경기도교육청, 2,500여 개 홈페이지에 개인정보 필터링 일괄 적용

경기도교육청, 2,500여 개 홈페이지에 개인정보 필터링 일괄 적용

텍스트 넘어 이미지 속 개인정보까지 차단 대상에

경기도교육청이 본청과 25개 교육지원청, 도내 학교 홈페이지를 아우르는 정보자원통합 사업의 일환으로 홈페이지 개인정보 유출 차단 체계를 전면 재구성했다. 개인정보 필터링 솔루션 공급은 엘세븐시큐리티(L7 Security)가 맡았으며, 외부망 홈페이지뿐 아니라 교육청 직원이 사용하는 내부망 시스템까지 검사 범위에 포함됐다. 적용 대상 사이트는 2,500여 개에 이른다.

사업 배경 — ‘분산된 홈페이지’라는 구조적 숙제

교육기관 홈페이지는 개인정보 노출 관점에서 난도가 높다. 학교마다 게시판이 제각각 운영되고 담당자의 순환 근무가 잦으며, 합격자 명단이나 신청서 스캔본처럼 개인정보를 담은 첨부파일이 상시 오르내린다. 사이트가 수천 개 단위로 늘어나면 ‘기관별로 알아서 관리하라’는 방식은 작동하지 않는다. 통합 인프라로 묶는 시점이 곧 개인정보 차단 체계를 다시 짜야 하는 시점인 이유다.

​

필터링 솔루션의 시스템 구성

홈페이지 개인정보 차단 솔루션의 설치는 통상 세 갈래다.

• 웹서버·WAS에 SDK(API) 스크립트를 심는 방식
• 트래픽 경로에 장비를 직렬 배치하는 인라인 방식
• L4 스위치로 트래픽을 검사 장비에 분산시키는 프락시 방식

​

경기도교육청은 L4 스위치를 활용한 프락시 구성으로 설치했다. 웹서버 소스를 건드리지 않는 구조다. SDK 방식은 게시판이 생성·수정·삭제될 때마다 연동 지점을 다시 손봐야 해, 2,500개 사이트에서 게시판이 상시 생성·폐기되는 환경이라면 연동 관리 자체가 별도의 상시 업무가 된다. 반면 프락시 구성은 트래픽 경로에서 검사하므로 게시판 구조 변경과 무관하게 차단이 유지되어 운영이 편리하다.

​

텍스트를 넘어 이미지까지

발주 요구사항에는 문서 내 텍스트뿐 아니라 이미지 속 문자까지 전부 차단하라는 조건이 포함됐다. 텍스트 기반 필터의 고질적 사각지대가 여기다. 신분증 사본이나 상장 사진처럼 주민등록번호가 ‘글자’가 아니라 ‘그림’으로 들어간 파일은 패턴 매칭을 그대로 통과한다. 홈페이지에서 ‘주민등록번호’를 검색하면 0건이 나오지만 첨부파일 안에는 남아 있는 상황이 벌어진다.

​

엘세븐시큐리티는 자체 개발한 AI OCR로 이미지 파일은 물론 한글·MS오피스·PDF 문서에 삽입된 이미지, 압축파일 내부 문서까지 문자를 추출해 검사한다고 밝히고 있다. 회사가 공개한 사양 기준 주요 특징은 다음과 같다.

• 검출 지원 포맷: 400종 이상
• 처리 성능: 글자가 많은 600KB급 이미지 문서 1장당 약 0.05초
• 차단 대상 정보: 주민등록번호, 외국인등록번호, 여권번호, 휴대전화번호, 카드번호

이미지 검사의 관건은 인식률보다 응답 속도다. 실시간 웹 트래픽 앞단에 놓이는 제품이므로, 인식률이 높아도 지연이 크면 민원이 발생해 이미지 차단을 포기하는 경우가 많다.

​

2,500개 사이트를 어떻게 관리할 것인가

규모가 커지면 탐지 성능만큼이나 관리 구조가 중요해진다. 이번 구축에서는 통합관리 서버를 별도로 두고 정책 설정, 로그 조회, 엔진 제어를 한곳에서 수행하도록 구성했다. 여기에 계정 체계를 계층화해, 상위 관리자가 기관별 계정을 발급하고 산하 기관 담당자는 자기 기관 도메인에 한해 로그 조회와 정책 설정, 예외 처리를 수행한다. 사실상 멀티테넌시 구조다.

​

이 설계는 본청이 2,500개 사이트의 예외 처리 요청을 모두 떠안는 병목을 없애는 동시에, 기관 담당자가 타 기관 게시물의 탐지 로그를 열람하는 상황을 차단한다. 개인정보 보호를 위한 시스템이 그 자체로 개인정보 열람 창구가 되는 역설은 다기관 환경에서 실제로 발생하는 문제이며, 권한 분리는 선택이 아니라 요건에 가깝다.

​

계층적 통합관리 체계구축

​

검수, 그리고 현장의 반응

제품 검수는 각 기관 담당자가 직접 게시글을 작성해 차단 여부를 확인하는 방식으로 진행됐고, 이미지가 포함된 문서를 별도로 제작해 이미지 검사 동작도 검증했다. 사이트마다 게시판 엔진과 첨부 처리 방식이 달라, 기관별 반복 검증은 번거롭지만 사후 오탐·미탐 분쟁을 줄이는 가장 확실한 방법이다.

도입 이후 탐지 건수가 크게 늘면서 담당자들이 놀랐고, 당분간 늘어날 운영·관리 부담에 대한 우려도 나온 것으로 전해진다. 이는 제품 결함이라기보다 그동안 걸러지지 않던 것이 드러난 결과로 보는 편이 정확하다. 도입 후 1~3개월간의 정책 튜닝과 담당자 교육이 실제 안착 여부를 좌우하며, 기관별 예외 처리 권한을 현장에 내려준 것은 이 부담을 분산하려는 설계로 읽힌다.

​

설치 후기

엘세븐시큐리티 신희준 팀장은 “국내 최대 규모 교육청 사이트에 필터링 솔루션을 적용하느라 밤을 새운 날이 많았지만, 잘 운영된다는 말을 들으니 뿌듯하다”며 “2,500개가 넘는 사이트에 적용한 만큼 문의와 요구사항도 많다. 안정적으로 운영되도록 계속 지원하겠다”고 말했다.

​

엘세븐시큐리티