기업의 주요 정보자산의 보호와 관리를 위한 성공적 보안 모델

Size: px

Start display at page:

Download "기업의 주요 정보자산의 보호와 관리를 위한 성공적 보안 모델"

만식 천
4 years ago
Views:

1 SECURE DATA AT THE SOURCE SAVE TIME AND MONEY 최소비용, 최대효과그리고가장안전한데이터베이스보안의구축 박형도한국오라클 / Technology Sales Consulting

2 Agenda 정보시스템환경변화에의한보안이슈 데이터베이스보안의필요성 분야별 DB 보안강화방안 암호화 접근제어 통합감사 정보보호를위한성공적보안모델 2

3 점점심화되고있는데이터유출사건 데이터유출 한번유출된정보는되돌릴수없습니다. PUBLICLY REPORTED DATA BREACHES % 증가 실제유출된개인정보레코드수 ( 백만건 ) Source: DataLossDB, 2009

4 점점악화되고있는내부보안문제 70% 공격은방화벽내에서이루어집니다. 90% 공격은정당한권한을가진내부직원에의해발생합니다. 4 Source: CyberInsecure.com, NETWORK WORLD, Bank Info Security

5 점점강화되고있는법적규제준수? 상시적인보안감사압박 90% 회사들이규제준수대상 5 Source: IT Policy Compliance Group, 2007.

6 심화되고있는규제준수비용 보안환경개선비용 응용프로그램재개발비용 정보보호관리비용 보안평가및진단비용 보안사고처리비용 $ It Adds Up 6

7 정보보안의필요성 물리보앆 정보보앆 IT 융합보앆 PC 보안네트워크보안서버보안 DB 보안 7

8 데이터베이스보안의필요성 70% 공격은방화벽내에서이루어짐 90% 공격은정당한권한을가진내부직원에의해발생함 PC 보안네트워크보안서버보안 DB 보안 8

9 데이터베이스보안위협! 계정도용을통한정보유출 데이터베이스 디스크 회계정보 개인정보 백업 기밀정보 Exports! 미디어유출! 내부자에의한정보유출 계정도용에의한정보유출 내부자에의한불필요한비즈니스데이터접근 미디어정보유출 9

10 개인정보보호조치법적근거 ( 국외 ) EU Data Directives (27 개국채택 ) 스페인 : 사고당 600K 과태료 독일 : 사고당 250K 과태료 프랑스 : 첫위반시 150K, 이후징역형가능 영국 : 징역형가능 USA Security Breach Notification Laws (44 개주채택 ) 데이터건당 $239 최고사고당 $35M 의료정보 와 건강보험정보 로까지확장 (CA AB 1298) Payment Card Industry Data Security Standard (PCI DSS) 규정위반시 $25K/ 월 사고당 $500K + Visa 의경우사고당미공지시 $100K 추가 10

11 개인정보보호조치법적근거 ( 국내 ) 정보통신망법제 28 조, 시행령 15 조개인정보보호조치 1. 비밀번호및바이오정보의일방향암호화 2. 주민등록번호및계좌정보등금융정보의암호화저장 3. 개인정보및인증정보의송수신보안 4. 개인정보에대한불법적인접근차단 5. 접속기록의위조및변조방지 개인정보암호화조치위반시과징금및벌칙조항 위반행위와관련한매출액의 100 분의 1 이하과징금 ( 제 64 조의 3) 2 년이하의징역또는 1 천만원이하의벌금 ( 법제 73 조제 1 호 ) 3 천만원이하의과태료 ( 법제 76 조제 1 항제 3 호 ) 암호화관련조항은 2010 년 1 월 29 일시행 11

12 강화된처벌수위 6 Source: 전자신문,2010/3/17

13 개인정보관리점검실시 6 Source: IT Daily,2010/3/24

14 데이터베이스암호화의문제점 과도한응용프로그램재개발비용 전반적인시스템의재분석및재개발필요 과도한데이터베이스성능저하 데이터베이스성능저하에따른빌링불가 ERP 패키지제품에의적용불가 과도한응용프로그램재개발비용 과도한데이터베이스성능저하 성능저하 시스템재분석 SQL 재개발및튜닝 $DBA 스키마재설계 응용프로그램재개발 14

