최근 발생한 대규모 정보보안 사고 상당수는 전·현직 직원 등 ‘내부인’에 의해 발생
외부로부터 사내 인프라 시스템 보호하면서, 유연한 업무 환경 지속시켜야
다양한 네트워크 연결 접점 일원화하고 통제해 보안성과 편의성 두 마리 토끼 잡아야
[보안뉴스 김경애 기자] 코로나19 팬데믹이 장기화되면서 기업의 IT 인프라가 재택근무(원격 근무) 지원을 위한 개방형 분산 시스템으로 변화하고 있다. 하지만 원격근무, 화상회의, IoT 적용 확대 등 네트워크 연결 접점이 증가하면서 보안 침해사고 위협이 점점 증가하고 있다.
과학기술정보통신부가 발표한 ‘2021년 정보보호 실태조사’의 보안 침해사고 유형별 심각성 정도를 보면 ‘내부 인력에 의한 중요정보 유출’이 심각 또는 매우 심각하다는 답변이 무려 92.9%에 달했다. 이에 본지는 넷앤드 솔루션사업본부 이명 이사와의 인터뷰를 통해 기업의 내외부 연결 접점의 보안 강화 방안에 대해 들어봤다.
접근제어 솔루션의 도입 필요성에 대해 말씀해 주신다면?
기업들은 VPN, 방화벽 등의 시스템 및 다양한 보안 정책을 통해 이를 지원하고 있으나 최근 발생한 대규모 정보보안 사고의 상당수는 전·현직 직원/ 외주 협력 직원 등 사내 인프라 시스템에 접근 권한이 있는 ‘내부인’에 의해 발생하고 있어요. 또한, 인프라 시스템 내 퇴직/전배/휴직자가 사용하던 시스템 계정들이 대다수가 관리되지 않은 채 그대로 잔존하고 있어 이를 불법적으로 도용 및 탈취해 결국 자료 유출 및 보안 사고까지 발생하고 있습니다.
시스템에 대한 접속 정보만 알고 있다면 신원 인증 절차 없이 누구나 접속이 가능하고, 접속 후 행위에 대해 아무런 제약을 받지 않기 때문에 악의적인 내부인에 의해 시스템에 장애가 발생하거나 중요 정보가 유출될 수 있는 문제가 상존합니다. 또한, 사고 발생 이후에 피해 사실을 인지하고 복구하기까지 많은 시간이 소모되어 기업 이미지에 부정적인 영향을 미칠 수도 있습니다.
이에 따라 기업은 기업 내부뿐만 아니라 기업 외부에서도 사내 네트워크와 인프라 시스템에 접속이 가능해야 합니다. 기업 관점에서는 외부로부터 사내 인프라 시스템을 보호하면서, 유연하게 업무 환경을 지속시킬 필요성이 있습니다. 또한, 개인정보보호법, 정보통신망법, 전자금융거래법, 신용정보보호법, 클라우드컴퓨팅 발전법 등의 컴플라이언스(Compliance) 준수와 ISMS, ISO/IEC 27001 등의 다양한 보안 인증 심사요건을 충족시켜야 합니다.
접근제어 솔루션과 관련해 주요 보안 이슈는 무엇인가요?
최근 다수 기업의 고객 개인정보와 기업 내부 자료가 다크웹을 통해 공개됐고, 다양한 업체들이 고객 개인정보 유출로 피해를 입은 사실이 있습니다.
기업과 기업에 속한 임직원의 위치에 상관없이 기업 내의 인프라와 각종 정보에 접근이 가능하게 되면서 보안위협의 점점이 기하급수적으로 늘어났습니다. 전방위적으로 보안 강화가 필요합니다. 하지만 아직은 다수의 기업이 인력과 예산 부족의 이유로 전방위적 보안 강화의 준비가 미흡해 정보보호 활동에 어려움을 겪고 있습니다.
접근제어와 관련해 기업에서 어려워하는 점은 무엇인가요?
