보안위협에 접근제어보다 암호화가 더 효과

데이터베이스 보안에 있어 '암호화'와 '접근제어'는 늘 치열하게 경쟁해 왔다. 둘은 보안성에 대한 접근 방식에서부터 서로 확연히 다르고, 장단점 또한 엇갈려 사용자들의 선택을 어지럽게 만들었다.

암호화 진영은 접근제어에 비해 월등히 높은 보안성을 강조했다. 만에 하나 정보 유출사고 발생시에도 이미 암호화된 데이터라면 내용만큼은 노출되지 않아 안전하므로 암호화야말로 근본적인 보안 방법이라는 것이다. 하지만 전체 보안 시스템 구축에 걸리는 기간이 비교적 길고 구축 후 암호화 처리를 하다보면 시스템 성능에 영향을 미칠 가능성이 있다는 점이 단점으로 지적되곤 했다. 특히 금융기관 등 속도와 안정성이 강하게 요구되는 분야 기업들은 성능 영향에 대한 예측이 어렵다는 점 때문에 암호화 도입을 주저하기도 했다.

접근제어 진영은 암호화에 비해 간편한 구축 등 주로 시스템 가용성을 강조했다. 계정에 따라 정보에 대한 접근 권한을 부여 또는 차단하는 방법을 통해 유출사고를 미연에 방지하는 효과가 있다는 본래 취지보다 오히려 시스템과 네트워크 성능에 미치는 영향이 암호화에 비해 적다는 점을 장점이라 홍보했다. 명분은 보안도구인데도 보안성에 대한 언급이 적다는 점은 아마도 스스로 단점을 인정하는 태도일 것이다. 암호화와 시스템 성능의 관계에 대한 막연한 의심을 확실한 두려움으로 확대하는 일에도 늘 앞장섰던 접근제어 진영은 지금도 같은 입장을 취하고 있다. 암호화와 접근제어는 오랜 경쟁을 거쳐 단련됐다. 상대를 반면교사 삼아 자기 단점을 극복하고 자기 강점을 보다 끌어올리려는 노력이었다. 그리고 이제 양측 모두 충분히 단련된 듯싶다. 둘 사이의 우위를 냉정하게 판단해 볼 때가 되었다는 얘기다.

우선 암호화는 그동안 국내최고 금융기관 등 시스템 성능과 속도 그리고 안정성 등에 매우 민감한 현장에 속속 진입함으로써 기존에 다소 부족하다고 평가받던 시스템 가용성 문제를 확실히 극복했다는 사실을 증명했다. 어플라이언스 일체형 방식 도입 등 소프트웨어와 하드웨어를 아우르는 부단한 개선 노력을 통해 단점으로 지적되던 속도 문제마저도 완전히 해결했다. 그 결과 지금은 그 누구도 암호화는 보안성이 높긴 하나 속도가 느린 게 문제라고 말하지 못하게 되었다.

반면 접근제어는 자기 장점이었던 홍보를 보다 강화하는 쪽으로 성장을 도모했다. 접근제어 하드웨어 딱 하나만 설치하면 단 며칠 만에 모든 보안 문제가 깔끔하게 해결된다는 말은 기업의 보안 시스템 구축 담당자라면 누구나 한 번쯤 들어봤을 만한 홍보 멘트다. 조금만 집중해 들어 보면 주객이 전도된 말이라는 사실을 바로 알아차릴 수 있으나 일단 듣기엔 그저 좋은 말이니 꽤나 효과적이었다. 그리고 암호화를 대체할 수 있다며 데이터 마스킹 기능 등을 자랑하기도 하나, 정보보안 전문가들은 이를 어불성설 헛된 미신일 뿐이라고 말한다.

이제 암호화와 접근제어의 경쟁 1차전은 종료된 듯하니 이제 기업이 보유한 귀중한 자산인 정보를 보호하는 궁극의 솔루션은 무엇인지 판정을 내릴 때다. 우리나라의 보안정책은 '정보가 아예 유출되지 않음'을 대전제로 삼으려는 경향이 있다. 유출을 원천 차단하겠다며 수많은 도구와 방법을 동원했음에도 불구하고 잇달아 터졌던 초대형 사고들을 굳이 열거하지 않더라도, 매우 심각한 허점을 내포하고 있는 단순한 위기관리 논리다. 참으로 유감스러운 말이지만, 정보는 유출되게 마련이다. 정보는 더 넓게 더 빠르게 퍼져나가려는 성질을 이미 품고 있으니, 이는 아무리 막아 보려 애쓰더라도 인력으로 막을 수 있는 게 아니다. 정보 유출은 어쩌면 필연이다. 그게 정보의 고유성질이니까.