15 프로그램변경에따른과도한암호화비용 A 텔레콤고객정보암호화실시 2009 년 05 월 21 일 A 텔레콤은고객정보보호강화를위해통신업계최초로가입고객정보암호화를실시한다고 21일밝혔다. 작년 12월부터관계사 B사와함께시작된 A 텔레콤의고객정보암호화작업은주민번호, 은행계좌번호, 신용카드번호, 휴대폰식별번호 (ESN) 등의개인정보를암호화하고, 4000 여개의관련프로그램을변경하는과정으로, 23일 24일양일간최종암호화이행작업으로마무리된다. 6 개월에걸쳐, 4000 여개의관련프로그램변경, 50 억원비용소요 고객정보암호화하니빌링시스템성능이뚝 2009 년 11 월 23 일 내년규제앞두고시스템개선여력없어 프로젝트중단속출 특히한 MSO는암호화솔루션을도입해프로젝트를상당부분진행했으나결국빌링시스템성능이개선되지않아해당솔루션을모두걷어내기까지했다. A텔레콤은고객의주민번호, 계좌번호, 가트번호등을암호화하고관련 4000여개의애플리케이션프로그램을변경했다. 이작업만에도 50억원이투입된것으로전해지고있다. 15 Source: 디지털타임스, 전자신문

16 암호화에따른성능저하 16 Source: 전자신문,2009/11/23

17 주요암호화방식 커널방식제품 API 방식제품 Plug-in 방식제품 응용프로그램 응용프로그램 응용프로그램 암복호화 API 소스변경발생 SELECT INSERT UPDATE DELETE SGA 복호화 암호화 서버프로세스 DBWR 구조변경발생 원본테이블 트리거성능저하발생암복호화 API 뷰구조변경발생 암호화테이블 원본테이블 DB 서버 DB 서버 DB 서버 17

18 데이터베이스암호화솔루션 Transparent Data Encryption ( 커널방식 ) Disk Backups Exports Off-Site Facilities 안정적인성능유지 응용프로그램에투명한솔루션 강력하고안전한키관리 자동데이터암호화 전송데이터암호화 강력한인증제공 18

컬럼단위암호화 RMAN 을통한 Backup 파일암호화및 Data Pump

Hardware Security Module (HSM) 과의통합관리기능제공

19 오라클암호화솔루션 TDE Feature Overview Transparent Data Encryption 테이블스페이스암호화 컬럼단위암호화 RMAN 을통한 Backup 파일암호화및 Data Pump Exports 암호화 내장된 Key 관리 데이터베이스에의한관리 Hardware Security Module (HSM) 과의통합관리기능제공 응용프로그램수정최소화 데이터사이즈증가최소화 성능저하최소화 Strong Authentication Data Encryption 75,000 Network Encryption Encrypted Tape Backups, Disk Backups, Exports ^#^*>*

Transparent Data Encryption 응용프로그램에투명한암호화 개발자실수등

20 비용측면에서의오라클암호화 암호화를적용하기위한도입시간, 구현공수등의과다한비용문제는? 비용 NGS 급인력투입시간 APP 전체수정 암호화 데이터사이즈의증가 Oracle Transparent Data Encryption 응용프로그램에투명한암호화 개발자실수등 Risk 최소화 구현공수및시간의최소화 암호화로인한데이터사이즈증가의최소화 or 없음 ( 테이블스페이스레벨 )

21 데이터암호화의간단한구현 특정컬럼암호화 CREATE TABLE employee ( first_name VARCHAR2(128), last_name VARCHAR2(128), emp_id NUMBER, salary NUMBER(6) ENCRYPT using 'AES256' ); create unique index idx_salary on employee (salary); ALTER TABLE employee MODIFY (salary DECRYPT); 테이블스페이스암호화 CREATE TABLESPACE securespace DATAFILE /home/user/oradata/secure01.dbf SIZE 150M ENCRYPTION USING AES128 DEFAULT STORAGE(ENCRYPT);

