이젠 통합 계정 관리가 필요한 때

[쇼핑저널 버즈] Id, Pw를 갖고있지 않은 사람은 거의 없다고 봐도 과언이 아니다. 더구나 수십 개씩 관리하는 사람도 셀 수 없이 많다. 상황이 이렇다보니 Id, Pw 관리에 대한 관심 또한 높다. 개개인은 물론 기업에서도 Id, Pw에 대한 관리에 대해 심각하게 고려하지 않을 수 없는 것이다. 이로 인해 Id, Pw를 효과적으로 관리해 원활한 사용은 물론 보안까지 가능한 솔루션이 요구되고 있는 상황이다.

Market 사용자정보(Identity), 인증 및 인가 인프라를 고려하지 않은 전통적인 사용자 관리체계에서 애플리케이션과 시스템도입으로 관리비용이 크게 증가 하고 있다. 업무가 IT로 넘어온 상황에서 소프트웨어, 하드웨어는 물론 각종 문서에까지 보안을 위해 혹은 사용자 제한을 위해 Id, Pw를 사용하게 되고 초기에 이러한 업무방식에 대한 전반적인 기획이 이뤄지지 않은 채 구축된 시스템들로 인해 커다란 문제점을 발생시키고 있다.

이와 같은 문제점들을 살펴보면 주 이슈를 살펴보면 우선 보안성 취약부분을 들 수 있다. 각 시스템은 자기만의 고유한 인증절차를 가지고 있고 시스템 중에는 타 시스템과 다른 사용자 ID와 패스워드 요구하는 시스템들이 존재한다. 이는 사용자의 편의를 위한 계획이 없다보니 발생하게 되고 결국 안전하지 않은 행동을 유발하게 된다.

사용자가 Pw를 적어 놓거나 동일한 Pw를 사용하는 것이다. 이는 보안 로그인의 요구의 목적을 상실하게 되고 무심코 흘린 Pw로 인해 큰 피해를 입는 경우도 발생 할 수 있다.

또한 병원 등의 도움데스크에서 여러 명이 컴퓨터를 함께 사용하는 경우 그 취약성을 더욱 커진다. 여기에 안전 도모를 위한 규제도입은 또 다른 문제를 발생 시킨다. 애플리케이션 접근정책이나 기록, 패스워드 정책(몇 자리 이상, 숫자와 특수문자, 문자 혼합 등)으로 인해 받는 스트레스 역시 무시할 수 없다.

결국 사용자 생산성 및 만족 저하에도 큰 영향을 끼치는 것이다. 사용자에게 영향을 끼치는 것은 또 있다. 서로 다른 시스템과 애플리케이션에 대해 매일 지루한 프로세스가 반복되는 단순 로그인과정은 사용자생산성과 만족에 대해 부정적인영향을 누적한다.

여기에 인증서 사용, Pw 분실, 사용상 문제점으로 인한 헬스데스크 지원요청 및 대기 시간 등은 사용자를 업무보다 다른 곳이 쏟는 시간을 늘려 결국 좋지 않은 결과를 가져온다. 여기에 이를 관리하기 위한 헬프데스크 등에 대한 운영비용 역시 빼놓을 수 없다.

결국 초기 기획의 부재와 과도한 시스템의 보안 활용을 위한 작업들이 결국 생산성 감소와 또 다른 허점으로 드러나는 것이다. 이래서 등장한 것이 IAM(Identity & Access Management)이다.

다양한 시스템에 산재되어 있는 사용자의 계정 과속성, 역할, 권한을 통합관리하고 시스템 및 애플리케이션의 사용자(직원, 고객, 계약자등)를 식별하며, 정의된 사용자 권한에 따라 IT 리소스에 대한 접근을 제어할 수 있는 포괄적 기능을 제공하는 솔루션인 IAM을 통해 관리 능률을 향상 시켜 결국에는 생산성 향상을 가져 올수 있는 방식을 도입하는 것이다.

■ IAM marketIAM에 대한 시장의 요구한 조직이 성장하면서 사용자와 IT 자원이 증가함에 따라 인증과 계정관리측면에서 보안, 생산성, 비용에 있어 예상치 못한 폐해와 허점들이 발생하게 되면서 인증과 계정관리에 있어 문제점들에 대한 해결을 위해 시행착오를 거쳐 기술의 진화를 가져오게 됐다.

