인문교양

■ 책 소개

기업정보보안의 핵심을 한 권에 담은 책!!
그렇게 털리고도 번번이 당하는 당신, 이제 달라질 때다

정보가 기업의 주요 자산이 된 오늘날, 이제 더 이상 물리적 보안과 네트워크 보안만으로는 자산을 지킬 수 없다. 웹이 우리 생활의 많은 부분을 차지하고 있고, 그 안에 개인과 기업 자산에 직접적인 영향을 줄 수 있는 정보들이 담겨 있기 때문에, 웹 위협에 대해 정확하게 인지하고 대응하는 작업은 꼭 필요한 일이며 너무도 당연한 일이다. 웹 보안이 선택이 아닌 필수인 시대가 온 것이다.

오늘날 IT 보안의 중심은 네트워크와 서버 등 IT 인프라를 보호하는 보안으로부터 데이터와 애플리케이션을 보호하는 보안으로 이동하고 있다. 이는 지켜야 할 진짜 가치가 무엇인지 깨닫는 과정이다. 정말 지켜야 할 가치는? 물론 데이터다. 그리고 데이터를 가장 안전하게 지키는 방법은 ‘암호화’다.

데이터는 애플리케이션을 통해 이동한다. 그리고 현재 애플리케이션의 주요 환경은 웹이다. 통신기술뿐 아니라 시스템 환경에서부터 사용자 인터페이스에 이르기까지, 모든 IT 기술이 웹으로 통합되고 있다. 앞으로는 모든 애플리케이션이 웹 환경에서 개발되고 운용될 것이다.

웹 애플리케이션 보안을 강화하고, 데이터를 암호화하는 것은 결국 기업의 몫일 수밖에 없다. 그걸 개인이 할 수 있는 일이 아니라는 건 누가 봐도 안다. 하지만 기업 현장의 경영자들은 IT 시스템 관련 지식이 거의 전무한 상태. 기술 실무는 전문가에게 맡긴다 하더라도, 그들과 테이블에 앉았을 때 적어도 비용지출과 관련된 대화는 통해야 하지 않겠는가.

이 책은 바로 그런 경영자들을 대상으로 만들어졌다. 수준 높은 보안성을 확보하는 것은 개인과 기업의 미래 경쟁력이다. 무작정 어렵다며 손사레만 칠 것이 아니라 기본부터 차근차근 배워보자. 모르는 게 있다면 주변에 있는 IT기기들을 활용하라. 꼭꼭 씹어가며 천천히 따라 읽다보면, 적어도 세간에 떠도는 기사의 내용을 분별할 수 있을 만큼의 상식은 갖게 될 것이다.

■ 저자
박지훈
한국예술종합학교 영상원 졸업. TV, 영화, 광고, 애니메이션, 게임, 출판 등 대중문화 콘텐츠 기획자. 현재 보안전문기업 펜타시큐리티의 정보보안연구소 ‘TOSLab’ 편집장으로서, 복잡하고 난해한 IT 기술을 비기술자들도 쉽게 이해할 수 있게끔 돕는 ‘Simple & Easy’ 출판 프로젝트를 맡고 있다.
ghpak@pentasecurity.com
 
펜타시큐리티
펜타시큐리티는 1997년 설립된 암호화 기술을 기반으로 한 정보보안 소프트웨어 전문기업이다. 웹 보안, 인증보안, 데이터 암호화 등 기업정보보안 각 분야 시장 점유율 국내 1위 제조사로서 국내외 시장을 선도하고 있다.
https://www.pentasecurity.com/

■ 차례
머리말

part 01. ICT 리스크, 실상과 허상
소를 잃을 수밖에 없는 외양간 | 하인리히 법칙, 절벽 끝에 매달린 보안 | 그들이 유출에 대비하는 법 | 공인인증서의 허와 실 | 소 잃고 엉뚱한 외양간 고치기, 이젠 지겨워 | 정보보안은 기업의 몫이다 | 금고에 든 돈을 지키는 일 | ‘연애의 목적’만큼 중요한 ‘보안의 목적’ | 손자와 프리드리히에게 배우는 보안 | “내가 간첩이다” | 이제는 공부를 해야 할 때 | 보안 기술이란?

