GDPR 준수를 위한 AES-GCM과 RBAC·ABAC 데이터 보안 설계

개인정보 흐름 전체에 보호 통제를 연결하는 방법

개인정보가 클라우드와 데이터 파이프라인을 오가는 환경에서는 규제 준수와 기술적 보호조치를 분리해 운영하기 어렵다. GDPR의 데이터 수명주기 요구사항, AES 기반 암호화, RBAC·ABAC 권한 정책은 요청 처리부터 감사와 삭제까지 하나의 흐름으로 맞물려야 한다.

GDPR 준수는 유럽 일반개인정보보호법(General Data Protection Regulation)의 요구를 조직 프로세스와 기술 통제에 반영하는 체계다. 합법성 근거, 목적 제한, 최소 수집, 보유 기간 관리와 함께 데이터 주체의 열람·정정·삭제·이동성 요청을 처리하는 절차가 포함된다.

데이터 기밀성은 NIST 표준 대칭키 블록 암호인 AES로 확보할 수 있다. 전송·저장·사용(연산 중) 단계의 위협 모델에 따라 방식을 선택해야 하며, 인증 암호 모드(AEAD)인 GCM과 CCM이 권장된다.

권한은 역할 기반의 RBAC(Role-Based Access Control)와 속성 기반의 ABAC(Attribute-Based Access Control)를 함께 다룬다. RBAC가 역할 단위로 권한을 부여한다면, ABAC는 주체·객체·환경 속성과 정책을 평가해 판단한다. 고정된 기본 권한은 RBAC에 두고, 상황에 따라 달라지는 제약은 ABAC에 두는 구성이 적합하다.

거버넌스, 키 관리, 정책 계층을 분리한다

GDPR 운영에는 데이터 맵핑, RoPA(처리 활동 기록), DPIA(영향평가)를 절차로 정착시키는 일이 포함된다. 동의와 법적 근거, 보유 기간 정책, 데이터 주체 요청(DSR) 처리 SLA도 함께 관리한다.

암호화 계층에서는 AES-GCM을 우선으로 두고 데이터키와 마스터키를 분리한다. KMS/HSM을 이용해 키 생성·저장·회전을 자동화하며, 전송 구간에는 TLS 1.2+를 종단간 적용한다. 저장 데이터에는 TDE와 응용계층 암호화를 이중으로 적용하는 방식을 선택할 수 있다.

접근 제어는 PEP(Policy Enforcement Point), PDP(Policy Decision Point), PIP(Attribute Provider)를 분리한다. RBAC가 기본 권한 집합을 제공하고, ABAC가 시간·위치·데이터 분류·동의 상태 같은 컨텍스트를 평가한다.

운영 과정에서는 불변 감사 로그, 키 사용 이력, 정책 평가 결과를 남긴다. 가명화와 토큰화, 최소권한, 목적 제한 검증을 자동화하고, IaC 기반의 보안 구성 표준화, 정책 CI 테스트, 키 회전과 정책 배포 파이프라인을 연결한다. 레드팀, 침투 테스트, 암호 강건성 평가도 주기적으로 수행한다.

요청부터 DSR 처리까지의 제어 경로

⤢✕

이 경로는 입력·처리·출력 흐름을 기준으로 구성한다. 정책 평가에서 거부된 요청은 403 응답과 감사 로그로 이어지고, 키 접근 실패나 무결성 검증 실패는 각각 에러 처리와 인시던트 조사 경로로 연결된다.

기본 권한과 상황별 제약을 나누는 기준

지표	RBAC	ABAC	혼합(RBAC+ABAC)
성능	정책 평가 비용 낮음	속성 평가로 오버헤드 증가	캐시·프리컴파일로 균형
확장성	역할 폭증 시 스프로울 위험	속성/정책 복잡도 증가	역할로 기본, ABAC로 예외 처리
일관성	역할 정의로 예측 가능성 높음	컨텍스트 의존, 테스트 필요	테스트 자동화로 일관성 확보
안정성	단순 모델로 운영 안정성 높음	속성 소스 장애 영향	핵심 권한 RBAC 고정, ABAC 탄력
운영 편의	역할 라이프사이클 관리 용이	정책 작성 난이도 존재	거버넌스 도구로 관리성 향상

데이터가 놓인 환경별 적용 방식

SaaS 다중 테넌트 환경에서는 KMS 마스터키를 기준으로 테넌트별 DEK를 파생해 분리할 수 있다. RBAC는 조직과 프로젝트 단위의 권한을 담당하고, ABAC는 테넌트ID·데이터 분류·지역(EEA 여부)을 제약 조건으로 둔다.

데이터 분석 파이프라인에서는 수집 단계에서 가명화와 동의 태그를 부착한다. 저장 데이터는 AES-GCM으로 보호하고, 분석 시점에는 동의 및 목적 제한 정책을 평가한다. 결과셋은 재식별 위험을 평가하고 차등 프라이버시 옵션을 적용한다.

