현대캐피탈.농협 해킹을 막을 수 있는 기술은…

실시간
뉴스

딜라이트닷넷

현대캐피탈.농협 해킹을 막을 수 있는 기술은…

디지털데일리 발행일 2011-05-03 09:40:58

심재석 기자

URL복사

[IT전문 미디어블로그 = 딜라이트닷넷]

최근 금융권에서 잇따라 보안사고가 터지고 있습니다. 현대캐피탈의 고객정보 유출사건, 농협의 고객 데이터 삭제 사건 등이 대표적입니다. 보안위협은 IT기술 발전의 최대 걸림돌입니다. 많은 정보가 전산화될수록, 정보네트워크가 활성화될수록 보안위협은 커지고 있습니다.

하지만 보안위협이 무서워서 IT기술을 이용하지 않을 수는 없습니다. 그야말로 구더기 무서워 장 못 담그는 격이지요. 그렇다면 이를 막을 기술은 뭐가 있을까요. 이번 포스팅에서는 현대캐피탈이나 농협이 도입했으면 좋았을 데이터 보호 기술들을 살펴보겠습니다.

◆데이터 암호화 = 현대캐피탈 해킹 사고의 피해를 가장 손쉽게 막을 수 있는 기술은 DB 암호화입니다. DB 암호화는 중요 정보를 암호화해 저장하는 기술로, 설사 해커가 정보를 빼냈다고 하더라도 이를 열어볼 수 없도록 합니다. 때문에 암호화는 DB보안의 기본사항으로 인식되고 있습니다.

하지만 DB암호화가 국내에서 활성화된 것은 아닙니다. 상당수의 금융기관이 DB암호화를 꺼려하고 있다고 합니다.

DB 암호화가 인기가 없는 이유는 두 가지입니다. 암호화 솔루션을 도입할 경우 서비스 성능 저하를 가져오고, 기존 응용프로그램과의 호환성 문제를 일으킬 수 있기 때문입니다. 암호화 솔루션을 도입하려고 했더니 속도는 엄청 느려지고, 기존 애플리케이션을 다시 개발해야 하는 상황이 벌어지는 것입니다.

현대캐피탈도 지난 2009년 암호화 솔루션 도입을 고려했었다고 합니다. 그러나 속도 및 비용문제로 실행으로 옮기지는 않았습니다.

이 때문에 DB암호화를 하면서 성능을 유지하고, 애플리케이션 재개발을 방지할 수 있는 기술연구가 시급합니다. 아무리 복잡한 알고리즘으로 암호화를 한다고 해도 서비스 성능에 문제를 일으킨다면 활성화되기 어렵기 때문입니다.

솔루션 업체들은 이에 대한 몇 가지 대안을 제시하고 있습니다. 오라클을 비롯해 수많은 DB보안 업체들이 자신만의 해법을 제시하고 있습니다.

◆ 접근·권한 제어 = 농협의 데이터 삭제 사건은 아직 정확한 원인이 규명되지 않았지만, 슈퍼 관리자 권한에서 비롯됐다는 것이 정설입니다. 내부자 소행이든, 북한의 해킹이든 데이터를 삭제하려면 슈퍼관리자 권한을 획득해야 가능하기 때문입니다.

역사에 대한 가정은 불필요한 것이라지만, 만약 농협 시스템에 슈퍼관리자라는 권한 자체가 없었다면 고객데이터삭제 사고는 막을 수 있었을 지도 모릅니다.

슈퍼 관리자 권한을 보유하면 어떤 데이터이든 열람하고, 삭제하거나 생성할 수 있습니다. 보통 기업 전산실에서는 DB관리자들이 이 같은 슈퍼 관리자 권한을 보유하고 있습니다.

그러나 과연 DB관리자들이 이처럼 무한한 권한을 가질 필요가 있는 지는 의문입니다. DB관리자의 역할은 데이터를 백업하는 것입니다. 이들은 업무상으로 데이터를 생성, 삭제, 열람할 필요는 없습니다. 이처럼 DB관리자조차 DB내의 다른 스키마의 데이터를 볼 수 없게 제어할 필요가 있습니다.

이를 위해 접근·권한 제어 기술이 도입돼야 합니다. 각자 필요한 업무에서만 권한을 가져야 합니다. 필요이상의 권한을 갖게 되면 내부자 정보유출 등의 사고가 발생할 수 있습니다. 예를 들어 고객의 데이터를 보는 일은 콜센터 직원만 합니다. 콜센터 직원들은 고객과 상담하기 위해 고객 정보를 보거나 수정하는 것이 불가피하지만, DB관리자까지 고객데이터를 볼 이유는 없습니다.

◆DB 감사 = 현대캐피탈은 해킹 사건이 벌어지고 두 달 동안 해킹 사실조차 모르고 있었습니다. 현대 캐피탈은 수억 원을 요구한 협박 메일을 받고서야 해킹 사실을 알았습니다. 범인들이 협박 메일을 보내지 않았다면 끝까지 몰랐을 수도 있습니다.

이는 현대 캐피탈에 DB감사 시스템이 없거나 있더라도 제대로 운영되지 않았음을 말합니다. DB감사는 의심스러운 DB 작업을 선택해 관찰하고, DB 액션을 모니터하며, DB 작업에 대한 자료를 기록하는 작업입니다.

만약 현대 캐피탈이 DB에서 벌어지는 의심스러운 정황을 미리 포착했다면, 피해고객이 42만 명까지는 되지 않았을 수도 있습니다.

물론 위 세 가지 기술을 모두 도입한다해도 완벽한 DB보안이 되는 것은 아닙니다. 이 세상에 완벽한 보안은 없으니까요.

하지만 자물쇠 하나로만 문을 잠그는 것보다는 두 개, 세 개 잠그는 것이 상대적으로는 더 안전하다는 사실은 분명할 것입니다.

[심재석기자 블로그=소프트웨어&이노베이션]