part 02. 정보보안의 핵심, ‘웹 보안’과 ‘데이터 암호화’
정보보안 엑기스? | 완벽한 보안은 없다! 데이터만 사수하라! | 웹 보안은 선택이 아닌 필수다 | 웹 위협의 심각성 | 웹 공격의 유형 | ‘전자상거래’는 죄가 없다 | 웹 보안의 정석 | 실전 웹 보안 | 데이터 암호화에 대해 반드시 알아야 할 것들 | 바람직한 데이터 암호화 시스템 | 플랫폼과 데이터 암호화 | 가장 중요한 데이터 암호화 | 아예 통째로 암호화해버려? | 데이터 암호화, 그리고 접근제어 | ERP 시스템의 데이터 암호화 | 나만 안전하면 된다? | ‘누구’인지 밝혀라

part 03. ICT 신조류의 도전, 보안의 응전
웹사이트는 ‘홈페이지’가 아니다! | 본격 ‘웹 시대’, 기업보안의 3대 요소 | 사물인터넷과 정보보안 | 목숨이 걸린 자동차 보안! | 클라우드 보안 | 빅데이터, 정체를 밝혀라 | ‘데이터=패턴’, 빅데이터를 활용한 정보보안 | 개인정보 비식별화 | 메신저, 내 대화를 지켜줘 | 발등 찍는 도끼 ‘SSL 암호화 통신’ | 양자 컴퓨터? | ‘핀테크 보안’도 결국, 웹 보안 & 데이터 암호화!

맺음말

한국은 전형적인 리스크 테이킹, 그러니까 위험 감수 사회다. 기업들 그리고 국민들은 안전비용이 빠진 저렴한 상품과 서비스를 은연중에 선호한다. 생산과 소비의 효율과 속도를 높일 수만 있다면 웬만한 리스크는 서로 눈감아주고, 위험을 예방하기 위한 비용 지불에는 매우 인색하다. 하지만 끊임없이 이어지는 각종 사고로 인해 그동안 밀린 위험 감수의 대가를 우리 사회가 한꺼번에 지불해야 한다는 점이 이제 명백해졌다.

오늘날 기업이 직면한 가장 살벌한 리스크는? 기업 경영에 있어 가장 위험한 리스크(2013 Global Risk Survey, 22개국 50개 기업 대상, 3항 선택 설문) 1위는 경제 불확실성(55%, 1항 선택시 29%), 2위는 사이버 위험(50%, 1항 선택시 19%)이다. 하지만 경영 일선에서는 둘의 순서를 바꿔 불만을 호소하는 경우가 더 많다.

사이버 위협의 가장 심각한 문제는 들어도 무슨 소리를 하는 건지 도대체 모르겠다는 점, 책을 찾아봐도 완전 기술서가 아니면 사이버 경영서뿐이라 배우고 싶어도 배울 수가 없다는 점이다. 경영과 기술 사이의 갭은 날로 벌어져 이 틈새 노린 범죄자와 사기꾼들이 드글거리는 실정이다. 이는 경영뿐 아니라 기술 입장에서도 결코 즐거운 일 아니니, IT 업계의 가장 큰 리스크는 난해함이라는 주장이 나오는 상황이다. 한마디로, ICT 리스크의 복잡함은 그 자체로 위기다.

어떤 문제에 대해서든 집단의 책임을 먼저 묻는 사회가 있고 개인의 책임을 더 따지는 사회가 있다. 우리나라는? 글쎄, 대체로 개인의 책임을 더 따지지 않던가? 따라서, 보안 문제 또한 개인에게 맡기는 경우가 많다. 보안하면 무엇이 먼저 떠오르는가? 대개의 독자들이 백신을 가장 먼저 떠올릴 것이다. 정보보안=백신의 등식이라면 정보보안은 개인이 알아서 하는 것이라는 함의를 품고 있다고 봐도 지나친 것이 아닐 게다.

