2011.10.04

기고 | 보안을 위한 ID관리 지침 10선

Frank Villavicencio | CSO
IT 보안 커뮤니티 내에서 ID/접근관리(Identity and Access Management, 이하 IAM)가 매우 유용하다고 평가 받지만 실제 설치에는 많은 어려움이 따르는 것으로 알려졌다. IDC에 따르면, IAM의 복잡성에도 불구하고 대부분의 대기업들에서 전체 정보보안 예산의 30% 이상을 IAM이 차지한다고 한다.

아이러니하게도 설치의 어려움은 IAM 자동화로 해결해야 할 사람과 프로세스에서 기인하다. 너무 많거나 너무 적은 사람들이 인증 요청에 관련돼 있거나 접속 요청 및 승인을 위한 문서가 부족할 수 있으며 지저분하거나 쓸모 없는 데이터로 목표 시스템에 접속하는 등의 문제가 발생하는 것이다. 이런 문제 때문에 ID 관리라는 것이 생겨났다.

ID 관리에는 기업에서 가장 중요한 ID 관련 비즈니스 과정을 정의하고 실행하는 것이 포함돼 있다. 예를 들어, 엔지니어가 ERP를 호스팅하는 서버에 대한 루트(Root) 접속권한이 필요하다고 하자. 누가 그 요청을 승인해야 할까? 접속 권한을 실제로 부여하는 사람은 누구인가? 그 처리과정은 어떻게 문서화될까? 그것은 어디에 저장되며 얼마나 오래 저장되는가? 감사 중에는 이에 대해 어떻게 보고해야 하는가?

자신이 속한 기관의 관리 과정을 정립하는 것은 어려운 주문이지만 그만한 값어치는 있다. 적절한 ID 관리의 장점은 어떤 ID관련 처리과정에 가장 주의를 기울여야 하는지 정확히 찾아낼 수 있다는 것이다. 여기서 ID 관리의 효율을 측정하기 위한 가장 일반적인 10가지 방법을 소개한다.

1. 매월 암호 재설정 빈도. 이것은 ID 관리의 전통적인 방법이며, 기관들이 자신의 IAM 프로그램들의 효율성을 측정하는데 큰 도움이 된다. 기업들은 일반적으로 암호관련 문의 전화, 계정 폐쇄, 월간 셀프 서비스 리셋(Reset) 등을 암호 정책 효율성의 긍정적인 지표로 본다. 기업 이벤트에 의해 기복이 있기는 하지만 이 지표는 일반적으로 하강곡선을 그리게 된다. 그렇지 않다면 기관의 암호 정책과 관리 툴들을 면밀히 살펴보아야 한다.

2. 사용자당 평균 로그인 계정 수. 또다른 전통적인 IAM 방식으로는 통합인증(Single Sign On, 이하 SSO)이 있으며 이는 몇 년 동안 많은 관리자들에게 각광을 받았다. 평균적으로 한 명의 사용자가 사용하는 계정은 10~12개다. 기관들은 이 평균치를 가능한 1에 가깝도록 만들도록 해야 한다.

3. 관련 없는 계정들의 수. 주인 없는 계정들이 얼마나 많은가다. 이는 광고 및 서비스 종료 등의 변화가 발생할 때 가장 자주 발생하는 문제로 계정이 적절히 이양되지 않는 경우가 있다. 관련 없는 계정들이 너무 많아지면 불필요한 위험이 증가해 실제 사용되는 계정들이 인가 받지 않은 용도를 위해 쉽게 하이재킹(Hijacking)당할 수도 있다.

4. 새로운 계정 수. 이 수치는 새롭게 가입하는 사람들의 수에 최대한 가깝게 유지돼야 한다. 효율적인 IAM 프로그램은 시스템과 애플리케이션 접속이 필요한 새로운 사용자의 소재를 확인하고 있어야 한다. 만약 공급 계정 수와 주어진 기간 내에 새로 가입한 사람들의 총 수가 일치하지 않거나 상당한 차이가 발생할 경우 이는 처리과정이 비효율적이거나 ID 데이터가 온전치 않음을 뜻한다.

