프록시 사용 문서화 방법: 컴플라이언스를 위한 템플릿 및 보안 정책

귀사가 고객의 개인 데이터를 처리하거나 결제를 수락하거나 보안 감사를 받아야 하는 경우, 프록시 서버 사용 문서화는 필수 요구 사항이 됩니다. 적절한 문서가 없으면 GDPR에 따라 최대 2천만 유로의 벌금이나 PCI DSS 인증 상실로 이어질 수 있습니다.

이 가이드에서는 규제 기관의 요구 사항에 따라 프록시 사용을 문서화하는 방법, 어떤 정책을 수립해야 하는지, 접근 로그를 어떻게 관리해야 하는지를 설명합니다. 문서 템플릿과 구현을 위한 체크리스트를 제공합니다.

프록시 문서화가 준수에 중요한 이유

프록시 서버는 종종 기업 보안 문서에서 "사각지대"가 됩니다. 기업은 데이터베이스 작업 프로세스를 철저히 설명하지만, 직원이나 시스템이 프록시를 통해 외부 리소스에 접근하는 방법을 문서화하는 것을 잊습니다.

문제는 여러 상황에서 심각해집니다:

• 정보 보안 감사: ISO 27001 또는 SOC 2 감사자는 모든 데이터 접근 경로가 문서화되고 통제되고 있음을 확인해야 합니다. 프록시는 접근 경로입니다.
• 사고 조사: 데이터 유출이나 사기 의심이 있을 경우, 누가, 언제, 왜 특정 리소스에 접근하기 위해 프록시를 사용했는지 증명해야 합니다.
• GDPR 검토: EU 시민의 데이터를 다른 국가에서 프록시를 통해 처리하는 경우, 데이터의 국경 간 전송의 합법성을 문서화해야 합니다.
• PCI DSS 인증: 카드 결제를 처리하는 기업의 경우, 카드 데이터에 대한 모든 접근 지점이 문서화되어야 하며, 프록시 서버도 포함됩니다.

실제 사례: 2022년 유럽의 핀테크 기업은 리스크 모니터링 시스템이 거래를 확인하기 위해 프록시를 사용하는 방법에 대한 문서가 없다는 이유로 규제 기관으로부터 경고를 받았습니다. 벌금은 12개월 동안의 완전한 문서 패키지와 회고적 로그를 긴급히 작성한 후에야 피할 수 있었습니다.

프록시와 관련된 규제 요구 사항

다양한 규제 기준은 프록시 서버 사용 문서화에 대한 구체적인 요구 사항을 제시합니다. 비즈니스가 직면하는 주요 사항은 다음과 같습니다:

GDPR (일반 데이터 보호 규정)

EU 시민의 개인 데이터를 처리하기 위해 프록시를 사용하는 경우, 다음을 문서화해야 합니다:

• 프록시 사용 목적 (제5조 1항 b — 목적 제한)
• 프록시 서버의 지리적 위치 (제44조 — 국경 간 데이터 전송)
• 프록시를 통한 데이터 전송 시 데이터 보호를 위한 보안 조치 (제32조)
• 데이터 처리자로서 프록시 제공업체와의 계약 (제28조)
• 책임성을 보장하기 위한 접근 로그 (제5조 2항)

실용적인 예: 마케팅 부서가 주거용 프록시를 사용하여 EU의 여러 국가에서 경쟁사를 분석하고 가격이나 품목에 대한 데이터를 수집하는 경우 (이 데이터는 간접적으로 개인 데이터를 포함할 수 있음), 프록시 사용에 대한 GDPR 준수 정책이 필요합니다.

PCI DSS (결제 카드 산업 데이터 보안 표준)

결제를 처리하는 기업의 경우, PCI DSS 4.0 버전의 요구 사항은 다음을 포함합니다:

• 요구 사항 1.2.1: 카드 데이터 환경과 외부 네트워크 간의 모든 허용된 연결 문서화 (프록시는 이러한 연결입니다)
• 요구 사항 10.2: 프록시 관리 포함하여 모든 관리자 권한 사용자의 활동 로그 기록
• 요구 사항 12.3: 프록시 서버를 포함한 기술 사용 정책

ISO 27001 (정보 보안 관리 시스템)

이 표준은 A.13.1.1 (네트워크 보안 요소 관리)와 관련하여 문서화를 요구합니다:

• 모든 프록시 서버 및 그 구성 목록
• 프록시 접근 관리 절차
• 사용 모니터링 및 이상 탐지
• 정기적인 정책 검토 (최소 연 1회)

