기업 해킹 막으려면? 암호화 도입 전 챙겨야 할 6가지

*이 글은 펜타시큐리티와 함께 요즘IT 브랜디드 콘텐츠로 제작했습니다.

암호화가 뭐고, 왜 필요한데요?

“OO기업, 고객정보 대규모 유출” 요즘 뉴스에서 이런 헤드라인 자주 보셨을 겁니다. 해커에 의해 수많은 고객정보 데이터가 유출됐다는 소식 말이죠. 이런 사고가 계속 반복되다 보니, “우리 회사는 괜찮을 거야”라고 더는 안심할 수 없게 됐습니다. 해킹은 특정 기업만의 문제가 아니라, 모든 산업과 조직에 닥친 현실이기 때문이죠. 이제 우리가 가장 먼저 지켜야 할 자산은 바로 ‘데이터’입니다.

그렇다면 해커들은 왜 이렇게 집요하게 데이터를 노릴까요? 이번 글에서는 그들의 목적부터 이에 대응하는 데이터 보안 방법을 짚어보고자 합니다. 특히 데이터를 안전하게 지킬 수 있는 ‘암호화’와 ‘키 관리’의 중요성을 살펴보고, 실제 암호화 도입 전에 반드시 확인해야 할 6가지 체크리스트도 함께 정리했습니다.

이런 분들이 읽으면 좋아요!

• 현업에서 서비스 보안을 챙겨야 하는 개발자·보안 담당자
• 어떤 보안 솔루션을 도입해야 할지 막막한 IT 인프라 담당자
• 한정된 리소스로 보안을 챙겨야 하는 스타트업 종사자
• “우리 회사 데이터, 정말 안전한 걸까?” 고민하는 직장인 

해커의 목적: 그들은 왜 해킹을 할까?

해커는 그저 장난삼아 시스템을 뚫는 사람들이 아닙니다. 그들의 공격 뒤에는 늘 뚜렷한 목적이 있죠. 어떤 해커는 특정 기업의 서비스를 마비시켜 혼란을 일으키고, 그 대가로 돈을 요구합니다. 또 다른 해커는 기업의 금고 깊숙이 숨겨둔 핵심 데이터를 빼내어 팔거나, 협박의 수단으로 삼습니다.

결국 해커가 노리는 건 두 가지입니다. 서비스를 멈추게 하거나, 데이터를 빼돌려 되돌릴 수 없는 피해를 만드는 것이죠.

1) 서비스 방해

첫 번째로 해커는 특정 기관이나 기업의 서비스를 정상적으로 운영하지 못하게 방해하고, 그 과정에서 금전적인 이득을 노립니다. 이는 웹 방화벽 등 보안 솔루션으로 막을 수 있고, 대부분 수일 내 복구가 가능해 비교적 큰 피해로 이어질 가능성은 적습니다.

2) 데이터 탈취

두번째로 해커가 노리는 건 기업의 핵심 기밀 데이터입니다. 이를 빼돌려 금전적 이득을 취하려는 것이죠. 문제는 이 공격은 복구가 불가능하다는 점입니다. 한 번 유출된 데이터는 지우거나 회수할 수 없죠. 또한 해커 손에만 머무는 것도 아니라, 여러 경로로 퍼져 2차 피해가 발생할 수 있어요.

이처럼 해커의 목적이 서비스를 멈추거나 데이터를 빼내는 데 있다면, 우리의 대응은 분명합니다. 데이터를 미리 안전하게 지키는 것이죠. 하지만 현실은 말처럼 쉽지 않습니다. 그렇다면 우리는 어떻게 대비해야 할까요?

