[인프라진단] #CA-11 관계형 데이터베이스 암호화 설정

1. 항목 설명

관계형 데이터베이스에 저장되는 데이터가 스토리지 암호화 기능으로 보호되는지 점검하는 항목입니다.

중요 데이터를 저장하는 DB에 암호화가 적용되고 관련 키와 접근 권한이 적절히 관리되는 경우 양호합니다.

2026 가이드 근거

출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, CA-11, p.864. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

2. 점검 목적

디스크, 스냅샷과 백업 매체가 유출되더라도 저장 데이터가 평문으로 노출되는 위험을 줄이는 것이 목적입니다.

3. 실습 환경

• 클라우드: NAVER Cloud Platform 개인 실습 계정
• 확인 서비스: Cloud DB for MySQL
• DB Server: 0대
• 저장 데이터: 없음
• 과금 방지: 유료 DB Server를 생성하지 않음

4. 취약 상태 구성

실제 데이터베이스가 없어 암호화가 해제된 DB를 생성하지 않았습니다. 대신 DB Server 생성 화면에서 데이터 스토리지 암호화 옵션과 생성 후 변경 제한을 직접 확인했습니다.

5. 최초진단 결과

• 최초진단 판정: 해당 없음(N/A)
• 판정 근거: 점검 대상 Cloud DB Server가 없음
• 확인 현황: Cloud DB for MySQL DB Server 0대

6. 조치 방법

신규 DB 생성 단계에서 데이터 스토리지 암호화를 적용합니다. NCP 화면에 안내된 것처럼 생성 후 설정 변경이 불가능하므로 기존 비암호화 DB는 암호화된 신규 DB로 마이그레이션하는 방안을 검토해야 합니다.

콘솔 경로: Cloud DB for MySQL → DB Server → DB Server 생성 → 데이터 스토리지 암호화 적용

7. 이행진단 결과

• 이행진단 판정: 예방 통제 확인
• 판정 근거: 생성 전 암호화 적용 위치와 변경 제한을 확인함
• 제한 사항: 실제 DB를 생성하지 않았으므로 운영 DB 암호화 검증 결과는 아님

8. 실무 주의사항

스토리지 암호화만으로 DB 접근 통제가 완성되지는 않습니다. 계정 권한, 통신구간 암호화, 백업 암호화와 키 접근 통제를 함께 확인해야 합니다.

컨설턴트 조언

• 암호화 적용이 생성 후 변경 불가한 상품은 표준 생성 템플릿에서 기본값으로 강제합니다.
• 기존 비암호화 DB의 전환에는 마이그레이션 시간, 중단 계획과 롤백 절차를 포함합니다.
• 운영자와 서비스 계정의 데이터 접근 권한을 암호화 키 관리 권한과 분리합니다.
• 백업과 복제본에도 동일한 암호화 기준이 적용되는지 복원 시험으로 확인합니다.

9. 마무리

현재 Cloud DB가 없어 N/A로 판정했지만 실제 생성 화면에서 암호화 옵션이 생성 시점에 결정된다는 점을 확인했습니다. DB 도입 전 설계 단계에서 암호화를 필수값으로 정하는 것이 가장 안전합니다.