요즘 회사의 핵심 기술 또는 신제품에 대한 기밀 문서를 내부직원이 유출하여 해당 기업에 수억에서 수백억의 피해가 발생했다는 보안 사고 관련 기사들이 심심찮게 등장하고 있습니다. 이는 IT가 발달하면서 회사 업무 대부분이 종이 문서가 아닌 전자문서로 이루어지고 있기 때문인데요. 업무 처리의 속도나 편의성은 개선된 반면, 자료의 유출 및 복제가 쉬워져서 메일 한 통, CD/DVD 한 장, USB 하나로도 큰 피해를 입을 수 있습니다.
그렇다면 우리는 어떻게 전자문서를 안전하게 지킬 수 있을까요?
‘전자문서’에 대해 ‘보안’을 한다는 것은?
본격적인 이야기에 앞서 우선 전자문서에 대한 정의를 알아보겠습니다.
‘정보통신망 이용 촉진 및 정보 보호 등에 관한 법률’에 따르면 전자문서란, ‘컴퓨터 등 정보 처리 능력을 가진 장치에 의하여 전자적인 형태로 작성되어 송수신되거나 저장된 문서 형식의 자료로서 표준화된 것’을 말합니다.
말 그대로 컴퓨터 등의 전자 기기와 방식을 이용해 생성된 문서라고 볼 수 있는데요. 간단하게 아래 한글, MS-Office, Acrobat 등의 문서 편집 프로그램에 의해서 생성•저장된 표준화된 문서 파일이라고 생각하시면 됩니다. 그 밖에 Txt, Auto-CAD, GIF/JPG 그림파일 형식 등 정보를 포함하고 있는 모든 파일이 전자문서에 포함됩니다.
그렇다면, 이러한 전자문서에 대해 보안을 한다는 것은 어떤 의미일까요?
이것은 쉽게 말해, 정당한 권한을 가진 사람에게만 전자문서에 대해서 저장•조회•편집•출력 등을 할 수 있도록 허가하는 것이라고 할 수 있습니다. 즉 허가되지 않은 행위들을 차단하는 것입니다. 그리고 더 나아가 전자문서의 위•변조를 방지하는 것까지 포함한다고 볼 수 있습니다.
그러나 워낙 다양하고 많은 전자문서의 종류와 유통 경로가 존재하기 때문에 이 모든 것들로부터 보안 위협을 완벽하게 차단하는 것은 결코 쉬운 일이 아닙니다.
보안이라는 것은 무조건 막는 것이 아니라 정당한 사용자는 안전하게 사용할 수 있도록 해 주는 것인데요. 이 과정에서 정당한 사용자뿐만 아니라 정당하지 않은 사용자까지 사용하게 되는 취약점, 즉 구멍(보안홀)이 함께 발생하게 되는 것입니다.
‘전자문서’ 보안 기술과 솔루션, 그 종류는?
앞서 언급한 것처럼 전자문서에 대한 보안 위협 사례가 다양한 만큼, 보안 기술과 솔루션도 다양한데요. 대표적인 것 몇 가지를 지금부터 함께 살펴보겠습니다.
1. DRM(Digital Right Management) : 전자문서를 암호화하여 보호한다!
DRM(Digital Rights Management)은 가장 처음 나온 전자문서 보안 기술이라고 할 수 있습니다. 이는 전자문서를 암호화해서 권한이 있는 사람만 복호화해서 사용할 수 있게 해 주는 기술인데요. 어찌 보면 가장 쉽고, 가장 강력한 방법이라고 할 수 있습니다.
다만 다양한 종류의 문서에 대해 암호화 및 복호화를 지원해야 하고, 회사 내의 많은 부서와 다양한 직급의 사람들을 통제해야 합니다. 또한 조회•수정•출력•사용 기간 등의 다양한 권한을 회사•외부•집 등의 다양한 장소에 맞춰 적용하고 관리해야 하므로 조금 복잡합니다. 그러나 제대로 적용하기만 한다면 가장 강력한 보안 수단임에는 틀림없습니다.
문서를 암호화하기 때문에 외부 유출 시에도 보호할 수 있다는 장점이 있는데요. 반면 단점은 다양한 문서 프로그램을 지원•통제하다 보니 프로그램 간의 충돌로 인한 장애가 많고, 전자문서의 중요도와 사용자에 따라 사용 권한을 차별적으로 부여해야 한다는 것입니다. 또한 사용 권한이 없는 사람에게는 보안을 해제해서 보내야 하는데요. 이 때 상위권자의 결재를 취득해야 하는 등의 사용상의 복잡함과 불편함이 존재합니다.