2014년 초 대규모 정보유출 사고가 발생했을 당시 "어리석은 사람은 무슨 일이 터지면 책임을 따진다. 금융 소비자도 정보를 제공하는 단계에서 신중해야 한다. 정보 제공에 동의하지 않았느냐?"라는 부총리의 발언은 파장이 매우 컸다. 국민을 무시하는 오만한 정치인의 전형적인 예라고 비난받음과 동시에 이 또한 우리 사회가 정보보안에 대해 어떤 인식을 가지고 있는지 아주 잘 보여주는 사례가 되었다.

정보보안 사고는 일단 사회나 기업 시스템의 실패에 따른 인재(人災)로 해석할 필요가 있다. 시스템의 모순을 집약적으로 보여주는 사건임이 명백함에도 개인의 책임으로 돌리려는 습성이 있는데, 이는 문제를 일으킨 집단이 피해 규모를 축소하려고 부리는 수작임은 따로 말할 필요도 없을 것이다. 단언컨대 보안은, 집단의 몫이어야 한다. 책임 소재와는 맥락이 다른 이야기다. 책임은 건마다 경우가 다르니 뭐라 잘라 말하기 어렵지만, 보안의 실천만큼은 엄연히 기업이 먼저 달려들어야 할 일이다.

기업의 정보활동은 크게 세 가지로 나눌 수 있다. 정보 수집을 통한 리스크 분석, 표적 분류 작업, 다른 기업이 벌이는 정보전 대항활동이 그것이다. 리스크 분석이란 기업이 안전하고 효율적으로 사업을 운영하는 데 있어 필요한 배경 정보를 진단하는 일이다. 표적 분류 작업이라면 적이 노릴 만한 위험요소에 대한 상세한 정보 수집을 뜻한다. 분류 작업 없이 쌓기만 한 정보는 아무 가치가 없다. 어쩌면 가장 중요한, 정보전 대항활동이란 그야말로 정보보안이라 부르는 제반 내용들이다. 기업의 정보자산을 지키기 위한 모든 종류의 노력으로서 정보보안뿐 아니라 물리보안 활동까지 모두 포함한다.

원하든 원치 않든 비즈니스는 전쟁이고, 적자생존이다. 전쟁에 있어 정말 긴요한 정보는 적의 사정에 정통한 정보원을 통해서만 얻을 수 있다. 이에 집중했던 인물 중 대표적인 사람이 손자병법의 손자다. 그가 가장 높이 쳤던 전쟁 요소가 바로, 간첩이다. 손자는 "밀정은 신의 경지이자 임금의 보배"라 말하며 향간, 내간, 반간, 사간, 생간 등 다섯 가지로 분류했다. 손자의 간첩 범주는 오늘날까지도 그대로 이어진다. 잠입공작, 이중간첩, 접촉공작, 비밀공작 등 다른 이름으로 불릴 뿐이다.

동양에 손자가 있다면, 서양에는 프러시아의 프리드리히 대제가 있다. 프리드리히 대제가 가장 중요하게 여겼던 점 또한 손자와 마찬가지로 정보의 중요성이다. "싸움에서 진 부대는 용서받을 수 있다. 그러나 허를 찔린 부대는 결코 용서받을 수 없다." 간첩은 있다. 늘 있다고, 그리고 많다고 생각해야 한다. 어떠한 상황에서도 이는 결코 쓸데없는 기우가 아니다.

빙 돌려 말하는 듯 애매한데, 도대체 보안 기술이란 무엇인가? 한마디로 말하면 보안의 3대 속성을 빠짐없이 구현하는 일이다. 보안은, 기밀성∙무결성∙가용성의 3대 속성으로 정리할 수 있다. 기밀성이란, 사용을 승인받은 사람만 해당 정보에 접근할 수 있는 성질이다. 무결성이란 위 기밀성이 장치인 접근 권한이 적절한 것인지 완전성과 정확성을 보장하는 성질이다. 가용성이란, 이중삼중으로 얽히고설킨 보안장치가 있음에도 언제든 적절한 때에 정보에 접근할 수 있는 성질이다.