152-FZ "개인 데이터에 관한 법률" (러시아)

러시아 법률은 다음을 문서화할 것을 요구합니다:

• 개인 데이터 보안 위협 모델 (프록시가 보호 수단 또는 잠재적 위협으로 작용)
• 정보 시스템 구축 또는 현대화에 대한 기술 사양 (프록시가 그 일부인 경우)
• 정보 시스템의 분류 및 범주화 문서

프록시 서버 사용 정책 템플릿

프록시 사용 정책은 규칙, 책임 및 절차를 정의하는 기본 문서입니다. 다음은 준수 요구 사항에 맞게 조정된 정책 구조입니다:

1. 일반 조항

정책 목적: 외부 리소스에 접근하고 데이터를 처리할 때 보안, 기밀성 및 규제 요구 사항 준수를 보장하기 위한 프록시 서버 사용 규칙을 정의합니다.

적용 범위: 이 정책은 프록시 서버를 사용하여 인터넷 리소스에 접근하거나 데이터를 처리하는 모든 직원, 계약자 및 자동화 시스템에 적용됩니다.

2. 프록시 사용의 허용된 목적

프록시 서버는 다음 비즈니스 목적에만 사용될 수 있습니다:

• 경쟁사 모니터링: 시장 분석을 위한 경쟁사의 가격, 품목 및 마케팅 활동에 대한 공개 정보 수집 (부서: 마케팅, 제품).
• 웹 서비스 테스트: 다양한 지리적 지역에서 자사 웹 리소스의 가용성 및 작동 정확성 확인 (부서: 개발, QA).
• 광고 캠페인 검증: 다양한 지역 및 장치에서 광고 표시 확인 (부서: 마케팅).
• DDoS 방어: 외부 API에 접근할 때 기업 시스템의 IP 주소 숨기기 (부서: IT).
• 익명성 보장: 연구 수행 또는 민감한 정보 작업 시 직원의 개인 데이터 보호 (부서: 보안, 준수).

3. 프록시 유형 및 적용

4. 프록시 접근 절차

프록시 서버에 접근이 필요한 모든 직원은 다음 절차를 따라야 합니다:

1. 신청서 제출: 비즈니스 정당성을 명시하고 프록시 유형 및 사용 기간을 기재한 접근 요청 양식 작성.
2. 부서장 승인: 해당 부서의 직접 상사로부터 승인 받기.
3. 준수 검토: 정보 보안 또는 준수 부서에서 정책에 대한 요청 평가.
4. 계정 정보 제공: IT 부서에서 각 사용자에게 고유한 계정 정보로 접근 제공.
5. 교육: 직원이 프록시 안전 사용에 대한 간단한 교육을 받음 (비디오 또는 문서 형식 가능).

신청서 처리 기간: 제출 후 3영업일 이내.

5. 책임 및 역할

• 정보 보안 이사 (CISO): 정책 승인, 준수 감독, 감사 조정.
• IT 부서: 기술적 구현, 접근 제공, 프록시 인프라 모니터링.
• 준수 담당자: 프록시 사용이 규제 요구 사항에 부합하는지 확인, 문서 관리.
• 부서장: 직원의 요청 승인, 목표 사용 감독.
• 최종 사용자: 정책 준수, 모든 사고 또는 의심스러운 활동 즉시 보고.

접근 로그 및 모니터링: 기록해야 할 사항

프록시 사용 로그를 기록하는 것은 단순한 기술적 필요가 아니라 대부분의 준수 기준에서 요구되는 필수 사항입니다. 로그는 누가, 언제, 어떤 목적으로 프록시를 사용했는지 추적할 수 있게 해주며, 이상 징후나 비인가 접근을 식별할 수 있습니다.

접근 로그의 필수 필드

각 로그 항목은 다음 데이터를 포함해야 합니다:

로그 수집 자동화

대부분의 프록시 제공업체는 사용 통계를 얻기 위한 API를 제공합니다. 이 데이터를 SIEM 시스템(보안 정보 및 이벤트 관리) 또는 중앙 집중식 로그 저장소에 통합하십시오.

로그 수집 및 분석을 위한 추천 도구:

• ELK Stack (Elasticsearch, Logstash, Kibana): 중소기업을 위한 무료 솔루션으로, 프록시 사용을 실시간으로 시각화할 수 있습니다.
• Splunk: 강력한 이벤트 상관 관계 및 이상 탐지 기능을 갖춘 상용 플랫폼.
• Graylog: 간단한 인터페이스를 가진 Splunk의 오픈 소스 대안.
• Azure Monitor / AWS CloudWatch: 해당 플랫폼을 사용하는 기업을 위한 클라우드 솔루션.

