물리적·논리적 보안 컨버전스

액세스 제어, 이제 “전체적 관점에서…”

기술·예산 중첩 부분 제거해야 … ‘표준 부재·기존 자원과 통합’이 관건

기업의 자산을 보호해야 할 임무를 띠고 있는 물리적 및 논리적 보안 스태프는 모두 기술과 예산에서 중첩되는 부분이 늘어나는 것을 목격하고 있다. 이제 기술의 이동과 예산의 현실, 그리고 중요한 정부 이니시어티브로 인해 이러한 두 가지 부문을 통합시켜야 한다는 주장에 더욱 힘이 실리고 있다. 그렇다면 이러한 통합이 과연 조직에 어떠한 도움을 줄 수 있는지 함께 검토해 보자.

물리적 보안 스태프와 논리적 보안 스태프는 모두 같은 목표, 즉 기업 자산의 보호라는 동일한 목표를 공유하고 있지만 이들은 각자 독립된 당파로 존재하고 있으며, 언제나 상호간에 평화가 유지되는 것은 아니다. 하지만 이제 기술의 이동과 예산의 현실, 그리고 중요한 정부 이니셔티브로 인해 이들 각자의 것들이 통합되고, 기업에서는 지금까지 했던 대로 일을 처리하는 게 회사의 이익에 위배되는 것은 아닌지 의구심을 갖기 시작했다.
이것은 아직 시작 단계에 불과하지만, 그리 오래는 걸리지 않을 것 같다. 지난해 포레스터리서치에서는 공공 부문과 민간 부문 모두에서 물리적 액세스 제어와 논리적 액세스 제어의 통합에 소모되는 지출이 2005년 6억9천100만달러에서 2008년에는 70억달러 이상으로 10배 이상 증가할 것으로 전망했다. 그다지 큰 액수가 아닐지 몰라도(올해 기업들은 CRM에 83억달러를 쏟아 부을 것이다), 대규모 기업 정부 프로그램인 HSPD-12(Homeland Security Presidential Directive 12)에서는 이러한 강력한 성장세가 지속될 것으로 내다보고 있다.
한편 CFO들은 점점 예산의 데자뷰 현상을 실감하고 있다. 설비팀과 IT팀 팀장은 둘 다 사용자당 하드웨어 인증 증명서와 아이덴티티(identity) 관리 소프트웨어뿐만 아니라, 분실한 토큰 교체에 대한 헬프데스크 지원 엔드유저 교육을 위한 순환 예산까지 포함되는 새로운 액세스 제어 시스템에 대한 자본 지출을 청구하고 있다. 이러한 중복되는 예산 청구는 물리적 액세스 제어 기술의 진보를 반영해 준다.
즉 이 시스템들은 TCP/IP 네트워크, 서버 및 디지털 스토리지 매체에 점점 더 많이 의존하고 있으며, 이러한 자원들은 분명 IT의 영역에 속하는 것들이다. 하지만 많은 물리적 보안 전문가들은 이같은 동향에 우려를 표하고 있으며, 여기에는 충분히 그럴 만한 이유가 있다.

프로세스
직원 ID 카드는 카드를 요청하는 사람이 실제로 그 사람 본인이라는 것을 아무도 확인하지 못했을 때는 사실상 아무런 소용이 없다. 이것은 물리적-논리적 컨버전스와 연관된 기본적인 문제를 드러내 준다.
비즈니스 프로세스에 IT 부문을 통합시키려는 노력은 계속 진행 중이며, 이는 써드파티의 합류, 설비 보안 그룹, 그리고 물리적인 액세스 제어 시스템과 논리적인 액세스 제어 시스템을 통합한다는 게 정확히 무엇을 의미하는지에 대한 일치된 여론이 없다는 사실로 인해 더욱 복잡한 양상을 띠고 있다.
통합의 과업에 착수한 대부분의 회사들은 큰 그림에서의 목표, 즉 홀리스틱 컨버전스(holistic convergence: 전체론적 통합)를 다루기 좋은 작은 단위로 분해하고 있다. 지금까지 보아온 것들 가운데 가장 인기 있는 컨버전스 프로젝트로는 다음과 같은 것들이 있다.

