지난달 190만건의 회원정보가 유출된 국내 최대 커머스 관련 커뮤니티인 뽐뿌에 정부가 과징금을 물게할 전망입니다. 정부는 저번달부터 시작된 민관합동조사단의 조사결과를 오늘 20일 발표하였습니다.  

뽐뿌는 9월 11일 오전 1시에 해킹 공격을 받아서 총 196만명의 개인정보가 유출되었습니다.  회원 ID, 암호화된 비밀번호, 닉네임, 생년월일, 암호화된 장터의 비밀번호 등의 정보가 유출되었습니다. 

<뽐뿌 공격방식 설명>

출처 : 미래창조과학부 홈페이지

SQL인젝션 공격으로 해킹을 한 것으로 알려져 있으며, SQL인젝션 공격은 데이터베이스에 대한 질의를 조작해서 정상적인 자료의외에 결과값을 탈취하는 방법입니다.  

결론적으로 이에 대한 대비책이 부족해서 생긴 결과로 해킹 공격을 당한 것으로 밝혀졌으며, 이제 중요한 부분은 DB접근제어에 대한 통제대책이 확실하게 되었는지 개인정보 유출의 범위와 피해 규모 등을 집중적으로 조사할 예정입니다. 이에 따라서 뽐뿌 운영진에게 개인정보 보호조치 위반 사항에 따라 과징금과 행정처분, 과태료 등이 부과가 됩니다. 

이에 대한 처벌 결과는 올해 말 결론지어질 예정으로 처벌과 과징금이 어느정도 부과될지에 대해서 관심이 쏠리고 있습니다. 그 밖에, 뽐뿌 운영진은 해당 결과에 대해서 인정하고 있으며 정부 및 민관합동조사 본부의 조사에 성실하게 임하겠다고 밝혔습니다. 

이토록 웹페이지 같은 경우는 SQL인젝션, 파일 업로드 공격 등의 해커 공격에 무방비로 노출되어 있습니다. 홈페이지 취약점 보다 가장 중요한 것은 위에서도 보았 듯이 바로 DB에 대한 보호조치 입니다. 어느정도의 유출규모인지, 암호화는 잘되어 있는지, 접근제어는 잘 통제가 되어있느지 등을 보게 됩니다.

웹사이트 보안은 안전하지 않습니다. 최고의 보안은 바로 DB보안입니다. DB에 대한 데이터 접근제어와 DB 암호화 및 복호화 성능, 그리고 이에 따른 서버 리소스 유지, 암호화 키 관리 등 DB보안에 있어서 고려해야할 요소는 많습니다. 

DB보안에 있어서 가장 안전한 방법은 바로 HSM(하드웨어 암호화 모듈)을 통해서 고객의 DB를 안전하게 암호화하고 서버와 물리적으로 독립적인 장소에 암호화 키를 안전하게 보관하여 고객의 데이터를 복호화할 수 있는 암호화 키를 권한분리를 확실하게 하는 방법입니다. 

상용화된 강력한 알고리즘인 AES-256으로 암호화가 정상적으로 되었다면, 이를 복호화 하는 암호화 키만 탈취 당하지 않는다면, 데이터는 안전한 상태가 됩니다. HSM는 물리적으로 암호화 키가 별도의 장소에 보관되기 때문에 서버에 해킹 공격이 들어와도 암호화 키를 안전하게 지킬 수 있습니다. 또한 서버에 있는 데이터는 강력한 암호화가 되어 있기 때문에 복호화 할 수 없습니다.

Thales e-security는 세계 HSM 점유율 1위를 자랑하는 글로벌 정보보안 업체로써 아이마켓코리아는 Thales e-security와 제휴를 맺고 최고성능 HSM을 국내에 유통하고 있습니다. 

Thales의 HSM인 nCipher (nShield)는 최상의 보안 표준인 FIPS-140 인증을 받은 제품으로 CC EAL4+인증을 진행 중인 제품입니다. 위에 인증이 입증 하듯 어렵고 까다로운 보안 환경에서도 중요한 데이터를 안전하게 보호할 수 있습니다.

Thales HSM의 주요 기능으로 접근제어가 있습니다. Thales nCipher HSM은 보안 운영자의 관리자의 역할을 구분할 수 있고 이에 따라 정책을 다르게 지정할 수 있습니다. Oracle 서버의 데이터베이스 보호를 위해서 아래의 기능들을 지원합니다.

Thales HSM은 Microsoft의 Windows, Oracle, Sun Solaris, HP-UX, IBM AIX, Linux로 운영되는 서버의 암호화 서비스를 제공합니다.  