디지털 워크 플레이스의 확대·도입에 따라 네트워크 연결 접점이 많아졌어요. 기업 내부의 IT 보안환경 뿐만 아니라 외부의 보안환경까지 고민하게 된 것이죠. 보안 아키텍쳐, 모델링의 부재로 인해 무엇을 어떻게 해야 할지에 대한 고민이 큽니다. 또한, 사내 인프라 시스템 보호 및 관련 법규 준수를 위해 각 보안 영역별로 다양한 솔루션을 도입하고 있는데, 이를 운영·관리하는 인력은 현저히 적고 특정 인력들에게 업무가 과중되는 게 현실입니다.
따라서 다양한 네트워크 연결 접점을 일원화하고, 그 연결 접점을 접근제어와 같은 솔루션을 통해 통제하는 방향으로 나아가야 해요.
보안 솔루션 도입 시 고려해야 할 사항은 무엇인가요?
첫째는 ‘보안성’입니다. 설계 단계부터 개발, 패키지(Package) 단계까지 모두 보안 측면에서 검증되고 만들어졌는지, 그리고 나날이 증가하고 있는 다양한 보안 취약점에 유연하게 대응할 수 있도록 만들어진 솔루션인지에 대한 고려가 필요합니다.
둘째로는 ‘편의성’입니다. ‘보안이 강화되면 사용자의 입장에서는 불편해진다. 하지만 보안을 위해서는 어쩔 수 없다’라는 말은 옛말이 되어 가고 있습니다. 아무리 보안에 강력하고 효과적인 시스템일지라도 복잡하고 편의성이 떨어진다면, 한 번 도입시 최소 5년 이상을 사용해야 하는 관리자와 사용자 입장에서는 솔루션 도입이 부담스러울 수 있습니다. 또한, 도입 후에 관리의 어려움으로 보안 솔루션의 다양한 기능과 정책을 사용하지 못하게 돼 오히려 보안 취약점이 발생하게 되는 경우가 있습니다. 보안 솔루션의 강력한 기능과 편의성, 두 마리의 토끼를 모두 잡을 수 있는 솔루션인지를 고려해야 합니다.
셋째는 ‘유연한 확장성과 지원체계’ 입니다. 사용자 및 관리 시스템의 확대, 레거시(legacy)에서 클라우드(Cloud)로 인프라 환경 전환, 하이브리드(Hybrid) 환경의 지원, 컴플라이언스 확대로 인한 기능 추가, 새로운 보안 취약점에 대한 대응, 보안 솔루션 추가 도입 등 기업에서 유동적으로 발생할 수 있는 여러 가지 상황에 대해 유연하게 대처하고, 확장이 용이한지 검토해야 합니다. 다양한 상황은 사전에 예측하기 어렵고, 발생 후 새롭게 검토·검증·수행을 위해서는 상당한 비용과 자원이 소모되기 때문에 초기에 면밀히 검토해야 합니다.
접근제어 솔루션의 기술적 성능과 성능 평가기준에 대해 말씀해 주신다면?
접근제어와 계정관리 통합 구성에서의 기술적 성능은 ‘계정 작업을 완료하기까지 소요 시간과 동시에 얼마나 많은 접속 세션을 중계하며(접속 처리하며) 사용자의 작업 행위를 로깅할 수 있는가’로 구분될 수 있습니다.
업무 수행을 위해 필요한 시스템 계정에 대해 정확하고 신속하게 실시간으로 처리돼야 하고, 인프라에 동시 접속시에도 안정적으로 처리할 수 있어야 합니다. 모든 작업 행위의 로깅은 DB 또는 파일로 남길 수 있어야 합니다.
성능 평가 역시 계정보안 정책과 접근권한 정책을 적용한 상태에서 계정 작업 수와 동시 접속 세션 수를 늘려가며 솔루션 자체의 자원 사용현황, 접속까지의 소요시간, 안정적인 접속 유지, 로깅 누락 여부 등에 대해 체크합니다. 또한, 솔루션에서 제공하는 다양한 기능의 정상 동작 여부를 확인하며, 성능 지표를 기반으로 단일, 이중화, 다중화 등 다양한 구성 방식에 대한 검증을 진행합니다.
