데이터베이스 보안이란?
데이터베이스 보안은 데이터베이스를 허가되지 않은 접근, 변조 또는 삭제로부터 보호하는 모든 활동을 의미합니다. 데이터베이스는 기업의 핵심 자원이기 때문에, 데이터베이스 보안은 조직 전체 정보 시스템 보안 계획에서 빼놓을 수 없는 필수 요소입니다.
조직의 원활한 운영을 위해 정보를 안전하게 저장해야 할 필요성 외에도, 데이터베이스 설계자는 그 데이터가 관리되는 개인의 사생활을 보호할 윤리적·법적 책임도 함께 집니다.
개인정보 보호와 법적 의무
프라이버시란 개인이 자신에 대한 정보를 스스로 통제할 수 있는 권리를 말합니다. 일부 국가에서는 프라이버시 보호를 위한 법률을 이미 제정하고 있으며, 개인 데이터를 수집·저장하는 모든 조직은 현지 프라이버시 관련 입법에 부합하는 정책을 채택해야 할 법적 의무가 있습니다.
전자 상거래 시대, 데이터는 최우선 자산
B2B(Business to Business), B2C(Business to Consumer) 또는 기존의 전통적인 방식 등 오늘날 글로벌 경제에서 비즈니스가 이루어지는 공통 요소는 바로 정보의 전자적 전송과 저장입니다. 그렇기 때문에 전자 데이터는 곧 조직의 핵심 데이터 자산이라 할 수 있습니다. 이러한 데이터가 유출되면 사업 자체가 위태로워질 수 있으며, 데이터 처리 지연은 고객 불만과 시장 점유율 하락으로 직결됩니다.
반드시 알아야 할 프라이버시 관련 법규
미국에서는 그램-리치-블라일리법(Gramm-Leach-Bliley Act)에 따라 기업이 고객에게 자사의 프라이버시 정책을 고지하고, 개인정보가 회사 외부로 제공되는 것을 원하지 않는 고객을 위해 옵트아웃(opt-out) 제도를 마련하도록 요구하고 있습니다.
또한 주민등록번호(사회보장번호), 신용카드 및 금융 계좌 번호, 계좌 잔액, 투자 포트폴리오 정보처럼 민감한 데이터를 포함할 가능성이 조금이라도 있는 컴퓨터에 저장된 정보는 반드시 보호 대상이 되어야 합니다. 환자 의료 데이터의 사용과 공개는 초기에 미국 주별 법률이 제각각 적용되면서 환자 프라이버시와 기밀성 보호에 커다란 공백이 남았습니다.
방화벽만으로는 결코 충분하지 않다
많은 조직이 백신 소프트웨어, 방화벽, 침입 탐지 시스템(IDS)을 설치해 네트워크와 호스트 운영체제를 보호하고 있습니다. 그러나 정작 기업 데이터베이스 서버에는 충분한 주의를 기울이지 않는 경우가 많습니다. 네트워크 경계의 방화벽과 각종 방어 장치로 이미 격리되어 있으리라고 가정하기 때문입니다.
하지만 데이터베이스야말로 기업이 IT에 투자하는 근본적인 이유이며, 그 안에 담긴 데이터는 대개 기업이 보유한 가장 귀중한 자산입니다. 실제로 데이터베이스 보호가 없는 기업은 출입문에 잠금장치를 달고 각 입구마다 무장 경비원을 배치했지만, 정작 금고가 없는 은행과 같습니다.
해커들이 데이터베이스 서버를 노리는 이유
왜 해커들이 데이터베이스 서버 해킹에 집착하는지 자세히 들여다보면 다음과 같은 취약점을 발견할 수 있습니다.
기본 계정 방치: 일부 데이터베이스 서버는 제조사가 설정한 기본 사용자 이름과 비밀번호(예: Scott/Tiger, system/manager)를 그대로 사용합니다.
기본 설정값 미변경: 제조사가 지정한 기본 설정을 수정하지 않아, 기본적으로 공개 실행 권한이 열려 있는 경우가 있습니다.
보안 패치 미적용: 데이터베이스 서버에 보안 패치가 제대로 적용되지 않아 알려진 취약점이 그대로 노출됩니다.