◈ 온라인 카탈로그 보기

카드 3사 유출사고, 대형 포털사이트 유출사고 이후에도 개인정보 유출사고는 계속해서 일어나고 있습니다. 최근에는 국내에서 온라인 커머스 관련 커뮤니티로 가장 큰 규모를 자랑하는 '뽐뿌(http://ppomppu.co.kr)'가 지난달 11일 해킹으로 인해서 많은 회원 정보가 유출되는 사고가 발생하였습니다. 

다행히도 뽐뿌는 주민등록번호를 저장하고 있지 않기 때문에 주민등록번호는 유출되지 않았지만, 회원 전원의 ID와 비밀번호, 생년월인, 메일 주소, 접속 포인트 등이 유출되었습니다. 그 숫자는 무려 190만여건에 달하는 피해로 결코 적지 않은 피해규모입니다.

뽐뿌에서 유출된 아이디 비밀번호는 복호화 되었을 시에는 타 사이트에서도 동일한 아이디와 비밀번호를 쓰는 경우가 많이 때문에 연쇄적인 피해가 우려되고 있습니다.

뽐뿌의 회원들의 비밀번호는 암호화 과정을 거쳐서 보관되지만, 해킹 범들이 암호화 알고리즘의 취약점을 이용해서 단순하게 설정된 암호들은 해독해낸 것으로 보고 있습니다. 뽐뿌는 서비스 10년만에 가장 큰 위기를 맞고 있다고 보고 있으며, 일부 유저들은 해킹 사건으로 인한 개인정보 유출은 뽐뿌 측이 회원들의 정보보호에 대한 기술적인 조치와 사후 대책이 부족하다고 비판하며, 집단 소송을 준비 할 것이라고 알려졌습니다. 

추가로 개인정보 유출 이후에도 뽐뿌 웹사이트에서는 악성코드까지 유포가 되고, 서버가 다운 되는 등 사이트를 이용하는 유저는 많은 불편을 겪어야 했습니다. 조사는 미래부 공무원 및 민간 전문가로 구성된 민관 합동조사 본부가 진행하였습니다. 

이달 중순쯤에 '뽐뿌' 해킹사건 조사를 위한 미래부-방통위 합동조사단의 수사 결과가 발표되며, 현재 마무리 조사단계입니다. 미래부 관계자는 이번 뽐뿌 해킹과정에서 이용된 해킹 기법과 과정에 대한 조사를 거의 다 끝냈으며, 조사결과를 곧 발표하겠다고 하였습니다. 

뽐뿌는 현재까지 조사결과로 기본적으로 암호화 등의 방식으로 조치를 취해야 하는 개인정보 보호 시스템이 미비했하여 정보통신망법상 의무를 지키지 않았다고 설명했습니다. 법상으로 개인정보보호 조치에 미흡했다면 1,000만원 내외의 과태료가 부과될 가능성이 크며, 이전에 뽐뿌와 유사한 개인정보 유출사고로 CJ 헬로비전 개인정보 유출사고(약 23만건) 의 경우에도 1,000만원 내외의 과태료가 부과되었습니다. 

이 처럼 개인정보 유출사고시 핵심은 바로 개인정보 보호조치에 있습니다. 특히 개인정보 보호조치에서 가장 중요한 것은 바로 개인정보 암호화 같은 기술적인 조치입니다. 고객의 데이터베이스는 안전한 암호화 알고리즘으로 암호화되어야 하며, 암호화 키는 물리적으로 안전한 장소에 보관되어야 합니다.

데이터베이스를 암호화하는 가장 안전한 방법으로 HSM 장비를 도입하는 방법이 있습니다. HSM은 Hardware Security Module의 약자로 하드웨어 암호화 모듈장비입니다. 

HSM은 안전하게 고객의 정보를 암호화할 뿐만 아니라 암호화로 인한 자원을 HSM이 직접 처리함으로써 서버의 리소스 부담을 경감시키고, 물리적으로 같은 장소에 저장되어 해킹시에 암호화키 탈취로 인한 위험성을 방지할 수 있습니다. 이는 물리적으로 분리된 HSM 장비 내에 암호화 키를 보관함으로써 보안의 이점을 가져갈 수 있습니다. 또한, 관리자별 권한 분리를 함으로써 체계적으로 암/복호화에 대한 권한을 관리할 수 있습니다. 