모바일과 엣지 환경은 디바이스 보안 모듈(Secure Enclave/TEE)에 키를 보관하고 오프라인 AES-GCM 저장소를 적용한다. 온라인 상태로 전환할 때는 정책을 동기화하고 동의 상태를 다시 검증한다.

공공기관의 DSR 자동화에서는 데이터 카탈로그와 RoPA를 연계해 데이터 주체 요청의 대상 범위를 식별한다. 삭제·정정 트랜잭션 워크플로우를 수행하면서 감사 추적도 함께 남긴다.

응용계층 AES-GCM 처리 예시

환경과 전제는 Python 3.10+, pycryptodome 3.20+, OS 무관이다. 응용계층 암호화에서 Nonce와 Tag를 안전하게 관리하고, 키는 KMS에서 주기적으로 로테이션하는 구성을 전제로 한다.

# pip install pycryptodome
from Crypto.Cipher import AES
from Crypto.Random import get_random_bytes

def encrypt_gcm(plaintext: bytes, key: bytes, aad: bytes = b"") -> dict:
    nonce = get_random_bytes(12)  # 96-bit 권장
    cipher = AES.new(key, AES.MODE_GCM, nonce=nonce)
    cipher.update(aad)
    ciphertext, tag = cipher.encrypt_and_digest(plaintext)
    return {"nonce": nonce, "ciphertext": ciphertext, "tag": tag}

def decrypt_gcm(bundle: dict, key: bytes, aad: bytes = b"") -> bytes:
    cipher = AES.new(key, AES.MODE_GCM, nonce=bundle["nonce"])
    cipher.update(aad)
    return cipher.decrypt_and_verify(bundle["ciphertext"], bundle["tag"])

# 키는 KMS/HSM에서 안전 취득, 하드코딩 금지

DEK는 레코드 또는 테넌트 단위로 분리하고, 마스터키는 KMS/HSM에 보관한다. Nonce 충돌을 막아야 하며 실패 시에는 인시던트를 트리거하도록 구성한다.

OPA/Rego로 동의와 지역 속성을 평가하기

이 정책은 OPA 0.60+와 정책 캐시 활성화를 전제로 한다. 동의 상태, 데이터 분류, 지역 정보를 기준으로 접근을 제한하는 예시다.

package authz

default allow = false

allow {
  input.role == "analyst"  # RBAC 기본 역할
  input.attributes.data_classification == "PII"
  input.attributes.consent == true
  input.attributes.region == "EEA"
  # 업무 시간(예: 08-20시) 제약
  t := input.attributes.request_time
  t >= 8; t <= 20
}

PIP가 제공하는 consent, region, data_classification의 최신성을 보장하고 TTL 캐시를 구성한다. 정책은 CI 테스트를 거쳐 카나리 배포로 적용한다.

보안성, 비용, 운영 복잡도를 함께 관리한다

암호화는 AES-GCM을 우선으로 하고, 암호 라이브러리를 표준화하며 Nonce와 키 관리 자동화를 구성한다. 응용계층 암호화는 보안성이 우수한 대신 CPU와 지연 오버헤드를 늘릴 수 있다.

키 관리는 중앙 KMS와 6~12개월 주기의 키 회전, 환경별 격리를 기반으로 한다. HSM 도입은 보안성을 높이지만 운영 복잡도와 비용도 증가시킨다.

접근 제어는 RBAC로 80%를 커버하고 ABAC로 컨텍스트 제약을 구성한다. 정책 드리프트를 막으려면 테스트와 가시성, 이를 뒷받침하는 파이프라인이 필요하다.

GDPR 운영은 DPIA·RoPA·DSR 자동화와 보유 기간 정책 엔진화를 중심으로 둔다. 규제 변경 대응이 지연될 위험이 있으므로 최신 정보 확인이 필요하다.

통합 통제가 만드는 운영상 변화

암호화, 최소권한, 감사를 결합하면 데이터 유출 사고 확률이 3060% 상대적으로 감소할 것으로 기대할 수 있다. 정책 캐싱과 OPA JIT 컴파일을 적용하면 PDP 평균 지연을 13ms 수준으로 유지할 수 있으며, AES-GCM 응용계층 암호화는 1KB4KB 레코드 처리에서 CPU 오버헤드가 28% 수준이다.

규제 감사 대응력과 컴플라이언스 신뢰도가 높아지고, 데이터 사용 목적이 명확해져 조직의 데이터 거버넌스 성숙도도 향상된다. 인시던트 대응 시간과 원인 분석 측면에서도 운영상 이점이 생긴다.

GDPR 운영체계, KMS 중심 키 수명주기, PEP/PDP 분리, RBAC·ABAC 혼합 정책을 같은 아키텍처로 다루면 개인정보 보호와 접근 통제를 분절하지 않고 운영할 수 있다. 지속적인 컴플라이언스는 정책의 테스트와 배포를 반복 가능한 파이프라인으로 만드는 데서 유지된다.