그래서 ‘암호화’가 필요합니다

전 세계 정부와 기관은 해커로부터 데이터를 지키기 위해 다양한 규제를 마련하고 있습니다. 하지만 해커들의 수법은 해마다 진화하고, 그만큼 피해 규모도 커져 전 세계적으로 수조 원대 손실이 발생하고 있습니다. 이런 피해를 줄이고자, 기관과 기업에선 DRM(디지털 저작권 관리), DLP(데이터 유출 방지), VDI(가상 데스크톱 인프라) 같은 보안 솔루션을 도입하고 있지만, 비용 부담과 운영 인력 문제로 한계가 있죠. 게다가 구축 후에도 정보 유출 위험을 완전히 없애긴 어렵고요.
 

결국 핵심은 “비용은 최소화하면서도, 효과적인 보안 방식을 적용하자”는 건데요. 그 출발점이자 가장 기본적인 보안이 바로 ‘암호화’입니다.
 

여기서 잠깐! 암호화 개념으로 들어가기 전, 자주 묻는 질문 몇 가지를 살펴볼게요.

암호화 개념 톺아보기

아마 개발자나 보안 담당자가 아니더라도, ‘암호화’라는 단어는 들어보셨을 텐데요. 지금부터 그림과 예시를 통해 어떤 개념인지 자세히 살펴볼게요. 

만약 금고 안에 돈이 있다고 상상해 보세요. 우리는 그 돈을 지키려고 CCTV를 달고, 경호원을 세우고, 차단기도 설치합니다. 하지만 도둑이 이 모든 방어막을 뚫고 들어온다면, 결국 돈은 그대로 도둑의 손에 넘어가고 맙니다.

그런데 만약 금고 안의 돈이 ‘암호화’되어 있다면 어떨까요? 암호를 풀어야만 쓸 수 있으니, 도둑이 아무리 많은 돈을 가져가도 결국 쓸모없는 종이에 불과합니다. 데이터도 마찬가지입니다. 해커가 정보를 빼내더라도, 암호화돼 있다면 쉽게 쓸 수 없겠죠. 그래서 암호화는 가장 기본적이면서도 필수적인 보안 수단이 됩니다.

그래서 ‘데이터 암호화’란 중요한 정보를 제3자가 읽지 못하도록 바꾸는 과정을 말합니다. 수학적 연산을 거쳐 원래의 데이터를 의미 없는 문자들의 나열로 변환하는 것이죠. 이때 보호하려는 원본 데이터를 ‘평문(Plain Text)’이라고 부르는데요. 이 평문에 암호 알고리즘을 적용하면 ‘암호문(Cipher Text)’이 만들어집니다. 이 변환 과정이 우리가 말하는 암호화입니다.

또한 데이터 암호화는 어떻게 적용하느냐에 따라 방식이 달라지는데요. 구축 위치와 암호화 방식에 따라, 크게 정형 데이터(API 암호화, Plug-In 암호화)와 비정형 데이터(커널 암호화)로 나눌 수 있습니다.

암호화의 종류

1) 정형 데이터

• API 암호화: API 암호화는 외부 애플리케이션 영역에서 암·복호화를 수행하기 때문에, DB 서버에 부하를 주지 않는다는 장점이 있습니다. 다만 암호화를 적용하려면 소스 코드를 수정해야 하고, DB 내부에서 연산 처리되는 데이터는 암호화할 수 없다는 한계가 있죠. 이런 이유로 성능이 중요한 환경에서 주로 사용됩니다.
• Plug-In 암호화:Plug-In 암호화는 수정 사항이 거의 필요 없다는 장점이 있습니다. 그러나 DB 서버 내부에서 암·복호화를 수행하기 때문에, 서버에 직접적인 부하가 생길 수 있죠. 그래서 성능 영향이 크지 않은 환경에서 주로 사용됩니다.
   

2) 비정형 데이터

비정형 데이터 암호화 방식에는 주로 커널 암호화 방식이 사용됩니다. 이 방식은 OS의 커널 레벨에서 파일과 폴더를 암·복호화하는 구조입니다. 주로 로그, 이미지, 녹취, 문서 파일, OCR 데이터 같은 비정형 데이터를 보호할 때 활용됩니다.

