여러분은 혹시 일기를 쓰시나요?
갑자기 웬 일기냐고요?
아마 아주 어릴 적 숙제로 쓰던 일기를 지금까지 쓰고 계신 분은 많지 않을 겁니다.
사실 우리는 나이가 들수록 기록을 잘 남기지 않습니다.
오늘 점심에 뭘 먹었는지,
지난주 수요일 누구를 만났는지,
작년 이맘때 무슨 고민을 했는지.
굳이 기억할 필요가 없으니까요.
그런데 이상하게도 사람은 꼭 기억이 필요한 순간이 오면 기록을 찾습니다."아, 그때 뭐라고 했더라?"그리고 그 순간 가장 믿게 되는 건 기억이 아니라 기록입니다. | |
사실 보안도 비슷합니다.
개인정보 유출 사고가 발생하면 가장 먼저 필요한 건 추측이 아니라 기록입니다.
누가, 언제, 어디서, 무엇을, 어떻게 했는지.
결국 모든 사고는 하나의 질문으로 돌아갑니다."무슨 일이 있었는가?"그런데 여기서 문제가 하나 생깁니다.
우리는 셜록 홈즈도 아니고 코난도 아닙니다.
몇 가지 단서를 조합해서 사건의 전말을 추론할 수는 없습니다.
아이 입 주변에 초콜릿이 묻어있으면"아, 초콜릿을 먹었구나."정도는 알 수 있습니다.
하지만,삼촌 주라고 받은 초콜릿을 반으로 잘라 큰 조각은 자기 입에 넣고, 작은 조각만 저에게 줬다는 사실은 제가 직접 봤기 때문에 아는 겁니다!
어느 날 다크웹에 우리 회사 이름이 붙은 개인정보 파일이 올라왔습니다.
입 주변에 묻은 초콜릿 같은 정황은 남아있습니다.
하지만 저게 언제, 어디서, 어떤 경로로 유출된 것인지 알 방법이 없습니다.
이럴 때 필요한 것이 접속기록입니다. |  |
"이미 유출됐는데 기록이 의미가 있나?"맞는 말입니다.
그런데 또 틀린 말이기도 합니다.
물론 사고가 발생하면 가장 먼저 확인하는 것이 접속기록입니다.누가 들어왔는지,
어떤 정보를 조회했는지,
무엇을 다운로드했는지,
영향 범위가 어디까지인지. 원인과 규모를 파악하는 가장 중요한 단서가 되기 때문입니다.
최근 발생했던 SK텔레콤 개인정보 유출 사고 역시 마찬가지였습니다.
공격자가 언제 시스템에 들어왔는지, 어떤 서버를 거쳐 이동했는지,
어떤 정보에 접근했는지, 영향 범위가 어디까지인지.
결국 사고의 경위를 밝혀낸 것도 로그와 접속기록이었습니다.
만약 기록이 남아있지 않았다면 어땠을까요?
무슨 일이 있었는지는 아무도 설명하지 못했을 겁니다. |  |
그런데 진짜 중요한 이야기는 지금부터입니다.
우리는 사고가 난 뒤 원인을 분석하는 사람이기도 하지만,
사실 사고가 나지 않도록 하는 게 더 중요한 사람들입니다.
그리고 접속기록은 어떻게 활용하느냐에 따라
사고를 설명하는 도구가 되기도 하고, 사고를 막는 도구가 되기도 합니다."로그는 이미 쌓고 있는데요?"잘하셨습니다.
접속기록 항목도 빠짐없이 남기고 있다면 훌륭합니다.
하지만 그건 시스템이 하는 일입니다.이제 우리가 일할 차례입니다. |  |
평소 하루 50건 정도 고객 정보를 조회하던 직원이 있습니다.
그런데 어느 날 갑자기 5,000건을 조회합니다.
정상일까요?
아마 아닐 가능성이 높습니다.
평소 오전 9시에 출근하던 직원 계정이 새벽 3시에 접속합니다.
그리고 짧은 시간 안에 대량 다운로드를 수행합니다.
정상일까요?
이 역시 평소 모습과는 다릅니다. |  |
많은 정보보호 담당자들이 오해하는 부분이 있습니다.
접속기록과 같은 로그를 저장하면 끝났다고 생각하는 것입니다.
하지만 진짜 중요한 것은 그 기록에서 무엇을 이상행위로 볼 것인가입니다.새벽 3시 접속은 이상행위일까요?개인정보 1,000건 조회는요?정답은 경우에 따라 다릅니다.
