데이터 개인정보 보호 및 조직 보안을 보장하는 방법

F5 에코시스템 | 2021년 1월 28일

오늘, 1월 28^일은 미국, 캐나다, 이스라엘 및 이를 기념하는 유럽연합 47개국에서 데이터 프라이버시의 날(유럽연합에서는 데이터 보호의 날)로 알려져 있습니다.

개인정보 보호, 특히 데이터 개인정보 보호는 매우 중요합니다. 실제로 150개가 넘는 국가의 헌법에서 ‘사생활 보호에 대한 권리’를 명시하고 있습니다. 이 권리는 유엔의 세계인권선언에도 언급되어 있으며, 유럽인권협약에 따라 보호됩니다. 또한 EU의 일반 데이터 보호 규정(GDPR)과 캘리포니아 소비자 개인정보 보호법(CCPA)을 비롯해 여러 국가와 지역, 주에서 다양한 개인정보 보호 규정이 제정되었습니다.

데이터 프라이버시의 날은 기업과 소비자에게 사용자 및 사용자의 개인정보 보호가 얼마나 중요한지 알리는 데 중점을 둡니다. 또한 기업과 소비자가 사용자의 개인정보를 더욱 효과적으로 관리하고 통제할 수 있도록 관련 도구의 개발을 장려하고 교육하는 것을 목표로 합니다. 아울러 GDPR 및 CCPA와 같은 기존 개인정보 보호 법률과 규정의 준수를 확대하거나 강화하는 데에도 목적이 있습니다. 많은 국제 및 국가 기관, 정부 부처와 위원회뿐만 아니라 교육기관과 산업 컨소시엄도 데이터 프라이버시의 날을 소비자와 사용자 데이터의 개인정보를 더욱 효과적으로 보호하는 방안에 관한 논의를 시작하거나 이어가는 계기로 삼고 있습니다.

실천에 옮기기

저장 중이든 전송 중이든 소비자 및 사용자 데이터의 개인정보 보호 수준을 높이는 가장 널리 사용되는 효과적인 방법 중 하나는 암호화입니다. 소비자 및 사용자 데이터와 그 전송 방식을 암호화하는 것은 개인 식별 정보를 비공개로 유지하는 데 매우 중요합니다.

오늘날 암호화는 어디에나 적용되고 있습니다. 사용자 및 데이터 개인정보 보호에 대한 관심은 암호화 트래픽의 폭발적인 증가를 촉진했습니다. 또한 사용자, 소비자 및 기업에 도움이 되는 온라인 보안 강화를 위해 무료 또는 저렴한 인증서를 제공하는 업체도 많아졌습니다. 본질적으로 이들은 웹 전체를 암호화하려는 것입니다! F5 Labs에 따르면, 현재 웹페이지 로드의 86%가 SSL 또는 TLS로 암호화되어 있습니다. 또한 고급 암호화 표준(AES) 암호화 방식은 오늘날 암호화된 웹 트래픽의 96% 이상을 차지합니다. 앞서 언급한 GDPR, CCPA 등의 개인정보 보호 규정과 요건은 대부분 사용자 및 개인 데이터의 암호화를 의무화하지 않지만, 암호화 도입을 촉진하고 있습니다. 많은 조직은 이러한 규정과 요건을 위반하지 않기 위해 사용자 데이터와 통신에 암호화를 적용합니다.

피할 수 없는 단점

암호화는 사용자와 사용자 데이터의 개인정보를 보호하는 데 매우 효과적이지만, 동시에 사용자와 기업 모두를 심각한 딜레마에 빠뜨리는 문제도 있습니다. 공격자와 해커 역시 멀웨어, 랜섬웨어 및 기타 공격 경로를 숨기기 위해 암호화를 즐겨 사용하기 때문입니다. 안타깝게도 암호화는 보안 사각지대를 만듭니다.