아이마켓코리아에서는 전세계 HSM 점유율 1위를 자랑하는 Thales와 제휴하여 Thales e-security의 우수한 HSM장비를 공급하고 있습니다. 기업 서버용 DB 암호화를 위한 내장형, 접속형 HSM 부터, 온라인 신용카드 결제시 암호화할 수 있는 HSM, 물리적인 네트워크 단의 암호화를 할 수 있는 HSM 까지 다양하게 구비하고 있습니다.  아래에 링크에서 제품에 대한 자세한 정보를 알 수 있습니다.

http://it.imarketkorea.com/hsm.php

Thales HSM은 FIPS 140-2 인증을 받은 제품으로 안전성을 입증 받았으며 PCI DSS 규격을 준수합니다. 또한 Thales HSM은 Oracle, MS Server 공식 파트너로써 호환성도 뛰어난 제품입니다.

Thales HSM 제품 문의는 하단의 아이마켓코리아 보안 담당자에게 연락주시기 바랍니다.

※ 차세대급 서버통합 및 센터 이전, 통합 보안관리 시스템 구축 사업시, 가장 어려운 DB암호화를 심플하게 구축하여, 타 구성에 영향이 없었습니다.

4. 국내 OO카드社

40TB에 달하는 방대한 정형데이터(Database) 및 비정형데이터(Image, Log) 데이터의 암호화 진행

※ 다양한 형태로 저장된 민감한 정보 및 기타 개인정보에 대한 암호화 저장

[더 많은 보메트릭 솔루션 정보]

※ 보메트릭 DB암호화 솔루션 Vormetric Transparent Encryption 소개

※ 보메트릭 DB암호화 키 관리 Vormetric Key Management 솔루션 소개

보메트릭 암호화 솔루션에 대한 제품 문의는 아래의 아이마켓코리아 보안 담당자에게 연락해주시면 친절하게 상담해드립니다. TEL : 02-3708-8254

데이터 보안에 있어서 안전하고 강력한 데이터 암호화도 중요하지만, 더 중요한 것이 있습니다. 바로, 암호화 키를 안전하게 관리하는 것입니다. 키 관리에 있어서 암호화 키와 암호화 데이터를 분리하여 관리, 보관해야 하는 것은 매우 중요합니다. 공격으로부터 데이터와 암호키를 보호하기 위해서는 보안을 위해서 키 관리 솔루션을 도입하는 것이 매우 중요합니다. 

보메트릭의 키 관리 솔루션인 Vormetric Key Management은 이러한 키 관리 이슈를 해결할 수 있는 키 관리 솔루션입니다. 보메트릭은 Deloitte가 매년 선정하는 기술 분야의 선도 500대 기업에 2년 연속 선정된 기술 선도 기업입니다.

| Vormetric Key Management의 특징

보메트릭 DSM(Data Security Manager)과 통합된 암호키 및 정책 관리가 가능합니다.

[제품 옵션 #1] Key Agent - Oracle TDE / MS-SQL의 암호키 관리가 가능합니다.

[제품 옵션 #3] Vault - 각종 키 및 전자인증서의 관리가 가능합니다.

| 지원 환경

| 데이터베이스 및 비정형 데이터 보호 솔루션

최근 국회를 통과한 개인정보보호법 개정안에 따르면, 개인정보 유출로 인한 피해자는 최대 300만원까지의 손해배상을 받게 되어 있습니다. 또한, 개인정보를 고의적으로 유출시킨 경우에는 해당 기관과 사업자는 실제 손해액의 최대 3배까지 배상하도록 하는 징벌적 손해배상제도까지 신규 도입되었습니다.

보메트릭의 암호화 솔루션인 Vormetric Transparent Encryption(보메트릭 암호화 유틸리티)는 개인정보보호법에 따른 보호 조치를 간결하게 적용할 수 있는 토털 솔루션을 제공합니다. 가상 및 클라우드를 아우리는 환경에서 어플리케이션 성능 저하 없이 키 관리 복잡성을 제거하고, 파일 및 데이터베이스(DB) 그리고 애플리케이션을 보호할 수 있도록 지원합니다.

| 7월 28일 개인정보보호법 시행령 일부개정

행정자치부는 '개인정보보호법' 시행령 개정안을 7월 28일부터 40일간 입법예고 했습니다. 기존과 변경되는 법안 내용은 아래와 같습니다.

◈ 주민등록번호는 반드시 암호화해야

기존에는 외부에서 접속이 가능하거나 네트워크 상에서 주민번호를 보관하는 경우에만 필수로 개인정보 암호화를 해야 했었습니다. 하지만 최근 7월 28일 개인정보보호법 시행령 개정안 이후로는 내부망을 사용하여 주민등록번호를 처리하는 기관이나 사업자들도 모두 의무적으로 주민등록번호를 암호화 해야합니다.