>> 물리적 액세스와 논리적 액세스용으로 하나의 ID 카드 사용
>> 모든 아이덴티티 및 액세스 제어 데이터베이스에서 사용자/카드 등록(프로비저닝) 및 종료(폐지) 단계 단일화
>> 여러 개의 흩어진 사용자 디렉토리/데이터베이스 대신 하나의 중앙 ID 관리 시스템
>> 통합 이벤트 모니터링 및 상호연관(correlation): SIM(Security Information Management)과 비슷하지만 컨텍스트에 훨씬 더 민감한 이러한 시스템들은 밥이 무선 네트워크로 로그인했지만(논리적 액세스 제어 시스템에 의해 만들어진 이벤트), 건물로 들어오지는 않았다는(물리적 액세스 제어 시스템에서 만들어진 이벤트), 즉 누군가 밥의 무선 계정을 하이재킹하고 있는 가능성이 있다는 경보를 보내줄 수 있다.
한편, 현재 거론되고 있는 수많은 표준 이니셔티브들은 컨버전스 프로젝트에 훨씬 쉽게 접근할 수 있게 해줄 것이다. 물론 이는 업체들이 이것을 채택할 경우에만 해당되는 얘기며, 이러한 표준들로 대표적인 것이 oBIX(open Building Information Exchange)와 PHYSBITS(Physical Security Bridge to IT Security)다.
PHYSBITS는 액세스 제어 정보를 위한 좋은 데이터 모델을 제공한다. 이것은 사람들, 판독기, 로케이션, 화상, 비디오, 증명서, 역할, 권한, 정책 및 이벤트 등과 같은 자산을 사용/업데이트하기 위한 적절한 프로세스의 작업 모델뿐만 아니라 그 관계까지도 다루고 있다. 예를 들어 사용자 등록(enrollment), PIN 변경, 손상된 토큰이나 사용자 종료 과정에서 어떤 단계가 취해져야 하는가 등이다.
한편 oBIX는 설비 시스템(보안과 HVAC 포함)과 IT 시스템간의 커뮤니케이션을 위한 웹 서비스 프로토콜을 지정하고 있다. 이것은 센서/액추에이터(actuator)와 업스트림 프로세싱 시스템을 위한 포괄적인 XML 정의를 규정하는 표준이다. 이 표준은 장비 독립적이기 때문에 온도 조절 장치에서부터 도어락, PC에 이르기까지, 모든 것을 설치할 수 있다.
결론적으로 말하자면, oBIX는 일반적인 설비 장비들의 상호운용성에 초점을 두고 있는 반면 PHYSBITS는 물리적-논리적 관리 부문을 다루고 있다. 오픈 시큐리티 익스체인지(Open Securit Exchange)는 뉴스와 가이드라인을 위한 자원이다.
이러한 표준의 진보에도 불구하고 대규모 컨버전스 작업은 지금까지는 제한적으로 이루어지고 있다. AMAG테크놀로지의 제품 개발 부사장인 데이비드 엘라에 따르면, 이 회사 고객들 가운데 컨버전스를 시도하고 있는 곳은 5%도 채 되지 않는다고 한다. 그리고 연방 정부에서는 역사상 최대 규모의 컨버전스 프로젝트를 이제 막 착수했다.

