말장치의 불법적 사용 등을 방지하기 위한 대책을 심각히 고려해야 한다.

실제로 지금까지 컴퓨터 범죄의 80%가 내부자 소행이라는 점이 이를 말해준다. 통신회선으로부터의 침입 등은 이미 잘 알려져 있어 대책을 준비할 수있지만 내.외부 소행자들의 부정데이터입력 등은 밝히기도 어려워 사전에 보안책 마련방법을 강구해야 한다. 또한 사후에 행적을 밝힐 수 있게 추적할수 있는 대책도 마련해야 한다. 분산 클라이언트 서버 환경에서는 중요한 위협요소로 물리적인 도난.파괴 등을 정확히 정의하고 대책을 마련해야 한다.

셋째, 모든 컴퓨터시스템 자원은 기본적으로 제한한다는 사용제한의 원칙과최소 권한의 법칙을 근간으로 보안구조를 구성해야 한다. 그리고 최소 노출의 원리가 있어야 한다. 물리적으로 단말장치나 클라이언트, 통신회선, 서버, 보조 기억장치들의 허용된 접근의 원칙, 그리고 시스템 내부의 프로그램,데이터 등의 허용된 접근의 원칙을 세우는 것이 필요하다.

마지막으로 앞서 검토한 정책을 수행하기 위한 기능의 정의와 그에 맞는보안관리 소프트웨어나 하드웨어 등의 선정기준 마련이 필요하다.