보고서 가이드 — ForusSec Lab

D-08

개인정보 암호화 저장

위험도: 상

📚 KISA 기준: D-08

📌 아래 내용이 표준 보고서에 포함되어야 합니다. 자신이 작성한 보고서와 대조하세요.

📋 현황 (점검 명령어 및 결과)

📄 표준 내용

# 민감정보 컬럼 암호화 여부 확인
SELECT name, email, ssn, password FROM corp_db.employees LIMIT 3;
+--------+------------------+----------------+----------------------------------+
| name   | email            | ssn            | password                         |
+--------+------------------+----------------+----------------------------------+
| 김대표  | ceo@corp.com     | 900101-1234567 | 0192023a7bbd73250516f069df18b500 |
+--------+------------------+----------------+----------------------------------+
→ ssn: 주민번호 평문 저장 ← 취약!
→ password: MD5 해시 ← 취약! (권고: bcrypt/argon2)

# system_config 테이블 평문 저장
SELECT * FROM corp_db.system_config;
db_password | super_secret_db_2024  ← 설정값 평문 저장 = 취약

🔧 조치 방안 및 이행 확인

📄 표준 내용

# 주민번호 암호화 (AES-256)
UPDATE employees SET ssn = AES_ENCRYPT(ssn, 'encryption_key_256bit');

# 패스워드 bcrypt로 재저장 (앱 레벨에서 처리)
# PHP: password_hash($pw, PASSWORD_BCRYPT)
# Python: bcrypt.hashpw(pw, bcrypt.gensalt())

# 설정값 암호화 또는 vault 사용
# HashiCorp Vault, AWS Secrets Manager 등 권고