ID 및 액세스 관리의 과제와 이점

개요

강력한 ID 및 액세스 관리(IAM) 전략의 필요성은 엔터프라이즈 IT의 필수 요소로 자리 잡았습니다. 강력한 IAM 솔루션을 통해 기업은 직원 생산성을 높이고 전반적인 보안 태세를 강화할 수 있습니다. 그러나 클라우드 컴퓨팅의 성장과 점점 더 분산되는 모바일 인력으로 인해 IAM은 날로 복잡해지고 있습니다.

사용자 신원을 인증하고 기업 리소스에 대한 액세스를 관리하는 조직 내 담당 팀은 강력한 보안 통제를 마련하는 동시에 인증 절차를 간소화하여 사용자 생산성을 높이는 균형 잡힌 접근 방식을 취해야 합니다. 궁극적으로 비즈니스의 핵심은 고객에게 가치를 제공하는 것이며, IAM은 직원들이 그 가치를 제공할 수 있도록 역량을 부여하는 동시에 기업의 평판, 보안 또는 수익에 해를 끼치지 않도록 하는 데 필수적인 요소입니다.

IAM 전략의 도입 또는 변경을 고려할 때 기업은 신원 인증 및 기업 애플리케이션에 대한 액세스 관리와 관련된 주요 동향을 파악해야 합니다. 전반적인 IAM 환경은 갈수록 복잡해지고 있으며, 고도화되는 보안 위협에 맞춰 지속적으로 발전해야 하므로 사용자와 관리자 모두에게 고유한 과제를 안겨 줍니다. 중앙 집중식 액세스 관리, 자동화, 보고, 상황에 따른 보안 정책 적용 등 종합적인 IAM 솔루션의 핵심 요소는 기업이 역동적인 성장에 대응하는 동시에 이러한 과제를 해결하는 데 도움이 될 수 있습니다.

오늘날의 ID 및 액세스 관리

기업은 끊임없이 변화하는 과제에 대응하고 새로운 기회를 활용할 수 있도록 신속하게 방향을 전환하기 위해 민첩한 시스템에 의존합니다. 속도가 무엇보다 중요하기 때문에 IT 담당자는 사용자가 필요로 할 때 정보 리소스를 빠르고 원활하게 제공해야 한다는 압박을 받습니다. 그러나 이러한 온디맨드 액세스에 대한 요구와 맞물려 IT 관리자들이 밤잠을 이루지 못하게 하는 현실적인 보안 문제가 존재합니다. 기존 보안 경계의 안팎에서 핵심 애플리케이션을 겨냥한 공격에 직면한 기업은 데이터를 안전하게 보호하기 위해 액세스를 엄격하게 통제해야 합니다.

IAM 전략은 정보 보안, 애플리케이션 개발, 규제 준수 등 여러 부서에 분산되어 사일로 형태로 운영되는 경우가 많습니다. 각 부서가 자체 비즈니스 목표에 가장 적합하도록 액세스 권한을 맞춤 설정하는 경우가 많기 때문에 전사 IT 요구 사항이 제대로 적용되지 않는 일이 흔합니다. 이처럼 일관성 없이 구성된 IAM 전략은 액세스 프로비저닝 및 프로비저닝 해제 과정의 비효율, 생산성 저하, 심지어 보안 침해로 이어질 수 있습니다.

포괄적인 IAM 전략을 구현하는 일은 단순히 기술을 배포하는 것보다 훨씬 복잡할 수 있지만, 올바르게 구현하면 기업은 운영 효율성 향상, 규제 준수 간소화, 직원 만족도 제고 등 실질적인 비즈니스 가치를 실현할 수 있습니다. 그러나 강력한 IAM 솔루션을 성공적으로 배포하려면 몇 가지 문제를 해결해야 합니다.

과제와 해결 방안

오늘날 기업의 IT 부서는 사용자와 요청에 관한 맥락 정보를 활용해 정보 리소스에 대한 세분화된 접근 권한을 제공하는 동시에, 민감한 기업 데이터에 대한 무단 접근을 효과적으로 차단해야 하는 갈수록 복잡한 과제에 직면해 있습니다.

과제: 점점 더 분산되는 인력

조직이 최고의 인재를 채용하고 유지하는 한 가지 방법은 지리적 위치의 제약을 없애고 유연한 근무 환경을 제공하는 것입니다. 원격 근무 인력을 활용하면 기업은 비용을 적정 수준으로 유지하면서 생산성을 높이고, 직원들이 기존의 사무실 환경에 얽매이지 않도록 할 수 있습니다. 그러나 직원들이 전국은 물론 전 세계에 분산되어 있는 상황에서 기업 IT 팀은 훨씬 더 어려운 과제에 직면합니다. 바로 보안을 희생하지 않으면서 기업 리소스에 접속하는 직원들에게 일관된 경험을 제공하는 것입니다. 모바일 컴퓨팅의 성장으로 인해 IT 팀이 직원들의 업무 방식을 파악하고 통제하기는 더욱 어려워지고 있습니다.