2. DLP(Data Loss Prevention : 외부로 나가는 전자문서의 경로를 차단한다!
많은 분들이 전자문서를 만들면 보통 이것을 자신의 PC에만 보관하고 있지는 않습니다. 메일• 메신저•웹하드 등을 통해 누군가에게 전달하거나 스마트폰•CD•USB 등의 이동 저장 매체에 담아서 외부에서 사용하고, 프린터로 출력하기도 합니다.
이처럼 내 PC에서 외부로 나가는 다양한 경로를 차단 또는 허용하고, 그 내용을 로그로 기록하여 사고 발생 시 추적할 수 있도록 하는 보안 통제 수단이 바로 ‘DLP(Data Loss Prevention)’입니다.
이는 메일•메신저•웹하드•P2P 등의 ‘온라인 경로’, CD•DVD•USB•스마트폰 등의 ‘오프라인 경로’, 프린터•팩스 등의 출력에 대한 차단•허용을 하게 되는데요. 모든 경로를 다 막을 수는 없고, 업무 수행을 위해서 메일•출력 등의 일부 경로는 허용하게 됩니다. 또한 사후 추적이 가능하다고는 하나 이미 밖으로 나가버린 전자문서를 회수할 수는 없다는 약점이 있습니다.
그러나 DLP는 현재 가장 기본적인 전자문서 보안 수단으로 사용되고 있는데요. 최소한의 경로만 오픈하고 나머지는 차단하며, 오픈된 경로에 대해서는 추가적인 보안 장치를 적용하는 등의 보안 대책이 많이 적용지고 있는 상황입니다.
3. 문서 중앙화 • Cloud-PC(SBC) : PC가 아닌 안전한 장소에 문서 모아 놓기!
문서 중앙화와 Cloud-PC는 비슷하면서도 다른 보안 수단입니다. 두 가지 모두 보안이 취약한 개인 PC에 저장하는 것보다 좀 더 안전하게 관리되는 서버에 저장함으로써 전자문서의 불법 유출을 방지하는 방법인데요.
우선, 문서 중앙화는 PC에서 만들어진 전자문서를 일정 기간 후에 자동•강제적으로 중앙의 서버로 이동시키는 것입니다. 그리고 Cloud-PC는 내 PC의 하드디스크가 아닌 중앙의 서버에서 제공하는 가상의 PC 환경 내에서 전자문서를 만들고 저장하는 것입니다.
문서 중앙화는 전자문서를 체계적으로 중앙에서 잘 분류•저장하기 때문에 전자문서의 불법 유출을 방지하고, 문서의 활용도를 높일 수 있습니다. 단, 전자문서의 분류•저장을 위해서는 해당 문서 정보를 일일이 등록해 줘야 한다는 불편함이 있습니다.
Cloud-PC(SBC-Server Based Computing)는 서버에서 제공하는 가상의 PC 환경을 사용하기 때문에 MS-Office 등의 문서 편집 프로그램도 가상의 PC 환경에서 동작하는데요. 문서 자체가 PC에서 만들어지지 않기 때문에 어찌 보면 문서 중앙화보다 보안성은 더 좋다고 볼 수 있습니다. 다만 아무래도 사용자별로 다른 PC 환경에 맞춰 제공해야 하기 때문에 많은 비용이 소요됩니다.
4. OA 기기(프린터 • 복합기) 보안
출력 보안은 프린터•복합기를 사용해서 출력•팩스전송•복사 등을 할 때, 먼저 사용자 인증을 수행하고, 어떤 내용을 출력•팩스전송•복사했는지를 로그로 남기는 것인데요. 이를 통해 보안 사고 발생 시 누가 했는지의 추적이 가능합니다.
프린터•복합기에 설치된 ID카드 인증 장치 등을 통해 출력자를 인증하며 해당 출력자가 보낸 파일만 출력할 수 있게 하는데요. 이는 프린터•복합기에 출력된 문서가 방치되어 있는 경우가 거의 없어지는 효과가 있습니다. 또한 내가 출력된 로그가 기록되기도 하고, 심지어 출력 횟수를 제한할 수도 있어서 출력 종이 감축을 통한 비용 절감 효과도 볼 수 있습니다.
지금까지 전자문서에 사용되는 많은 보안 기술•솔루션 중에서 대표적인 몇 가지를 좀 더 자세히 살펴보았는데요. 그러면 우리는 어떻게 전자문서 보안 대책을 수립해야 할까요?
전자문서 보안 적용을 위해 우리가 해야 할 것들!
1. 전자문서의 ‘현황’을 파악하라!