미 정부의 컨버전스 프로젝트
2004년 8월, 부시 미 대통령은 HSPD-12를 발표했는데, 이것은 500만 명 이상의 연방정부 직원과 도급업자들을 위해 안전하고 신뢰할 수 있는 형태의 신원증명을 한다는 것을 기본 정신으로 하고 있다. 제공되는 ID는 모든 연방 시스템과 설비로의 물리적 및 논리적 액세스를 제어할 것이다.
개념적인 것을 특수한 기술적인 필요조건들로 바꾸는 책임을 맡고 있는 연방 기관인 NIST(National Institute of Standards and Technology)는 HSPD-12에 따라 기술적인 레벨에 부합하는 방법을 설명한 표준 초안을 만들었다. NIST는 HSPD-12를 12개의 조각들로 나누고 ID 부문으로만 시작하기로 했으며, 그 결과물이 PIV(Personal Identity Verification)용 FIPS(Federal Information Processing Standard) 201 프로그램이다.
이러한 필요조건들로는 X.509 인증서와 다른 신원 확인 정보를 특정 포맷으로 저장하기 위한 이중 인터페이스 접촉 및 비접촉 스마트카드 이용이 포함된다. 이 카드는 카드에 저장된 생체인식 증명서와 사용자가 알고 있는 PIN과 함께 3종 구성 인증 프로세스에 속한다. NIST는 카드에 인쇄되는 정보의 유형 및 배치와 카드 발급에 앞서 수행될 ID 검증 프로세스(배경 정보 확인 등)를 지시한다.
FIPS 201 프로그램은 빠듯한 마감 시간이 있었다. 이 마감에 맞추려면 연방기관에서 FIPS 201 호환 ID 카드를 발급할 수 있어야 한다. 단 이들이 실제로 카드를 사용할 필요는 없다는 사실을 명심해야 한다. 사실 카드가 어떻게 사용돼야 하는지에 대한 세부 사항들은 앞으로 나올 NIST 표준에서 다뤄질 것이다.
규정 준수를 위해 필요한 기술의 상당 부분이 대형 인프라용으로 준비되지 않았음을 감안할 때 정부는 상당한 신뢰를 확보하고 있는 듯 보인다. 그리고 FIPS 201은 최소한 한동안은 비연방 컨버전스 프로젝트에 직접적으로 적용이 불가능할 것이다. 민간 부문의 조직에서는 지금 당장 밖으로 나가서 FIPS 201 준수 시스템을 구입할 수 있으리라는 기대는 하지 않는 게 좋겠다.
그러면 일은 어떻게 돼가고 있을까? 지금까지 우리는 확실한 통계는 없이 서로 모순되는 보고서들만 많이 보아왔다. 하지만 우리가 만나본 모든 사람들이 공통적으로 입을 모으는 한 가지가 있었는데, 그것은 HSPD-12가 야심차지 못했더라면 결코 출발을 할 수 없었을 것이라는 사실이다. 우리는 정부에서 이것을 고집스럽게 밀고 나가리라 믿고 있다.
나아가 FIPS 201은 많은 간접적인 혜택도 가져다 줄 것으로 기대된다. 이것은 다른 PIV 이니셔티브를 위한 프레임워크의 역할을 하면서 제안된 컴포넌트의 브레이크아웃에서 통합 기술에 이르는 모든 것을 제공할 수 있다. 연방정부의 배치도 또한 컨버전스 기술을 위한 테스트 베드를 제공하며, 얼리 어댑터의 모든 위험을 미국 정부에서 흡수하기 때문에 조직들은 버그가 사라지고 기술이 성숙해질 때까지 기다리기만 하면 된다.
하지만 무엇보다도 중요한 것은 FIPS 201이 최전선에 상호운용성을 가져다 준다는 사실이다. 통합은 더 이상 마음대로 할 수 있는 선택이 아니며, 전용 방식을 버리고 경기에 뛰어들지 않는 업체들은 뒤에 남게 될 것이다.
FIPS 201은 회사에 적용되지는 않지만 가까이서 계속 주목해 볼 만한 가치가 있다. 게말토(Gemalto)의 아이덴티티 그룹 부사장 겸 제너럴 매니저인 제트리 로스는 최근 민간 부문 조직들로부터 FIPS 201과 같은 솔루션에 대한 문의가 쇄도하고 있다고 말했다. 그 가운데서도 가장 많은 질문은 “우리가 하게 될 일에 FIPS 201을 적용시킬 수 있는가?”다. 여기에 대한 그의 대답은 컨버전스를 생각하는 사람이면 누구에게든 ‘그렇다’는 것이라고 한다.

