접속기록 보관·점검 지원, 다운로드 사유 확인 및 접근권한 관리대장 관리 등 해결

​

​https://www.boannews.com/media/view.asp?idx=117272&kind=

[보안뉴스 이소미 기자] 삼오씨엔에스의 파르고스 제품은 접속기록관리시스템으로는 유일한 혁신제품이다. 파르고스는 중소벤처기업부의 연구개발을 지원받아 성공 판정을 받은 제품으로 2021년 6월에 지정됐다. 혁신제품을 구매한 공공기관은 기관별 총 물품 금액의 1.7%(지자체 0.8%)를 혁신제품 구매에 활용토록 하고 구매실적을 기관평가에 반영하고 있다.

​

파르고스는 국가계약법 시행령 제26조 및 지방계약법 시행령 제25조에 따라 수의계약이 가능하고, 구매자는 조달사업에 관한 법률 제27조에 의해 구매면책을 통해 보호 조치된다.

​

▲파르고스 v3.0 성능 및 기술사항[자료=삼오씨엔에스]

​

이러한 파르고스 제품을 조달청에서 시범 구매한 공공기관은 제주관광공사, 울산시설공단, 대구시 달성군시설관리공단, 울산광역시 중구도시관리공단이다. 해당 기관들은 파르고스 제품을 1년 동안 시범 운영하고, 내부 평가위원회를 구성해 검증 단계를 거쳤다. 검증은 개인정보의 안전성 확보조치 기준 제8조 접속기록의 보관 점검 조항을 준수하고 있음을 지속적으로 확인하는 작업으로 진행됐다.

​

혁신제품으로 지정된 후 파르고스 제품이 기술보증기금, 춘천시청, 질병관리청, 서울신용보증재단 등 20여 개 기관들이 구매했던 이유는 2022년 7월 공공부문 개인정보유출방지 대책 영향도 컸다. 이는 2022년 신당역 스토킹 사건, 2021년 송파가족살인사건, 2019년 n번방사건으로 이어지는 공공기관 개인정보 유출사건의 원인을 확인하고 발표한 보완대책이다. 이에 따른 보완대책은 △접속기록관리시스템 구축 의무화 △접근권한의 철저한 관리와 권한최소화 △이상행위 사유 소명관리 등이다.

​

파르고스 제품은 중소벤처기업부 연구개발 지원으로 주요 기능이 대폭 강화됐다. 접속기록관리 시스템은 △접속기록 생성 △접속기록 수집·저장관리 △이상행위 분석·보고·점검관리 △소명관리로 구분된다.

​

‘생성’은 접속기록 누락이 없어야 하고 업무시스템의 부하를 최소화하는 방식을 사용해야 한다. ‘수집·저장관리’는 암호화 통신으로 수집하고 암호화 저장관리뿐만 아니라 접속기록 로그 용량이 테라바이트여도 빅데이터플랫폼 내의 검색엔진에 인덱싱돼 조회 성능이 탁월하다.

​

‘이상행위 분석·보고·점검관리’는 △룰위반 △수행업무 위반 △다운로드 위반 행위로 분석 관리되고 있다. 또한 개인정보처리시스템별 이상행위 정책을 차등 적용하고 월분석보고서를 비롯해 다양한 점검리스트를 제공하고 있다. 소명관리는 △개인정보처리시스템별 이상행위를 사전 정의하고 탐지 식별된 이상행위에 대해서는 △취급자에게 메일 및 메신저 연계를 통해 소명리스트와 단계별 진행사항을 확인할 수 있다. 이러한 소명관리는 개인정보 보안관제 활동으로 이어져 개인정보 오남용 탐지 및 유출방지를 위한 솔루션으로 활용되고 있다. 이러한 사례는 질병관리청에서 활용되고 있으며, AI를 적용한 접속기록 이상행위 탐지는 서울시에서 2020년 11월부터 2022년 1월까지 실시한 결과 ‘성공판정’을 받았다.

​

파르고스 제품은 800여 공공기관에서 매년 실시되는 개인정보 관리수준진단 정량평가 진단 항목중 접속기록관리 및 점검과 접근권한 관리 항의 이행을 지원하고 있다. 특히, 개인정보취급자는 개인정보처리시스템에 접근권한 부여·변경·말소 사항을 최신 상태로 현행 및 접근권한 관리대장을 관리해야 한다. 이러한 사례는 서울신용보증재단에서 활용되고 있어 공공기관에서 제품 기능에 대한 문의가 이어지고 있다.

[이소미 기자(boan4@boannews.com)]