여기까지가 교과서에 나오는 흔한 말이고, 실전 정보보안은 위 3가지 속성을 얼마나 효과적으로 또 효율적으로 하나도 빠짐없이 적용할지 설계와 운용의 묘를 발휘하는 것이다. 기밀성, 무결성, 가용성 등 보안의 요소를 위협하는 문제는 늘 종합적으로 그리고 총체적으로 발생한다. 따라서 전체 시스템 설계의 일부로서 항시 고려해야 하고 끝없는 노력을 기울여야 한다. 그리고 위 3요소를 철저히 고려해 기술을 개발하고 제품을 생산하는 기업이 믿을 만한 정보보안 기업이다.

ICT 기술의 발전에 따라 오늘날 대부분의 일상 활동이 인터넷을 통해 이루어지고 있다. 이미 금융, 의료, 민원 발급 등 다양한 서비스가 온라인화 되었으며, 스마트폰이 널리 보급됨에 따라 때와 장소 제약 없이 자유롭게 인터넷을 이용할 수 있게 되었다. 우리가 일반적으로 인터넷이라 말하는 웹은 과거에는 PC를 통해서만 사용할 수 있었지만, 스마트폰이나 태블릿PC 같은 모바일 기기의 등장에 따라 보다 다양한 방법으로 사용하게 된 것이다.

노골적으로 웹을 다루는 인터넷 익스플로러, 크롬, 사파리와 같은 인터넷 브라우저뿐만 아니라 카카오톡, 라인, 다음 카페 등 대부분의 모바일 앱들도 독립적으로 보이지만 실은 웹을 통해 통신이 이루어지기 때문에, 현재 국내 약 70% 이상의 인구가 동시 다발적으로 웹을 통해 연결되어 있는 셈이다. 모바일 기기들이 널리 대중화된 지금, 웹은 더 이상 우리의 삶과 떼려야 뗄 수 없는 존재가 되었다.

전혀 그렇지 않다. 웹으로 제공되는 서비스가 다양해진 만큼 웹을 노리는 사이버 공격도 다양해졌고 그 발생률 또한 날이 갈수록 증가하고 있어 그에 따른 위험성 역시 커지고 있다. 하지만 이러한 상황임에도 불구하고 대부분의 기업들은 물리적 공간인 회사 사무실의 보안, 또는 네트워크 보안 등 눈에 보이는 곳만 지키려 들 뿐 정작 가장 큰 위험 요소를 지니고 있는 웹 보안에서는 신경을 쓰지 않는 나쁜 버릇이 있다.

정보가 기업의 주요 자산이 된 오늘날, 이제 더 이상 물리적 보안과 네트워크 보안만으로는 자산을 지킬 수 없다. 웹이 우리 생활의 많은 부분을 차지하고 있고, 그 안에 개인과 기업 자산에 직접적인 영향을 줄 수 있는 정보들이 담겨 있기 때문에, 웹 위협에 대해 정확하게 인지하고 대응하는 작업은 꼭 필요한 일이며 너무나 당연한 일이다. 웹 보안이 선택이 아닌 필수인 시대가 온 것이다.

안전한 웹 보안을 위해서는 기업의 보안 담당자가 웹 보안에 대해 충분히 이해하고, 자사의 IT 시스템에 맞는 웹 보안을 구축하는 것이 절실하다. 어떻게? 우선 자사의 IT 시스템에 대한 적절한 이해와 파악이 선행되어야 한다. 일반적으로 IT 시스템은 크게 네트워크, 시스템, 애플리케이션으로 이루어진 3개의 계층으로 구성되어 있고, 보안은 각 계층에 빠짐없이 고루 적용되어야 한다.

가장 하단에 있는 네트워크 계층은 데이터의 송수신과 관련된 통신을 담당하는 역할을 하고, 시스템 계층은 우리가 흔히 알고 있는 Windows, Linux 등 운영체제가 하는 역할처럼 여러 애플리케이션이 동작할 수 있는 플랫폼 역할을 맡는다. 애플리케이션 계층은 최상위 계층으로서 여러 가지 기능을 가지고 동작하는 프로토콜 및 응용 서비스를 제공하는 역할을 한다.