인증단 한 번의 로그온으로 접근 가능 하게함허가된 사용자만 인증함인가·권한차별화된 업무 시스템 접근제어통합된 접근 정책관리로 보안 강화분배·권한위임·자동화계정정보의 분산환경에 적합한 ID관리단편적인 SSO/EAM 기능의 한계, 인프라의 접근 절실다양한 유형의 권한 통합관리 및 권한정의, 신청을 단일창구를 통해 처리하여 추적 및 모니터링ID 관리의 권한위임, Self Service분배ㆍ권한위임ㆍ자동화

IAM 도입 효과보안 효율성- IT 운영 및 관리의 단순화, 사용자 self-service 지원- 관리 비용 절감- 사용자 정보의 영향도 증가 및 확대- 일관성 있고 향상된 보안 접근 통제기반을 제공해야하는 업무 프로세스에 영향- 24시간이내 접근 요청처리 등과 같은 SLT를 개선하려면 관련 업무프로세스를 자동화 해야함

보안효과성- 접근 통제 기반의 안전성 입증- 기존고객유지, 새로운 고객확보- 많은 기업들에게 가장 중요한 관심사항- 손쉬운 규제준수(내·외부 감사프로세스를 쉽게 처리 하는 것)- IAM은 누가 어떤 것에 왜 접근했는지, 그 접근을 누가 승인했는지, 누가 무엇을 보았는지를 보여줌으로써 매우 효과적인 접근통제와 투명성을 제공- IT Compliance Infrastructure

비즈니스민첩성과 생산성- IAM은 조직변경, 인수 및 합병, 신규비즈니스파트너, 새로운 제품 및 시스템 구축등 기업변화를 필요한 시점에 유연하게 수용- 기업이 신속하게 업무를 개시할 수 있도록 지원- 각 애플리케이션으로부터 IAM요소를 제거함으로써 개발자들은 업무(비즈니스)의 목적과 목표에 집중할 수 있음

IAM 시장 규모

IAM 시장은2007년 3조원에서 2012년 6조원이상으로 약200% 이상 성장이 예상된다. 특히 2012년, SW 라이센스비율이 50% 수준으로 여전히 컨설팅, 구축 등 서비스이슈가 존재하고 IAM을 조직전체를 포괄하는 정보보안 인프라영역으로 분류하고, 인증 및 인가와 관련된 프로세스를 효율적으로 지원하는 독립된 정보기술아키텍처로 인식한다.

또한 준법감시(regulatory compliance -SOX, PCI, GBLA, HIPAA, JPIPA) 요구로 전 세계의 기업들은 필수적으로 IAM 아키텍처를 구축해야 하는 상황이다. IAM아키텍처를 구축하는 여러 기술요소 중에서 WAM, User Provisioning 솔루션이 75% 수준으로 IAM 시장을 선도하고 있으며 계정 및 접근관리는 GRC(governance, risk, compliance) 실행을 위한 핵심 통합요소로써 지속적인 성장이 전망되고 있다.

여기에 NAC, SIEM, 위험관리, 부정행위 검출관련제품들은 점점 더 IAM 솔루션과 공존할 것으로 기대를 모으고 있다.

이처럼 많은 국내외 기업들이 IAM솔루션 중 국내 IT 업체인 NETS의 NETS*Identity Manager(이하NIM)이 주목할 만하다. 통합계정·권한관리(IAM, Identity & Access Management) 솔루션으로 다양한 시스템에 산재되어 있는 사용자의 계정과 속성, 역할, 권한을 통합관리하고 정의된 절차에 따라 사용자정보(계정과 속성, 역할, 권한)를 대상시스템 및 애플리케이션과 동기화(provisioning)할수 있는 포괄적 기능을 제공한고 있다.