프로세스와 기술에 초점 맞춰야
네트워크나 애플리케이션 액세스용으로 OTP(One-Time Password) 하드웨어 토큰을, 물리적 보안용으로 근접식 카드를 사용한다면, OTP 하드웨어 업체에서 토큰에 근접식 칩을 임베딩할 경우 컨버전스를 했다고 볼 수 있는가?
그렇지는 않다. 물론 사용자가 들고 다녀야 할 토큰이 하나 줄어들긴 하겠지만, 후방 액세스 제어 시스템과, 이들의 의존하고 있는 프로세스 및 자원의 컨버전스는 어디에 있는가?
우리가 만나본 많은 공급 및 통합업체들은 여전히 컨버전스 이니셔티브를 시작할 수 있는 하나의 방편으로 액세스 제어 증명서 수를 줄이는 것을 선전하고 있다. 직원들은 하나의 통합 액세스 제어 인증 장비를 갖게 되기 때문에, 오배치되는 토큰 수가 줄고, 교육의 부담이 줄어들며 끊김없는 액세스가 가능해진다는 것이다. IT에서는 사용자에게 전통적으로 취약한 패스워드 전용 방안을 보완하고 대신할 수 있는 하드웨어 인증 토큰을 제공하게 된다.
관리적으로 볼 때 직원 ID 관리를 위한 단일 로케이션은 중복되는 데이터 입력 작업을 줄여 주고, 모든 엔터프라이즈 자원의 권한부여 철회를 즉각적이고 실시간으로 가능하게 한다.
감사 및 포렌직 그룹에는 액세스 제어 조사를 위한 중앙 저장소가 있다. 하드웨어 통합은 업체의 구매 및 지원 계약 수를 줄여줄 수 있다. 그리고 마지막으로 법정에서는 규정준수 요건을 충족시키기 위한 액세스 제어 노력의 향상을 볼 수 있다.
여기다 덤으로, 인증서 기반의 액세스 제어 시스템은 사용자 ID 인증서를 문서 e-사이닝 및 데이터 암호화 등과 같은 다른 보안 애플리케이션에 활용할 수 있다. 그리고 벤딩(vending) 및 e-퍼스(e-purse) 애플리케이션 같은 비액세스 제어 기능용으로 특정 유형의 액세스 토큰을 사용할 수도 있다.
사실 액세스 제어 컨버전스의 혜택은 물리적 보안 담당자를 제외한 모든 사람이 누리는 듯하다. 이들에게 있어 컨버전스는 힘의 상실로, 심지어 일자리를 잃게 되는 전조로 받아들여지는 경우가 많으며, 이 때문에 많은 물리적 보안 그룹에서는 물리적-논리적 컨버전스 프로젝트를 반대하기도 한다.
물리적 군단과 논리적 군단간에는 언제나 유대감이 존재하지만, 물리적 보안 그룹에서 독립적 개체로서 존재하면서 IT에 동화되기를 거부함에 따라 생기는 정치적 의견차와 영역 싸움을 흔히 볼 수 있게 됐다. 2000년부터 마이크로소프트의 CSO로 재직 중인 하워드 슈미트는 마이크로소프트의 IT 책임 관리로 이동했다는 이유로 물리적 보안 그룹에서 이 회사의 컨버전스 작업을 ‘적대적인 접수(hostile takeover)’라고 부르는 소리를 들어야 했다.
이를 통해 우리는 중요한 논점에 도달하게 된다. 즉 컨버전스는 프로세스와 기술에 초점을 맞춰야 한다는 것이다. 이것은 정치나 조직적 계보에 관련돼서는 안 된다. 포레스터의 애널리스트인 스티브 헌트는 “대부분의 성공적인 컨버전스 프로젝트에서는 물리적 보안 부서와 IT 보안 부서에서 각각의 자치권을 계속 유지할 수 있게 허용하고 있다”고 말했다.