웹 애플리케이션 보안은 웹 보안 전체에 있어 가장 중요도가 높은데도 불구하고 정작 애플리케이션 보안에 대한 투자는 네트워크 보안의 고작 1/10에 불과하다. 애플리케이션 구축은 집짓기에 비유하면 이해가 쉽다. 집을 어떻게 짓느냐에 따라 집이 안전할 수도 불안할 수도 있듯 애플리케이션을 어떻게 구축하느냐에 따라 애플리케이션의 안정성이 결정된다. 애플리케이션 보안은 구축 초기인 개발 단계부터 구축 이후의 유지보수에 이르기까지 모든 단계에 걸쳐 지속적으로 신경을 써야 한다.

개발의 모든 단계를 집짓는 과정이라고 생각하자. 집을 지을 때는 단단한 지반에 튼튼하고 안전한 벽돌로 집을 지어야 좋다. 시큐어 코딩(Secure Coding)이란 개발 과정에서 개발자의 지식 부족이나 실수, 또는 각 프로그래밍 언어의 고유한 약점 등 다양한 원인으로 발생할 수 있는 온갖 취약점을 최소화하기 위해서, 설계 단계부터 보안을 고려하여 코드를 작성하는 제작 방식을 뜻한다. 안전하지 않은 개발 환경에다 여타 다른 웹 보안 솔루션을 마구 도입하는 짓은 아랫돌 빼어 윗돌 괴는 것과 같은 임시방편에 불과하다.

집이 완성된 이후에도 벽돌에 금 간 건 없는지, 집이 기울어진 건 아닌지 확인할 필요가 있다. 보안의 관점으로 설명하자면, 벽돌에 금 가거나 집이 기울어진 것을 체크하는 것과 같이 애플리케이션을 점검하는 웹 스캐너(Web Scanner)를 주기적으로 실행할 필요가 있다. 웹 스캐너는 웹 취약점 점검 툴로도 불리며, 웹 애플리케이션 외부에서 통신을 통하여 잠재적인 취약점이나 설계상의 취약점을 분석하는 프로그램이다.

공사 완료 이후에 집 안에 혹시 비가 새는지 벌레가 숨어 들 구멍은 없는지 점검해야 한다. 애플리케이션 내부를 점검하는 솔루션에는 웹 서버 악성코드 탐지 솔루션이 있다. 웹 서버 악성코드(Web-Based Malware)는 웹 쉘(Web Shell)이라고도 불리며, 애플리케이션 내부에서 동작하는 악성코드다. 해커는 웹 쉘을 통해 보안 시스템을 우회하여 별도의 인증 없이 시스템에 접속하는 것이 가능하다. 이를 점검하기 위해서는 전문적으로 웹 쉘만 탐지해주는 솔루션을 활용하여 서버 내부에서 탐지해야 한다.

집을 짓고 나면 우리는 예상치 못한 자의 접근으로부터 집을 지키고 미처 발견하지 못한 내부의 위험 요소를 최종적으로 보완하기 위해 울타리나 담을 만들어야 한다. 애플리케이션 보안에 있어 이러한 울타리 역할은 웹 방화벽(Web Application Firewall)이 맡는다. 웹 방화벽은 웹을 통한 외부의 침입이나 웹 공격을 탐지하고 대응하는 역할을 한다.

특히 웹 보안 취약점을 외부에 노출되지 않도록 보호하고 해당 솔루션들에게까지 공격이 미치기 이전에 외부에서 근본적으로 차단하는 역할을 수행한다. 또한 웹 서버 악성코드가 웹 서버로 업로드되는 것도 막는다. 최신 웹 방화벽의 경우 광범위하고 다양한 웹 공격을 실시간으로 차단하고, 학습 모드를 통한 룰 적용이 가능한 특징을 지닌다.

마지막으로, 집안에서 가장 중요한 재산인 현금과 통장 등을 어떻게 보호할지 고민해야 한다. 애플리케이션의 관점에서는 개인정보나 카드정보, 계좌정보와 같은 중요 데이터를 귀중한 재산으로 볼 수 있다. 일반적으로 데이터를 암호화함으로써 해커가 최종적으로 노리는 데이터를 알아볼 수 없게 만드는 데이터 암호화 솔루션을 많이 사용한다.