접근제어 분야 향후 시장을 전망해 주신다면?
현재 접근제어 시장의 트렌드는 ‘통합’이라고 볼 수 있을 것 같습니다. 기업의 IT 인프라를 세부적으로 들여다보면, 서버, 네트워크, DBMS, AD, CCTV 등 다양한 영역이 존재하나, 이러한 인프라를 모두 아우르며 접근에 대한 권한관리와 접근의 시작점이라고 볼 수 있는 계정에 대한 라이프사이클(Life-Cycle)까지 포함된 통합형 관리체계로 나아가고 있습니다.
초기에는 다양한 보안 솔루션을 연계하고, 통합 포탈 등을 통해 마치 하나의 시스템처럼 보이도록 구성했어요. 하지만 이슈 발생 시 책임 문제, 관리 미흡 시 데이터 유출, 과다한 연계 비용 발생 등의 문제점으로 인해 최근에는 단일 워크프레임 내에 비슷한 카테고리(Category)의 보안 솔루션들이 유기적으로 구성된 통합 솔루션 도입 형태로 나아가고 있습니다.
향후 시장에선 ‘클라우드(Cloud)’ 환경을 빼놓을 수 없습니다. 국내는 현재 레거시(Legacy)로 불리는 ‘온프레미스(On-Premise)’로 구축된 인프라 환경에 더해 클라우드 인프라 환경이 점점 확대되고 있습니다. 국내 IT 환경은 현재 이 두 가지 인프라 환경을 하이브리드(Hybrid) 형태로 운영·관리하는 경우가 많은데, 이 두 가지 환경의 운영·관리 방법은 비슷하면서도 다른 부분이 많습니다. 접근제어 솔루션도 레거시와 클라우드 인프라 환경의 운영·관리 특성에 맞게 보안성, 기능성, 편의성을 갖춰 나가야 할 것으로 보이며, 개별 클라우드 업체와의 유기적인 협업도 매우 중요해질 것으로 보입니다.
[김경애 기자(boan3@boannews.com)]
외부로부터 사내 인프라 시스템 보호하면서, 유연한 업무 환경 지속시켜야
다양한 네트워크 연결 접점 일원화하고 통제해 보안성과 편의성 두 마리 토끼 잡아야
[보안뉴스 김경애 기자] 코로나19 팬데믹이 장기화되면서 기업의 IT 인프라가 재택근무(원격 근무) 지원을 위한 개방형 분산 시스템으로 변화하고 있다. 하지만 원격근무, 화상회의, IoT 적용 확대 등 네트워크 연결 접점이 증가하면서 보안 침해사고 위협이 점점 증가하고 있다.
▲넷앤드 솔루션사업본부 이명 이사[사진=넷앤드]
과학기술정보통신부가 발표한 ‘2021년 정보보호 실태조사’의 보안 침해사고 유형별 심각성 정도를 보면 ‘내부 인력에 의한 중요정보 유출’이 심각 또는 매우 심각하다는 답변이 무려 92.9%에 달했다. 이에 본지는 넷앤드 솔루션사업본부 이명 이사와의 인터뷰를 통해 기업의 내외부 연결 접점의 보안 강화 방안에 대해 들어봤다.
접근제어 솔루션의 도입 필요성에 대해 말씀해 주신다면?
기업들은 VPN, 방화벽 등의 시스템 및 다양한 보안 정책을 통해 이를 지원하고 있으나 최근 발생한 대규모 정보보안 사고의 상당수는 전·현직 직원/ 외주 협력 직원 등 사내 인프라 시스템에 접근 권한이 있는 ‘내부인’에 의해 발생하고 있어요. 또한, 인프라 시스템 내 퇴직/전배/휴직자가 사용하던 시스템 계정들이 대다수가 관리되지 않은 채 그대로 잔존하고 있어 이를 불법적으로 도용 및 탈취해 결국 자료 유출 및 보안 사고까지 발생하고 있습니다.