예전에는 정형·비정형 데이터 환경에 따라 각각 다른 솔루션을 써야 했지만, 최근에는 어디서든 적용 가능한 암호화 플랫폼으로 발전했습니다. 여기에 키 관리 시스템(KMS)과 중앙 관리 시스템(CMS)이 결합되면서, 보안은 더 강력해지고 운영도 훨씬 편리해졌습니다.

그런데 여기서 꼭 짚고 넘어가야 할 점이 있습니다. 아무리 강력한 암호화 시스템을 갖췄다 해도, ‘키 관리’가 허술하면 보안은 언제든 무너질 수 있다는 점입니다.

암호화의 답은 ‘키 관리’에 있습니다

우리가 자물쇠를 잠글 때 열쇠가 필요하듯, 데이터를 암호화할 때도 데이터를 잠글 ‘열쇠’가 필요한데요. 바로 데이터 암호화의 핵심인 암호키(Key)입니다. 이 암호키는 데이터를 암호화할 때마다 사용되며, 복호화할 때도 반드시 필요합니다. 즉, 암호키 없이는 암호화된 데이터의 내용을 확인할 수 없기 때문이죠.
*복호화: 암호화된 데이터를 암호키를 사용해 다시 원래의 평문으로 되돌리는 과정

이번엔 도둑이 암호화된 돈을 훔쳤다고 가정해 볼까요? 겉보기에는 안전해 보이지만, 만약 도둑이 암호키까지 손에 넣는다면 상황은 완전히 달라집니다. 암호화된 돈은 본래의 가치를 되찾아, 도둑이 자유롭게 사용할 수 있죠.

즉, 데이터와 함께 암호키까지 유출된다면 해커는 언제든 암호를 풀고, 데이터를 원래 상태 그대로 활용할 수 있습니다. 이 때문에 암호키는 데이터 암호화에서 심장과도 같은 존재죠. 따라서 암호화된 데이터가 유출되더라도 안전하려면, 반드시 데이터와 암호키를 분리해 별도로 관리해야 합니다. 여기서 자연스럽게 궁금증이 하나 생깁니다. 그렇다면 우리가 관리해야 할 암호키에는 어떤 종류가 있을까요?

암호키는 크게 대칭키와 비대칭키 두 가지 방식으로 나눌 수 있습니다.

대칭키는 ‘같은 열쇠’를 쓰는 방식으로, 암호화와 복호화에 동일한 키를 사용해 연산 속도가 빠르고, 구조도 단순해 효율적입니다. 그래서 성능이 중요한 환경에서는 자주 쓰이지만, 문제는 보안성입니다. 같은 키로 잠그고 열다 보니, 그 키 하나만 유출돼도 누구나 데이터를 해독할 수 있다는 치명적인 단점이 있죠.

비대칭키는‘서로 다른 열쇠’를 쓰는 방식입니다. 암호화에는 공개키, 복호화에는 개인키를 사용하죠. 덕분에 공개키는 자유롭게 배포해도 문제가 없고, 해독 난이도도 훨씬 높습니다. 완벽한 인증이 가능하다는 장점이 있지만, 개인키가 길고 복잡하다 보니 처리 속도가 느려질 수 있죠.

이렇게 암호키는 방식마다 장단점이 달라, 환경과 목적에 맞게 선택해야 합니다. 하지만 여기서 끝이 아닙니다. 원리를 이해하는 것보다 더 중요한 건, 실제 어떤 제품을 고르고 어떤 기준으로 판단하느냐입니다.

암호화, 도입 전에 챙겨야 할 체크리스트 6가지 

이제 기업에선 데이터 보안의 중요성을 깨닫고, 암호화 솔루션을 도입하려고 할 겁니다. 하지만 개념은 어렵고 방식도 다양해, “어떤 제품을 골라야 하지?”라는 고민에 빠지죠. 그래서 준비했습니다. 암호화 도입 시 꼭 확인해야 할 6가지 체크리스트를 통해 살펴볼게요.

