신용 신시스템 50여개 DB에 피앤피시큐어 ‘DB세이퍼’ 적용
과거 농협은 인사 등 일부 시스템에만 한정적으로 DB보안을 적용했었다. 이번에 신용 신시스템을 구축하면서 DB보안 적용 범위를 넓힌 것이다. 현재 신용 부문을 모두 포괄하는 50여개 DB에 보안이 적용되어 있다.
농협중앙회 IT본부분사 정보보호팀 이대준 과장은 "과거 메인프레임은 폐쇄적인 시스템이라 DB보안의 필요성이 높지 않았으나 오픈 시스템으로 변경하다 보니 데이터 보호 강화에 대한 필요성이 높아졌다. 때문에 신용 신시스템의 메인 DB인 오라클DB에 가장 적합한 DB보안 제품을 도입했다"고 말했다.
신용 전 부문에 적용 = 프로젝트 과정에서 농협은 기존 메인 프레임 DB에 있던 고객 원장, 금융거래 기록 내역 등의 데이터를 오라클 DB로 전환해야 했는데, 설 연휴 기간이었던 4일 안에 모든 데이터의 전환 및 검증 작업을 완벽히 마쳐야만 했다.
이대준 과장은 "DB보안 시스템 검토 당시에 접근제어 방식과 암호화 방식 모두를 검토했다. DB보안시스템은 신용 신시스템을 개발하는 과정에 도입되다 보니, 전체 시스템 개발에 최대한 영향을 덜 미칠 수 있도록 정책 설정이 간단하고 안정화 기간이 짧게 소요되는 접근통제 방식의 DB보안 제품을 도입하게 됐다"고 밝혔다.
농협은 대규모 금융 사이트에 이미 많이 도입되어 안정적으로 운영되고 있는 피앤피시큐어의 DB세이퍼를 도입했다. 농협에 따르면, DB세이퍼 제품은 오라클, 인포믹스, 사이베이스, MS SQL 등 다양한 종류의 DB를 지원하며 유연한 보안 정책 적용 및 통제가 가능하여 경쟁제품들 보다 우수한 점수를 받았던 것으로 파악된다.
농협의 DB보안 구축사업은 2007년 말부터 해당 제품들을 검토하기 시작해 2008년 3월부터 제안요청서 발송, BMT를 진행했다. 5월 DB보안 제품을 선정해 구축에 들어가 10월에 최종 완료했다.
농협은 프로젝트를 추진하면서 다양한 조건으로 DB접근을 통제하고, 통제 내역을 제대로 기록하는지를 꼼꼼히 체크했다. 개발자나 관리자들이 접근하는 다양한 서비스 경로에 대해 사용을 통제하는지, 또 다양한 요구사항을 설정한 상태에서 통제 기록이 제대로 남는지가 중요했기 때문이다.
DB접근 통제의 용이성 및 통제 기록의 정확성 확보 = 농협은 DB보안시스템 도입으로 관리자 측면에서 높은 효과를 누리고 있다. 정책 설정/변경 시 과거 일일이 개별 DB마다 적용했으나 이제는 하나의 시스템 내에서 손쉽게 DB접근을 통제할 수 있게 됐다. 뿐만 아니라, 사용자들의 DB 접근 통제 기록에 대한 정확성도 높아졌다.
이대준 과장은 "DB보안의 구축으로 얻은 가장 큰 이점은 사용자들이 DB에 접근하는 내역을 하나의 시스템 내에서 일목요연하게 관리할 수 있다는 것"이라며 "사용자들이 필요한 데이터 이용만 가능해져 정보유출 소지를 줄일 수 있게 됐고, 사용 내역을 저장함으로써 데이터유출 사고에 대한 사후 추적이 가능해진 것도 큰 효과"라고 강조했다.
농협은 DB보안시스템의 확대 적용에 대해 다각적으로 검토하고 있다. 개인정보보호법 등 사회적 이슈에 발맞춰 DB보안 범위를 점차 확대해 나갈 예정이다.
김정은 기자
jekim@itdaily.kr