PCI DSS와 802.1x, 기술적·전략적인 “양대 산맥”
보안 업계를 이끌고 있는 두 가지 표준들, 즉 PCI DSS와 802.1x는 기업에 기술적인 영향만큼이나 전략적으로도 큰 영향을 미치게 될 것이다.
보안 업계를 이끌어 가는 두 가지 표준은 기업에 기술적인 영향 만큼이나 전략적으로도 큰 영향을 미치게 될 것이다. 신용카드 정보를 처리하는 조직을 타깃으로 하는 PCI DSS는 어느 조직에게든 도움이 되는 베스트 프랙티스를 제공하고 있다. 한편 802.1x는 나쁜 녀석들이 네트워크에 접근하지 못하게 막아주는 인증 프로세스를 통해 보다 강력한 제어를 제공하고 있다.
PCI DSS
아이덴티티 절도는 아마도 비즈니스와 소비자 모두에게 가장 큰 보안 걱정거리일 것이다. 따라서 PCI DSS(Payment Card Industry Data Security Standard)는 사실상 하나의 표준이라기보다는 근본 원리에 가깝다. 신용카드 정보를 프로세싱하거나, 저장하거나, 다루는 조직이라면 어디든(비자와 마스터카드가 표준을 주도하고 있다) 필요조건을 따라야만 하며, 이러한 조건으로는 ‘방화벽을 두어라’에서부터 ‘당신의 데이터를 건드린 자를 파악하라’는 것까지 모든 것이 망라돼 있다.
그리고 신용카드 데이터를 다루는 곳이 아니라 하더라도 PCI는 보안 아키텍처, 정책 및 프로시저를 평가하는 데 있어 좋은 체크리스트가 된다. 부피가 크지는 않지만(전체 문서가 12페이지밖에 되지 않는다), PCI는 데이터를 보호하기 위한 최소 필요조건에 대한 전문적인 세부 정보를 제공하며, 키 로테이션에서부터 무선 액세스 포인트의 분리에 이르는 모든 것을 다루고 있다.
PCI의 기술 지시문들은 가장 취약한 요소라고 할 수 있다. 보안 표준을 기술 솔루션에 접합시키기 위해서는 표준의 유지보수와 업데이트를 통해 현재의 기술 혁신과 보조를 맞출 필요가 있을 것이다. 다행히도 이런 유대가 존재하는 곳은 몇 되지 않으며, 이 기술이 성숙해짐에 따라 이들도 사라질 전망이다.
>> 비자/마스터카드 PCI DSS 1.0, usa.visa.com/business /accepting_visa/ops_risk_management/cisp.html
802.1x
802.1x가 나온 지는 몇 해가 됐지만 시스코 NAC(Net work Admission Control)와 같이 장비 인증용으로 802.1x에 의존하는 네트워크 허가 방안 덕분에 이 표준은 새로운 주목을 받고 있다. NAC와 그 유사품들은 처음에는 무선 커뮤니티에 의해 수용이 됐지만 지금은 기업에서 입지를 넓혀가고 있다.
802.1x는 이전의 표준에서는 불가능했던 방식으로 액세스를 제어한다. 이것은 컴퓨터, PDA, 프린터 등과 같은 모든 장비가 인증되고 난 후에야 네트워크로, 심지어 노출된 스위치로도 액세스가 될 수 있게 한다. 802.1x 준수 스위치가 허용하게 될 유일한 통신은 클라이언트 측 서플리컨트(supplicant) 소프트웨어와 인증 서버간 통신 뿐이다.
이러한 목표를 달성하기 위해, 802.1x 준수 스위치는 인증 서버를 필요로 한다. 이것은 네트워크와 독립적으로 신임장(credential)을 관리할 수 있게 해주지만, 각각의 에지 장비는 자신의 일을 수행하기 위해 인증 서버로의 접속성을 갖추고 있어야 한다.
또 한 가지 약점은 802.1x가 래디우스(RADIUS) 인증 서비스에 의존한다는 것이다. 규모가 큰 기업일수록 표준을 지원하는 데만도 래디우스 서버 랙이 필요하겠지만, ADS와 LDAP 커넥터가 보다 일상적으로 사용될 것 같다. 업체들은 필드에서의 래디우스 성공은 즐겨 얘기하지만, 설치비에 대해서나, 래디우스가 원래 네트워크에 있는 모든 것을 지원하도록 만들어진 게 아니라는 사실에 대해서는 언급을 하지 않는다.
이 표준은 또한 네트워크 액세스를 요청하는 각각의 장비에서 소프트웨어 서플리컨트를 필요로 하는데, 이것은 첫 설치의 부담을 제외하면 PC에서는 문제가 되지 않지만, 네트워크 프린터 같이 서플리컨트를 지원할 수 없는 장비에서는 문제가 될 것이다.
>> IEEE 표준, ieee802.org/1pages/802.1x.html