1) 인증 및 법적 컴플라이언스 대응 범위

데이터 암호화와 키 관리는 개인정보보호법, 의료법 등 다양한 법률의 규제를 받습니다. 따라서 국정원 검증필, CC 인증처럼 공신력 있는 인증을 갖춘 제품인지 꼭 확인해야 하죠. 결국 법적 컴플라이언스(Compliance)에 100% 대응할 수 있는지가 제품 선택의 첫 번째 기준입니다.

2) 다양한 시스템 및 환경 대응 여부

기업의 IT 인프라는 점점 복잡해지고 있습니다. 멀티·하이브리드 클라우드부터 스마트 팩토리, 블록체인, IoT까지 환경이 갈수록 다양해지고 있죠. 따라서 어떤 환경에서도 암호화를 적용할 수 있어야 하며, 나아가 여러 암호화 제품을 중앙에서 모니터링하고 관리할 수 있는 기능이 필요합니다.

3) 다양한 알고리즘 지원 여부

안전한 암호화를 위해서는 국가정보원이 지정한 국내외 표준 알고리즘을 폭넓게 지원해야 하는데요. 해외 상용 알고리즘뿐 아니라, SEED·ARIA 같은 국산 알고리즘, LEA·HIGHT 같은 경량 알고리즘까지 모두 대응할 수 있는지 확인해야 합니다.

4) 전용 키 관리 시스템 존재 여부

앞서 말했듯 암호화의 핵심은 ‘암호키’입니다. 암호화 제품과 키 관리 시스템이 원활하게 연동되는지가 매우 중요하죠. 이때 전용 키 관리 장비(H/W Appliance)를 사용하면, 별도 OS, 응용소프트웨어 설치나 복잡한 설정 없이, 안전한 채널을 통해 키를 저장하고 관리할 수 있습니다.

5) 중앙 관리 시스템 보유 여부

IBM의 ‘Cost of a Data Breach Report 2021’에 따르면, 시스템이 복잡한 기업은 그렇지 않은 기업보다 평균52.4% 더 많은 유출 비용을 지불했습니다. 약 215만 달러(약 30억 원) 차이였죠. 그만큼 복잡할수록 유출 위험도 커지기 때문에, 체계적인 암호화 관리가 필수입니다.

이를 위해 필요한 것이 바로 중앙 관리 시스템입니다. 암호화 제품과 키 관리 현황을 한눈에 파악하고, 운영·연동 설정부터 접근 제어, 로그, 감사 기능까지 통합적으로 관리할 수 있죠.

6) 구축 및 운영 비용 절감 

데이터 암호화와 키 관리 시스템은 고도의 기술력을 요구하는 만큼 비용도 적지 않습니다. 한 번 구축하면 쉽게 교체하기 어렵기 때문에, 초기 단계부터 비용 효율성을 꼼꼼히 따져보는 것이 중요합니다. 또한 성능 저하가 없는 암호화 방식을 선택해야, 비용을 줄이면서 성능과 보안을 함께 확보할 수 있습니다.

데이터 보안, 이제는 행동할 때

기업의 데이터는 결국 ‘고객 신뢰’와 직결됩니다. 이번 글에서 이야기한 암호화와 키 관리, 그리고 6가지 체크리스트는 단지 어렵고 거창한 기술 이야기가 아니라, 기업이 오래 살아남고 고객의 신뢰를 지키기 위한 가장 기본적인 조건입니다. 너무 복잡하게 생각하지 마세요. 오늘 당장, 우리 조직의 보안 체계를 이 체크리스트로 한번 가볍게 점검해 보는 것. 그 작은 실천이 결국 큰 변화를 만든다면, 지금 시작해 볼만하지 않을까요?

©️요즘IT의 모든 콘텐츠는 저작권법의 보호를 받는 바, 무단 전재와 복사, 배포 등을 금합니다.