또한, 범위와 기간도 명확하게 명시하였습니다. 주민등록번호 보관 규모가 100만명 미만인 경우에는 2016년 12월 31일까지 주민등록번호를 반드시 암호화 해야하며, 100만명 이상인 경우에는 2017년 12월 31일까지 암호화 조치를 모두 완료하여야 합니다.

위의 기간이 지난 이후에도 암호화 조치를 이행하지 않으면 최대 3천만원 이하의 과태료가 부과가 됩니다. 이를 위한 시스템 개선 및 안정성 확보를 위해 여러가지 사안을 고려하여 제정하였다고 행정자치부는 밝혔습니다. 

◈ 관행적이던 개인정보 수집 동의서... 실용적으로 개편

또한 개인정보 수집동의서가 개선되어, 정보주체가 개인정보 수집과 제공에 대한 동의시에 선택적으로 동의할 수 있는 사항을 명확히 할 수 있도록 내용이 개선됩니다. 이전에는 관행적으로 되었던 약관이 보다 명확하고 가시성이 높도록 표기하여 고객이 중요한 내용을 파악할 수 있도록 할 예정입니다.

◈ 개인정보보호 관련 업무는 한국인터넷진흥원(KISA)으로 일원화

개인정보보호 업무가 한국인터넷진흥원(통칭 KISA)로 통합 위탁되는 형태로 개편되어 효율적이고 체계적으로 개인정보가 관리 됩니다.

기존에는 개인정보보호 관련한 기관들이 많이 산재하여 서로 권한과 관리 포인트가 다르고 업무도 일원화 되지 않아서 혼란이 있었습니다. 하지만 개인정보보호법 시행령 개정안에서는 기존에 한국인터넷진흥원(KISA), 한국정보화진흥원(NIA)로 나누어서 수행되던 개인정보 관련 업무들이 한국인터넷진흥원(KISA)으로 일원화됩니다.

| 개인정보보호법 시행령 개정, DB보안 솔루션 도입 '필수'

시행령 개정으로 주민등록번호 암호화는 이제 모든 기관과 사업자에서 반드시 해야 하는 필수 보안조치 사항이 되었습니다. 서버에 저장되어 있는 개인정보 DB를 안전하게 암호화하고 보호하기 위해서는 HSM (하드웨어보안모듈) 솔루션을 도입하는 것이 가장 효율적이고 안전합니다.

Thales는 프랑스에 본사를 둔 세계적 기업으로 우수한 기술력을 갖추고 있으며 40여년의 풍부한 경험과 실절, 68,000여명의 직원과 50여 나라에 자회사를 보유하고 있습니다. 그리고 전세계에서 HSM의 시장 점유율이 가장 높은 HSM Global No.1 회사입니다.

▣ PHSM : 전 세계 70% 이상의 시장 점유

▣ GPHSM : 전 세계 40% 이상의 시장 점유

▣ 네트워크 구간 암호화 장비 : 전 세계 40% 이상의 시장 점유

Thales HSM 제품 군인 nShield 시리즈는 서버 내장형(nShield Solo)과 접속형(nShield Connect)으로 구성되어 있으며 PCI DSS 규제를 준수하며 FIPS 140-2 인증을 받은 제품이기에 신뢰성 면에서 뛰어납니다.

또한, 네트워크 구간 암호화 장비인 DataCryptor와 신용카드 지불결제 보안을 위한 전용 암호화장비인 PayShield 장비도 보유하고 있습니다. 이를 통해 DB보안, 암호화 키 관리, 네트워크 구간 암호화, 지불결제 암호화의 모든 상황에 대응할 수 있습니다. 

※ 더 자세한 스펙과 특장점을 알고 싶으시다면 (여기)를 클릭하면 온라인카탈로그로 이동합니다.

| 개인정보보호법 개정

작년 2014년 8월 7일에는 개인정보보호법이 개정되어 시행되었습니다. 개정된 이후 가장 큰 변화는 대부분의 주민번호 저장/처리를 원칙적으로 금지하였으며, 주민번호 수집 및 처리가 가능한 경우는 제 3자의 급박한 생명, 실체, 재산의 이익을 위하여 명백히 필요한 경우, 기타 불가피한 경우로써 행정자치부령으로 정하는 경우로써 기업 입장에서 해당되는 경우는 거의 없다고 볼 수 있습니다. 만약 주민번호가 유출될 경우에는 과징금이 부과되는 '과징금 제도'와 기업의 대표자 등에 대한 징계권고가 신설되었습니다.