물리적 보안, 입증된 방식에 만족
IT에서 예측 불가능한 혁신의 파도에 올라탄 반면, 성숙한 물리적 보안 업계는 여전히 자신의 코스를 유지하면서 입증된 방식에 만족하고 있다. 물리적 보안 토폴로지 설계 및 하드웨어 구성에 대한 기존의 표준은 높은 가용성과 신뢰성을 입증받고 있다. 물론 물리적 보안 그룹에서는 많은 것을 테이블에 가져오고 있다. 이제 이들은 컨버전스 이니셔티브와 IT 원칙에서 파생된 필요조건들에 의해 타격을 받고 있으며, 이러한 것들은 잘 정립돼 있는 물리적 보안 프랙티스와는 잘 맞지 않을 수 있기 때문이다.
예를 들어 가용성은 어떠한 PACS(Physical Access Control System)에서나 중요한 부문이다. PACS 다운타임은 결과적으로 직원들이 ‘오류 폐쇄형’ 모델로, 혹은 ‘오류 개방형’ 모델로 모든 권한부여 및 액세스 제어를 상실한 채 시설에 들어가지 못하거나 그 안에서 이동하지 못하게 할 수 있다. 따라서 이러한 시스템들의 가용성 기대치는 매우 높다. AMAG의 엘라는 회사의 액세스 컨트롤러가 재부팅을 위해 오프라인 시킬 필요없이 5년은 거뜬히 갈 수 있다고 말했다.
이제 PACS를 IT 제어 아래로 가져가자고 제안을 하라. 이것은 정기적으로 다운타임으로 인한 고충을 겪고 있는 것으로 인식되고 있다. 패칭이나 업그레이드 같이 정당한 이유로 오프라인을 시킬 때조차 시스템은 여전히 다운이 된다. 실제로 다운타임이 전혀 없기를 기대하는 물리적 보안 그룹에게 있어서는 물리적 액세스 제어가 중단되는 기간은 받아들이기 힘든 보안 및 안전 문제다.
나아가 IT는 상호연결된 온라인 세상에서 살아간다. 이더넷이 떨어지고, 파이버 옵틱이 돌아가며, 왠 링크와 무선 네트워크는 모든 것들이 서로 이야기하게 만들면서 투명한 액세스 능력을 제공하고 있다. 우리에게는 물리적 액세스 제어 지점과 논리적 액세스 제어 지점이 온라인이 돼 업스트림 인증 서버로 인증 요청을 만드는 모델이 효과가 있으며, 이것은 수년간 IT에서 적용해오던 모델이기도 하다.
마지막으로 많은 컨버전스 이니셔티브에서는 하나의 통합된 사용자 저장소를 위해 기존의 사용자 디렉토리나 데이터베이스를 재활용하도록 하고 있다. 이것은 충분히 간단한 목표 같아 보이지만, 여기에는 이행상 많은 문제가 따른다. 제안된 솔루션에는 보통 예를 들어 기존의 HR 직원 데이터베이스나 IT 사용자 디렉토리(마이크로소프트 액티브 디렉토리 등)를 타깃 사용자 저장소로 두고 있다.
하지만 PACS는 방문객이나 도급업체, 혹은 청소나 복구 서비스를 위한 지원 스태프처럼 전체 HR 데이터베이스 프로파일이나 네트워크 액세스를 필요로 하지 않는 사람들을 계속 접하게 된다. 따라서 물리적 보안 그룹은 모든 내부 직원 기록에다 반드시 필요하다고 생각되는 비직원 기록을 추가시킨 그 자체의 ‘수퍼세트(superset)’ 데이터베이스를 갖고자 할 것이다.
그리고 물리적 보안 집단에서만 모든 반대가 나오고 있는 것은 아니다. IT 그룹도 자신들의 기존 디렉토리를 바꿔 액티브 디렉토리 스키마를 전용의 PACS 데이터 스토리지를 수용할 수 있게 확장시키는 데 대해 반대할 수 있다. 다른 조직과 설비를 공유할 경우 건물 전체의 물리적 보안 시스템을 업그레이드하거나 바꾸는 것은 다른 거주자에게도 영향을 미친다.
OTP 인증 토큰에 막대한 투자를 한 조직이라면 새 인증 토큰 시스템을 위해 이들을 없애버리고 싶지 않을 것이다. 그리고 모든 데스크톱을 개장하고 모든 직원에게 새로 등록된 액세스 토큰을 공급하는 데 드는 선불 비용도 만만치 않다. 여기에는 실제 배지 비용분만 아니라 개인에 대해 조사하고 배지를 발급하는 데 드는 비용과 모든 PC에 적절한 배지 판독기를 설치하는 비용도 포함이 된다.
그리고 TCO를 쉽게 분석할 수 있으리라는 기대도 버리는 게 좋다. 우리가 만나본 업체는 여러 가지 설득에도 불구하고 어디서든 데스크톱당 견적가를 내는 모험을 하지 않으려 했다. 여기에는 부분적으로는 어떤 업체든 전체 퍼즐 조각을 제공하지 않는다는 이유도 있으며, 컨버전스에 수준 높은 맞춤화가 필요하다는 것도 이유가 된다.