5. 새로운 사용자 계정 설정 시 소요된 평균 시간. 이것은 새로운 사용자가 업무를 처리하는데 필요한 자원에 접속하기까지 얼마나 오랫동안 기다리는지를 나타내 주는 지표다. 여기에는 생산성과 ROI가 포함돼 있다. 누군가 애플리케이션에 제때에 접속할 수 없다면 10번 중 9번은 지연의 이면에 처리문제가 숨어 있기 때문이다. 이 지표는 검토하고 수정할 비즈니스 처리과정을 표시할 수 있다.

6. 변화를 인증하는데 걸리는 평균 시간. 이 지표는 승인 처리과정의 효율을 나타내 준다. 예를 들어 영업 담당자들의 Salesforce.com에 대한 접속 허용과 관련해 필요한 계정이 4개며, 이를 허락 받는데 2주의 시간이 소요됐다고 가정하자. 허가 기간이 얼마나 소요되는지 아는 것은 병목 현상이나 기한이 지난 처리과정을 확인하는데 도움이 된다.

7. 시스템 또는 주인 없는 계정 수. 이미 회사를 떠난 사람들이나 부서가 바뀐 직원들의 계정이 얼마나 그대로 유지되는 있는지를 살펴봐라. 이 문제는 중요한 자원에 대해 권한을 갖지 말아야 할 누군가가 계속 권한을 가지고 있다는 의미다. 특히나 그 자원이 회사의 중요한 지적 자산이라면 문제는 더욱 커질 수 있다. 인사 이동이나 퇴사자가 생기면, 계정도 함께 변경해야 한다.

8. 재인증 처리의 예외 건수. 예외란 언제나 존재하는 법이다. 특히 애플리케이션을 새로 도입하면, 사용자 인증에 많은 예외가 생기기 마련이다. 다행히 시간이 지나면서 이 예외는 점점 ‘0’에 가까워진다. 그러나 예외가 줄지 않는다면, 이는 불완전한 ID 데이터 품질(많은 사용자들이 갖지 말아야 할 접속권한을 갖는 것) 또는 처리 과정의 문제(재인증을 요청하는 사람이 처리과정을 완료하기 위해 필요한 모든 정보를 갖고 있지 않음)가 산재해 있음을 뜻한다.

9. 조정 예외 건수. 조정 예외(Reconciliation Exception)는 일반적으로 목표 시스템에서 하나의 계정에 묶인 ID가 IAM 플랫폼에서 작동되지 않으면서 발생한다. 이것은 일반적으로 수동 입력 오류(사용 이름 또는 독자적인 식별자가 맞지 않음)나 백도어(Backdoor) 채널을 통해 생성된 계정의 결과다. 이런 예외들은 시간이 지나면 0에 가까워져야 하며, 그 수치가 갑자기 증가할 경우 감사 또는 추가적인 논의를 수행해야 한다.

10. 의무 위반 구분. 생산 데이터베이스에 대한 관리자 접속권한을 가진 개발자와 자신의 거래를 제출하고 승인할 수 있는 거래자의 경우, 의무 위반과는 구분된다. 이런 것들은 정교함과 교차 애플리케이션의 성향 때문에 파악하고 측정하기 어려울 수 있다. 뿐만 아니라 악용될 경우, 잠재적으로 피해를 입을 수 있기 때문에 놓칠 수 있는 위험도 가장 크다. 이런 문제점들을 악용하는 사례는 종종 대서특필되곤 한다. 기업은 이런 침입을 감시하기 위해서 예방 조치를 시행해야 하며 이를 보고하고 개선해야 한다.

이러한 문제들을 해결하기 위해 구체적인 절차를 밟기 전까지는 처리과정 문제의 범위 및 결과를 이해하기 어려울 것이다. 이것이 IAM 및 ID 관리가 어려우며 때로는 고통스럽기까지 하다고 인식되는 이유기도 하다. 지표를 통해서만 효율적인 사용자 접속 관리의 효과와 성공 여부를 측정할 수 있으며 상당한 보안, 규칙 준수, 운영상의 이점 등을 얻기 위한 필요한 수정조치를 취할 수 있다. 만약 ID 관리계획을 이미 시작했다면 이런 지표들을 추적하기 위해서 최선을 다하기 바란다.