알림 설정

자동 알림은 정책 위반이나 의심스러운 활동을 식별하는 데 도움이 됩니다:

• 비정상적인 데이터 양: 직원이 세션당 1GB 이상의 데이터를 프록시를 통해 전송한 경우 (데이터베이스 다운로드를 나타낼 수 있음).
• 근무 시간 외 접근: 사전 승인 없이 야간 또는 주말에 프록시 사용.
• 지리적 위치 변경: 한 사용자가 짧은 기간에 5개 이상의 다른 국가에서 프록시를 사용하는 경우.
• 금지된 리소스 접근: 회사의 블랙리스트에 있는 도메인에 연결을 시도하는 경우.
• 여러 번의 실패한 시도: 1시간 내에 10회 이상의 인증 실패 시도 (계정 정보 유출 가능성).

프록시를 통한 개인 데이터 보호 문서화

귀사의 시스템이 프록시를 통해 개인 데이터를 처리하는 경우 (예: 사용자 검증, 사기 거래 확인 또는 분석 수집), 이러한 데이터 보호 조치를 문서화해야 합니다.

프록시를 위한 데이터 처리 영향 평가 (DPIA)

GDPR은 개인의 권리와 자유에 높은 위험을 초래할 수 있는 처리 작업에 대해 데이터 보호 영향 평가(DPIA)를 수행할 것을 요구합니다. 프록시 사용이 이 요구 사항에 해당할 수 있는 경우는 다음과 같습니다:

• 민감한 개인 데이터(건강, 재정, 생체 정보)를 처리하는 경우
• 데이터 보호 수준이 낮은 국가(비 EU)에서 프록시를 사용하는 경우
• 대규모로 데이터를 처리하는 경우 (10,000명 이상의 데이터 주체)

프록시 사용을 위한 DPIA 구조:

1. 처리 설명: 프록시를 통해 어떤 데이터가 전송되는지, 어떤 목적을 위해, 어떤 데이터 주체 카테고리가 영향을 받는지.
2. 필요성 및 비례성: 프록시 사용이 필요한 이유와 덜 위험한 대안이 없는 이유에 대한 정당화.
3. 데이터 주체에 대한 위험: 무엇이 잘못될 수 있는지 (데이터 유출, 비인가 접근, 데이터 통제 상실).
4. 위험 완화 조치: 암호화, 접근 제한, 프록시 제공업체와의 계약, 정기 감사.
5. DPO와의 상담: 데이터 보호 책임자가 있는 경우, 그의 의견을 문서화해야 합니다.

데이터 처리자로서 프록시 제공업체와의 계약

프록시 제공업체가 그 서버를 통해 전송되는 개인 데이터에 접근할 수 있는 기술적 가능성이 있는 경우, 그는 GDPR 용어에 따라 "데이터 처리자"가 됩니다.

계약서에는 다음이 명시되어야 합니다:

• 처리의 목적 및 기간: 어떤 데이터가 처리되는지, 얼마나 오랫동안.
• 처리자의 의무: 보안 및 기밀성 보장, 데이터 주체의 권리 이행 지원.
• 하위 처리자: 제공업체가 제3자를 고용할 수 있는지, 귀하의 동의가 필요한지.
• 국경 간 전송: 프록시 서버가 위치한 국가, 적용되는 보호 메커니즘 (표준 계약 조항, 적정성 결정).
• 사고 통지: 제공업체가 데이터 보안 위반을 즉시 보고해야 하는 의무.
• 감사 및 검사: 귀하가 제공업체의 계약 조건 준수를 확인할 권리.

프록시를 통한 데이터 전송 시 암호화

어떤 암호화 방법이 적용되는지 문서화하십시오:

• HTTPS 프록시: 귀하의 시스템과 프록시 서버 간의 모든 트래픽이 TLS 1.2 이상으로 암호화됩니다.
• SSH 터널을 통한 SOCKS5: 특히 민감한 데이터에 대한 추가 암호화 수준.
• 종단 간 암호화: 데이터가 발신자 측에서 암호화되고 수신자 측에서만 복호화되며, 프록시는 암호화된 트래픽만 볼 수 있습니다.