24시간 운영되는 서비스라면 새벽 접속은 정상일 수 있습니다.
반대로 오전 9시부터 오후 6시까지 근무하는 직원이라면 이야기가 달라집니다.
고객센터 직원이 하루 1,000건의 고객 정보를 조회하는 건 자연스러운 일입니다.
반면 개인정보를 다루지 않던 직원이 하루에 단 한 건의 고객 정보를 조회하면요?
같은 숫자, 같은 시간, 같은 행동이라도
누가 했는지에 따라 의미는 완전히 달라집니다.그래서 이상행위는 숫자가 아니라 맥락에서 발견됩니다. |  |
결국 회사는 정상의 기준, 즉 평소의 행태를 알고 있어야 합니다.
많은 조직이 로그는 수집합니다.
하지만 정상 행동의 기준은 가지고 있지 않습니다.
정상을 모르니 이상도 발견할 수 없습니다.
그저 로그 데이터를 쭉 뽑아놓고"음, 잘 기록되고 있구만"이렇게 넘어가거나,'이상 없음'한 줄로 점검 결과를 끝내고 있지는 않으신가요? |  |
| 정보보호 담당자는 끊임없이 질문해야 합니다. 이 직원은 원래 얼마나 조회하지? 이 부서는 원래 언제 접속하지? 이 계정은 원래 어디서 접속하지? 이 시스템에서 다운로드는 얼마나 발생하지? 결국 이상 행위 탐지는 공격자를 아는 일이 아니라,우리 조직의 평소 모습을 아는 일에 더 가깝습니다.만약 해커가 개인정보 유출을 시도하고 있는 상황에서도
평소와 다른 규모의 데이터가 새로운 경로로 이동한다는 사실을 알아차렸다면,
한 계정이 평소와 다르게 개인정보를 처리하고 있다는 점을 의심하고 확인했다면,
개인정보가 회사의 통제 범위를 벗어나기 전에 사고를 막을 수도 있었을 겁니다. |  |
보안은 왜 '접속기록'을 남기고 점검하도록 할까?
- 개인정보 보호법이 말하는 접속기록의 진짜 의미
갑자기 웬 일기냐고요?
아마 아주 어릴 적 숙제로 쓰던 일기를 지금까지 쓰고 계신 분은 많지 않을 겁니다.
사실 우리는 나이가 들수록 기록을 잘 남기지 않습니다.
오늘 점심에 뭘 먹었는지,
지난주 수요일 누구를 만났는지,
작년 이맘때 무슨 고민을 했는지.
굳이 기억할 필요가 없으니까요.
그런데 이상하게도 사람은 꼭 기억이 필요한 순간이 오면 기록을 찾습니다.
"아, 그때 뭐라고 했더라?"
그리고 그 순간 가장 믿게 되는 건 기억이 아니라 기록입니다.
개인정보 유출 사고가 발생하면 가장 먼저 필요한 건 추측이 아니라 기록입니다.
누가, 언제, 어디서, 무엇을, 어떻게 했는지.
결국 모든 사고는 하나의 질문으로 돌아갑니다.
"무슨 일이 있었는가?"
그런데 여기서 문제가 하나 생깁니다.우리는 셜록 홈즈도 아니고 코난도 아닙니다.
몇 가지 단서를 조합해서 사건의 전말을 추론할 수는 없습니다.
아이 입 주변에 초콜릿이 묻어있으면
"아, 초콜릿을 먹었구나."
정도는 알 수 있습니다.하지만,
어느 날 다크웹에 우리 회사 이름이 붙은 개인정보 파일이 올라왔습니다.
입 주변에 묻은 초콜릿 같은 정황은 남아있습니다.
하지만 저게 언제, 어디서, 어떤 경로로 유출된 것인지 알 방법이 없습니다.
이럴 때 필요한 것이 접속기록입니다.
"이미 유출됐는데 기록이 의미가 있나?"
맞는 말입니다.그런데 또 틀린 말이기도 합니다.
물론 사고가 발생하면 가장 먼저 확인하는 것이 접속기록입니다.
어떤 정보를 조회했는지,
무엇을 다운로드했는지,
영향 범위가 어디까지인지.
최근 발생했던 SK텔레콤 개인정보 유출 사고 역시 마찬가지였습니다.
공격자가 언제 시스템에 들어왔는지, 어떤 서버를 거쳐 이동했는지,
어떤 정보에 접근했는지, 영향 범위가 어디까지인지.
결국 사고의 경위를 밝혀낸 것도 로그와 접속기록이었습니다.
만약 기록이 남아있지 않았다면 어땠을까요?