*Frank Villavicencio는 아이덴트로피(Identropy)에서 ID서비스 사업을 총괄하고 있다. ciokr@idg.co.kr



2011.10.04

기고 | 보안을 위한 ID관리 지침 10선

Frank Villavicencio | CSO
IT 보안 커뮤니티 내에서 ID/접근관리(Identity and Access Management, 이하 IAM)가 매우 유용하다고 평가 받지만 실제 설치에는 많은 어려움이 따르는 것으로 알려졌다. IDC에 따르면, IAM의 복잡성에도 불구하고 대부분의 대기업들에서 전체 정보보안 예산의 30% 이상을 IAM이 차지한다고 한다.

아이러니하게도 설치의 어려움은 IAM 자동화로 해결해야 할 사람과 프로세스에서 기인하다. 너무 많거나 너무 적은 사람들이 인증 요청에 관련돼 있거나 접속 요청 및 승인을 위한 문서가 부족할 수 있으며 지저분하거나 쓸모 없는 데이터로 목표 시스템에 접속하는 등의 문제가 발생하는 것이다. 이런 문제 때문에 ID 관리라는 것이 생겨났다.

ID 관리에는 기업에서 가장 중요한 ID 관련 비즈니스 과정을 정의하고 실행하는 것이 포함돼 있다. 예를 들어, 엔지니어가 ERP를 호스팅하는 서버에 대한 루트(Root) 접속권한이 필요하다고 하자. 누가 그 요청을 승인해야 할까? 접속 권한을 실제로 부여하는 사람은 누구인가? 그 처리과정은 어떻게 문서화될까? 그것은 어디에 저장되며 얼마나 오래 저장되는가? 감사 중에는 이에 대해 어떻게 보고해야 하는가?

자신이 속한 기관의 관리 과정을 정립하는 것은 어려운 주문이지만 그만한 값어치는 있다. 적절한 ID 관리의 장점은 어떤 ID관련 처리과정에 가장 주의를 기울여야 하는지 정확히 찾아낼 수 있다는 것이다. 여기서 ID 관리의 효율을 측정하기 위한 가장 일반적인 10가지 방법을 소개한다.

1. 매월 암호 재설정 빈도. 이것은 ID 관리의 전통적인 방법이며, 기관들이 자신의 IAM 프로그램들의 효율성을 측정하는데 큰 도움이 된다. 기업들은 일반적으로 암호관련 문의 전화, 계정 폐쇄, 월간 셀프 서비스 리셋(Reset) 등을 암호 정책 효율성의 긍정적인 지표로 본다. 기업 이벤트에 의해 기복이 있기는 하지만 이 지표는 일반적으로 하강곡선을 그리게 된다. 그렇지 않다면 기관의 암호 정책과 관리 툴들을 면밀히 살펴보아야 한다.

2. 사용자당 평균 로그인 계정 수. 또다른 전통적인 IAM 방식으로는 통합인증(Single Sign On, 이하 SSO)이 있으며 이는 몇 년 동안 많은 관리자들에게 각광을 받았다. 평균적으로 한 명의 사용자가 사용하는 계정은 10~12개다. 기관들은 이 평균치를 가능한 1에 가깝도록 만들도록 해야 한다.

3. 관련 없는 계정들의 수. 주인 없는 계정들이 얼마나 많은가다. 이는 광고 및 서비스 종료 등의 변화가 발생할 때 가장 자주 발생하는 문제로 계정이 적절히 이양되지 않는 경우가 있다. 관련 없는 계정들이 너무 많아지면 불필요한 위험이 증가해 실제 사용되는 계정들이 인가 받지 않은 용도를 위해 쉽게 하이재킹(Hijacking)당할 수도 있다.

4. 새로운 계정 수. 이 수치는 새롭게 가입하는 사람들의 수에 최대한 가깝게 유지돼야 한다. 효율적인 IAM 프로그램은 시스템과 애플리케이션 접속이 필요한 새로운 사용자의 소재를 확인하고 있어야 한다. 만약 공급 계정 수와 주어진 기간 내에 새로 가입한 사람들의 총 수가 일치하지 않거나 상당한 차이가 발생할 경우 이는 처리과정이 비효율적이거나 ID 데이터가 온전치 않음을 뜻한다.

