구자일 SGN 이사가 14일 서울 강남구 GS타워 아모리스홀에서 열린 'K-제로 트러스트 실증 사업 컨퍼런스'에서 '제로 트러스트 구현 핵심 ICAM 구성 방안'을 주제로 사례 발표를 했다.
구 이사는 “코로나19 이후 금융감독원에서 망분리를 규칙에서 원칙으로 바꾸면서 규제 변경이 예고돼 있다”며 “이는 보안 모델의 변화로 이어질 것이다”라고 말했다.
그러면서 “규제 변화로 사용자 보안상태, 단말의 보안성에 접근하는 리소스에 따라 차등 적용된다”며 “원칙만 준수하면 기업의 업무환경, 사업방법에 따라 다양하게 보안 모델을 적용할 수 있다”고 덧붙였다.
제로 트러스트는 '절대 신뢰하지 말고 항상 검증하라'가 원칙인 보안 모델이다. 제로 트러스트에서 보안 운영관리 시스템(ICAM)은 정책을 수립하고 배포하는 역할인 정책집행지점(PDP)의 기능을 한다.
이를 위해 정보 수집, 정책 수립, 사용자 승인 처리, 그리고 만들어진 정책을 배포하는 기능이 필요하다.
구 이사는 “실시간 검증, 사용자 상태 실시간 확인, 사내 자원 중요도 설정 및 접근 정책수립, 중앙 집중식 접근 정책 수립이 제로 트러스트 보안모델에서 ICAM에 필요한 기능”이라고 설명했다.
실시간 검증은 접근제어시스템에서 API나 서비스 호출로 사용자 인증을 처리하고, 이후 접근할 때마다 매번 중앙에서 권한을 확인하는 구조의 연동 지원을 한다.
'사용자 상태 실시간 확인'은 사용자가 장비를 등록하고 관리자가 필요에 따라 승인해 사용할 수 있게 한다. 실시간으로 장비 보안 상태를 검사하고, 이를 보안 상태 스코어링을 통해 사내 자원 접근 정책에 반영한다. 사용자는 접속 위치와 접속 경로를 매번 검사해야 한다.
중앙(ICAM)에서 모든 사내 자원과 사용자를 관리하고 수립된 정책을 규칙에 따라 배포처리하는 중앙 집중식 접근 정책 수립과 배포도 필요한 기능으로 꼽았다.
구 이사는 “SGN의 'Secure Guard iCAM' 솔루션은 이처럼 실제 적용에 필요한 핵심 요소를 갖추고 있다”며 “최고 수준의 워크플로우 엔진도 탑재돼 있다”고 강조했다.
박두호 기자 walnut_park@etnews.com
