금융권 차세대 프로젝트를 진행할 때 빠지지 않는 것이 있습니다. 바로 ‘DB 암호화’인데요. 그렇다면 DB 암호화는 왜 해야 하는 걸까요?
기업 내 고객정보와 같은 중요 정보는 주로 데이터베이스(DB) 내에 저장하게 되는데요. 이런 중요 정보를 안전하게 보호하기 위해 암호화해 보관하게 됩니다. 개인정보보호법 등과 같은 법령에서 개인정보를 안전하게 저장 및 전송해야 한다고 규정하고 있죠. 이를 지키지 않으면 벌금이나 과태료를 내야 합니다.
그럼 어떤 정보를 어떻게 암호화해야 할까요? <개인정보의 암호화 조치 안내서(2021년 개정판)>를 살펴보면 반드시 암호화해야 하는 정보를 알 수 있습니다.
법령에서 규정하는 암호화 항목
개인정보보호법에서 말하는 암호화 대상 항목
비밀번호 암호화 조치
(본인 식별 및 인증 시) 바이오 정보 암호화 조치
암호화 적용 기준 요약표
또한 금융권에 속하는 금융회사들은 신용정보에 대해서도 추가로 암호화해야 합니다. 금융회사가 의무적으로 암호화를 적용해야 하는 항목을 알아보겠습니다.
금융회사의 법령상 암호화 적용 의무 항목
위와 같이 암호화 적용 기준 관련 법령을 알아보았습니다. 실제로 현재 진행 중인 모 프로젝트에서도 관련 법령에 따라 DB 암호화 정책(안)을 다음과 같이 수립했습니다.
일반 DB의 경우, 암호화를 적용하려면 개인정보의 길이가 늘어나거나 타입이 변경되고 원시 테이블의 구조 변경이 필요합니다. 그런데 이러한 변경은 응용시스템 수정이나 DB 성능 저하와 같은 문제를 발생시킬 수 있습니다. SAP DB에서는 데이터 구조 변경에 여러 가지 제약을 가지고 있어 일반 DB 암호화와는 다른 방식이 필요합니다.
SAP DB의 특성 및 고려사항
SAP DB의 특성과 고려해야 할 사항을 알아보겠습니다.
1) SAP Table은 잘 정의된 Data element를 이용해 데이터 유형을 표준화하고 가독성을 높이는 구조를 가지고 Domain의 기술적인 속성을 참조해 필드의 속성을 정의합니다. 필드를 정의할 때 반드시 Data element를 써야만 하는 것은 아니지만, 프로그램 개발의 품질과 생산성을 위해 Data element를 이용해 Field를 정의합니다. SAP DB 암호화 적용 시 일반 DB 암호화 방식을 적용하면 데이터의 속성이 변경되고 테이블 구조 변경이 발생하게 됩니다.
2) SAP 시스템은 유지보수 시 지속적인 기능 변경과 업데이트가 발생합니다. 따라서 SAP 표준을 준수하지 않는 Data 구조로 변경되면 향후 업데이트 시 제약사항이 되어 곤란하죠. SAP 솔루션은 표준기능에 영향을 미치지 않는 범위에서 추가 기능을 개발하는 것을 허용합니다. 하지만, 표준으로 제공하는 기능이나 프로세스가 회사의 환경에 맞지 않는 경우 일부 기능을 개발하고 추가할 수 있는데요. 이것을 CBO(Customer Bolt-On)라고 합니다. 하지만 SAP 표준 기능을 직접 변경하는 작업, 예를 들어 표준 테이블의 필드를 변경하거나 프로그램 코드를 변경하는 것은 권장하지 않습니다.
3) SAP 시스템은 ‘ERP(Enterprise Resource Planning, 전사자원관리)’로 기업의 경영 및 관리를 위한 시스템입니다. 회사 내 각 부문에 걸쳐 개별적으로 운영되던 각종 경영자원을 하나의 시스템에서 통합 관리함으로써 생산성을 극대화하죠. 기업 전체 시스템이 유기적으로 연관돼 데이터를 입력하게 되면 ERP 시스템으로 데이터가 실시간 연계되므로 DB 암호화 적용 시 장애 및 연관된 시스템에 대한 영향도를 사전에 고려해야 합니다.
일반 DB에 대한 암호화 방식은 Plug-in 방식과 API 방식을 이용해 DB 암호화를 수행하는데요. 평문을 암호화하기 위해 테이블 필드 길이 사이즈 변경 등 구조변경이 발생하게 됩니다. 그래서 앞서 말한 SAP DB의 특성을 고려해 테이블 구조변경 없이 암호화하는 토큰 암호화 방식을 사용하게 됩니다.
지금까지 법령에서 규정하는 암호화 항목과 SAP DB의 특성 및 고려사항을 알아보았습니다. 다음 글에서는 SAP 암호화 방식을 자세히 살펴보도록 하겠습니다.
[참고]
개인정보의 암호화 조치 안내서 (2021년), 개인정보보호위원회
금융분야 개인정보보호 가이드라인(2020년) , 한국인터넷진흥원
SAP DB 암호화에 대한 고찰, 정보보호학회지 제23권 1호, 2013.2
SAP 데이터 암호화의 두 가지 방식 – 지디넷코리아 (https://zdnet.co.kr/view/?no=20150227064038)
글 ㅣ LG CNS 사이버시큐리티팀 김진환 책임
