개인정보보호컴플라이언스와기술적보호조치 소만사대표이사김대환 1
도입 5 년후엄청난유지관리비를요청하는외산 HTTPS proxy 를대체할수있는방법은 DMZ 웹서버에서주민번호 1 억건무단보관되어있는것을막으려면 MAC, LINUX 에보관된개인정보를검출 / 삭제 / 암호화하려면? 맥북 USB 통제대책은? DB 암호화이후에도하루에 10 건씩새로생기는주민번호포함임시테이블을검색할수있는방법은? G-mail 로주민번호 10 만건전송할때사전통제방법은? DAUM 메일이작년말모두 HTTPS 로바뀌었는데, 개인정보유출통제방법은? G-mail 쓰기는차단하고읽기만허용하려면? FACEBOOK, TWITTER 사내홍보계정을제외하고는모두차단하려면? 구글번역사이트등을통한게임도박사이트우회접속을차단하려면?
About Somansa 인원 180 분기술인력 120 분 업력 20 년 1997 년설립 매출 230 억 재무평가 A- 무차입경영 대표솔루션 고객사 수상 / 인증 Mail-I, WebKeeper Server-I, Privacy-I DB-I, WAS-I, APP-I 현대, KT, 삼성, LG, SK 신한은행, KB, 우리, 하나, 기업, 농협은행경기도청, 해군, 정부통합전산센터, 개인정보보호 /DLP/ 인터넷필터링솔루션시장점유율 1 위 1000 개고객사 600 유지관리고객 DLP 분야가트너리포트등재 DLP 3
About Somansa 개인정보접근통제 ( 데이터베이스 ) 개인정보검출 / 암호화 / 삭제 USB, 출력물유출통제 인터넷전송및유출 ( 네트워크 ) 인터넷접속통제, 세이프브라우징 웹앱스개인정보과다조회통제 Database LINUX/UNIX 계열서버 4
CONTENTS 1 1 천만건이상 개인정보유출사고원인분석 5
개인정보침해사고분석 APT 공격통한유출 (11,16) DB 접속권한자 PC 에악성코드를배포하여감염 1) 침투단계 : 악성코드배포사이트방문, 메일첨부파일개봉감염 ( 주요인물을 Target 하고 APT 로장기간꾸준히공격 ) 2) 검색단계 : 이후 DB 접속계정과패스워드 (ID/PW) 취득 3) 수집단계 : 접속권한자가부재중일때 ( 마치사용자가하는것처럼 ) DB 접속하여대용량개인정보파일취득 4) 유출단계 : 개인정보파일인터넷유출 권한있는 DBA 의합법적인 DB 접속임을가장하여 DB 조회 단말에대한제어권확보, DB 접속권한 (ID/PW) 확보 DB 방화벽 [proxy] 악성코드주입 ( 웹사이트방문, Target E-mail 등 ) Select * from VIP_customer 인터넷 DB 자산 개인정보과다조회통제미비 외부유출 개인정보파일외부유출 (ftp, HTTPS 외 ) 해커 주요서버접근단말 ( 관리용단말 ) 망분리, 2 채널인증, 세션타임아웃, 악성코드통제, DLP 유출통제 6
개인정보침해사고분석 권한자 의의도적유출 DB 접속후, 개인정보 USB/ 출력물유출 1) DB 조회후 => USB 복사 2) DB 조회후 => 프린터출력 1) 업무상개인정보접근가능 3) 외부유출출력물을통한유출 USB 파일복사유출 DB-DLP [proxy] 내부개발자 DBA 개인정보 DB Select * from VIP_customer 시스템관리자 외주직원 2) 개인정보과다조회통제미비 개인정보취급자 USB/ 출력물 / 화일공유, 개인정보과다조회통제, 관리단말기통제 (DB 조회후저장방지 ) 7
개인정보침해사고분석 ( 웹 ) 어플리케이션경유 개인정보유출 웹어플리케이션을경유하여개인정보조회 (IP 세탁 ) 한번에한두건씩 (!), 누적으로수십만건의조회 기존방식으로는 1 천여개의지점에서각각한번씩조회했는지, 한곳에서 1 천번조회했는지식별불가 정당한어플리케이션의 DB Query 이며한번에소량조회 1) 사적이익추구의도 2) 악성코드감염후권한자접속위장 Select xxx from VIP_customer 고객정보의조회 (HTTP GET) : 한번에개인정보한두개씩 개인정보 Middle Ware / WAS Middle Ware / WAS 인터넷 하루에도수천 / 수만회반복수개월에수백만건취득 지점 / 대리점 / 콜센터 WebAPPs 개인정보처리시스템확대정의, 과다조회분석요건 8