문서에는 프로토콜 버전 및 암호화 알고리즘을 명시하십시오 (예: "TLS 1.3 및 AES-256-GCM").

감사 문서 준비

외부 또는 내부 감사가 진행될 때, 프록시 사용 준수를 입증하는 전체 문서 패키지를 신속하게 제공해야 합니다. 미리 준비해야 할 사항은 다음과 같습니다:

감사를 위한 문서 패키지

1. 프록시 서버 사용 정책 (승인자의 서명이 포함된 최신 버전)
   • 정책 변경 이력
   • 직원 인식 문서 (서명된 문서 또는 전자 확인)
2. 프록시 서버 목록
   • 사용 중인 모든 프록시 목록 (IP 주소, 지리적 위치, 유형)
   • 제공업체 정보 (회사 이름, 연락처 정보, 계약 세부 사항)
   • 각 프록시 사용 시작 날짜
3. 접근 로그
   • 지난 12개월 간의 로그 (또는 귀하의 기준에서 요구하는 기간)
   • 발견된 이상 징후 및 조치에 대한 보고서
   • 부서별 사용 통계
4. 제공업체와의 계약
   • 프록시 서비스 제공 계약서
   • GDPR 준수를 위한 데이터 처리 계약서 (DPA)
   • EU 외부에 위치한 프록시의 경우 표준 계약 조항 (SCC)
   • 가용성 및 보안 보장을 위한 서비스 수준 계약 (SLA)
5. DPIA (데이터 보호 영향 평가) — 해당되는 경우
6. 접근 관리 절차
   • 프록시 접근 요청 양식
   • 승인된 요청 및 거부된 요청의 예시
   • 직원 퇴사 시 접근 권한 회수 절차
7. 사고 및 조사
   • 프록시와 관련된 사고 기록 (있었던 경우)
   • 조사 보고서
   • 시정 조치
8. 교육 및 인식
   • 프록시 안전 사용에 대한 교육 자료
   • 직원 교육 이수 기록

감사자의 일반적인 질문

다음 질문에 답할 준비를 하십시오 (증거와 함께):

• "프록시가 허용된 목적에만 사용되도록 어떻게 통제합니까?" — 로그 및 모니터링 절차를 보여주십시오.
• "개인 데이터가 프록시 제공업체에 전달되지 않도록 어떻게 보장합니까?" — DPA, 암호화 정책, no-log 확인서를 보여주십시오.
• "프록시에 접근할 수 있는 직원 목록을 얼마나 자주 검토합니까?" — 분기별 검토 절차를 보여주십시오.
• "프록시 제공업체가 서비스를 중단하거나 해킹당하면 어떻게 됩니까?" — 비즈니스 연속성 계획 (BCP) 및 대체 제공업체 목록을 보여주십시오.
• "국경 간 데이터 전송 시 어떻게 준수를 보장합니까?" — SCC 및 프록시 위치 국가 분석을 보여주십시오.

감사 준비 자동화

모든 문서의 최신 버전으로 "감사 폴더" (물리적 또는 전자적)를 만드십시오. 업데이트 책임자를 지정하십시오 (일반적으로 준수 담당자 또는 CISO).

GRC 플랫폼(거버넌스, 리스크, 준수)을 사용하여 자동화하십시오:

• OneTrust: 정책 관리, 문서 검토 알림 자동화.
• ServiceNow GRC: IT 프로세스와 통합, 준수 증거 자동 수집.
• Vanta / Drata: SOC 2, ISO 27001 준수를 위한 자동화 및 지속적 모니터링.

문서 및 로그 보관 기간

다양한 표준 및 법률은 문서 및 로그의 최소 보관 기간을 설정합니다. 이러한 기간을 준수하지 않으면 벌금이나 조사 시 준수를 입증할 수 없는 결과를 초래할 수 있습니다.

안전한 삭제 절차

보관 기간이 만료된 후, 문서와 로그는 안전하게 삭제되어야 하며, 이는 오래된 데이터 유출 위험을 최소화합니다:

• 전자 문서: 안전 삭제 방법을 사용하십시오 (단순히 "삭제"가 아니라 최소 3회 데이터 덮어쓰기).
• 종이 문서: DIN 66399에 따라 P-4 이상의 비밀 수준으로 파쇄기를 통해 파기.
• 백업: 모든 백업에서 데이터를 삭제하는 것을 잊지 마십시오, 기본 저장소뿐만 아니라.
• 삭제 문서화: 삭제 작업을 기록하는 로그를 유지하십시오.