“기업정보 유출과 IAM”
상태바
“기업정보 유출과 IAM”
  • 데이터넷
  • 승인 2008.11.06 00:00
  • 댓글 0
이 기사를 공유합니다

백황현
대량의 고객정보를 취급하는 대형 포털에서 공공기관에 이르기까지 곳곳에서 크고, 작은 개인정보 유출 관련 사고들이 연이어 발생하고 있다. 잇따른 개인정보 유출사고로 인해 해당 기업 및 공공기관은 신뢰도에 심각한 타격을 입었으며 고객들의 피해접수 및 집단소송이 줄을 이으며 개인정보 유출에 대한 논란은 좀처럼 가라앉지 않고 있다.

최근 개인정보 유출 사건들에서 나타나는 문제점은 기업에서 필요 이상의 고객정보를 수집하고 있다는 점과 유출의 원인이 해킹과 같은 외부 침입에 의한 것보다는 기업 내부자의 부정이용 목적이나 실수에 의해 발생했다는 것이다. 이는 기존 암호화 체계와 보안 시스템에 대해 해당 기업과 기관의 과도한 신뢰와 내부자의 정보접근 통제가 얼마나 허술한 것인지를 반증한다.

정보보안 담당자들은 “많은 기업들이 성을 보호하기 위한 벽을 가지고 있다. 그러나 공격이 내부에서 수행되면 반응하는데 어려움을 겪고 있다”고 스스로 시인하고 있다. 보안전문가들 역시 “패스워드, 패스워드 또 패스워드뿐이다”며 “인증과 권한이 제 기능을 못할 수 있다는 것에 대해서는 거의 이해하지 못하고 있다”고 말한다.

많은 보안 전문가들은 수많은 부정행위는 개인이 회사에 의해 지정된 권한 또는 관리되지 않고 있는 계정(Ghost Account)을 이용해 너무 많은 정보에 대해 합법적으로 접근할 수 있을 때 발생한다고 지적한다. 이는 기업의 존폐 여부와 직결될 수 있는 심각한 유출을 유발할 수 있다.

계정·권한 정보 중복과 산재
기업 IT자원에 대한 접근 통제의 허점이 만들어진 원인은 무엇일까. 거시적 IT환경 변화 측면에서 볼 때, 2000년을 기점으로 기존 분산 컴퓨팅 환경에서 e비즈니스 컴퓨팅 환경으로 급속히 변화하고 있다. 내·외부 네트워크를 아우르는 e비즈니스 시스템을 구축한다는 것은 더욱 복잡한 기업 보안체계를 요구한다.

공급자, 파트너, 고객, 계약직원 등 외부 네트워크에 새로운 서비스를 제공하려면 기업은 어쩔 수 없이 내부 시스템을 광범위한 사용자 그룹에게 노출할 수밖에 없다. 또한 기업들이 수많은 애플리케이션과 시스템을 도입, 전산화를 추진하는 동안에 사용자(ID) 및 관련 정보가 여러 정보시스템에 산재하게 되고 이로 인한 ID 데이터 단편화, 중복화, 일관성 결여 등의 현상을 피할 수 없다.

불행하게도 많은 기업들은 광범위하게 산재된 사용자 계정을 식별하고 통제할 수 있는 전사적 인프라를 구축하고 있지 않기 때문에 수작업이 필연적으로 내포하게 되는 한 번의 실수로 인해 퇴사한 직원의 계정이 삭제되지 않아 유령 계정이 만들어지고 있다. 이런 유령 계정을 통해 불만을 가진 내부 직원이나 외부 침입자들은 기업의 보안 망에 쉽게 침투해 기밀정보에 접근할 수 있게 된다. 또 일반 직원에게 부여된 과도한 권한은 민감한 기업 정보에 접근, 이를 유출하는 문제로 이어질 가능성도 있다.

특히 계정과 관련해 더욱 큰 문제를 양산하고 있는 것은 바로 공용 계정이다. 보안 담당자의 업무 과중, 현업의 필요 등 여러 이유로 인해 많은 기업들이 계정을 공용으로 사용하고 있다. 이로 인해 발생되는 문제점은 바로 책임추적과 감사가 불가능하다는 것이다.

단순화·공통화
유령 계정, 공용 계정 생성으로 인한 기업 보안의 허점을 근본적으로 차단하기 위해서는 먼저 기업 전반에 중복해 산재된 계정 및 권한 정보 관리 체계를 단순화 및 공통화해야 한다. 또한 보안담당자의 계정 및 권한 관리 프로세스도 자동화해야 한다.

앞서 언급한 바와 같이 문제의 핵심은 계정 및 권한 관리체계를 각 애플리케이션과 시스템 단위로 구축해 관리하고 있다는 것이다. 따라서 모든 시스템과 애플리케이션에 서비스 할 수 있는 하나의 ID 정보 체제로 단순화 및 공통화해야 한다. 기존 시스템과 애플리케이션의 ID 데이터를 통합해 하나의 ID 정보 저장소를 구축하고 모든 정책과 절차(프로시저)를 중앙의 저장소 한 곳에 적용해야 하고 이를 각 시스템 또는 애플리케이션에 제공할 수 있도록 해야 한다.

댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.