솔루션

포괄적인 중앙 관리형 IAM 솔루션은 기업 IT 팀이 분산된 인력을 관리하는 데 필요한 가시성과 통제력을 되찾아 줍니다.

과제: 분산 애플리케이션

클라우드 기반 애플리케이션과 서비스형 소프트웨어(SaaS) 애플리케이션이 성장함에 따라, 이제 사용자는 언제 어디서나 어떤 기기로든 Salesforce, Office365, Concur 등의 핵심 비즈니스 애플리케이션에 로그인할 수 있습니다. 하지만 분산 애플리케이션이 늘어나면서 해당 애플리케이션의 사용자 ID 관리도 더욱 복잡해지고 있습니다. 이러한 애플리케이션에 원활하게 액세스할 방법이 없으면 사용자는 비밀번호 관리에 어려움을 겪고, IT 부서는 불편을 겪는 사용자의 지원 요청이 늘어나면서 지원 비용이 증가하는 문제에 직면하게 됩니다.

솔루션

포괄적인 IAM 솔루션을 사용하면 중요 애플리케이션이 기존 데이터 센터, 프라이빗 클라우드, 퍼블릭 클라우드 또는 이 모든 환경이 결합된 하이브리드 환경 중 어디에 호스팅되어 있든 관리자가 액세스 권한을 통합하고 제어하며 간소화할 수 있습니다.

과제: 효율적인 프로비저닝

중앙 집중식 IAM 시스템이 없으면 IT 담당자가 액세스 권한을 수동으로 프로비저닝해야 합니다. 사용자가 핵심 비즈니스 애플리케이션에 액세스하는 데 시간이 오래 걸릴수록 해당 사용자의 생산성은 저하됩니다. 반대로 퇴사하거나 다른 부서로 이동한 직원의 액세스 권한을 회수하지 않으면 심각한 보안 문제가 발생할 수 있습니다. 이러한 보안 노출과 위험을 최소화하려면 IT 담당자가 기업 데이터에 대한 액세스 권한을 최대한 신속하게 디프로비저닝해야 합니다. 하지만 많은 조직에서는 이를 위해 IT 담당자가 각 사용자의 계정을 일일이 확인하여 어떤 리소스에 액세스할 수 있는지 파악한 다음 해당 액세스 권한을 수동으로 회수해야 합니다. 액세스 권한을 수동으로 프로비저닝하고 디프로비저닝하는 작업은 많은 인력이 필요하며, 사람의 실수나 누락이 발생하기 쉽습니다. 특히 대규모 조직에서는 사용자 ID와 액세스를 관리하는 효율적이거나 지속 가능한 방식이 아닙니다.

솔루션

강력한 IAM 솔루션은 프로비저닝 및 프로비저닝 해제 프로세스를 완전히 자동화하여 IT 부서가 직원, 파트너, 계약업체, 공급업체 및 게스트의 액세스 권한을 전적으로 제어할 수 있도록 합니다. 프로비저닝 및 프로비저닝 해제 자동화는 강력한 보안 정책을 신속하게 적용하는 동시에 인적 오류를 줄이는 데 도움이 됩니다.

과제: 개인 기기 사용(BYOD)

관리할 것인가, 관리하지 않을 것인가—오늘날의 기업에는 사실상 선택의 여지가 없습니다. 직원, 계약업체, 파트너를 비롯한 여러 사용자가 업무 및 개인적인 목적으로 개인 기기를 가져와 기업 네트워크에 연결하고 있습니다. BYOD의 과제는 외부 기기가 기업 네트워크에 유입되는지 여부가 아니라, 직원의 생산성을 저해하지 않고 선택의 자유를 보장하면서 IT 부서가 조직의 비즈니스 자산을 보호할 수 있을 만큼 신속하게 대응할 수 있는지에 있습니다. 거의 모든 기업은 사용자가 자신의 기기로 보안 리소스에 액세스할 수 있도록 허용하는 일종의 BYOD 정책을 운영하고 있습니다. 하지만 모바일 기기에서 내부 및 SaaS 애플리케이션에 액세스하는 것은 네트워크에 연결된 노트북이나 데스크톱 워크스테이션에서 액세스하는 것보다 더 번거로울 수 있습니다. 또한 IT 담당자는 누가 기업 데이터에 액세스할 권한이 있는지, 그리고 어떤 기기를 사용해 액세스하는지 관리하는 데 어려움을 겪을 수 있습니다.

솔루션

기업은 사내 지침 또는 규제 준수 요건에 따라 직원 소유 및 회사 소유 모바일 기기에서 기업 애플리케이션에 대한 액세스 권한을 빠르고 간편하며 안전하게 부여하고 회수할 수 있는 전략을 수립해야 합니다. 또한 사물 인터넷으로의 전환과 같은 기술 변화에 대응하려면 기업 IT 팀은 사내 네트워크에 부담을 주는 기기가 급증하더라도 이를 수용할 수 있도록 확장 가능한 솔루션을 구축해야 합니다.