CONTENTS 2 개인정보법규변화 9
개인정보보호법 2014.2.28 개정 10
[ 개인정보의안전성확보조치기준 ] 개정안 (2016. 9. 1) 11
[ 개인정보의안전성확보조치기준 ] 개정안 (2016. 9. 1) 12
조 5 조개인정보처리시스템접근권한관리 6 조개인정보처리시스템접근통제 내용 유형별적용여부 유형 3 유형 2 유형 1 1 최소한의범위로개인정보처리시스템접근권한차등부여 O O X 2 인사이동시개인정보처리시스템접근권한변경또는말소 O O O 3 권한부여및변경말소내역최소 3 년간보관 O O O 4 취급자별한개의접속계정사용, 공유금지 O O O 5 ( 취급자 or 정보주체대상 ) PW 작성규칙수립및적용 O O O 6 ID or PW 일정횟수오입력시개인정보처리시스템접근제한 O O X 7 유형별적용여부규정임 - - - 1 불법접근, 침해방지를위해다음기능포함조치 1. 접속권한을 IP 주소, 등으로제한 2. 접속 IP 등을분석, 불법유출시도탐지및대응 2 정보통신망으로외부접속시 VPN or 전용선등안전한접속수단을적용하거나안전한인증수단적용 3 홈페이지,P2P, 공유설정, 공개된무선망으로공개, 유출되지않도록개인정보처리시스템, 컴퓨터, 모바일기기, 관리용단말기조치 4 홈페이지에서고유식별정보가유출, 변조, 훼손되지않도록연 1 회이상취약점점검 5 불법접근및침해사고방지를위하여취급자가일정시간이상업무처리를하지않을경우자동으로개인정보처리시스템접속차단 6 컴퓨터 or 모바일기기로개인정보처리시 OS 나보안프로그램등에서제공하는접근통제기능을사용한다 7 모바일기기의분실, 도난으로개인정보가유출, 변조, 훼손되지않도록모바일기기에비밀번호설정을해야한다 O O O O O X 보호조치 접근통제솔루션 [DB] DB-i [WAS] WAS-i [SAP] App-i O O O DLP 솔루션 O O X O O X [DB] DB-i O O O O O O 13
조 내용 유형별적용여부유형3 유형2 유형1 보호조치 1 고유식별정보, 비밀번호, 바이오정보를정보통신망으로송신, 보조저장매체로전달시암호화 O O O [ 서버 ]Server-i 7 조개인정보의암호화 2 비밀번호, 바이오정보는암호화저장. 비밀번호는복호화되지않도록일방향암호화한다 3 인터넷구간, 인터넷과내부망의중간지점 (DMZ) 에고유식별정보저장시암호화 O O O O O O 4 내부망에고유식별정보저장시암호화적용여부및범위 1. 영향평가대상공공기관경우영향평가결과에따름 2. 위험도분석결과에따름 O O O 5 ( 고유식별정보, 비밀번호, 바이오정보 ) 안전한암호알고리즘으로암호화저장 O O O 6 암호화된개인정보를안전하게보관하기위하여안전한 O X X 암호키생성, 이용, 보관, 배포및파기등에관한절차를수립시행 7 업무용컴퓨터또는모바일기기에고유식별정보저장시 O O O [PC] Privacy-i 상용암호화SW 또는안전한암호화알고리즘으로암호화저장 8 유형별적용여부규정 - - - 14
CONTENTS 3 개인정보의기술적통제체제구축 15
개인정보의기술적통제체계구축 개인정보라이프사이클에걸친선량한관리자의의무를다해야합니다 개인정보 ( 무단 ) 보유현황파악 개인정보 ( 과다 ) 조회 / 활용통제 개인정보유출 / 제공통제 개인정보통합관제 / 빅데이터처리 정찰총국 기존유출사고재발방지 컴플라이언스준수 동종업계평균이상보호조치준수 국내해커 & 중국해커 기존개인정보유출사고분석및재발방지 개인정보보호법, 정보통신망법에서규정한최소내용준수 기관의위상, 투자여력, 취약점수준에따라서선제적투자혹은후행적투자결정 16