IAM 제품의 특징Workflow & IAM- 통합계정·권한관리(IAM)는 기업의 중요한IT 자원을 요구하는 사람과 애플리케이션, 서비스의 접근을 통제하는데 필요한 프로세스의 집합으로 정의할 수 있다- ID 생성, 변경, 사용, 폐기프로세스는 기업의 업무규정 및 보안정책과 밀접하게 연계된 하부프로세스들로 구성 되어있다

Workflow 엔진기반의 계정·권한 프로비저닝의 이점- Workflow통제 및 자동화된 역할 기반provisioning과 접근 제어를 통해 직무변경, 퇴사또는 신규고용 등과 같은 비즈니스 이벤트에 실시간으로 대응- 업무처리자동화- 프로세스 자동화를 통한 업무처리의 자동화로 신속하고 효율적인 ID 관리(administration) 업무수행- 높은 수용성- 업무규정과 정책변경으로 변화되는 프로세스를 쉽고 빠르게 수용- 간편한연계·통합- GUI 방식의 프로세스 디자이너를 이용하여 단위업무(activity)와 IT자원을 연계함으로써 간단하고 편리하게 계정·권한 프로비저닝 프로세스 구현

중앙 집중 및 분산구조의 권한 관리체계 수용- 넷츠의 통합계정·권한관리(IAM) 시스템은 중앙집중 및 분산구조의 권한관리체계 모두 지원함으로써 기업의 복잡한 IT 환경수용

분산구조- 각 업무 시스템의 권한 스키마에 따라 권한정보 프로비저닝- 업무시스템은 기존 권한체크 로직 사용- 권한체크로직 변경 없이도 통합권한관리체계에 따라 권한관리수행- 각 업무 시스템들은 통합계정·권한관리 시스템의 장애시에도 정상 동작

중앙집중구조- 업무시스템에서 표준 권한 체크API를 통해 통합계정·권한관리시스템의 권한체크쿼리- 업무시스템에 권한정보를 보유하지 않고 통합권한데이터를 이용하여 인가행위를 하고자 하는 경우- 통합계정·권한관리시스템의 장애시 업무시스템의 장애로 연결됨

인사정보 동기화HR SYNC 패키지적용방식으로 신속·정확한 연동- HR연동은 별도의 패키지로 제공하는 인사시스템연동모듈(HR SYNC)를 이용하여 정확하고 신속하게 HR과 통합계정·권한관리(IAM) 시스템연동- 스키마매핑을 위한 GUI(Graphic User Interface) 제공으로 수작업 코딩에 의한 실수 최소화- 겸직, 파견 등 한국적조직 문화수용- Workflow 엔진기반의 프로비저닝을 이용한 혁신적인 인사정보 동기화 프로세스 제공- 인사정보변경에서 대상시스템적용(provisioning)까지 완전한 프로세스제공- 프로세스를 구성하는 단위업무(Activity)는 전사권한 및 프로비저닝 정책을 기준으로 처리- 동기화완료시, 확인메일발송

■ 도입 효과비용 절감- 정책기반의 비밀번호, 권한변경프로세스자동화 등 보안관리 업무자동화로 전산 인력을 최적으로 유지- 공통의 IAM 아키텍처를 구축함으로써 공통의 인증 및 인가인프라를 각 애플리케이션에게 공함으로써 개발비용절감- 감사 등 보안관리 활동을 지원함으로써 별도의 소프트웨어 또는 하드웨어를 제거 또는 삭감

IT 운영 효율화IT 리소스 접근요청 및 승인처리절차의 자동화 및 투명화- 사용자 스스로 보안정책에 따라 비밀번호 변경- 접근통제인프라는 보안감사활동에 즉각적으로 대응- 보안관련 보고서 작성에 필요한 정보를 중앙 집중화된 형태로 제공

IT 위험 관리 강화- 유령(ghost) 계정, 공통 계정발생의 원인을 근본적으로 제거- 보안정책을 적용하고 유지하는 것을 자동화하고 집중화함으로써 정책기반의 규제준수 (compliance) 체제구현- 로그모니터링 등과 같은 단순반복 작업을 자동화하여 특이한 접속에 집중함으로써 효과적인 보안통제

비즈니스 편의성 증가- 비즈니스 확장에 따라 증가된 사용자의 보안적 요구 관리 자동화 필요- 포탈시스템은 "사용자인증 및 인가", "접근제어" 기능을 필수적으로 요구- 기존고객 유지를 위해 IAM의 단일로그온(SSO)와 프로파일센터 기능요구

규제 준수- Sarbanes-Oxley, GLBA, HIPAA 등 정부규제, CIP 등 산업표준들이 속속 발표(국내K-SOX, K-IFRS 등)- 급격히 증가하는 규제 및 산업표준을 준수하기 위한업무·책임성, 투명성, 측정가능성을 수작업으로 이행 하는데 한계발생- IAM 솔루션은 규제준수 자동화를 위한 핵심IT 기술