하지만 암호화로 끝나는 것이 아니라 누가 접근할 수 있고, 언제 접근하였는지를 확인하는 접근 제어와 로그 감사에도 많은 주의를 기울어야 한다. 또한 데이터 암호화에 있어서는 암호화된 데이터를 열어 볼 수 있는 키 관리가 매우 중요하기에, 키 관리에도 각별히 주의해야 한다.

기업이 사용하는 ERP(Enterprise Resource Planning, 전사자원관리)는 기업의 경영 및 관리를 위한 컴퓨터 시스템이다. 각 부서는 ERP를 통해 타 부서와 긴밀한 영향 관계를 주고받으므로 기업 전체 시스템이 유기적으로 통합되어 종과 횡을 가로 잇는 흐름이 끊임없이 이어진다. ERP는 데이터베이스에 기반 해 기업의 여러 자원의 흐름을 처리하고 감시한다.

ERP 소프트웨어는 실로 다양하지만, 그중에서도 SAP(Systems, Applications, and Products in Data Processing)는 해당 분야의 대표적 브랜드다. SAP를 통해 제조∙개발∙구매∙마케팅∙서비스∙물류∙유통∙회계 등 업무를 통합 관리한다. 기업의 비즈니스 활동 그 자체라 할 수 있다. 기업 활동에 있어 ERP가 차지하는 비중이 워낙 크다 보니 ERP 보안은 곧 기업보안 그 자체라 할 수 있다.

SAP 데이터 암호화에는 크게 두 가지 방식이 있다. 첫째, 신용카드 번호 CCN, 개인정보, 거래정보 등 높은 보안성을 요구하는 데이터만 따로 뽑아내 AES 등 일반적인 암호화 방식을 통한 보안용 DB에 저장하는 방식이 있다. SAP 시스템 내부에서는 실제 데이터 대신에 랜덤 토큰으로 대체해서 사용하기 때문에 토크나이제이션(Tokenization)이라 한다. 중요한 데이터만 따로 안전하게 보관한다는 점에서 편리해 보이지만, 별도 시스템 사이의 통신이 필수적인 것 등 전체 시스템의 복잡도가 높아지고 따라서 성능에 영향을 미친다는 단점이 있다.

둘째, 암호화 장치를 SAP 내부에 탑재하여 시스템과 유기적으로 연동하는 방식이 있다. 이를 위해 형태보존 암호화(FPE) 방식을 사용한다. SAP 시스템 내부에서 동작하기 때문에 시스템 성능에 미치는 영향이 거의 없다. 반면 SAP DB에 있는 토큰 정보가 실제 정보이기 때문에 암호화 알고리즘과 암복호화 키 관리, 사용자 인증 보안 등 일반적 보안성의 유지가 매우 중요하다. 그러므로 시스템 통합적 보안 플랫폼 규모의 설계가 가능한 FPE 암호화 전문기업의 제품을 사용할 것을 권한다.

클라우드 서비스란? 네트워크를 통해 컴퓨팅 환경과 기능을 제공하는 서비스다. 광대역 네트워크를 통해 단말 접속이 일어나야 하고, 사용자의 요구에 기반 해 서비스를 제공할 수 있어야 하고, 컴퓨팅 자원이 축적되는 위치는 어디든지 상관없어야 하고, 사용량에 따라 자원량이 늘었다 줄었다 하는 신축성이 있어야 하고, 지금까지 얼마만큼 사용했는지 항상 정량적으로 측정할 수 있어야 한다. 이러한 조건을 충족하는 클라우드 서비스의 종류는 아래와 같다.