모험을 해야 하는 사람은?
기업들 가운데서도 컨버전스 이니셔티브에 보다 적합한 곳들이 있다. 사용자 데이터/아이덴티티를 유지보수하는 데 따르는 부담이 높은 대형 조직이 아마 가장 높은 가치를 얻을 수 있을 것이며, 컨버전스는 규제가 잘 되는 조직에서 가장 큰 효과를 발휘한다. 이런 곳에서는 액세스 제어 규정과 필요조건들이 잘 정돈돼 있기 때문이다.
성공을 알리는 가장 확실한 표시는 무엇일까? 현재 배치되는 기술과 이상적인 컨버전스간의 기술적인 공백은 얼마나 넓은가? 컨버전스에서 공통적인 기술 베이스라인은 서명된 신원 확인 데이터를 포함하고 있는 이중 인터페이스 접촉 및 비접촉 스마트카드와, PIN이나 생체인식 기술에 의해 보호되는 사용자 인증서다.
스마트카드 함대를 유지보수하는 데는 카드 관리 시스템이 필요하며, 인증서 서명과 폐지를 처리하는 인증서 허가기관도 필요하다. 이 두 가지를 배치할 때가 되면 아마 PKI 전체가 준비된 상태일 것이다. 나머지 PKI 구성요소들을 추가하면 기존의 애플리케이션이 새로운 사용자 ID 증명서를 활용하게 할 수 있다. 마지막으로 ID 관리 시스템은 조직에 흩어진 개별적인 사용자 데이터베이스를 통합할 필요가, 즉 ‘프론트엔드’가 될 필요가 있을 것이다.

12~18개월이 시험 기간
HSPD-12와 FIPS 201은 PACS 컴포넌트 업체들로 하여금 NIST 표준에 맞는 제품을 만들도록, 그리고 자신들의 전용 폐쇄형 시스템 풍조를 버리도록 강요하고 있으며, 그렇지 않을 경우 이들의 연방정부 대상 매출은 사라지고 말 것이라고 압박하고 있다. 이것은 기업들에게는 좋은 소식이다. 게다가 대규모 컨버전스 프로젝트용으로 필요한 인프라도 성숙했다.
PKI가 나온 지는 10년도 더 됐으며 이들은 성가신 존재로 명성이 높고 숨겨진 수명 비용에 대한 부담도 있었다. 하지만 이것은 일이년 전의 일이며, 오늘날의 PKI 시스템은 능률적으로 되고 잘 테스트가 됐다. 전통적인 PKI의 이점으로 가치의 벽을 충분히 넘을 수가 없었다면, 이제 보다 새로운 비접촉 스마트 카드 기술에 의해 사용 가능해진 물리적 액세스 제어 능력을 추가할 수 있다.
FIPS 201이 컨버전스가 성공할 수 있을지 아닌지를 임증할 것이기 때문에 향후 12~18개월이 컨버전스 기술에게는 시험 기간이 될 것이다. 컨버전스가 가져다 줄 혜택에 관심이 있는 조직이라면 가까운 시일 안에 적용 가능한지에 대한 분석을 해야 하며, 생체인식 기술, 비접촉 스마트카드, 그리고 PKI와 신원정보 관리 시스템 같은 컨버전스 기술과 호환 가능하게 하면서 기술 투자를 결정해 가야 한다. 이런 식으로 하면 투자가 향후 컨버전스 작업에서 재활용될 수 있기 때문에, 전체 비용이 줄어들며 글로벌한 조직의 액세스 제어 및 신원정보 관리로 보다 신속하고 유연하게 이동할 수 있다.

