GDPR 시행에도 계속되는 데이터 유출 사고, 해결책은? 보메트릭 데이터 보호 플랫폼

 GDPR 시행에도 계속되는 데이터 유출 사고, 해결책은?

 보메트릭 데이터 보호 플랫폼 

지난 2018년 3월, 페이스북에서 개인정보 유출 사건이 일어났습니다. 약 5000만 명이라는 사상 최대의 개인정보가 유출되었으며 영국 여론 조작 및 미국 대선 개입 의혹까지 제기되었습니다. 이에 페이스북 CEO 마크 저커버그는 "우리는 이용자의 정보를 보호할 책임이 있다. 만일 보호하지 못한다면 정보를 가질 자격이 없다"며, "이 사태는 신뢰를 저버린 것이다. 더 많은 노력을 하지 못한 점에 대해 죄송하게 생각한다."고 밝혔습니다.

페이스북 뿐만 아니라 구글에서도 위치정보, 카메라·마이크 접근 등 개인정보 유출 문제가 계속하여 제기 되고 있으며, 랜섬웨어, 파일리스 악성 코드 등이 다시 기승을 부리기 시작하면서 데이터에 대한 위협은 끊임 없이 계속 되고 있습니다.

이에 유럽은 지난 5월 25일부터 GDPR(개인 정보 보호 관리법 General Data Protection Regulation)을 시행하였습니다. GDPR은 단순한 데이터를 잘못 관리하더라도  2,000만 유로나 매출의 5%에 이르는 벌금이 부과 됩니다. 그러나 SAS 글로벌 조사에 따르면 GDPR에 알맞은 대응을 완료한 기업이 7%에 불과하다는 통계가 나오고 있습니다.  법 규제는 시행되고 있지만 기업의 대응은 미비한 것이 현실 입니다. 보안 체계와 플랫폼을 구축하여 법의 규제 뿐만 아니라 데이터 보호를 신속하고 안전하게 준비해야 합니다.

하지만 기존의 타제품들의 경우 기존의 제품은 일반 x86 서버 또는 파일에 의존하여 키 관리 기능이 미약하기 때문에 개인정보를 비롯한 데이터 보안에 취약하다는 단점이 있습니다. 또한 암호화 대상에 따라 구축기간이 상이하여 설치에서 암호화 완료까지 상당시간 소요된다는 것은 물론 비정형 데이터 암호화가 지원되지 않은 점은 큰 문제점으로 꼽혔습니다.

[ 보메트릭 데이터 보호 플랫폼 ]

이러한 문제점들은 아이마켓코리아에서 공급하고 있는 보메트릭 데이터 시큐리 플랫폼 ( Vormetric Data Security Platform ) 으로 해결할 수 있습니다.

타 암호화 솔루션과 다르게, 보메트릭은 전용 장비를 통해 키를 관리하기 때문에 안전하게 관리 및 보호가 가능하며, 네트워크 장애 시에도 암·복호화에 영향을 미치지 않아 보안 및 관리에 탁월 합니다. 또한 모든 서버의 비정형 데이터 암호화를 지원하고, 암호화 데이터와는 별도 장비로 암호 키 관리 시스템을 제공하기 때문에 보다 효율적이고 강화된 보안 환경을 구축할 수 있습니다.

보메트릭 데이터 암호 키 및 정책 관리

중앙집중형 단일 인터페이스를 통한 암호 키 관리 소프트웨어, 하드웨어 일체형 어플라이언스 또는 가상 머신 형태 가용성 확보를 위한 이중화 구성 지원 1만대 이상의 서버 환경에서 입증된 관리 기능 웹과 CLI 기반 콘솔 및 자동화 API 지원 미국 연방 정부 FIPS 140-2 Level 3 인증 확보 별도 장비에 의한 안전한 암호 키 관리 관리자 권한 세분화로 안정성 강화

또한, API방식의 암호화 및 토큰 방식이 조합되어 단순API 방식에 비해 편의성과 보안성이 대폭 증가된 형태의 데이터 보안이 이루어 질 수 있습니다. 