시스템에 대한 접속 정보만 알고 있다면 신원 인증 절차 없이 누구나 접속이 가능하고, 접속 후 행위에 대해 아무런 제약을 받지 않기 때문에 악의적인 내부인에 의해 시스템에 장애가 발생하거나 중요 정보가 유출될 수 있는 문제가 상존합니다. 또한, 사고 발생 이후에 피해 사실을 인지하고 복구하기까지 많은 시간이 소모되어 기업 이미지에 부정적인 영향을 미칠 수도 있습니다.
이에 따라 기업은 기업 내부뿐만 아니라 기업 외부에서도 사내 네트워크와 인프라 시스템에 접속이 가능해야 합니다. 기업 관점에서는 외부로부터 사내 인프라 시스템을 보호하면서, 유연하게 업무 환경을 지속시킬 필요성이 있습니다. 또한, 개인정보보호법, 정보통신망법, 전자금융거래법, 신용정보보호법, 클라우드컴퓨팅 발전법 등의 컴플라이언스(Compliance) 준수와 ISMS, ISO/IEC 27001 등의 다양한 보안 인증 심사요건을 충족시켜야 합니다.
접근제어 솔루션과 관련해 주요 보안 이슈는 무엇인가요?
최근 다수 기업의 고객 개인정보와 기업 내부 자료가 다크웹을 통해 공개됐고, 다양한 업체들이 고객 개인정보 유출로 피해를 입은 사실이 있습니다.
기업과 기업에 속한 임직원의 위치에 상관없이 기업 내의 인프라와 각종 정보에 접근이 가능하게 되면서 보안위협의 점점이 기하급수적으로 늘어났습니다. 전방위적으로 보안 강화가 필요합니다. 하지만 아직은 다수의 기업이 인력과 예산 부족의 이유로 전방위적 보안 강화의 준비가 미흡해 정보보호 활동에 어려움을 겪고 있습니다.
접근제어와 관련해 기업에서 어려워하는 점은 무엇인가요?
디지털 워크 플레이스의 확대·도입에 따라 네트워크 연결 접점이 많아졌어요. 기업 내부의 IT 보안환경 뿐만 아니라 외부의 보안환경까지 고민하게 된 것이죠. 보안 아키텍쳐, 모델링의 부재로 인해 무엇을 어떻게 해야 할지에 대한 고민이 큽니다. 또한, 사내 인프라 시스템 보호 및 관련 법규 준수를 위해 각 보안 영역별로 다양한 솔루션을 도입하고 있는데, 이를 운영·관리하는 인력은 현저히 적고 특정 인력들에게 업무가 과중되는 게 현실입니다.
따라서 다양한 네트워크 연결 접점을 일원화하고, 그 연결 접점을 접근제어와 같은 솔루션을 통해 통제하는 방향으로 나아가야 해요.
보안 솔루션 도입 시 고려해야 할 사항은 무엇인가요?
첫째는 ‘보안성’입니다. 설계 단계부터 개발, 패키지(Package) 단계까지 모두 보안 측면에서 검증되고 만들어졌는지, 그리고 나날이 증가하고 있는 다양한 보안 취약점에 유연하게 대응할 수 있도록 만들어진 솔루션인지에 대한 고려가 필요합니다.
둘째로는 ‘편의성’입니다. ‘보안이 강화되면 사용자의 입장에서는 불편해진다. 하지만 보안을 위해서는 어쩔 수 없다’라는 말은 옛말이 되어 가고 있습니다. 아무리 보안에 강력하고 효과적인 시스템일지라도 복잡하고 편의성이 떨어진다면, 한 번 도입시 최소 5년 이상을 사용해야 하는 관리자와 사용자 입장에서는 솔루션 도입이 부담스러울 수 있습니다. 또한, 도입 후에 관리의 어려움으로 보안 솔루션의 다양한 기능과 정책을 사용하지 못하게 돼 오히려 보안 취약점이 발생하게 되는 경우가 있습니다. 보안 솔루션의 강력한 기능과 편의성, 두 마리의 토끼를 모두 잡을 수 있는 솔루션인지를 고려해야 합니다.