컨버전스의 정의
컨버전스는 조직과 기술 둘 다에 큰 영향을 미친다. ASIS(American Society for Industrial Security)에서는 보안 컨버전스를 “보안 신원확인의 위험과 기업 내 업무 기능 및 프로세스간의 상호의존성, 그리고 이러한 위험과 상호의존성을 해결하기 위해 관리가 가능한 비즈니스 프로세스 솔루션의 개발”이라고 정의하고 있다.
이렇듯 포괄적인 정의에서는 컨버전스의 개념을 하나의 이상, 혹은 이동으로 그리고 있지만, 컨버전스의 정신은 IT 부서에서 애증을 함께 느끼고 있는 단어, 바로 통합(integration)이라는 말에 깃들어 있다.
통합은 사람에 따라 다양하게 받아들여지고 있으며, 심지어 “느슨하게 인터페이싱되는 것”에서부터 “이음새 없이 융합된 것(seamlessly fused)”에 이르기까지 수많은 통합의 계급을 분류하려는 시도까지 행해지고 있다. PACS(physical access-control system) 소프트웨어 스위트용 데이터 시트를 읽다 보면 노출돼 있는 간단한 API(PAC를 다른 컴포넌트와 연결시키기 위해 써드파티 맞춤 미들웨어를 개발해야 함)에서부터 데이터베이스 및 LDAP 서버 같은 기존의 IT 자원을 ‘이음새 없이’ 사용하는 것에 이르기까지, 유사점이 없는 다양한 통합 시나리오와 가능성이 나온다. 업체들의 통합 작업은 변동이 심하기 때문에, 우리는 세 가지로 이것을 분류해 보았다.

>> 상호운용적(interoperable): 서로 크게 다른 두 가지 시스템이 서로간에 교신을 함으로써 메타데이터를 공유할 수 있지만, 독립성을 유지하며 별도의 작업을 수행하는 경우.

>> 통합적(integrated): 두 개의 시스템이 특정 컴포넌트를 공유하거나 재활용하며, 서로간에 의존적일 수 있겠지만 여전히 별도의 작업을 수행한다.
>> 컨버지드(converged): 모든 공통적인 작업 및 프로세싱이 하나의 단일 시스템 내에서 처리된다.

예를 들어 사용자 디렉토리(마이크로소프트 액티브 디렉토리 등)를 자체의 내부 데이터베이스로 처음 일회 임포팅하는 PACS는 사용자 디렉토리와 상호운용적인 것으로 간주된다. PACS가 사용자 디렉토리와 실시간 동기적으로 내부 데이터베이스를 유지하고, 바뀐 것들을 양방향으로 전파할 수 있다면 이것은 사용자 디렉토리와 통합된 것으로 볼 수 있다.
마지막으로 컨버지드 PACS에서는 자체 데이터베이스를 버리고 기존의 사용자 디렉토리로 연결될 것이다. 말장난처럼 보일지 모르지만 이러한 분류는 두 가지 제품이 함께 작동할 수 있는지, 할 수 있다면 어떻게 가능한지를 파악하는 데 도움이 된다.

NWC 보고서 / PACS 벤더들
두말할 나위도 없이 IT 인프라와 PACS(Physical Access Control System)를 컨버전스 하는 데는 총괄자(integrator)가 필요하다. 하지만 IT 그룹은 일반적으로 PACS의 언어와 능력에 익숙치를 못하기 때문에 협상에서 불리한 입장에 놓이는 경우가 많다. 이러한 시스템은 이제 변하고 있긴 하지만 여전히 플러그 앤 플레이(plug-and-play)라기보다는 페이 앤 프레이(pay-and-pray)에 더 가깝다.
독자 여러분들이 공평하게 평가해 볼 수 있는 기회를 주기 위해 우리는 네 곳의 액세스 제어 업체들을 만나 현재 나와 있는 제품의 컨버전스 기능을 맛보고 향후 12~18개월 동안의 계획에 대해서도 들어 보았다.