[ 보메트릭 데이터 보안 구축 전략 - API방식 암호화와 토큰 방식의 조합 ]

API 방식 암호화	- 에이전트(암호모듈)을 WAS 등 Application 서버에 설치하고 소스코드 수정을 통해 암호화 구축 - 저장 데이터(data-at-rest) 뿐만 아니라 WAS ↔ DBMS 구간 데이터(data-at-transition)에 대한 추가적인 보호
토큰 방식 데이터 보호	- Vormetric Token Server를 통해 토큰(대체값) 생성 및 조회 수행, 일정 부분의 어플리케이션 수정 필요 - 토큰화가 적용된 개인정보DB는 더 이상 암호화 대상이 아님 (농협 등 주민번호에 대해 대체값 적용) - AD/LDAP 등 계정관리시스템과 연동하여 사용자 권한에 따른 실시간 데이터 마스킹 적용
FPE(Format Preserving Encryption) 지원	- 원본 데이터와 암호화 데이터의 사이즈 및 형태가 동일한 암호화 방식 - 미국 NIST 의 암호화 표준 규격 중 FFX 3 모드 적용 - 암호화 후 사이즈와 데이터 타입이 동일하기 때문에 DBMS 변경 불 필요
파일 암호화 기능 향상	- VAE 제품으로 파일에 암호화를 적용할 때 자사의 커널 암호화 제품(VTE)과 동일한 방식 적용 - 두 제품 간의 호환성 증가로 보다 유연한 적용 가능

보메트릭 데이터 보호 플랫폼을 통한 보안 구축 절차는 구축 준비 및 사전 분석, 구현 및 검증, 운영 이행, 안정화 순으로 이루어집니다. 자세한 내용은 아래 표에서 확인할 수 있습니다.

구축 준비 및 사전 분석	프로젝트 수행 TFT 구성 - 고객사와 제안사 인력 업무/어플리케이션 분석 - 대상 시스템 환경 분석 - 업무 특성 및 프로세스 분석 - 어플리케이션 아키텍처 분석 영향도 분석 - 대상 시스템의 성능 분석 - 스토리지 증가량 분석 - 암호/토큰 성능 예측 데이터 보호 정책 수립 - 암호/토큰 대상 필드 확정 - 암호 알고리즘 확정 - 암복호화 권한 정책 확정 - 실시간마스킹 권한정책 확정
구현 및 검증	테스트 환경 구축 - 제품 설치 및 구성 암호화 적용 - 개발자 교육 - 개발자에 의한 소스 수정 - 테스트 데이터 마이그레이션 테스트를 통한 검증 - 테스트 시나리오 작성 - 테스트 수행 - 결과 분석 개선 사항 도출 및 대응 - 어플리케이션 추가 수정 - 암호/토큰 정책 재 설정
운영 이행	이행 계획 수립 - 이행을 위한 세부 계획 작성 - 원복 계획 작성 - 이행 리허설 운영 서버 적용 - 수정된 소스코드 배포 - 운영 데이터 마이그레이션 이행 작업 수행 - 계획에 따라 이행 작업 수행
안정화	모니터링 - 적용 후 운영 전반에 대한 모니터링 - 어플리케이션 재 수정 등 이슈에 따른 대응 인수인계 - 운영자 교육 - 긴급 대응 계획 수립

갈수록 강력해지는 개인정보 보호 규정에 대비할 수 있는 보메트릭 데이터 보호 플랫폼에 대한 자세한 문의는 아래 아이마켓코리아 담당자에게 연락 주시기 바랍니다.

(주) 아이마켓코리아
윤 용 비
대리 │ IT 솔루션 영업팀

TEL : 02-3708-8365
E-mail : security.yun@imarketkorea.com
서울특별시 강남구 삼성동 삼성로512 삼성동빌딩 16층 우)135-090