셋째는 ‘유연한 확장성과 지원체계’ 입니다. 사용자 및 관리 시스템의 확대, 레거시(legacy)에서 클라우드(Cloud)로 인프라 환경 전환, 하이브리드(Hybrid) 환경의 지원, 컴플라이언스 확대로 인한 기능 추가, 새로운 보안 취약점에 대한 대응, 보안 솔루션 추가 도입 등 기업에서 유동적으로 발생할 수 있는 여러 가지 상황에 대해 유연하게 대처하고, 확장이 용이한지 검토해야 합니다. 다양한 상황은 사전에 예측하기 어렵고, 발생 후 새롭게 검토·검증·수행을 위해서는 상당한 비용과 자원이 소모되기 때문에 초기에 면밀히 검토해야 합니다.
접근제어 솔루션의 기술적 성능과 성능 평가기준에 대해 말씀해 주신다면?
접근제어와 계정관리 통합 구성에서의 기술적 성능은 ‘계정 작업을 완료하기까지 소요 시간과 동시에 얼마나 많은 접속 세션을 중계하며(접속 처리하며) 사용자의 작업 행위를 로깅할 수 있는가’로 구분될 수 있습니다.
업무 수행을 위해 필요한 시스템 계정에 대해 정확하고 신속하게 실시간으로 처리돼야 하고, 인프라에 동시 접속시에도 안정적으로 처리할 수 있어야 합니다. 모든 작업 행위의 로깅은 DB 또는 파일로 남길 수 있어야 합니다.
성능 평가 역시 계정보안 정책과 접근권한 정책을 적용한 상태에서 계정 작업 수와 동시 접속 세션 수를 늘려가며 솔루션 자체의 자원 사용현황, 접속까지의 소요시간, 안정적인 접속 유지, 로깅 누락 여부 등에 대해 체크합니다. 또한, 솔루션에서 제공하는 다양한 기능의 정상 동작 여부를 확인하며, 성능 지표를 기반으로 단일, 이중화, 다중화 등 다양한 구성 방식에 대한 검증을 진행합니다.
접근제어 분야 향후 시장을 전망해 주신다면?
현재 접근제어 시장의 트렌드는 ‘통합’이라고 볼 수 있을 것 같습니다. 기업의 IT 인프라를 세부적으로 들여다보면, 서버, 네트워크, DBMS, AD, CCTV 등 다양한 영역이 존재하나, 이러한 인프라를 모두 아우르며 접근에 대한 권한관리와 접근의 시작점이라고 볼 수 있는 계정에 대한 라이프사이클(Life-Cycle)까지 포함된 통합형 관리체계로 나아가고 있습니다.
초기에는 다양한 보안 솔루션을 연계하고, 통합 포탈 등을 통해 마치 하나의 시스템처럼 보이도록 구성했어요. 하지만 이슈 발생 시 책임 문제, 관리 미흡 시 데이터 유출, 과다한 연계 비용 발생 등의 문제점으로 인해 최근에는 단일 워크프레임 내에 비슷한 카테고리(Category)의 보안 솔루션들이 유기적으로 구성된 통합 솔루션 도입 형태로 나아가고 있습니다.
향후 시장에선 ‘클라우드(Cloud)’ 환경을 빼놓을 수 없습니다. 국내는 현재 레거시(Legacy)로 불리는 ‘온프레미스(On-Premise)’로 구축된 인프라 환경에 더해 클라우드 인프라 환경이 점점 확대되고 있습니다. 국내 IT 환경은 현재 이 두 가지 인프라 환경을 하이브리드(Hybrid) 형태로 운영·관리하는 경우가 많은데, 이 두 가지 환경의 운영·관리 방법은 비슷하면서도 다른 부분이 많습니다. 접근제어 솔루션도 레거시와 클라우드 인프라 환경의 운영·관리 특성에 맞게 보안성, 기능성, 편의성을 갖춰 나가야 할 것으로 보이며, 개별 클라우드 업체와의 유기적인 협업도 매우 중요해질 것으로 보입니다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-04-29] 