개인정보보유현황파악및보호조치 ( 무단 ) 저장된개인정보파일에대한검출및보호조치 - 암호화 / 삭제 / 가상화 / 중앙화 1) PC (Windows, LINUX, MAC ) 보유하고있는개인정보검출, 불필요한개인정보는삭제 / 암호화필요 2) DBMS (DB discover) DBMS 가오랫동안개발 / 운영되면, 무수한 Table 과 View 가생성 어떤 DB, 어떤 Table 에개인정보가존재하는지파악불가불필요한개인정보가포함된 DB 와 Table 검출 / 삭제필요 3) 웹서버, 파일서버, 어플리케이션서버 (Server DLP) NT/LINUX/UNIX 계열의파일서버에보관된개인정보 개인정보검색, 불필요한개인정보는삭제 / 암호화필요 DBMS 서버 4) 스마트폰등모바일디바이스 (Mobile Discover) ( 회사업무용 ) 스마트폰에저장된개인정보파일에대한식별, 암호화및삭제 5) 클라우드서비스 Discover 개인정보보호를위해가장먼저해야할일 : 개인정보자산식별 NT 계열 LINUX/UNIX 계열 개인정보어디에있는지도모르면서보호한다는것이 17 17 l
개인정보파일검출및보호조치 ( 삭제, 암호화 ) Windows PC DLP Cloud DLP Linux Desktop DLP Mac DLP Mobile DLP Server DLP 18
개인정보조회 / 활용통제 DB/ 웹앱스과다조회통제 개인정보가과다조회 / 활용되는지통제와감사 1) ( 웹 /SAP) 어플리케이션을통한접근 어플리케이션 2) Query tool 을통한개발자 /DB 관리자접근 DB 접근통제 고객, 대리점, 해커 DB 엔지니어, 비권한자, 해커 DB 방화벽 ( 어플리케이션조회 ) 시스템운영자 DB 방화벽 [ 접근통제 ] Apps 웹취약점스캐너, 서버보안외 Database DB 암호화 ( 무단조회방지 ) DB 방화벽, 서버접근통제 ( 인증 ) 19
개인정보전송 / 유출통제 DLP 1) 인터넷접속통제 - 업무상필요한웹서비스이외모든채널접속차단 : P2P, 웹하드, 도박, 게임, 음란외 - 웹메일쓰기통제, 웹업로드데이터사이즈제한, SNS 댓글쓰기차단, 게시판접속차단 2) Network DLP 인터넷 ( 메일 /FTP/ 웹메일, 웹하드, 메신저 ) 통한개인정보전송통제 - HTTPS 를통한개인정보유출통제 (Web DLP) 3) Endpoint DLP - USB 등미디어를통한복사및전송 - 출력물을통한개인정보출력 EndPoint DLP USB 매체 / 출력물제어 / 인터넷전송제어 Safe browsing : 악성코드배포 P2P 와웹하드, 파일공유서비스접속통제 20 Network DLP : Web DLP, Mail DLP 웹메일, 웹하드, 메신저, FTP 개인정보유출
개인정보유출통제를위한다단계전략 1 단계 : DISCOVER, 불필요한개인정보파일검출 / 삭제 / 암호화 ( 개인정보자산의중앙집중화 ) 2 단계 : DB-DLP, 개인정보처리시스템 (DB, Apps) 개인정보과다조회통제 3 단계 : Endpoint DLP, USB/ 출력물통제 4 단계 : Network DLP, Web DLP (HTTPS 개인정보유출통제, G-mail외 ) [ 물론망분리, 바이러스, DB암호화, 서버접근통제 (2팩터인증 ) 등보호조치결합전제 ] DB-DLP WAS-DLP 세이프브라우징 (safe browsing) - 유해사이트카테고리접속차단 - 악성코드배포페이지접속차단 악성코드주입 ( 웹사이트방문, e-mail) 인터넷 Select * from VIP_customer Query 결과값 ( 개인정보 ) HTTP Request HTTP Response 정보외부전송 / 유출 해커 1) PC, 서버, DBMS 에무단저장된개인정보파일검출암호화 / 삭제 2) DB- DLP/WAS-DLP 개인정보처리시스템에대한접근통제 / 과다조회통제 3) Endpoint-DLP USB/ 출력물통한유출통제 4)WEB DLP 웹메일, 웹메신저, 웹하드, SNS 통한개인정보유출통제 21
