SAP 데이터 암호화의 두 가지 방식
ERP 소프트웨어는 실로 다양하지만, 그 중에서도 ‘SAP(Systems, Applications, and Products in Data Processing)’는 해당 분야의 대표적 브랜드다. 전체 ERP 시장에서 5할에 달하는 점유율을 자랑하며 계속 성장하고 있다. 여러 산업 분야 다양한 규모, 특히 대기업 수준의 큰 규모의 기업들이 SAP 소프트웨어를 사용한다. SAP를 통해 제조 개발 구매 마케팅 서비스 물류 유통 회계 등 업무를 통합 관리한다. 기업의 비즈니스 활동 그 자체라 할 수 있다.
기업 활동에 있어 ERP가 차지하는 비중이 워낙 크다 보니 ERP 보안은 곧 기업보안 그 자체라 할 수 있다. 기업용 시스템은 기업 내부에서만 폐쇄적으로 사용되므로 비교적 안전하다는 인식이 지배적이었지만, 웹 시대의 본격화 그리고 시스템이 계열 포함 전사적 통합 구축 방향으로 발전함에 따라 내ㆍ외부 구분은 거의 사라졌다. SAP 또한 CRM SCM SRM 등의 확장 패키지를 ERP 시스템과 연계 통합했다. 결과적으로 ERP 시스템의 보안 문제는 기술적 차원을 넘어 비즈니스 차원으로 확장된 셈이다.
■SAP 데이터 암호화
ERP 내부에는 임직원 개인정보, 금융거래 기록, 영업기밀 등 중요한 정보들이 들어 있다. 이는 노출 시 기업의 존폐를 염려해야 할 정도로 중요한 기밀인 동시에, 정보 보호 관련 법규에 따라 필수적으로 암호화해야 하는 정보이기도 하다.
하지만 기업은 ERP 데이터를 섣불리 암호화하지 못하고 있다. 데이터 구조나 하부 시스템을 건드리기 어려운 고유 특성 상 암호화 작업이 쉽지 않기 때문이다. 특히 SAP는 그 특성 상 데이터의 형식과 길이 등을 변경하는 일이 매우 까다로워 사실상 불가능하다. 따라서 데이터의 속성을 유지하는 동시에 보안성을 갖추는 일이 가장 심각한 문제다.
SAP DB는, 1) 초기에 정의된 Data Element을 이용해 표준화 및 가독성을 높이는 구조로 되어 있고, 2) 지속적인 업데이트가 적용되어야 하는데, 허용된 범위를 벗어난 개발을 할 경우 업데이트가 어려울 수 있고, 3) 전사 자원을 통합한 ERP 시스템으로 실시간 처리가 필요하다. 따라서 SAP DB는 데이터 구조의 변경에 여러 가지 제약을 가지고 있다.
이렇듯 SAP DB는 데이터 구조의 변경에 여러 가지 제약을 가지고 있다. SAP의 정책 상 표준 기능에 영향을 미치지 않는 범위에서는 추가 기능 개발을 허용하긴 하나, 표준을 변경하는 작업은 권장하지 않는다. 예를 들어, 데이터 길이나 속성을 변경하거나 프로그램 코드를 변경할 경우 SAP 동작에 있어 예기치 못한 문제가 발생할 수 있다. 그런 경우 유지보수의 부담을 회사가 감수해야 한다.
따라서 SAP는 일반적인 데이터베이스 암호화가 아닌 다른 방식으로 접근해야 한다. 그리고 바로 그 접근방법이 바람직한 SAP 보안의 결정적 변수가 된다.
■SAP 암호화 방식
SAP 데이터 암호화에는 크게 두 가지 방식이 있다.
첫째, 신용카드 번호 CCN, 개인정보, 거래정보 등 높은 보안성을 요구하는 데이터만 따로 뽑아내 AES 등 일반적인 암호화 방식을 통한 보안용 DB에 저장하는 방식이 있다. SAP 시스템 내부에서는 실제 데이터 대신에 ‘랜덤 토큰’으로 대체해서 사용하기 때문에 ‘토크나이제이션(Tokenization)’이라 한다.
중요한 데이터만 따로 안전하게 보관한다는 점에서 편리해 보이지만, 별도 시스템 사이의 통신이 필수적인 등 전체 시스템의 복잡도가 높아지고 따라서 성능에 영향을 미친다는 단점이 있다. 무엇보다도 데이터와 토큰을 1:1 매칭한 테이블이 존재하고 또 통신구간 상 데이터가 오가야 한다는 점에서 근본적인 보안 허점이 있다고 볼 수 있다.
둘째, 암호화 장치를 SAP 내부에 탑재하여 시스템과 유기적으로 연동하는 방식이 있다. 이를 위해 ‘FPE(Format-preserving encryption) 형태보존 암호화’ 방식을 사용한다. SAP 시스템 내부에서 동작하기 때문에 시스템 성능에 미치는 영향이 거의 없는 반면, SAP 데이터베이스에 있는 토큰 정보가 실제 정보이기 때문에 암호화 알고리즘과 암복호화 키 관리, 사용자 인증 보안 등 일반적 보안성의 유지가 매우 중요하므로, 시스템 통합적 보안 플랫폼 규모의 설계가 가능한 FPE 암호화 전문기업의 제품을 사용할 것을 권한다.
2013년 ‘정보보호학회지’ 제23호에 게재된 ‘SAP DB 암호화에 대한 고찰’에서는, 위 두 가지 방식을 서로 비교한 내용을 아래와 같은 표로 간단히 정리하고 있다.
이에 따라 각 기업의 상황과 SAP를 통해 궁극적으로 얻고자 하는 바 목적에 따라 결정하면 될 일이다.
■정리: 성능과 보안성
거듭 강조하는 바, ERP 보안은 중요하다. 매우 중요하다. 그 중에서도 SAP 보안은 시스템 특성상 보다 까다로운 검토가 필요하다. 이에 SAP 보안, 특히 데이터 암호화 방식에 대해 알아보았다.
내용을 간단히 정리하자면, 빠른 성능과 높은 보안성을 동시에 추구해야 하는 상황이라면 토크나이제이션 방식보다는 FPE 방식이 더 적절한 선택이지만, SAP 보안에 대해 통합적 이해를 갖춘 전문 보안기업과의 긴밀한 협조가 필요하다.
흔히들 정보 보안의 왕도는 없다고 말하지만, 있다. ICT 시스템의 설계 단계에서부터 구축을 함께 하고 향후 필요한 보안 거버넌스에 이르기까지 함께 고민하는 전문기업과의 긴밀한 공조, 말하자면 ‘Security by Design’ 철학이 곧 정보 보안의 왕도다.