■ 주요 구축 사례롯데 그룹

롯데그룹 각 계열사 임직원의 그룹소속감을 고양하고, 대외적으로 통일된 그룹이미지를 표출하며, 그룹차원의 정보공유를 통한 통합정보교류시스템구축 목적.이를 위해 각계열사의 HR 정보를 통합하고 정규직/비정규직의 계정을 통합 관리하기 위한 주요기능 제공함

Customer Name : 롯데그룹통합모인Project Name : 통합정보교류시스템구축

Project Scope- ID관리 인프라구축- 메시징 인프라구축Customer's Critical Success Factor- 응용프로그램ID 인프라구축을 통한 APP보안기반- 메시징 인프라구축으로 전사커뮤니케이션 기반확립

Value to Customer- 프레임워크기반의 시스템구축 및 표준기술수용을 통하여, 유비쿼터스 환경지원 및 향후 협업서비스고도화를 위한 기본 인프라로 활용- e-HR과파트너원장을 기본으로 정의된 프로세스를 중심으로 사용자정보의 Consistency를 유지함으로 계정관리 업무효율화 및 ID 현행화개선- 기 구축된 IM 시스템을 계정 캐스터로 활용하고, 시스템 접근정보를 통합 Repository로구성하여 RBAC 기반의 권한관리를 지원하는 형태로 구축- 사용자정보 및 권한정보를 통합하고, 표준화된 프로세스 및 코드체계를 수립함으로써 시스템별 권한제어에 대한 운영 및 관리효율화 실현

Duration- 2006. 11. 8 ~ 2007. 4. 15사용자수/조직 및 그룹수 등 현황정보- 사용자수: 20,000명- 연동APP수: 웹시스템25, C/S 시스템: 5

KTF

IDMS는 ID발급 신청에서부터 승인에 이르는 ID Lifecycle을 관리하는 시스템이며 Front office layer, back officelayer, interface layer로 구성

Customer Name : KTFProject Name: KTF IDMSProject Scope- ID관리 인프라 구축- 메시징 인프라 구축Customer's Critical Success Factor- 응용프로그램 ID 인프라구축을 통한 APP 보안기반- 메시징 인프라 구축으로 전사 커뮤니케이션 기반

Value to Customer- 프레임워크 기반의 시스템 구축 및 표준 기술을 통하여, 유비쿼터스 환경 지원 및 향후 협업 서비스 고도화를 위한 기본 인프라로 활용- e-HR과 파트너 원장을 기본으로 정의된 프로세스를 중심으로 사용자 정보의 Consistency를 유지함으로 계정 관리 업무 효율화 및 ID 현행화 개선- 기 구축된 IM 시스템을 계정 캐스터로 활용하고, 시스템 접근 정보를 통합 Repository로 구성하여 RBAC 기반의 권한 관리를 지원하는 형태로 구축- 사용자 정보 및 권한정보를 통합하고, 표준화된 프로세스 및 코드 체계를 수립함으로써 시스템별 권한제어에 대한 운영 및 관리 효율화 실현

Duration- 2005. 8. 8 ~ 2006. 5. 7사용자수/조직 및 그룹 수 등 현황 정보- 사용자 수 : 20,000명- 연동 APP 수 : 웹 시스템 25, C/S 시스템 : 5

SKTelecom - NGM

NGM의 비즈니스 프로세스상에서 SKT임직원, 고객, 협력사들이 신속한 의사결정과 업무진행을 할 수 있도록 이에 필요한 사내 외 각종 데이터/어플리케이션을 개인별 필요성에 맞추어 단일화된 웹 중심정보창구로 제공

Customer Name : SKTelecomProjectName : NGM2단계사업 (SSO/계정관리)

Project Scope- SSO/EAM 기반구축- 통합계정관리- 사용자정보저장소- 통합관리

Customer's Critical Success Factor- 분산된ID 발급 체계의 통합관리체계를 구성하여, ID/권한의 Lifecycle을 관리와전사 SSO의 기반마련

Value to Custom- 프레임워크 기반의 시스템구축 및 표준기술 수용을 통하여, 유비쿼터스환경지원 및 향후 협업 서비스 고도화를 위한 기본 인프라로 할용- 통합적인 ID발급 정책수립 및 구현NGM의 다양한 어플리케이션에 공통, 표준화된 인증 및 권한관리체계수립 및 구현- 사용자별 권한에 적합한 Portal 시스템구축

