2011.09.29

데이터 유출 방지를 위한 4가지 방법

Tam Harbert | Computerworld
기업 데이터 유출 방지를 위한 DB 보안 가이드 발간

 
보통 IT 담당자들은 항상 보안에 대해 더 신경을 써야 한다고 생각한다. 그러나 최적의 보안을 위해 필요한 시간, 예산, 그리고 인력이 부족하다. 정말 그럴까?
 
 
데이터 유출에 대한 최근 보고서에서 버라이즌은 2008년 첫 보안 보고서를 발간한 이후 지금까지 IT 보안은 그다지 개선되지 않았다는 실망스러운 결론을 내렸다. 구성을 변경하고 기존 관행을 고치는 것이 대대적으로 재배포 하거나 완전히 새로운 제품을 구매하는 것보다 훨씬 더 많은 문제를 해결한다고 설명했다.
 
그렇다면 데이터 유출을 포착하거나 방지하는 능력을 높여주는 값싼 방법과 프로세스란 대체 무엇일까? IT 관리자와 컨설턴트의 의견을 취합해서 컴퓨터월드가 선정한 기본적인 방법들을 살펴보자.
 
로그만 하지 말고 모니터링하라
버라이즌 연구 결과 데이터 유출의 87%가 로그에 증거를 남겼지만, 60% 정도는 사건의 최초 확인 주체가 내부가 아닌 외부였다. 중요한 것은 로깅과 모니터링의 개념을 혼동하지 않는 것. 로깅은 기록이고 그 로그를 살펴보는 것이 모니터링이다.
 
작은 회사라면 직접 로그를 살펴보는 것이 가능하지만, 규모가 클수록 데이터 분량이 방대해서 직접 살펴보는 것이 불가능한 경우가 많다. 여기서 해결방안은 두 가지이다. 하나는 로그를 검토하지 않거나, 또 다른 하나는 로그를 자동으로 모니터링하고 분석하는 고급 소프트웨어를 사용하는 것이다.
 
버라이즌 보고서는 그 중간 지대를 택할 것을 권장한다. 즉, 바늘을 찾지 말고 건초더미를 보라는 이야기다. 기술의 도움을 받든 직접 검토하든 큰 변화, 즉 로그 내에서 예외적으로 길이가 긴 행, 데이터 볼륨의 급작스러운 변경 등에 주목하는 것이 중요하고 지적했다.
 
네트워크 구성 조정하기
네트워크가 확장되면 보안은 취약해질 수 있기 때문에 주의가 필요하다. 여기서 필요한 프로세스는 대략 세 가지로 볼 수 있다. 먼저, 새 애플리케이션을 설치할 때 액세스 권한이 잘못 지정되지는 않는지 확인해야 한다. 
 
두 번째로는 서버를 설정할 때 서버에서 지속적인 인터넷 엑세스가 필요한지 확인하고, 서버의 인터넷 엑세스를 제한해야 한다. 이렇게 하면 사용자와 서버 간의 활동을 모니터링하고 비정상적인 트래픽을 찾기가 쉽다.
 
마지막으로, 회사 설비를 점검해서 사업부 또는 직원이 개인적으로 설치한 무단 무선 네트워크가 있는지 확인해야 한다. 흔히 볼 수 있는 가장 큰 보안 위협은 암호화되지 않는 무선 네트워크이다. 크기를 불문하고 모든 기업에게 해당되는 방법은 무단 무선 네트워크를 없애거나 암호화하는 것이다. 암호화를 사용하는 회사라면 WEP 키를 자주 변경하거나 더 강력한 암호화 방법을 도입해야 한다.
 
사용자 교육
보안 강화 측면에서 지속적인 교육의 중요성은 간과되곤 한다. 회사에서 개인 사용자용 기술이 많이 사용되는 지금은 어느 때보다 더 사용자 교육이 필요하다. 보안의 신뢰 고리에서 최종 사용자의 비중이 점점 더 커지고 있으며, 적절한 교육은 위험 감소 측면에서 큰 효과를 볼 수 있다.
 