우선 전자문서에 대한 현황을 파악해야 합니다. 내가, 우리가, 그리고 회사가 어떤 문서를 어떻게 사용하고 있는지 파악하는 것이죠. 어떤 전자문서가 어떻게 사용되고 있다는 것을 알고 있어야만 어떤 보안 위협과 보안홀이 있고, 어떻게 막아야 할지 판단할 수 있기 때문입니다.
예를 들어, 전자문서 보안을 적용해서 차단했는데 나중에 알고 보니 업무상 반드시 필요한 것이었다고 가정해 봅니다. 이럴 경우 업무 처리가 제때 이루어지지 않아 회사 영업•매출에 악영향을 끼칠 수도 있습니다.
그래서 제일 중요한 것은 먼저 전자문서 유통에 대한 현황 파악을 하는 것입니다. 어떤 부서에서, 어떤 전자문서 편집 프로그램을 사용하고, 어떤 경로로 문서를 주고받고 있는지 파악하는 것이 필요한 것이죠.
2. 전자문서 종류 및 유통 경로를 최소화 • 최적화 하자!
전자문서의 현황을 파악했다면 다음으로 막는 방법을 고민해야 합니다. 하지만 그 전에 먼저 필요한 것이 있는데요. 전자문서는 종류가 다양하며, 유통 경로 또한 다양하고 많기 때문에, 모든 문서와 그 경로를 다 막으려면 많은 시간과 비용이 투자되어야 합니다. 따라서 업무상 반드시 필요한 전자문서를 정하여 최소한의 유통 경로만 사용을 허용하고, 권한이 필요한 최소한의 사용자에게만 허용하는 등 최소화•최적화가 필요합니다.
예를 들어 DRM을 적용해 암호화하려면, 해당 문서 편집 프로그램과 DRM이 연동되어 통제할 수 있어야 하는데요. 문서 편집 프로그램이 업그레이드되면 DRM도 업그레이드되어야 하며, 새로운 문서 편집 프로그램을 사용하면 DRM도 해당 문서 편집 프로그램을 지원하도록 변경되어야 합니다.
그리고 혹시라도 DRM이 지원하지 못하는 프로그램이라면 암호화되지 않은 채로 전자문서가 존재하게 될 수 있는데요. 따라서 사용 가능한 문서 편집 프로그램을 통제하기 위한 별도의 보안 대책이 필요합니다. 또한 PC의 문서 편집 프로그램을 검사해서 허가되지 않은 문서 편집 프로그램을 삭제 또는 작동되지 않도록 하는 등의 보안 대책도 요구됩니다.
3. 체계적이고 종합적인 보안 대책을 적용하자!
전자문서 종류 및 유통 경로를 최소화•최적화 했다면, 이에 맞는 보안 대책을 수립하고 적용해야 할 텐데요. 보안 대책의 효율성을 높이기 위해서는 DRM, DLP 등의 기술적인 보안 대책뿐만 아니라 출입 통제, 반출입 통제 등의 물리적인 보안 및 보안 교육, 보안 감사 등의 관리적인 보안과 종합적인 보안 대책의 적용이 필요합니다. PC에서 메일•메신저•USB로 가는 경로를 다 막는다고 해도, PC를 통째로 들고 나가는 것을 막지 못한다면 결국은 아무 소용이 없기 때문이죠.
특히 보안대책을 적용할 때는 사용자와 부서의 특성에 맞는 정책을 수립하고 적용해야 하는데요. 연구소의 거의 모든 문서는 외부로 나가면 안되므로 보안 정책을 강하게 적용하고, 영업 부서는 잦은 외근 특성에 맞게 외부에서 문서를 사용할 수 있도록 해 주는 등 사용자와 부서 특성에 맞는 보안 정책을 체계적으로 수립•적용해야 합니다.
모든 보안이 그렇지만 전자문서 보안 역시 모든 것을 막기도 어렵고, 어느 하나만 잘 막는다고 해결되지는 않습니다. 가능한 모든 보안 위협을 파악하여 체계적이고 종합적인 보안 대책을 수립•적용해야 보다 철저하게 전자문서의 유출을 방지하고 차단할 수 있습니다.
4. 지속적으로 보안을 관리하자!
보안 대책을 적용했으면 되는 것이지 또 무엇이 필요하냐고 말씀하시는 분들이 있을지도 모르겠습니다. 하지만 처음에 보안을 잘 적용했다고 해도 업무 처리상 불편을 이유로 일부 사용자를 예외로 하거나, 급히 처리해야 할 일이 있는 경우 일시 허용해 달라고 하는 등 보안 정책의 예외를 요청하는 경우가 계속 생길 수 있습니다.