22 성능측면에서의오라클암호화 암호화는응용프로그램의성능을현저하게저하시킨다..? 매우빠른초기암호화속도 ( CTAS, Parallel, Online Redefinition) OLTP 업무의경우기존대비오차범위 (5%) 이내의응답시간증가. 성능 인덱스를사용한범위검색가능 ( 테이블스페이스암호화 ) 테이블스페이스암호화의경우저장공간이증가하지않으므로 Disk I/O 의증가가없음. 업무유형및성능요구사항에부합하는암호화방식선택가능

23 DB 암호화를위한최적의솔루션 Transparent Data Encryption SAVE TIME AND MONEY $ 법적규제준수에따른비용감소 기존서비스로의완벽한호환성유지 성능및안정성확보 $ 시간비용안정성호환성 규제준수에따른시간제약에적합한빠른적용 가장많은비용을소모하는응용프로그램변경불필요 성능보장 트랜잭션및데이터정합보장 효율적인관리 기존스키마구조보장 패키지 App. 호화성 24

24 실생활속에서의접근제어방식 25 Source: kr.yahoo.com/ 재미존

25 데이터베이스접근제어솔루션방식 Kernel 접근제어기능이커널에추가 App 서버 Sniffing Port Mirroring 혹은 Tap 장비필요 DB 서버 DB 서버 사용자 Sniffing 문제세션차단 보앆서버 (But, SQL 레벨불가능 ) Gateway (In-line) Gateway (Proxy) App 서버 보앆서버 DB 서버 App 서버 DB 서버 사용자 사용자 Forwarding 네트워크에물리적연결 (Fail-Over Device 등이필요 ) 보앆서버 보앆서버과부하발생 * 별도의사용자 PC 단의클라이언트필요함 26

26 데이터베이스역할분리및내부자통제 Oracle Database Vault 인사정보 인사보호영역 명령어통제 회계정보 고객정보 회계보호영역 고객보호영역 DBA Application Insert into rebate.rebate_recipients values ( mark drake, mdrake@gmail.com, 350) 데이터베이스내의보호영역설정 역할분리를통한관리자의무분별한데이터접근및남용차단 통합된데이터환경에서업무별안전한관리보장 강제적인보안정책적용및비인가된접근원천불허 응용프로그램을바이패스하여데이터를직접접근불허 28

커널방식접근제어 [ 법률제 28 조 2 항 ] 개인정보에대한불법적인접근을차단하기위한침입차단시스템등접근통제장치의설치운영 Oracle Database Vault : 역할의분리 & 권한있는사용자의접근제어 Application Procurement HR Finance DBA select *

27 커널방식접근제어 [ 법률제 28 조 2 항 ] 개인정보에대한불법적인접근을차단하기위한침입차단시스템등접근통제장치의설치운영 Oracle Database Vault : 역할의분리 & 권한있는사용자의접근제어 Application Procurement HR Finance DBA select * from finance.customers 역할의분리 ( DBA, 보안관리자, 데이터관리자 ) Any 권한으로부터의비즈니스데이터보호 DBA 는 DBMS 관리업무에만집중 -> 보안사고로부터 DBA 보호 내부보안 (Local Server) 위협에대한대응 No Agent, No Gateway 29

28 커널방식접근제어 Oracle Database Vault : 우회접근의불허 & 용이한이식성 Application Procurement HR Finance DBA select * from finance.customers 다양한요소기반의접근규칙지정 ( Who, Where, What, When, How.) 우회접근불허 Object 기반의접근제어 ( not Statement 기반 ) 다양한 Packaged Applications와의 Certification 30

29 실생활속에서의감사 31 Source: kr.yahoo.com/ 재미존

30 데이터베이스감사의정의 Wikipedia is Saying Database auditing involves observing a database so as to be aware of the actions of database users. This is often for security purposes, for example, to ensure that information is not accessed by those without the permission to access it. 데이터베이스사용자의작업내용을파악하기위해데이터베이스 서버를감시하는작업. 비인가된사용자에의한정보접근이없는 지검증하기위한보안위험관리목적으로도수행됨. 32