참가 업체
AMAG테크놀로지, 코어스트리트, 게말토, 인터시드

결 과
이번에는 제품들을 직접 테스트하지 않았다. 대신 업체들의 로드맵을 분석하고, IT 시스템과 교차될 때의 PACS 시장에 대한 이해를 도모해 보았다. 컨버전스에는 정치적인 문제와 기술적인 문제가 모두 포함되리라는 사실을 간과해서는 안된다. 설비 스태프들은 IT 시스템을 고장이 아주 잘 난다고 생각하는 한편, IT에서는 PKI(Public Key Infrastructure)와 아이덴티티 관리 같은 컨버전스에 결정적인 기술을 채택하는 데 느리다.
하지만 이제 미국 정부가 PIV(Personal Identity Verification)를 위한 NIST(National Institute of Standards and Technology) FIPS(Federal Information Processing Standard) 201 프로그램과 HSPD-12의 형태로 게임에 참여하고 있으며, 이에 업체들은 이 표준을 따르지 않으면 정부와의 계약을 잃어버릴 수도 있다는 자극을 받고 있다. 때문에 기업에서는 전용 록인의 위험이 없는 상태에서 물리적/논리적 컨버전스를 시작하게 될 것이다.
AMAG의 시메트리(Symmetry) 6.0 스위트에는 대기업뿐만 아니라 중소기업용 버전도 있다. 이것은 윈도에서 작동 가능하며, 디렉토리와 실시간으로 동기화할 수 있는 능력을 갖추고 있다. 하드웨어 컨트롤러는 어떠한 표준 위갠드(Wiegand) 준수 토큰과도 상호작동이 된다.
코어스트리트의 PIVMAN 핸드헬드 모바일 판독 및 검증 유니트는 FIPS 201 준수 카드 지원에 초점을 두고 있다. 이 장비는 어떤 위치에서든 아이덴티티 및 권한부여 기능을 할 수 있기 때문에 원격 로케이션이 있는 회사에 적합하다.
두 개의 대형 스마트카드 제조업체 조합으로 형성된 새 회사인 게말토는 스마트카드의 한계를 넘어 e-패스포트, 토큰, 판독기 및 연관 소프트웨어로 이동했다. 게말토는 턴키 윈도 시스템과, 맞춤화를 필요로 하는 다양한 환경용, 두 가지 버전으로 세이프사이트(SafeSite)를 제공하고 있다.
마지막으로 인터시드의 마이ID 7.1 스마트카드 및 증명서 관리 시스템은 다양한 액세스 제어 애플리케이션과 작동을 한다. 마이ID는 표준 IT 프로토콜을 기반으로 하며, 여러 가지 기성품 컴포넌트와의 통합 능력을 자랑한다. 이 회사는 폭넓은 상호운용성이 그 목표라고 말했다.

연방 규정, 따라야 하나?
HSPD-12의 등장으로 대부분의 대형 조직에서는 최소한 액세스 제어 컨버전스가 회사에 유리한지 아닌지 조사에 착수해야 할 시점에 이르렀다. 확인해야 할 사항들로는 다음과 같은 것들이 있다.

>> 회사에 논리적 액세스 제어를 위한 인증서 기반의 PKI가 있는가?

>> 액세스 제어나, 혹은 벤딩이나 e-퍼스 등과 같은 보다 일반적인 애플리케이션용으로 내부에서 스마트카드나 생체인식 기술을 사용하고 있는가?

>> 회사에서 아직 평범한 패스워드를 사용하고 있는가? 보안 측면에서는 하드웨어 인증 토큰이 크게 앞설 것이다.

>> 서로 다른 용도의 사용자 데이터베이스를 여러 개 갖고 있는가, 그리고 이들을 동기적으로 유지하기 위해 애쓰고 있는가?

>> 회사에서 그 보안 상태가 의심스러워지고 있는, 노후된 레거시 액세스 제어 시스템을 교체하려 하는가?

>> 규정에 따라 회사에서 일정 수준의 액세스 제어를 제공해야 하는가?
물론 컨버전스가 높은 가치를 돌려주지 못하는 경우도 있다. 예를 들면 다음과 같다.

>> 회사에서 최근 OTP 토큰과 같이 컨버전스에 적합하지 않은 하드웨어 인증 시스템을 배치했거나 여기에 막대한 투자를 했을 경우.

>> 설비에 대한 물리적 보안을 회사에서 제어하고 있지 않은 경우.

>> 물리적 보안에 대한 회사의 필요가 극히 적고, 복합적인 권한부여 기술을 필요로 하지 않는 경우; 예를 들어 직원이 접근할 수 있는 문이 몇 개 되지 않을 때.

데이터넷