또한 퇴사•전배 등 인사 이동에 따른 권한 처리가 제대로 되지 않아서 특정 사용자에게 불필요한 예외 권한이 부여되는 등 보안홀이 점점 생겨나기도 합니다.
게다가 IT가 계속 발달하고 있기 때문에 새로운 해킹 기술, 보안 위협도 지속적으로 발생하는데요. 이러한 새로운 보안 위협에 대응하기 위해서는 현재 적용된 보안 현황을 다시 잘 파악해야 합니다. 그리고 불필요한 것은 다시 차단하고 신규 보안 위협에 대응하기 위한 추가적인 보안 정책의 수정•강화 등 지속적인 변화와 관리가 요구됩니다.
특히 최근에는 스마트폰이 대중화되면서 스마트폰을 이용한 사진 촬영이 정보 유출의 주요한 수단 중 하나가 되었는데요. 그 결과 스마트폰, 카메라 등의 촬영 기기를 검색해서 내부 유입을 아예 차단하거나, 카메라 렌즈 부분에 보안 스티커를 붙여서 촬영을 못하도록 하거나, 스마트폰에 보안 프로그램을 설치해서 카메라 기능을 사용하지 못하게 하는 등의 방법이 사용되고 있습니다. IT가 발전할수록 보안 기술•솔루션도 함께 발전해 나간다고 볼 수 있습니다.
결국 지속적으로 전자문서 보안에 대해서 관심을 갖고, 보안 계획을 수립•적용, 운영, 점검, 개선하는 등 ‘Plan-Do-Check-Act’의 보안 관리를 수행해야만 보안 수준을 유지할 수 있다는 것인데요. 여기에서 또 한 가지 우리가 기억해야 하는 것은 바로 사람입니다. 전자문서에 대한 보안 관리를 위해서는 이를 담당할 보안 담당자, 즉 사람이 필요한 것이죠.
다른 모든 보안도 마찬가지이지만 사람이 충분하지 않으면 제대로 된 보안 관리가 이루어지지 않습니다. 보안 대책이 늘어날수록 그에 맞춰 이를 관리할 수 있는 적절한 보안 인원 확충이 따라야 보안 대책이 제대로 작동할 수 있습니다.
지금까지 전자문서 보안에 관한 이모저모를 함께 살펴보았습니다. 전자문서 보안 중에는 기업문화에 중대한 영향을 미치는 것들도 있습니다. 기존에 편의성 위주로 운영되던 업무 프로세스가 보안 때문에 복잡해지거나 어려워지면 임직원들의 반발이 심해지기 때문이죠.
그 동안에는 외근을 하거나 집에서 일을 하기 위해 전자문서를 외부 PC, 개인 PC 등에서 사용하거나, 회사 메일이 아닌 네이버, 구글 등의 포털 메일을 쓰고, USB 등에 전자문서를 들고 다니면서 어느 곳에서나 사용해 왔습니다. 하지만 기존처럼 전자문서를 편리하게 사용하지 못한다면 불편을 호소하기 마련입니다.
그래서 전자문서 보안은 임직원의 보안의식 개선이 동반되어야 하며, 이를 위해서는 임원진의 강력한 추진 의지 또한 필요합니다. 전자문서 보안도 결국은 사람이 하는 것이기 때문입니다. 임직원의 보안의식이 높아져야 보안 대책이 효율성이 있으며, 보안 사고를 예방할 수 있다는 점 잊지 마세요.
글 ㅣ LG CNS 보안컨설팅팀
[‘보안컨설팅 A to Z’ 연재 현황 및 향후 계획]
● 1편 출입카드 복제 위험 : http://blog.lgcns.com/737
● 2편 통합보안 관리 솔루션 구축 시 고려사항 : http://blog.lgcns.com/751
● 3편 의료분야 개인정보보호 위반사례 및 대응방안 : http://blog.lgcns.com/779
● 4편 보안 위험 분석 방법론의 한계와 발전방향 :
http://blog.lgcns.com/812 (上)
http://blog.lgcns.com/813 (下)
● 5편 물리보안 동향 : http://blog.lgcns.com/856
● 6편 보안관리체계 도입하기 : http://blog.lgcns.com/869
● 7편 IoT 보안 취약점 및 대응방안 : http://blog.lgcns.com/896
● 8편 금융권 망분리 가이드라인 : http://blog.lgcns.com/922
● 9편 전자문서 보안 : http://blog.lgcns.com/945
● 10편 공공기관 모바일 보안
