내부통제 로그의 위·변조를 방지하기 위해 WORM(Write Once, Read Many) 스토리지를 활용

내부통제 로그의 위·변조를 방지하기 위해 WORM(Write Once, Read Many) 스토리지를 활용하는 것은 데이터의 신뢰성과 무결성을 확보하는 매우 강력한 방법입니다. 금융감독원 가이드라인이나 국가 IT 보안 감사 규정에서도 중요 로그에 대한 WORM 적용을 강력히 권고하거나 의무화하고 있습니다.

WORM 스토리지를 활용해 로그 위·변조를 방지하는 메커니즘과 구체적인 구현 방식은 다음과 같습니다.

1. WORM 스토리지의 핵심 메커니즘

WORM은 "한 번 쓰면 변경도, 삭제도 불가능하고 읽기만 가능하다"는 원칙으로 작동합니다.

• 논리적/물리적 잠금 (Retention Lock): 로그 파일이 WORM 영역에 기록되면, 미리 설정한 보존 기간(Retention Period) 동안은 시스템 관리자(Root)나 최고 권한자라 할 수 있을지라도 해당 로그를 수정하거나 삭제할 수 없습니다.
• 시간 동기화 보호: 관리자가 서버 시간을 과거로 돌려 보존 기간을 만료시키는 편법을 막기 위해, WORM 스토리지 자체에 변조 불가능한 하드웨어 내장 시계(Compliance Clock)를 탑재하여 운영합니다.

2. 로그 위·변조 방지 아키텍처 및 프로세스

일반적으로 로그를 생성하는 서버(웹 서버, DB, WAS 등)에 WORM을 직접 걸지 않고, 중앙 로그 수집 서버와 WORM 스토리지를 연동하는 아키텍처를 사용합니다.

① 로그 발생 및 실시간 전송

• 운영 서버(인프라, DB, 애플리케이션 등)에서 내부통제 대상 로그(사용자 접근 기록, 권한 변경, 데이터 변경 이력 등)가 발생합니다.
• 이 로그들은 Syslog, Fluentd, Logstash 등의 수집 에이전트를 통해 실시간으로 중앙 로그 관리 서버로 전송됩니다. 운영 서버에 로그를 오래 두면 서버 탈취 시 로그가 변조될 수 있기 때문입니다.

② 암호화 및 무결성 검증 (해시화)

• 중앙 로그 서버는 수집된 로그 파일의 무결성을 입증하기 위해, 파일별로 SHA-256 등의 해시(Hash) 값을 생성하고 타임스탬프를 결합합니다.

③ WORM 스토리지로 보관 (아카이빙)

• 로그 서버는 배치(Batch) 또는 실시간으로 로그 파일을 WORM 스토리지의 지정된 볼륨으로 이동(Copy/Move)시킵니다.
• 이때 보존 정책(Retention Policy)이 적용됩니다. 예를 들어, *"이 폴더에 들어오는 모든 파일은 5년간 삭제 및 수정 불가"*라는 규칙이 하드웨어/소프트웨어적으로 강제됩니다.

3. 기술적 구현 방식 (형태별 분류)

WORM 스토리지를 구현하는 방법은 크게 세 가지로 나뉩니다. 조직의 인프라 환경(On-Premise vs Cloud)에 따라 선택합니다.

A. 하드웨어 방식 (Appliance WORM)

• 개념: 스토리지 장비 자체 하드웨어 레벨에서 WORM 기능을 지원하는 전용 장비를 도입합니다. (예: Dell EMC Data Domain, NetApp SnapLock 등)
• 특징: 가장 보안성이 높습니다. 컨트롤러 펌웨어 수준에서 삭제 명령을 거부하므로 디스크를 직접 빼서 다른 장비에 꽂아도 지울 수 없습니다.

B. 소프트웨어 방식 (가상 가상화/SCSA)

• 개념: 일반 범용 스토리지를 사용하되, OS나 스토리지 관리 소프트웨어 레벨에서 파일 파일 시스템을 WORM 모드로 고정하는 방식입니다.
• 특징: 비용이 저렴하지만, 소프트웨어 취약점이나 OS 최고 권한 탈취 시 하드웨어 방식에 비해 리스크가 존재할 수 있습니다.

C. 클라우드 객체 스토리지 방식 (Cloud Object Storage)

• 개념: AWS, Object Storage 등 퍼블릭 클라우드의 기능을 활용합니다.
• 주요 기능: * AWS S3 Object Lock (Compliance 모드): 이 모드를 활성화하면 AWS 루트 계정을 포함한 그 누구도 지정된 기간 내에 객체를 삭제하거나 덮어쓸 수 없습니다.
• 특징: 클라우드 환경에서 구축이 매우 쉽고 비용 효율적입니다.

4. 내부통제 감사(Audit) 관점에서의 이점

1. 입증 책임 확보: 내부 횡령이나 보안 사고 발생 시, 감사인(Auditor)에게 "이 로그는 시스템 엔지니어나 그 누구도 손댈 수 없는 곳에서 무결하게 보존되었다"라는 것을 기술적으로 증명할 수 있습니다.
2. 권한 분리 (SoD): 로그를 생성하는 사람(개발자/운영자), 로그를 관리하는 사람(인프라 담당자), 로그를 감사하는 사람(보안/감사 부서)의 권한이 완벽히 분리되며, 설령 관리자 권한이 탈취되어도 WORM 장비가 삭제를 거부하므로 안전합니다.