조상원 한국CA 기술부 차장

“IAM, 견고한 보안 프로그램에서 없어서는 안 될 핵심 요소”

IAM이란 개념은 국내에서는 그렇게 익숙한 용어가 아니다. IAM 시장에는 CA, IBM, 오라클 등 글로벌 기업들이 주력하고 있으며, 본 솔루션 도입은 사실상 대기업 등에서나 가능하다. 국내에서는 완성도 높은 IAM 프로젝트를 수행할 수 있는 기업은 손가락으로 꼽을 정도이며, 실질적으로는 개별적인 IAM 프로젝트만을 수행하고 있는 실정이다. 도입 금액 측면에서도 그러하지만 아직까지 그러한 IAM에 대한 필요성과 인식 등의 부족한 측면 때문이다. 그럼에도 이렇듯 지면을 통해 이러한 IAM을 소개하는 것은 IAM이 지닌 보안 마인드는 향후에 있어 필요하리라 여기기 때문이다. 이에 조상원 한국CA 기술부 차장을 직접 만나 이에 대한 이야기를 들어봤다.

- 편집자 주 -

올해는 개인정보 유출사건 등 일련의 큰 사건들이 있었다. 이로 인해 기업들의 정보보안에 대한 허술한 관리는 물론 노출돼 있는 위협 및 취약성에 대한 관리가 대두되면서 ‘보안’ 관리는 뜨거운 키워드로 부상했다.

웹을 통해 서비스를 운영하고 있는 모든 기업들과 특정 IT 리소스에 접근해야 하는 사용자가 증가하는 기업들이라면 보안은 물론 비용절감 및 프로세스 자동화를 위한  보다 구체적인 솔루션 도입에 관심을 가질 필요가 있다. IAM이 이에 적합한 솔루션이라 할만하다.

■ IAM(Identity & Access Management)이란 무엇인가?

IT 사용자의 수가 증가함에 따라 전사적 리스크 및 IT 보안을 관리하고 컴플라이언스 요구 사항을 해결하기 위한 기업의 IT 부서의 해결과제도 증가한다. 조직이 사용자 ID와 계정 및 권한을 느슨하게 관리할 경우, 비용이 상승하고 리스크가 증가해 사용자 환경은 악화된다.

IAM은 일반적인 환경은 물론 SOA 및 웹 서비스 환경에서도 IT 관리에 대한 통합적인 접근법을 제시하는 ID 및 액세스 관리를 효과적으로 수행할 수 있는 솔루션이라 하겠다. 증가하는 내ㆍ외부 사용자의 사용자 계정을 생성, 수정 및 삭제하는 작업을 자동화하고, 메인프레임에서 웹 애플리케이션에 이르는 모든 범위의 전사적 시스템 상에서 감사 기능을 제공해 고객들의 비즈니스를 보다 안정적이고 효율적으로 지원한다.

■ IAM 구현, 리스크 없애기 위해 점진적으로 진행

IAM 분야 중에서도 특히 계정 관리(Identity Management) 매출에 주력하는 기업들의 IAM에 대한 관심이 증가했다. 계정관리는 단순한 솔루션 도입 및 구축만으로 ROI 창출을 할 수 없는 분야다. 그런 이유로 진정한 계정관리 구축을 위해서는 6개월 이상의 기업 전반에 걸친 프로세스 및 정책에 대한 사전 진단 및 분석이 필요하다. 또한 이러한 분석과 진단을 통해 설계되고 구축되어야 하는 솔루션이다.

그러한 긴 영업 사이클 때문에 매출 성장세는 더디게 움직여지고 있는 것이 사실이다. 그런 점에서 그러한 점진적 구현은 단점일 수 있겠지만 빅뱅 형태로 IAM을 구현해 리스크를 안고 간다면 이는 아니한 만 못한 결과를 초래할 수 있기 때문에 점진적으로 실행해 나가야 한다.

■ IAM 구현의 어려운 점

최종 목표를 정의하는 것과 함께 현재의 보안상태를 ‘있는 그대로’ 파악하는 것이 무엇보다 중요하다. 그리고 그에 따른 정책 및 프로세스 등에 대한 컨설팅이 선결된 후 실무 담당자들의 보안인식이 무엇보다 필요하다.

IAM의 핵심은 솔루션이 아니라 이를 활용하고 이용하는 사람에 있기 때문이다. 앞서서의 언급처럼 투자가치를 실현할 수 있도록 리스크를 없앤 점진적인 구현에 따른 최종사용자, 비즈니스 담당 자 및 IT 담당자 모두가 신기술과 프로세스 변화에 대한 교육이 무엇보다 강조된다.

■ IAM 구현에 따른 효과

점진적인 단계식 구현 전략을 이용하면, 프로젝트에 착수한 후 수개월이나 수년씩 기다리지 않고 조기에 투자가치를 실현할 수 있다. 한 단계씩 프로젝트를 계속 진행할 때마다 투자가치도 그만큼 늘어난다. 또한 효과적인 내부 커뮤니케이션을 통해 최종사용자와 경영진 모두에게 IAM 프로젝트의 가치에 대한 교육을 제공하면, 프로젝트의 전략적 비전을 100% 실현하는 데 필요한 예산을 확보할 수 있다.

그리고 궁극적으로 IAM은 기업의 비즈니스를 가능케 하는 비즈니스 인에이블러(Business Enabler)의 역할을 한다. IAM이 보안을 강화하고, 업계 규제에 대한 컴플라이언스를 보장할 뿐 아니라 셀프서비스 패스워드 재설정 기능 같은 유용한 기능들이 제공하는 생산성 개선 효과와 IT 운영비 및 헬프데스크 비용 절감 효과, 안전한 액세스 등은 새로운 비즈니스 기회를 제공하기 때문이다.

덧붙여 기업 시스템에 액세스하고 하는 사용자가 누군인지, 또 그들에게 허가된 활동은 무엇인지 신속하고 정확하게 검증할 수 있는 역량은 기업의 비즈니스를 가능케 하는 비즈니스 인에이블러이자 핵심적인 컴플라이언스 요구사항이다.

■ IAM, 향후 기업 인프라의 중요한 핵심 경쟁력 될 것

프로젝트 결과가 당초의 기대에 못 미치는 경우는 대게가 처음부터 너무 과욕을 부렸기 때문이다. 점진적으로 꾸준히 투자가치를 제공할 수 있는 단계식 구현 전략을 도입하는 경우에 프로젝트 성공 확률이 더 커진다. 또한 프로젝트가 제공하게 될 비즈니스 가치를 알리고 홍보하는 데 마케팅 기능을 이용하는 데에도 적극적으로 나서야 한다. 홍보는 곧 프로젝트 인지도 상승으로 이어지며 프로젝트의 성공을 위해서는 이것이 꼭 필요하다.

다른 IT 프로젝트와 마찬가지로 IAM 구현 프로젝트에도 어려움이 따르게 마련이다. 그렇다고 IAM 도입을 포기하기에는 IAM이 제공할 수 있는 가치가 너무나 크다. 작게 시작하더라도 100%의 완성된 IAM 구현을 위해 진행한다면 IAM의 가치를 스스로에게 입증하고 경영진에게도 입증할 수 있을 것이다. 그렇다면 최종사용자와 경영진 모두 프로젝트 성과에 만족하고 추가적인 IAM 프로젝트를 요구하게 될 것이라고 확신한다. 아울러 IAM은 향후 기업 인프라의 중요한 핵심 경쟁력이 될 것이다.

[김정완 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>