개인정보보호기술적보호조치총합 ( 예 ) 솔루션분류설치위치기술적보호조치효과비고 ( 소만사 ) 방화벽, 웹방화벽, 침입차단 (IPS), 웹사이트개인정보노출통제 서버보안웹서버취약점점검외 Server DLP DB DLP / DB 방화벽 / 접근통제 WAS DLP 공개망네트워크 ( 사용자와웹서버사이 ) 웹서버등주요서버 웹서버및어플리케이션서버, DBMS 서버등주요한서버 네트워크 : 어플리케이션서버와 DBMS 서버사이 DBMS 서버와 DB 엔지니어사이 사용자와어플리케이션서버사이 / 웹어플리케이션 IP/PORT 필터링, 기초적인해킹패턴차단웹페이지에서노출된개인정보페이지분석및차단 웹서버의취약점주기적인점검, 비권한접근통제, 서버통합인증솔루션 서버에보관 ( 파일, DBMS) 된개인정보식별 / 삭제 / 암호화 DB 에대한접근통제, 감사로그축적, FTP, Telnet 접근통제와감사 ( 웹 ) 어플리케이션을통한 DB 의개인정보감사로그축적 / 과다조회경보 DB 암호화 Network DLP - Web DLP, Mail DLP Endpoint DLP/DRM/PC 보안 / 가상화 세이프브라우징 (SAFE-BROWSING ): 유해사이트차단및악성코드배포사이트차단 서버 (DBMS 서버 ) 에설치혹은어플리케이션서버에설치 (API 방식 ) 외 네트워크 Endpoint(PC) 네트워크 : 내부사용자와인터넷전송구간사이 DBMS에저장된개인정보보호 망분리네트워크분리혹은컴퓨팅가상화물리적 / 논리적인망분리 22 메일 (SMTP), 웹메일, 웹하드, 웹게시판, 메신저에의한개인정보및주요정보유츨방지 HTTPS 통한개인정보유출방지 EndPoint 에저장된개인정보파일에대한검출, 삭제, 암호화보관, USB 와출력물을통해서개인정보유출방지, 가상화를통한개인정보파일보호, 주요한개인정보파일중앙집중화 음란, 증권, 도박등유해사이트차단및악성코드배포웹페이지접속차단솔루션 (drive by download) 바이러스백신 EndPoint(PC), Server 외 ( 대부분 ) Endpoint 에서바이러스와악성코드차단
CONTENTS 4 개인정보유출방지솔루션 Mail-i Proxy, 유해사이트차단솔루션 WebKeepr Proxy 소개 23
HTTPS 통제의필요성 HTTPS 는전체트래픽의 10-25% 차지, 지속적증가세 1. 웹메일 : Gmail, NAVER, DAUM(2016 년 10 월 5 일 ) Hotmail(Outlook), Yahoo 등주요상용웹메일 2. 웹하드 : 구글드라이브, KTU 클라우드, 드롭박스, 네이버클라우드 ( 옵션 ) 등주요웹하드서비스 3. S N S : FACEBOOK, Twitter 등주요 SNS 서비스도모두 HTTPS 4. 클라우드서비스 : 사용자계정기반의글로벌서비스모두 HTTPS 상용웹메일웹하드 / 클라우드 SNS [ 차단만가능 ] [ 차단만가능 ] 24
HTTPS 통제의필요성 금융기관의경우개인정보유출사고시기관의업무정지까지가능하기에유출통제에최우선적인조치필요 대표적인개인정보 / 기밀정보유출채널은인터넷파일전송 인터넷서비스중 HTTPS웹서비스사용확대에따른자료유출통제강화대두 정보통신망법고시 개인정보의기술적관리적보호조치 4 조 9 항네트워크를통한유출방지규정 개인정보보호법고시 개인정보의안정성확보조치기준 5 조 4 항도동일 개인정보가홈페이지, P2P, 공유설정등 ( 네트워크 ) 를통하여공개, 유출되지않도록개인정보처리시스템및취급자의컴퓨터에조치 25
