기업들의 개인정보 처리 시스템을 겨냥한 보안 규제가 해마다 깐깐해지는 상황에서, 별도 솔루션 구축 없이 클라우드 환경에서 곧바로 접근제어와 감사를 구현하는 서비스가 나왔다.
네이버클라우드는 기업의 데이터베이스(DB)와 서버 접근 통제를 단일 플랫폼에서 처리하고 작업 이력을 자동 관리하는 통합 보안 서비스 ‘DB & Server Access Control(DSAC)’을 새로 내놨다.
현행 개인정보보호법과 시행령, 개인정보의 안전성 확보조치 기준에 따르면 개인정보를 다루는 사업자는 해당 시스템의 접속 기록을 최소 1년 이상 보관해야 한다. 여기에 접근 권한이 바뀌거나 부여된 이력은 3년 이상 안전하게 보존할 의무가 뒤따른다.
문제는 그간 국내 보안 규제 기준을 완벽히 충족하는 클라우드 네이티브 형태의 접근제어 서비스를 찾기 어려웠다는 점이다. 기업들은 외부 보안 솔루션을 별도로 구매해 들여온 뒤, 전문 인력을 투입해 클라우드 환경에 맞춰 일일이 설정을 잡아야 했다. 초기 구축비는 물론 유지보수 부담이 적지 않았던 배경이다.
DSAC은 이러한 불편을 해소하기 위해 개인정보 처리 서버와 DB의 접근권한 관리, 작업 이력 기록, 감사 기능을 하나로 묶은 클라우드 네이티브 보안 상품으로 설계됐다.
작동 방식은 직관적이다. 고객의 가상 네트워크 내부에 프록시(Proxy) 서버를 자동으로 만들어 모든 접속 경로를 단일 관문으로 묶어 통제한다. 우회 접속을 막고 중앙에서 통제력을 확보하는 형태다.
서버나 DB에 들어가 수행한 모든 명령어와 작업은 빠짐없이 기록으로 남는다. 특히 주민등록번호나 신용카드 번호 같은 민감한 개인정보는 저장되는 과정에서 화면이나 데이터상으로 마스킹 처리되어 유출 위험을 줄였다.
이 축적된 이력은 네이버클라우드의 기존 서비스들과 연동된다. 담당자는 언제든 실시간 조회가 가능하며 규정 기간에 맞춘 장기 보관도 수월하다. 평소와 다른 업무 시간 외 접속이나 대량의 데이터 조회 같은 이상 징후가 발생하면 실시간으로 이를 감지해 알람을 울려주는 기능도 포함됐다.
무엇보다 복잡한 솔루션 설치 과정이 없다. 클라우드 콘솔에서 몇 번의 설정만 거치면 바로 쓸 수 있는 SaaS 형태로 제공된다. 사용자가 늘거나 줄어도 프록시 서버가 상황에 맞게 자동 생성되고 삭제되는 구조다. 별도의 복잡한 계정 체계를 새로 만들 필요 없이 사용자별로 접근할 수 있는 서버와 DB 범위를 세밀하게 나눠 지정할 수 있다.
보안 인력이 부족한 중소기업이나 초기 스타트업 입장에서는 컴플라이언스 대응에 드는 시간과 비용을 줄일 수 있는 대안이 될 수 있다. 보안 인프라 구축에 수천만 원을 들일 여력이 없는 기업들도 필요한 만큼 쓰고 비용을 내는 방식으로 규제 대응이 가능해진 셈이다.
네이버클라우드 김재동 정보보호최고책임자(CISO)는 "이번 서비스는 기업이 복잡한 설치와 구성 과정 없이 클라우드 콘솔에서 바로 접근제어 환경을 갖출 수 있다는 점에서 기존 방식과 근본적으로 다르다"며 "법적 의무 이행에 드는 시간과 비용 부담을 낮춰 규모와 관계없이 모든 기업이 높은 수준의 보안을 누릴 수 있도록 실질적인 도움이 되는 보안 서비스를 지속 선보이겠다"고 말했다.