Duration- 2005. 6. 1 ~ 2006. 6. 30사용자수조직 및 그룹수 등 현황정보- 사용자수: 60,000명s- 연동 어플리케이션 수 : 웹시스템14,C/S 시스템:3- 조직 및 그룹수: 60,000여개(대리점포함)

동국제강

Portal & SSO를 통해 아래와 같은 시스템과 연동하며, 통합 계정 관리 시스템인 SPM을 이용하여 인사정보, 계정정보에 대한 통합 Repository 구성함

Customer Name : 동국제강Project Name : 그룹통합 그룹웨어 구축Project Scope- ID관리 인프라 구축- SSO 시스템 구축- PKI 보안시스템 구축- 통합그룹웨어 구축(Nets Scope에서는 제외)

Customer's Critical Success Factor- 분산된 인사 정보를 통합, 그룹 통합 표준 ID- 체계마련 및 E-mail 통합을 통한 전 그룹의 원활한 communication 체계 확립

Value to Customer- 통합 그룹웨어 구축 및 통합 ID 관리를 위한 표준으로 Nets의 IM 도입- 통합적인 ID발급 정책 수립 및 구현- 각 계열사 시스템에 대한 표준화된 인증 및 권한관리 체계 수립 및 구현- E-mail 통합으로 하나된 communication 체계 마련- 사용자 및 각 조직에 적합한 Portal 시스템 구축

Duration- 2005. 10. 1 ~ 2006. 6. 30사용자수/조직 및 그룹 수 등 현황 정보- 전체 5,000 명/8개 계열사 대상

넷츠는 통합계정관리 및 인증강화 솔루션을 중심으로 고객의 가치를 극대화하기 위한 최적의 IT Infra 서비스를 제공하는 기업이다.

1998년 설립 이후 통신사업자, Portal, 게임 사업자를 대상으로 e-Business 인프라 솔루션 구축 사업을 통하여 통합 인증 솔루션과 서비스 관리 플랫폼 사업을 성공적으로 수행하였으며, 2001년 R & D실을 설립 후 매년 평균 7명 이상의 전문 인력을 배치하여 꾸준히 제품 개발에 투자하여 7건의 특허 획득과 GS인증, TL9000 품질인증을 획득하는 성과를 냈고, 향후 글로벌 기업으로의 도약을 위해 국제특허 출원 및 자체 기술 역량 강화에 총력을 기울이고 있다.

안정성(Stability), 확장성(Scalability), 고성능(Speedy)의 3S 개발 전략으로 최고의 기술력과 필드에서의 다양한 경험을 통해 개발된 통합계정 및 권한 관리 솔루션인 NETS*Identity Manager와 강력한 사용자 인증과 패스워드 관리 솔루션인 NETS*IDSafe를 보유하고 있다.

NETS*Identity Manager는 국내 유일의 통합계정 및 권한관리 솔루션으로, 허가 받은 시스템 사용자를 식별하고 권한에 따라 애플리케이션 및 리소스의 접근을 제어하여 기업의 중요 비즈니스 정보 누출을 방지합니다.

계정의 중앙 집중 관리를 통해 시스템 접근에 대한 모니터링 및 감사 기능을 제공하여, 기업의 리스크를 관리하고 IT Compliance에 대응할 수 있습니다. NETS*IDSafe는 PKI기반의 사용자 인증 솔루션으로 USB, smart card를 이용한 강력한 Two Factor 인증으로 ID 도용 및 부정 사용을 근본적으로 방지함으로써 기업의 중요한 정보자산을 보호합니다.

사용자 계정과 권한 관리 프로세스의 자동화 및 안전화, 인증 체계 개선을 위한 비용 효율적이고 적용성(flexibility)이 높은 솔루션을 공급함으로써 고객의 안전한 비즈니스를 가능하게 한다.

[ 관련기사 ]▶ 효과적인 형상변경관리 솔루션, IBM 클리어케이스▶ 삼성전자, 토털 프린팅 솔루션 강화▶ 해외 오픈소스 쇼핑몰 솔루션 웹디자인 23선▶ 삼성전자, 맞춤형 솔루션으로 UC 시장 공략김태일 월간 PC라인 기자(teri@Pcline.co.kr)'IT 제품의 모든것'-Copyright ⓒ ebuzz.co.kr, 무단전재 및 재배포 금지