5. 새로운 사용자 계정 설정 시 소요된 평균 시간. 이것은 새로운 사용자가 업무를 처리하는데 필요한 자원에 접속하기까지 얼마나 오랫동안 기다리는지를 나타내 주는 지표다. 여기에는 생산성과 ROI가 포함돼 있다. 누군가 애플리케이션에 제때에 접속할 수 없다면 10번 중 9번은 지연의 이면에 처리문제가 숨어 있기 때문이다. 이 지표는 검토하고 수정할 비즈니스 처리과정을 표시할 수 있다.

6. 변화를 인증하는데 걸리는 평균 시간. 이 지표는 승인 처리과정의 효율을 나타내 준다. 예를 들어 영업 담당자들의 Salesforce.com에 대한 접속 허용과 관련해 필요한 계정이 4개며, 이를 허락 받는데 2주의 시간이 소요됐다고 가정하자. 허가 기간이 얼마나 소요되는지 아는 것은 병목 현상이나 기한이 지난 처리과정을 확인하는데 도움이 된다.

7. 시스템 또는 주인 없는 계정 수. 이미 회사를 떠난 사람들이나 부서가 바뀐 직원들의 계정이 얼마나 그대로 유지되는 있는지를 살펴봐라. 이 문제는 중요한 자원에 대해 권한을 갖지 말아야 할 누군가가 계속 권한을 가지고 있다는 의미다. 특히나 그 자원이 회사의 중요한 지적 자산이라면 문제는 더욱 커질 수 있다. 인사 이동이나 퇴사자가 생기면, 계정도 함께 변경해야 한다.

8. 재인증 처리의 예외 건수. 예외란 언제나 존재하는 법이다. 특히 애플리케이션을 새로 도입하면, 사용자 인증에 많은 예외가 생기기 마련이다. 다행히 시간이 지나면서 이 예외는 점점 ‘0’에 가까워진다. 그러나 예외가 줄지 않는다면, 이는 불완전한 ID 데이터 품질(많은 사용자들이 갖지 말아야 할 접속권한을 갖는 것) 또는 처리 과정의 문제(재인증을 요청하는 사람이 처리과정을 완료하기 위해 필요한 모든 정보를 갖고 있지 않음)가 산재해 있음을 뜻한다.

9. 조정 예외 건수. 조정 예외(Reconciliation Exception)는 일반적으로 목표 시스템에서 하나의 계정에 묶인 ID가 IAM 플랫폼에서 작동되지 않으면서 발생한다. 이것은 일반적으로 수동 입력 오류(사용 이름 또는 독자적인 식별자가 맞지 않음)나 백도어(Backdoor) 채널을 통해 생성된 계정의 결과다. 이런 예외들은 시간이 지나면 0에 가까워져야 하며, 그 수치가 갑자기 증가할 경우 감사 또는 추가적인 논의를 수행해야 한다.

10. 의무 위반 구분. 생산 데이터베이스에 대한 관리자 접속권한을 가진 개발자와 자신의 거래를 제출하고 승인할 수 있는 거래자의 경우, 의무 위반과는 구분된다. 이런 것들은 정교함과 교차 애플리케이션의 성향 때문에 파악하고 측정하기 어려울 수 있다. 뿐만 아니라 악용될 경우, 잠재적으로 피해를 입을 수 있기 때문에 놓칠 수 있는 위험도 가장 크다. 이런 문제점들을 악용하는 사례는 종종 대서특필되곤 한다. 기업은 이런 침입을 감시하기 위해서 예방 조치를 시행해야 하며 이를 보고하고 개선해야 한다.

이러한 문제들을 해결하기 위해 구체적인 절차를 밟기 전까지는 처리과정 문제의 범위 및 결과를 이해하기 어려울 것이다. 이것이 IAM 및 ID 관리가 어려우며 때로는 고통스럽기까지 하다고 인식되는 이유기도 하다. 지표를 통해서만 효율적인 사용자 접속 관리의 효과와 성공 여부를 측정할 수 있으며 상당한 보안, 규칙 준수, 운영상의 이점 등을 얻기 위한 필요한 수정조치를 취할 수 있다. 만약 ID 관리계획을 이미 시작했다면 이런 지표들을 추적하기 위해서 최선을 다하기 바란다.

*Frank Villavicencio는 아이덴트로피(Identropy)에서 ID서비스 사업을 총괄하고 있다. ciokr@idg.co.kr

X