고객정보가 포함될수 있는 특정 칼럼에 대해 암호화를 해달라는 요구사항을 받았습니다.

오라클 버젼은 11g 구요 찾아보니 다음 4가지 방법이 나오는데 여러가지 의문점이 있어서 글을 용기내서 올려봅니다

1. CRYPTO 를 이용한 PACKAGE 생성 및 사용

2. TDE  - 칼럼 단위 암호화

3. TDE -  테이블 스페이스 단위 암호화

4. DB 전문 보안 솔루션 적용

1번 패키지 생성 방법은 SQL및 데이터를 전부 수정해야해서 현실적으로 불가능하구요 ( SQL 수정만 200 개정도해야하고 운영시스템에 반영하려면 고객사 결재를  '각각' 받아야합니다..)

2번,3번 TDE를 사용하는 방법은 WALLET을 생성하고 OPEN 하면 암호화된 칼럼이나 암호화된 테이블스페이스의 테이블을 조회할수 되어있다고 합니다.

4번 방법은 현재는 예산을 집행을 고려하지 않고 있어 일단제외하였습니다.

첫번째궁금한점 *  TDE 사용시  SYS권한을 가진 사용자가 instance scope에서 alter system set encryption wallet open 를 해주면, 해당 instance에 접속하는 모든 사용자가 session scope에서 별도의 권한획득을 위한 sql등을 사용하지 않고도 , 바로 모든 데이터를 조회할수 있는건가요?

두번째궁금한점 *  SYS권한이 아닌 일반 사용자도 비밀번호를 알면 WALLET을 OPEN(상태로 변경) 할수 있나요?

세번째궁금한점 *  TDE 사용시 웹서비스 어플리케이션에서 기존의 SQL을 그대로 사용할수 있도록 WALLET이 OPEN되어있는 상태라면, 이 사용자로 접속하는 Orange나 TOAD같은 프로그램 사람도 당연히 조회가 될텐데 ( DBMS입장에서는 웹 서비스어플리케이션에서 접속하는지, TOAD에서 접속하는지 구분 불가능하므로) 이런 상황에서 암호화의 의미가 있다고 할수 있는 것인지요?

네번째궁금한점 *  세번째 질문과 중복됩니다만  기존의 SQL 수정을 최소화하여 수정하면서 웹서비스 어플리케이션은 그대로 동작하고, Orange나 TOAD로 접속했을때는 칼럼이 암호화되거나, 조회자체가 안되게 하려면 어떻게 해야하나요? ( 기존 웹서비스 어플리케이션이 사용하던 계정에만 복호화할수 있는 권한을 부여하고<-이게 가능한지도 조차도 모르겠습니다..., '암호화된 칼럼'은 조회할수 없는 별도의 사용자를 추가하여 TOAD나 Orange 접속시에 사용 하라고 하면 되는것인지요? .. )