※ 개인정보보호법 제 34조의 2, 개인정보보호법 제 65조 제 3항

| 개인식별번호 DB암호화

결론적으로 말하자면 주민등록번호는 작년 8월부터 수집이 전면적으로 금지되며, 기 수집된 주민등록번호도 반드시 삭제를 해야합니다. 주민등록번호 수집이 전면적으로 금지됨에 따라서, 암호화의 대상은 주민번호를 제외한 고유식별번호가 됩니다. (주민등록번호 파기 유예기간 2년)

※ 암호화 대상 : 여권번호, 운전면허번호, 외국인등록번호, 기타 신분을 증명할 수 있는 고유번호, 비밀번호 및 바이오정보 등 데이터베이스 내에 개인정보를 저장할 경우에는 반드시 관련 내용을 암호화 해야 합니다.

| 내부망 개인정보 암호화

또한, 내부망에 보관 중인 고유식별 정보도 2014년 3월 24일 개정된 개인정보보보법 일부 개정안으로 주민등록번호가 분실/도난/유출/변조 또는 훼손되지 않도록 예외 없이 암호화 조치를 통하여 안전하게 보관해야 합니다. 이 경우에는 암호화 적용 대상 및 대상별 적용시기 등에 관하여 필요한 사항은 여러가지 상황을 판단하여 대통령령으로 정해지게 됩니다.

| 암호화 기술을 통한 보안 조치

특히 개정된 법에서 가장 중요한 부분은 정보통신망 이용촉진 및 정보보호 등에 관한 법률입니다. 이 중 시행규칙 제 155호, 제 2조 2항에서 보면 [개인정보를 안전하게 저장 및 전송할 수 있는 암호화 기술 등을 이용한 보안조치]로 명시되어 있습니다. 그리고 정보통신제공자 등은 이용자가 공개에 동의하지 않는 개인정보를 제 3조 4항에 의하여 보호되는 정보를 통신망 외부로 송신하거나 저장할때는 이를 반드시 암호화해야 합니다.

가장 중요한 부분은 비 인가자가 DB에 무단 접속하여 홈페이지 위/변조, 장애등을 유발시키게 되면 큰 위험이 되기 때문에 DB에 대한 접근제어와 권한분리는 반드시 물리적으로 조치가 되어야 합니다. 

이러한 법안을 준수하기 위해서 DB서버에 작업 리소스를 절감하고, 안전하게 개인식별정보들을 암호화/복호화가 가능하며, 사용자별 DB에 대한 접근제어와 암호화 키를 물리적으로 분리해서 관리할 수 있는 보안솔루션 장비로 하드웨어암호화 장비(HSM)가 있습니다. 이미 금융권 및 대형 포털, IT 기업, 병원 업체 등은 HSM 장비를 도입하고 있으며, 개정된 법안을 지키기 위한 기본적인 보안솔루션으로 자리잡고 있습니다. 

| Thales HSM

Thales nShield HSM은 전세계 1위의 시장 점유율을 자랑하는 안정성 있는 HSM입니다. 가장 일반적으로 사용하는 HSM으로 nShield Connect 제품이 있습니다. Thales e-Security의 nShield Connect는 고성능 네트워크 연결형 HSM(하드웨어 보안 모듈)으로, 분산 응용 프로그램 인스턴스 및 가상 시스템을 지원하는 공유 리소스로써 보안 암호화 서비스를 제공합니다. 

아이마켓코리아 IT솔루션 사업부에서는 Thales HSM을 공급하고 있으며 최신 IT제품의 공급부터 컨설팅, 설치, 운영, 유지 등의 기술서비스까지 제공합니다. 또한 KOSPI 상장기업으로 우수한 유통 인프라와 노하우를 갖춘 우수업체입니다.

nShield Connect는 다양한 상용 비즈니스 애플리케이션 및 사용자 지정 빌드의 비즈니스 응용 프로그램을위해 공개 키 인프라 (Public Key Infrastructures : PKI) ID 관리 시스템, 데이터베이스, 인터넷 망, DNS 보안 확장 (Domain Name System Security Extension: DNSSEC)의 코드서명 구현, 디지털 서명 키 관리 및 암호화 작업을 수행할 수 있습니다. (FIPS 140-2 인증을 받은 제품으로 안정성이 뛰어납니다.)

※ nShield Connect 제품 온라인 카탈로그 보기

HSM제품에 대한 견적 문의는 하단의 담당자에게 문의하시기 바랍니다.