예를 들어, 피싱 및 스피어피싱 캠페인에 사용되는 사기성 웹사이트는 진짜처럼 보이기 위해 HTTPS를 사용하는 경우가 점점 늘고 있습니다. 이를 통해 의심하지 않는 사용자가 악성코드에 감염된 링크를 클릭하거나 그럴듯하지만 가짜인 로그인 페이지에 사용자 이름과 비밀번호를 입력하도록 속입니다. 심지어 주소 표시줄의 작은 자물쇠 아이콘이 안전하고 보안이 유지되는 웹사이트를 의미한다고 믿는 사용자들까지 속입니다. F5 Labs에 따르면 현재 피싱 사이트의 72%가 암호화를 사용합니다. 설상가상으로 공격자, 해커 및 기타 악의적 행위자는 위협을 숨기는 데 암호화를 사용할 뿐만 아니라, 암호화 기술이 제공하는 개인정보 보호 기능을 악용해 탐지를 피합니다. 피해자마다 악성코드와 피싱 사이트가 포함된 특정 위협 캠페인을 단 한 번만 사용함으로써 사후 포렌식 분석을 회피하는 것입니다.

피싱은 사회 공학과 오정보 및 허위 정보를 활용해 인간의 심리를 악용하기 때문에 방어하기가 매우 어려운 공격입니다. 피싱은 공포와 같은 인간의 본성과 감정을 이용합니다. 이는 코로나바이러스 팬데믹 기간에 특히 두드러졌습니다. 공격자들은 이를 잘 알고 있으며 자신들에게 유리하게 이용합니다. F5 Labs는 조사 결과 “covid” 또는 “corona”라는 단어가 포함된 새로운 HTTPS 인증서가 COVID-19 확진자 급증 시기와 맞물려 증가했다는 사실을 발견했습니다. 세계보건기구(WHO)와 미국 질병통제예방센터(CDC)처럼 잘 알려진 보건 기관조차 공격자들이 표적 피싱 캠페인에서 사칭해 왔으며, 지금도 계속 사칭하고 있습니다. 이러한 캠페인은 피해자를 악성 도메인으로 유인해 멀웨어나 기타 악성 프로그램을 다운로드하게 하거나, 가짜 로그인 페이지에 사용자 인증 정보를 입력하도록 속이려 합니다.

이에 대해 할 수 있는 일

그렇다면 오늘날 조직은 다양한 공격과 침해로부터 스스로를 보호하는 동시에 사용자와 소비자의 데이터 및 개인정보를 어떻게 지킬 수 있을까요?

조직은 매일 유입되는 트래픽과 유출되는 방대한 암호화 트래픽을 대규모로 복호화할 수 있는 솔루션을 도입해야 합니다. 오늘날의 암호화 트래픽 규모와 사용자 및 소비자 데이터의 개인정보 보호 필요성, 그리고 복호화 및 재암호화 작업에 요구되는 막대한 연산량을 고려하면, 기존 보안 솔루션에 보안 기능과 트래픽 복호화 및 재암호화라는 두 가지 역할을 동시에 맡기는 것은 바람직하지 않습니다. 과부하가 걸린 보안 장비는 암호화된 트래픽을 우회시키기 시작하거나, 본래 도입 목적인 보안 기능을 제대로 수행하지 못할 수 있습니다.

사용자 및 소비자 데이터의 개인정보 보호와 보안을 보장하고 개인정보 보호 규정 및 요건을 침해하지 않기 위해, 조직은 금융 또는 의료 데이터와 같은 민감한 사용자 및 소비자 트래픽이 복호화 과정을 우회하도록 지능적으로 처리하는 솔루션을 도입해야 합니다. 그렇다고 이러한 트래픽을 아무런 검사 없이 통과시켜서는 안 되며, 보안 스택 내의 제한된 솔루션을 통해 검사해야 합니다. 다만 이를 구현하려면 보안 스택의 솔루션이 정적인 데이지 체인 방식으로 연결되어서는 안 되며, 동적 보안 서비스 체인에 참여할 수 있어야 합니다. 또한 컨텍스트 인식 정책을 활용하여 수신된 암호화 트래픽을 복호화한 후 적절한 보안 서비스 체인으로 라우팅해야 합니다.

이를 SSL 오케스트레이션이라고 하며, 위의 설명을 통해 오늘날 이것이 조직의 보안을 보장할 뿐만 아니라 사용자 및 소비자 정보가 안전하게 보호되고 비공개로 유지되도록 하는 데 왜 그토록 필요한지 이해하셨기를 바랍니다.

F5 SSL Orchestrator에 대한 자세한 내용을 확인하려면 여기를 클릭하세요.