예를 들어 약한 암호는 모든 IT 부서에게 재난의 원인이 되는데, 직원들에게 암호 변경을 지시하기 전에 강력한 암호 만들기에 대한 교육을 하면 효과적이다. 이는 기업의 보안을 강화할 뿐만 아니라, 직원 개인의 안전도도 높일 수 있다. 
 
또한 감시의 중요성도 과소평가하면 안 된다. 사용자에게 지속적으로 감시되고 있음을 상기시키면 보안 정책에 대한 인식을 높여 정책 위반을 억제할 수 있다. 
 
액세스 권한을 문서화하고 모니터링
누가 어떤 수준의 데이터 액세스 권한을 갖는지 추적하고 확인하는 절차를 만든다. 엑세스에 관한 서류 양식을 작성하고 관리자의 서명을 받도록 하면, 데이터 유출을 완전히 차단하지는 못하더라도 최소한 서류를 통한 추적 경로는 마련할 수 있다.
 
정기적이고 지속적인 감사 절차 외에는 대안이 없다. 데이터 유출을 자동으로 파악해서 알리는 경고 시스템을 설정하는 방법은 아직 없기 때문이다. 
 
기업 데이터 유출 방지를 위한 DB 보안 가이드 발간
DB 보안에서는 무엇보다도 데이터를 안전하게 저장, 전송, 관리하는 암호화 기술이 필수적이다. 한국 IDG가 발간한 테크 포커스 ‘기업 데이터 유출 방지를 위한 DB 보안 가이드’에서는 암호화 기술의 기초부터, 최근 주목 받고 있는 개인 정보 유출 방지를 위한 DB 암호화 기술, 그리고 앞에서 설명한 데이터 유출 방지를 위한 4가지 방법에 대해 더 자세히 알아본다.
 
기업 데이터 유출 방지를 위한 DB 보안 가이드는 ITWorld의 테크라이브러리에서 무료로 다운로드 받을 수 있다. editor@itworld.co.kr


2011.09.29

데이터 유출 방지를 위한 4가지 방법

Tam Harbert | Computerworld
기업 데이터 유출 방지를 위한 DB 보안 가이드 발간

 
보통 IT 담당자들은 항상 보안에 대해 더 신경을 써야 한다고 생각한다. 그러나 최적의 보안을 위해 필요한 시간, 예산, 그리고 인력이 부족하다. 정말 그럴까?
 
 
데이터 유출에 대한 최근 보고서에서 버라이즌은 2008년 첫 보안 보고서를 발간한 이후 지금까지 IT 보안은 그다지 개선되지 않았다는 실망스러운 결론을 내렸다. 구성을 변경하고 기존 관행을 고치는 것이 대대적으로 재배포 하거나 완전히 새로운 제품을 구매하는 것보다 훨씬 더 많은 문제를 해결한다고 설명했다.
 
그렇다면 데이터 유출을 포착하거나 방지하는 능력을 높여주는 값싼 방법과 프로세스란 대체 무엇일까? IT 관리자와 컨설턴트의 의견을 취합해서 컴퓨터월드가 선정한 기본적인 방법들을 살펴보자.
 
로그만 하지 말고 모니터링하라
버라이즌 연구 결과 데이터 유출의 87%가 로그에 증거를 남겼지만, 60% 정도는 사건의 최초 확인 주체가 내부가 아닌 외부였다. 중요한 것은 로깅과 모니터링의 개념을 혼동하지 않는 것. 로깅은 기록이고 그 로그를 살펴보는 것이 모니터링이다.
 
작은 회사라면 직접 로그를 살펴보는 것이 가능하지만, 규모가 클수록 데이터 분량이 방대해서 직접 살펴보는 것이 불가능한 경우가 많다. 여기서 해결방안은 두 가지이다. 하나는 로그를 검토하지 않거나, 또 다른 하나는 로그를 자동으로 모니터링하고 분석하는 고급 소프트웨어를 사용하는 것이다.
 
