데이터베이스 보안 정책의 개념
데이터베이스 보안(Database Security)이란 데이터베이스 또는 데이터베이스 관리 소프트웨어를 무단 사용과 악성 사이버 위협·공격으로부터 보호하기 위해 적용되는 일련의 조치들을 의미합니다. 데이터베이스 보안은 정보 보안의 한 계층에 해당하며, 일반적으로 데이터의 물리적 보호, 저장 중인 데이터의 암호화, 그리고 데이터 잔존(data remanence) 문제를 핵심 관심사로 다룹니다.
데이터 보안의 세 가지 핵심 요소
데이터 보안은 통상 기밀성(Confidentiality), 가용성(Availability), 무결성(Integrity)으로 정의됩니다. 다시 말해, 허가된 개인이나 당사자만 데이터를 사용하고 접근할 수 있도록 마련된 모든 관행과 프로세스를 뜻합니다. 데이터 보안은 데이터가 정확하고 신뢰할 수 있으며, 권한을 가진 이들이 필요할 때 언제든 접근할 수 있도록 보장합니다.
효과적인 데이터 보안 계획의 조건
실효성 있는 데이터 보안 계획은 필요한 데이터만 수집하고, 이를 안전하게 유지·관리하며, 더 이상 필요하지 않은 데이터는 파기하는 것을 목표로 삼아야 합니다. 이 세 가지 요소에 우선순위를 두는 계획은 민감 정보를 보유한 사업자가 관련 법적 의무를 준수하는 데에도 큰 도움이 됩니다.
데이터베이스 보안이 보호하는 범위
데이터베이스 보안 프로세스는 단순히 데이터베이스 내부의 데이터만 보호하는 데 그치지 않습니다. 데이터베이스 관리 시스템(DBMS)과 여기에 접근하는 모든 애플리케이션까지 외부 침입, 정보 오남용, 데이터 손상으로부터 지키는 것을 목표로 합니다.
IT 보안 정책이란 무엇인가?
정보기술(IT) 보안 정책은 조직의 IT 자산과 자원에 접근하고 사용하는 모든 구성원에게 적용되는 규칙과 절차를 명문화한 것입니다. 효과적인 IT 보안 정책은 조직 문화의 반영물로서, 구성원들이 데이터와 업무를 대하는 태도에서 규칙과 프로세스가 자연스럽게 도출됩니다.
조직마다 고유한 정책이 필요한 이유
따라서 실효적인 IT 보안 정책은 각 조직의 상황에 맞게 고유하게 수립되어야 합니다. 구성원들의 위험 수용도(risk tolerance), 데이터를 바라보고 평가하는 관점, 그리고 그 결과로 요구되는 정보 가용성 수준이 조직마다 다르기 때문입니다. 이러한 이유로 많은 기업은 획일적인 표준(boilerplate) IT 보안 정책이 조직 내부와 대외적으로 정보가 실제로 어떻게 사용되고 공유되는지를 충분히 고려하지 못한다는 점에서 부적합하다고 판단합니다.
IT 보안 정책의 목표
IT 보안 정책의 궁극적인 목표는 조직 구성원이 사용하는 시스템과 데이터의 기밀성, 무결성, 가용성을 유지하는 것입니다. 또한 IT 보안 정책은 '살아있는 문서(living document)'로서, 끊임없이 변화하는 비즈니스 및 IT 요구사항에 맞춰 지속적으로 업데이트되어야 합니다. 국제표준화기구(ISO)와 미국 국립표준기술연구소(NIST)와 같은 기관들은 이미 보안 정책 표준을 위한 표준과 모범 사례를 발표한 바 있습니다.
조직 문화에 맞는 정책 수립의 중요성
조직의 보안 정책은 의사결정과 방향 설정에 중요한 역할을 하지만, 조직의 전략이나 미션 자체를 바꾸는 도구가 되어서는 안 됩니다. 따라서 정책은 회사의 기존 문화적·구조적 틀 안에서 도출되어 최고 수준의 생산성과 혁신의 연속성을 보장해야 하며, 조직과 구성원이 미션과 목표를 달성하는 데 걸림돌이 되는 획일적 정책이 되어서는 안 됩니다.