① IaaS(Cloud Infrastructure as a Service)

컴퓨팅 환경이나 네트워크 등을 서비스로 제공하는 클라우드 인프라 서비스

② PaaS(Cloud Platform as a Service)

컴퓨터를 사용하는 플랫폼이나 솔루션 환경을 제공하는 클라우드 플랫폼 서비스

③ SaaS(Software as a Service)

응용 소프트웨어를 서비스로 제공하는 클라우드 소프트웨어 서비스

클라우드라 하니 마치 정보가 공기 중에 저장되는 것처럼 이해하기도 하지만 그럴 리가 있나, 클라우드 서비스를 통해 취급하는 정보 또한 어딘가 물리적인 서버에 저장되고 운용될 터인데. 그것이 단지 가상화와 분산처리 기술에 의해 탄력적으로 처리될 뿐이다. 그러므로 클라우드 서비스 또한 기존 웹 환경의 보안 취약점을 그대로 이어받아 마찬가지 허점을 갖게 된다. 기존 ICT 인프라와 애플리케이션에 대한 보안 위협 및 패턴은 클라우드 환경에서도 여전히 위험한 것이다.

기업이 각자 단독 보유한 IT 시스템 인프라에 설치되는 보안 솔루션은 구조상 단독적이다. 그러나 클라우드 시스템 인프라에 설치되는 보안 솔루션은 클라우드 성질을 포함해야 한다. 즉, 탄력적인 온-디맨드 가상 머신 환경에 맞춰 가상화 및 분산처리가 가능해야 한다. 클라우드 서비스를 이용하는 사용자는 서비스를 제공하는 사업자가 보유한 설비를 이용한다. 클라우드 서비스 특성상 모든 정보는 가상화된 공간에 각각 저장되고 처리된다. 그러므로 따라서 클라우드 보안 솔루션은 그러한 가상화와 분산처리에 대응할 수 있어야 한다.

복잡한 클라우드 서비스 기술에 부합하기 위해 대규모의 서비스 제공자와의 협업도 필요한데, 규모가 크면 클수록 요구되는 기술 수준도 대폭 상승하게 되는 클라우드 서비스의 특성 때문이라도 클라우드 보안은 규모의 경제라 할 수 있다. 대규모 협업 여부는 클라우드 보안 솔루션을 선택할 때 눈여겨봐야 할 요소 중 하나다.

"Big Data!", 일단 데이터가 크다는 뜻이다. 흔히 빅데이터 처리를 이야기할 때 예로 드는 사례가 있다. 930GB 용량의 텍스트 파일을 검색해 특정 단어를 찾아내는 과제에, 기존 유닉스 명령어를 실행하면 13일이나 걸리지만, 이를 분산 및 병렬 처리가 가능한 파일 시스템 하둡(Hadoop)을 이용하면 150초 밖에 걸리지 않는다. 작업을 1,746개의 노드로 분산해 각 노드 당 8개의 스레드로 처리했기 때문이다. 이러한 맥락으로 보자면 빅데이터는 엄밀히 빅데이터 프로세싱(Big data processing)의 준말로 볼 수 있고 실제로 그런 용법으로 제한해 쓰는 경우도 많다. 따라서 빅데이터의 첫 번째 특성은,

① 고속을 위한/분산 병렬 처리를 요하는 대용량 데이터

데이터가 크기만 하면 무조건 빅데이터인가? 데이터의 성질 또한 따져 볼 필요가 있다. 우선 데이터 기술의 맏형 격인 관계형 데이터베이스 관리 시스템(RDBMS: Relational Database Mana-gement System)에 대해.

정치∙경제∙사회∙문화∙세계∙생활∙과학∙기술 등, 사회 전 분야에 미치는 RDBMS의 영향력은 컴퓨터 활용에 대해 웬만큼 안다고 자신하는 일반 상식인의 상상범위를 훨씬 초월할 정도로 막대하다. 현재도 그러하고, 어떤 현란한 이름을 자랑하는 소위 차세대 ○○○가 등장한다더라도 RDBMS는 그 어떤 전산도구보다 우리 삶에 가장(!) 큰 영향을 미칠 것이다. 그러나 RDBMS로 처리하기엔 애매한 데이터가 있다. 이른바 비정형적 데이터(Unstructured Data)인데, 일단 체계가 없이 산만하다.

관계형 데이터베이스라 함은 말 그대로 데이터와 데이터 사이의 관계를 통해 데이터를 처리하겠다는 뜻이니, 행과 열로 나뉘는 관계를 정의하기 애매한 것들을 비정형적 데이터라 할 수 있고, 따라서 RDBMS로 처리하기 어려우니까 기존과 다른 방법이 필요하다. 바로 여기서 기존과 다른 빅데이터의 두 번째 특성이 도출된다.