버라이즌 보고서는 그 중간 지대를 택할 것을 권장한다. 즉, 바늘을 찾지 말고 건초더미를 보라는 이야기다. 기술의 도움을 받든 직접 검토하든 큰 변화, 즉 로그 내에서 예외적으로 길이가 긴 행, 데이터 볼륨의 급작스러운 변경 등에 주목하는 것이 중요하고 지적했다.
 
네트워크 구성 조정하기
네트워크가 확장되면 보안은 취약해질 수 있기 때문에 주의가 필요하다. 여기서 필요한 프로세스는 대략 세 가지로 볼 수 있다. 먼저, 새 애플리케이션을 설치할 때 액세스 권한이 잘못 지정되지는 않는지 확인해야 한다. 
 
두 번째로는 서버를 설정할 때 서버에서 지속적인 인터넷 엑세스가 필요한지 확인하고, 서버의 인터넷 엑세스를 제한해야 한다. 이렇게 하면 사용자와 서버 간의 활동을 모니터링하고 비정상적인 트래픽을 찾기가 쉽다.
 
마지막으로, 회사 설비를 점검해서 사업부 또는 직원이 개인적으로 설치한 무단 무선 네트워크가 있는지 확인해야 한다. 흔히 볼 수 있는 가장 큰 보안 위협은 암호화되지 않는 무선 네트워크이다. 크기를 불문하고 모든 기업에게 해당되는 방법은 무단 무선 네트워크를 없애거나 암호화하는 것이다. 암호화를 사용하는 회사라면 WEP 키를 자주 변경하거나 더 강력한 암호화 방법을 도입해야 한다.
 
사용자 교육
보안 강화 측면에서 지속적인 교육의 중요성은 간과되곤 한다. 회사에서 개인 사용자용 기술이 많이 사용되는 지금은 어느 때보다 더 사용자 교육이 필요하다. 보안의 신뢰 고리에서 최종 사용자의 비중이 점점 더 커지고 있으며, 적절한 교육은 위험 감소 측면에서 큰 효과를 볼 수 있다.
 
예를 들어 약한 암호는 모든 IT 부서에게 재난의 원인이 되는데, 직원들에게 암호 변경을 지시하기 전에 강력한 암호 만들기에 대한 교육을 하면 효과적이다. 이는 기업의 보안을 강화할 뿐만 아니라, 직원 개인의 안전도도 높일 수 있다. 
 
또한 감시의 중요성도 과소평가하면 안 된다. 사용자에게 지속적으로 감시되고 있음을 상기시키면 보안 정책에 대한 인식을 높여 정책 위반을 억제할 수 있다. 
 
액세스 권한을 문서화하고 모니터링
누가 어떤 수준의 데이터 액세스 권한을 갖는지 추적하고 확인하는 절차를 만든다. 엑세스에 관한 서류 양식을 작성하고 관리자의 서명을 받도록 하면, 데이터 유출을 완전히 차단하지는 못하더라도 최소한 서류를 통한 추적 경로는 마련할 수 있다.
 
정기적이고 지속적인 감사 절차 외에는 대안이 없다. 데이터 유출을 자동으로 파악해서 알리는 경고 시스템을 설정하는 방법은 아직 없기 때문이다. 
 
기업 데이터 유출 방지를 위한 DB 보안 가이드 발간
DB 보안에서는 무엇보다도 데이터를 안전하게 저장, 전송, 관리하는 암호화 기술이 필수적이다. 한국 IDG가 발간한 테크 포커스 ‘기업 데이터 유출 방지를 위한 DB 보안 가이드’에서는 암호화 기술의 기초부터, 최근 주목 받고 있는 개인 정보 유출 방지를 위한 DB 암호화 기술, 그리고 앞에서 설명한 데이터 유출 방지를 위한 4가지 방법에 대해 더 자세히 알아본다.
 
기업 데이터 유출 방지를 위한 DB 보안 가이드는 ITWorld의 테크라이브러리에서 무료로 다운로드 받을 수 있다. editor@itworld.co.kr


X