과제: 비밀번호 문제

클라우드 기반 애플리케이션이 증가함에 따라 직원들은 도메인을 넘나들고 다양한 인증 및 속성 공유 표준과 프로토콜을 사용하는 애플리케이션의 비밀번호를 점점 더 많이 기억해야 합니다. 이로 인해 늘어나는 비밀번호 목록을 관리하는 데 갈수록 더 많은 시간을 들이게 되며, 일부 애플리케이션의 경우 30일마다 비밀번호를 변경해야 하므로 사용자의 불편이 커질 수 있습니다. 또한 직원들은 비밀번호 문제가 발생하면 대부분 IT 담당자에게 도움을 요청하기 때문에 중요한 리소스가 빠르게, 반복적으로 소모될 수 있습니다.

솔루션

기업은 사용자 ID를 페더레이션하고 안전한 SSO(Single Sign-On) 기능을 SaaS, 클라우드 기반, 웹 기반 및 가상 애플리케이션으로 확장함으로써 비밀번호 문제를 손쉽게 해결할 수 있습니다. SSO는 여러 도메인과 다양한 인증 및 속성 공유 표준과 프로토콜 전반에서 비밀번호 관리를 통합할 수 있습니다.

과제: 규제 준수

규정 준수 및 기업 지배구조에 대한 우려는 여전히 IAM 지출을 이끄는 주요 요인입니다. 예를 들어, 사베인스-옥슬리법에서 요구하는 기업 지배구조 데이터를 제공할 책임의 상당 부분은 IT 부서에 있습니다. 특정 직원의 액세스 권한 결정, 액세스 권한 확대에 대한 경영진의 승인 추적, 누가 어떤 데이터에 언제 액세스했는지 기록하는 등의 프로세스를 지원하면 규정 준수 부담을 크게 줄이고 감사 절차를 원활하게 진행할 수 있습니다.

솔루션

강력한 IAM 솔루션은 사베인스-옥슬리법, HIPAA, 결제 카드 산업 데이터 보안 표준(PCI DSS)과 같은 규제 표준을 준수하는 데 도움이 될 수 있습니다. 특히 감사 보고를 자동화하는 솔루션은 규제 준수 절차를 간소화하고, 규정 준수 사실을 입증하는 데 필요한 종합 보고서를 생성하는 데도 도움이 될 수 있습니다.

결론

보안. 효율성. 단순성. 생산성. 규정 준수. 강력한 IAM 솔루션을 도입함으로써 얻을 수 있는 이점은 분명하지만, 구현에 드는 비용과 복잡성은 아무리 좋은 의도를 가진 조직이라도 계획에 차질을 빚게 할 수 있습니다. 그러나 잠재적인 보안 침해로 인한 비용을 고려하거나 기업 리소스에 대한 액세스 권한을 수동으로 프로비저닝하고 해제하는 과정에 내재된 비효율성을 살펴보면, 기업이 해야 할 일은 명확합니다. 바로 지금이 조직 전반의 ID 및 액세스 관리 정책을 수립하고 시행할 수 있는 중앙 집중식 IAM 팀을 구축해야 할 때입니다.

기존의 보안 경계가 점차 축소되고 있습니다. IAM 솔루션을 찾는 기업은 갈수록 이동성이 높아지는 인력과 고도로 분산되고 복잡한 애플리케이션 네트워크라는 현실을 고려해야 합니다. 강력한 IAM 솔루션은 관리 부담을 완화하고 프로비저닝 및 프로비저닝 해제 절차를 간소화하며 사용자 생산성을 높이는 동시에, 비용과 IT 부서의 업무 부담을 줄이고 기업이 규제 표준을 준수하는 데 도움이 되는 포괄적인 데이터를 제공할 수 있습니다.

또한 기업은 강력한 다단계 인증 기능을 갖춘 솔루션을 도입해 보안을 강화하는 동시에, SSO를 통해 클라우드 기반 애플리케이션에 원활하게 접근할 수 있도록 하여 사용자의 불편을 해소할 수 있습니다. 아울러 ID 및 액세스 관리가 갈수록 복잡해짐에 따라 세분화된 상황별 정보를 기반으로 정책을 수립하는 역량이 더욱 중요해질 것입니다. 사용자 ID, 위치, 디바이스 및 요청한 리소스에 관한 정보를 수집하고 이를 바탕으로 의사 결정을 내릴 수 있는 IAM 솔루션을 활용하면, 기업은 적법한 직원, 파트너, 계약업체 또는 게스트에게 신속한 액세스를 제공하는 한편 권한이 없는 사용자의 권한을 손쉽게 회수하거나 액세스를 거부할 수 있습니다.

2016년 2월 24일 게시