HTTPS 프락시작동원리 HTTPS 프락시는 MITM(Man in the Middle) 방식의원리를채택 HTTPS프락시는사용자와웹서비스사이에서암호화를중계해주는역할사용자와 HTTPS프락시사이에 SSL터널을구축하며 HTTPS프락시와웹서비스 ( 아래예에서는구글 ) 사이트에 SSL터널을제공 PC 설치된웹프락시 CA 인증서 웹프락시가발급한구글인증서 www.google.co.kr 구글공인인증서 (GeoTrust CA) www.google.co.kr HTTP HTTP 사용자 HTTPS 프락시 구글웹서버 www. google.co.kr 26
HTTPS 프락시구성 1G 이중화라인 FOD 사용의예 인터넷 인터넷 웹프락시 + DLP + 유해사이트차단 FOD FOD 웹프락시 + DLP + 유해사이트차단 27
28
29
30
31
DLP 관점 HTTPS 통제 (Mail-i) HTTPS 웹프락시는 HTTPS 전송데이터로깅과과다전송차단을위해서필수적 항목 Proxy Mirror 내용기반사전통제 내용분석후과다전송차단예 ) G-mail 주민번호 5 건이상전송시만차단 X 100% 차단보장패킷손실시차단제한 HTTPS 가시성확보 O( 웹메일본문과첨부화일 ) 불가 사용자단설치웹서버인증서설치필요없음 네트워크안정성 고가용성구성과로드밸런싱필요 다운시에도네트워크영향없음 성능고성능고성능 불필요한서비스는 webkeeper 로모두접속차단, 꼭필요한서비스는허용하고 mail-i 로모두로깅및과다전송시차단 32
Proxy: 상용웹메일통제 구글등 HTTPS 를사용하는상용웹메일에대해서읽기는허용, 쓰기는차단할수있습니다 Web 설정. 상용웹메일에서메일읽기가가능 상용웹메일에서 메일쓰기기능은차단 33
Proxy: SNS 계정별통제 FACEBOOK 등 SNS 에대해서특정한계정만을차단하거나허용할수있습니다 URL 호스트추가로도박계정접속차단 패턴추가로해당 ( 음란 ) 문자열이포함된 URL 접속차단 34
Proxy: 우회접속통제 구글번역서비스를프록시 (Proxy) 서버로이용하여차단사이트를우회할수있습니다 웹키퍼는프록시를통해서유해사이트에우회접속하는것을차단할수있습니다 구글번역서비스로음란사이트를쉽게우회접속가능 구글번역서비스를이용해도음란사이트우회접속불가 35
빅데이터검색 : 장기간검색 3 년치인터넷접속내역을 1~3 분이내검색가능 <3 년치악성코드배포사이트접속검색결과 > 기간 (3 년 ) 지정및악성코드카테고리지정 3 분내에악성코드배포사이트접속로그확인가능 36
유해사이트솔루션 HTTPS 통제 ( webkeeper) 항목 Proxy Mirror G-mail ( 읽기는허용하고 ) 쓰기만차단 페이스북보기는허용, 자료업로딩차단 O O 서비스자체차단만가능 상동 구글번역기우회접속차단 O 상동 HTTPS POST 사이즈차단 O( 특정사이즈이상데이터업로딩시차단 ) X HTTPS 접속차단페이지차단사이트수준차단 HTTPS 접속로그저장사이트수준 웹사이트악성코드다운로드여부 확인가능 X 안정성 HA 와 LB 구성검토필요안정성높음 37
빅데이터검색 : APT 공격분석가능 타기관에서신고된 C&C 서버 IP 에대해사내접속자를신속하게추출함으로써공격의확산을빠르게대처할수있습니다 < 최근발견된 C&C 서버 100 여곳에대해최근 3 개월치접속자검색결과 > 기간 (3 개월 ) 지정및 C&C 서버 IP 입력 3 분내에 C&C 서버접속한인원색출 요약기능으로상위 C&C 서버접속인원및사용자 IP 를쉽게확인가능 38
보안성지속서비스 웹키퍼는 6 년동안유해사이트차단분야국내최고수준의보안성지속서비스제공했습니다. 4 초에 1 회씩 (2015 년기준 ) 총 1200 만회이상 (12,555,581 회 ) 의웹키퍼 DB 보안업데이트를완료하였습니다 5 초에 1 회씩 (2015 년기준 ) 총 970 만회이상 (9,677,429 회 ) 의웹키퍼 DB 악성코드보안업데이트를완료하였습니다 39 39
악성코드배포사이트분석체계 40
감사합니다 41