부정한유저등록및구성변경 부정한권한부여 감사로그의변경 Web 애플리케이션유저에의한부정행위 부정한조회, 데이터변경 DBA

31 데이터베이스감사의역할 일반유저에의한부정행위 부정한로그인 부정한조회, 데이터변경, 유출행위 과도한권한취득 부정한유저등록및구성변경 구성변경및장애유발, 동일계정 / 패스워드에따른관리불가 DBA에의한부정행위 부정한조회, 데이터변경, 유출행위 부정한유저등록및구성변경 부정한권한부여 감사로그의변경 Web 애플리케이션유저에의한부정행위 부정한조회, 데이터변경 DBA 의행동감사 DBA 감사 감사로그 애플리케이션유저 개발자 DBA 일반유저에대한감사 표준감사 DB 테이블 대상을보다세분화하여상세하게감사 FGA OS 파일 33

32 데이터베이스감사시스템의요구사항 자동화 감사데이터수집에서가공및보고서생성까지의 젂단계를자동화 통합감사시스템구축 다수의감사대상으로부터통합감사시스템구축다양한 DB 로부터수집해단일한감사정보구축 대용량데이터처리 앆정적인감사결과조회를위한성능을보장데이터라이프사이클관리방앆제공 감사데이터자체의보호 감사데이터에대한훼손불가, 물리적유출방지, 감사시스템자체의무력화에대비 관리의편의성 주요한감사항목을언제듞지조회가능하도록제공 실시간위험통보기능 특정상황을집중적으로모니터링하여위험이발생할경우즉시경고를발생 34

33 BI 연동을통한감사정보추가분석 일별업무량분석 Call Center 직원들의일별업무량분석 ( 총 12명 ) 특정직원의비정상적인업무량파악가능 보앆목적뿐만아니라복무파악을위해서도유용한분석작업 허용되지않는 IP 를통한성적작업감시 분석용데이터모델 접속 IP를통해대부분책임소재규명가능 성적수정작업이가능한 IP 리스트 ( 교수, 조교 ) 를사젂에등록받아, Trusted Host를통해서만작업되는지감시가능 허용되지않은 IP를통한성적작업은실시간경고발생 BI 연동을통해단순사실을 Analysis 관점에서분석 35

내장된보고서 사용자보고서 Auditor Sybase 정책 안전한장소로의감사정보를수집및통합관리

34 자동화된업무모니터링및감사 Oracle Audit Vault Oracle! 경보 [ 법률제 28 조 3 항 ] 접속기록의위조ㆍ변조방지를위한조치 DB2 MS SQL 감사정보 내장된보고서 사용자보고서 Auditor Sybase 정책 안전한장소로의감사정보를수집및통합관리 의심스러운작업에대한자동검출및경고 중앙집중적인감사정책관리 다양한보고서작성을위한전용저장구조 규제준수로서의다양한보고서활용 36

35 정보보호를위한성공적보안모델 Secure Data at the Source 업무서비스방해시도 감사 비인가자접근시도 기밀데이터의유출 내부자의불법접근 암호화 접근제어 미디어, 파일유출시도 사용권한의남용 37

36 정보보호를위한성공적보안모델 Oracle Database Security Full Stack 송수신정보보안 / ASO 불법접근통제및차단 Database Vault Backup 파일및 Export 파일보호 개인정보데이터의암호화 / ASO (TDE) 감사, 모니터링 접속기록위조방지 /Audit Vault 38

37 IDC : Oracle Database Security: Preventing Enterprise Data Leaks at the Source IDC believes that Oracle offers customers a comprehensive, well-integrated set of security products that address both insider threat mitigation and regulatory requirements. Built-in and transparent solutions such as those offered by Oracle mean that enterprises do not have to trade performance for security or settle for lowest-common-denominator capabilities designed to work across different vendor databases. 오라클은심도있고잘통합된보안제품구성을제공합니다. 기업들은보안을적용하면서성능문제가발생되는일을겪지않아도됩니다. 39

38 40

Slide 1

보안의시작 : 중요한데이터의암호화와마스킹 박형도 DB 기술팀 TSC 본부 Hyungdo.park@oracle.com 목차 데이터베이스보안 Oracle Database Security Data Encryption 데이터암호화의필요성 각종법규및 Compliance 오라클암호화솔루션의기능상의특징및혜택 Masking 업무데이터의보호현황과마스킹의필요성