② 비정형적 데이터

지금껏 기업은 10~20%에 불과한 정형적 데이터에만 집중했다. 왜? 가시성 때문. 정형적 데이터의 양은 10~20%에 불과하지만 그게 어떤 데이터인지 그리고 그 데이터로부터 어떤 정보를 얻어낼 수 있을지 파악할 수 있기 때문에 가치 있다. 데이터가 많으면 뭐하나, 데이터로부터 유의미한 정보를 뽑아낼 수가 없는데.

빅데이터가 시대적 화두의 지위를 점할 수 있었던 까닭은, 데이터를 통해 사람들의 마음을 읽을 수 있으리라는 기대 때문이었다. 그러니 거대기업들이 독자적 빅데이터 분석방법을 만들기 위해 그렇게나 노력했던 것. 아직까지 뚜렷한 성과를 낸 기업은 없지만, 그럼에도 독심술 판타지가 주는 환상은 여전히 강력하다. 따라서 빅데이터의 세 번째, 그리고 가장 유명한 특성은 다음과 같이 도출된다.

③ 데이터 분석을 통한 정보가치 창출

문제는 바로 이 세 번째 특징에 기인한다. "빅데이터는 가장 뛰어난 정보기관 요원보다도 정보력이 높다." 이런 말이 공공연히 나돈다. 사실 빅데이터가 지향하는 바를 아무런 법적 제한 장치 없이 마구 상상해 보면 비대한 국가권력과 과잉성장한 거대기업에 의한 무분별한 사회감시체계를 금방 떠올릴 수 있다. 하지만 어떤 데이터 기술의 이름에 불과한 것이 갑자기 절대적 권력의 도구로 급상승하는 현상을 아직은 딱 잘라 옳다/그르다 말할 수는 없을 듯싶다.

원래 아주 위험한 도구인 여러 컴퓨터 기술, 그중에서도 빅데이터는 유난히 큰 위험성을 품고 있다. 반면, 흔히들 간과하는 바지만 빅데이터는 아주 효과적인 정보보호 도구가 될 가능성도 크다. 그러니 빅데이터야말로 정보보호 관련 논의가(또 다른 시대적 화두인 만물인터넷과 더불어) 가장 활발히 벌어져야 할 분야다.

로그 데이터가 어마어마하게 쌓였다. 그럼 다된 건가? 아니, 분석하지 않은 데이터는 그저 비트 덩어리에 불과하다. 그렇다면 빅데이터는 빅덩어리. 데이터를 분석해 통찰을 추출하는 일은 아직까지는 기계가 할 수 없으니 일단은 사람이 직접 분석하고 사람이 읽을 수 있는 문장으로 정리해야 한다.

로그 데이터를 본 적이 있는가? 일단 양이 무시무시하고 암만 쳐다봐도 이게 말인지 글인지 도대체 알 수가 없다. 해당 데이터 포맷에 익숙하지 않다면 흰 건 종이요 검은 건 글씨. 다행히도 보안 회사들은 자사 제품이 수집한 로그 데이터를 분석한 정보를 사람이 읽을 수 있는 형태로 가공해서 <웹 공격 동향 보고서(ICS Report)> 등의 서비스를 제공한다.

해법은? 빅데이터 관련 보안 기술을 개략하면 아래와 같다.

-빅이든 아니든 모든 데이터는 ICT 시스템 위를 흐른다.

-빅이든 아니든 모든 데이터는 처리/구간/저장 등 일련의 라이프 사이클을 가진다.

-따라서, 빅이든 아니든 모든 데이터의 보호는 데이터의 라이프 사이클 전체에 걸쳐 관리해야 한다.

* * *

본 도서 정보는 우수 도서 홍보를 위해 저작권자로부터 정식인가를 얻어 도서의 내용 일부를 발췌 요약한 것으로, 저작권법에 의하여 저작권자의 정식인가 없이 무단전재, 무단복제 및 전송을 할 수 없으며, 원본 도서의 모든 출판권과 전송권은 저작권자에게 있음을 알려드립니다.