무슨 일이 있었는지는 아무도 설명하지 못했을 겁니다.
우리는 사고가 난 뒤 원인을 분석하는 사람이기도 하지만,
사실 사고가 나지 않도록 하는 게 더 중요한 사람들입니다.
그리고 접속기록은 어떻게 활용하느냐에 따라
사고를 설명하는 도구가 되기도 하고, 사고를 막는 도구가 되기도 합니다.
"로그는 이미 쌓고 있는데요?"
잘하셨습니다.접속기록 항목도 빠짐없이 남기고 있다면 훌륭합니다.
하지만 그건 시스템이 하는 일입니다.
이제 우리가 일할 차례입니다.
그런데 어느 날 갑자기 5,000건을 조회합니다.
정상일까요?
아마 아닐 가능성이 높습니다.
평소 오전 9시에 출근하던 직원 계정이 새벽 3시에 접속합니다.
그리고 짧은 시간 안에 대량 다운로드를 수행합니다.
정상일까요?
이 역시 평소 모습과는 다릅니다.
접속기록과 같은 로그를 저장하면 끝났다고 생각하는 것입니다.
하지만 진짜 중요한 것은 그 기록에서 무엇을 이상행위로 볼 것인가입니다.
새벽 3시 접속은 이상행위일까요?
개인정보 1,000건 조회는요?
정답은 경우에 따라 다릅니다.24시간 운영되는 서비스라면 새벽 접속은 정상일 수 있습니다.
반대로 오전 9시부터 오후 6시까지 근무하는 직원이라면 이야기가 달라집니다.
고객센터 직원이 하루 1,000건의 고객 정보를 조회하는 건 자연스러운 일입니다.
반면 개인정보를 다루지 않던 직원이 하루에 단 한 건의 고객 정보를 조회하면요?
같은 숫자, 같은 시간, 같은 행동이라도
누가 했는지에 따라 의미는 완전히 달라집니다.
그래서 이상행위는 숫자가 아니라 맥락에서 발견됩니다.
많은 조직이 로그는 수집합니다.
하지만 정상 행동의 기준은 가지고 있지 않습니다.
정상을 모르니 이상도 발견할 수 없습니다.
그저 로그 데이터를 쭉 뽑아놓고
"음, 잘 기록되고 있구만"
이렇게 넘어가거나,'이상 없음'
한 줄로 점검 결과를 끝내고 있지는 않으신가요?우리 조직의 평소 모습을 아는 일에 더 가깝습니다.
만약 해커가 개인정보 유출을 시도하고 있는 상황에서도평소와 다른 규모의 데이터가 새로운 경로로 이동한다는 사실을 알아차렸다면,
한 계정이 평소와 다르게 개인정보를 처리하고 있다는 점을 의심하고 확인했다면,
개인정보가 회사의 통제 범위를 벗어나기 전에 사고를 막을 수도 있었을 겁니다.
그래서 개인정보 보호법과 개인정보의 안전성 확보조치 기준은 접속기록을 남길 것을 요구합니다.
그리고 동시에 점검할 것을 요구합니다.
많은 조직이 첫 번째는 잘합니다.
로그를 잘 쌓고, 스토리지도 충분합니다.
백업도 잘 되구요.
그런데 두 번째는 어떨까요?
기록은 누가 보고 있나요?
언제 보시나요?
무엇을 보시나요?
무엇이 이상행위인지 기준은 있나요?
이상행위라고 판단하면 어떤 행동을 하시나요?
심사에서 이렇게 질문을 받으면 많은 경우 답을 못합니다.
그래서 어떤 조직의 접속기록은 증거가 되고, 어떤 조직의 접속기록은 저장장치 용량만 차지하다 삭제됩니다.
결국 중요한 것은 로그를 남기는 기술이 아닙니다.
로그를 읽는 능력입니다.
기록은 스스로 사고를 막아주지 않습니다.
하지만 여러분이 기록에서 이상한 점을 발견하는 순간, 그 기록은 증거가 아니라 경고가 됩니다.
그리고 좋은 정보보호 담당자는 사고가 발생한 뒤 로그를 보는 사람이 아니라, 사고가 발생하기 전에 로그를 보는 사람입니다.
접속기록은 과거를 설명하기 위해 존재합니다.
하지만 잘 점검되는 접속기록은 미래의 사고를 막기도 합니다.
그래서 개인정보 보호법이 진짜로 요구하는 것은 기록의 보관이 아니라, 기록에 대한 관심일지도 모르겠습니다.
노승욱 | nsw@cela.kr