차세대 보안 솔루션으로 부상하는 ERM, "현황과 도입 전략"

몇 년 전, 플렉스트로닉스(Flextronics)는 골치 아픈 보안 문제로 고전하고 있었다. 공인 사용자들의 손에 넘어간 민감한 사유 정보가 분실 것을 방지할 수 있는 방법을 모색하는 것이 바로 그 것.

당시 글로벌 IT 전략 담당 부사장이던 브라이언 바우어(Brian Bauer)에 따르면 대부분의 대기업들과 마찬가지로, 이 글로벌 제조 서비스 기업도 외부로부터의 공격에 대비하여 강력한 방어 수단을 구축해 놓고 있었다고 한다. (플렉스트로닉스의 현 CIO는 이 이야기의 공개를 거부했다.)

그렇기는 하지만, 회사의 방어 수단이 직원, 고객 그리고 도급업자들에게 반드시 적용되는 것은 아니었다.

어려운 문제 중 한가지는 고객이나 도급업체들이 여러 개의 플렉스트로닉스 데이터베이스 중에서 각자의 프로젝트와 관련된 부분에만 액세스 할 수 있도록 하는 것이었다. 이 회사는 상당 수가 서로 경쟁 관계에 있는 몇몇 세계 정상급 라우터, 비디오 게임 그리고 의료 기기 기업들에게 제품을 설계하고 만들어준다.

현재는 바우어 & 어소시에이츠(Bauer & Associates)의 경영담당 파트너를 맡고 있는 바우어는 당시 설계 엔지니어들이 민감한 정보를 유출하는 것을 막거나 최소한 포기하게 할 수 있는 방법도 필요했다고 회상했다. 그의 경험에 따르면, 약 70%의 데이터 손실은 의도적인 절도가 아니라 실수에 의한 것이라고 한다.

플렉스트로닉스의 IT 그룹은 처음에는 직원들이 민감한 정보를 위키(wiki)나 블로그(Blog) 게시물에 포함시키는 행위, 플래시(Flash) 드라이브나 카메라를 회사에 가져오는 행위, 심지어는 인터넷을 사용하는 행위까지 금지함으로써 “모든 것을 걸어 잠그는” 방법을 시도했다. 뻔한 결과지만, 짜증이 난 엔지니어들은 일을 하기 위해 필요한 정보를 구할 수 없다고 항의했다.

결국 이 회사는 데이터 손실 방지(DLP: Data Loss Protection) 기능이 있는 정책 엔진과 정보 권한 관리 기능이 결합된 넥스트랩(NextLab)의 Enterprise DLP라는 ERM(Enterprise Rights Management, 전사적 권한 관리) 플랫폼으로 돌아 섰다.

정책 설정 vs. 섬세한 권한 부여

DLP 소프트웨어는 방화벽 너머로 송신되는 정보를 스캔(Scan)하여 그 데이터에 대한 보안 정책을 적용한다. 정책은 대개 콘텐츠 기반이다; 예를 들면, 정보에 특정 키워드나 문구가 들어 있으면, 특정 유형의 기기에 속하지 않는다거나 암호화되지 않고는 회사 밖으로 나갈 수 없다고 명시하는 규칙이 있을 수 있다.

IRM(Information Rights management: 정보 권한 관리)은 기업 방화벽 외부의 디지털 데이터 객체에 대해 정교한, 사용자 기반의 액세스 권한을 적용한다. 예를 들면, 외근 중인 직원은 자신의 블랙베리에 있는 파일을 읽거나 변경할 수 있지만 그 파일을 이 메일로 보내거나 USB 기기로 다운로드 할 수는 없게 된다. 도급업체는 문서를 읽을 수는 있지만 인쇄하거나 동료에게 송신할 수는 없다.

플렉스트로닉스에 엔터프라이즈 DLP 제어가 자리를 잡자, 설계 엔지니어들은 정보에 액세스하고 웹 상에서 동료들과 협업할 수 있게 되었으며, 회사에 USB 플래시를 가지고 올 수도 있게 되었다.

넥스트랩의 Enterprise DLP 소프트웨어는 사유 설계 정보를 위키를 통해서 공유하려 시도하거나, 안전하지 않은 웹 메일을 통해서 송신 또는 USB 기기로 다운로드 하려는 직원을 발각하면, 동작을 차단하거나 해당 직원에게 회사 정책을 상기시키는 메모를 보낸다. 바우어는 대개 메모면 충분하다고 전했다. 이 소프트웨어는 누가 준수했고 누가 어겼는지를 추적하는 감사 파일도 자동으로 생성할 수도 있다.

ERM은 엔터프라이즈 보안 전략 중에서 중요한 공백을 채워준다. ESG(Enterprise Strategy Group)의 최근 조사에 따르면 42%의 보안 전문가들이 지적 재산권 보호를 위한 “내부 지시”가 자신이 속해있는 조직의 데이터 보안 전략과 하부구조에 결정적 요인이 될 거라고 생각하고 있다고 한다. 더 나가서, ESG는 60%의 기업들이 협력업체, 부품업체 또는 고객 같은 외부 우호세력과 기밀 정보를 공유하고 있음도 밝혀냈다.

ESG의 경영 담당 파트너인 존 올트식(Jon Oltsik)은 IRM과 DLP는 2가지 핵심적이고 연계된 보안 영역을 다루는 상호 보완적인 기술이라고 지적한다. 그에 따르면, “DLP는 IT가 이메일 첨부파일을 통해서, 대개는 인적 오류로 유출되는 모든 것을 차단한다”라면서, “하지만 일단 문서가 기업 네트워크를 벗어나면, 이는 DLP로 제어할 수 없다. 방화벽 외부에서 애플리케이션, 문서 그리고 사용자 차원의 정교한 집행을 원한다면, IRM이 필요할 것”이라고 설명했다.

일부 DLP 제품들은 조직의 내부 데이터베이스와 스토리지 기기를 스캔 하여, 사전에 설정된 정책에 따라 정보를 분류한 다음 잘못된 곳에 있는 정보를 관리자에게 알린다.

웹을 통한 지적 재산 통제

글로벌 투자 조사 회사 BCA 리서치(BCA Research)는 유료 고객들이 자사의 지적 재산(IP: Intellectual Property)을 다운로드 한 뒤에 할 수 있는 일을 통제하기 위해 파일오픈(FileOpen)의 IRM 소프트웨어를 사용하고 있다. 이 회사의 정보 기술 담당 책임자인 폴 초우는 “우리 조사 보고서는 상당히 고가이며 독특한데, 인터넷으로 인해 지적 재산의 남용이 쉬워졌다”라고 설명했다.

법령준수가 또 다른 주도 요인이다. 예를 들어, 민감한 데이터가 협력업체에 의해 침해를 받을 경우, 자신이 속해있는 기업에 책임을 묻는 연방 규정에 대처하는 IT 관리자에게 IRM이 도움이 된다. 제약회사들과 항공우주 산업 그리고 방위산업 업체들은 특히, 다른 해외 사이트나 도급업체들과 데이터를 공유할 때 정부의 엄격한 보안 규정을 준수할 필요가 있다.

의료 서비스 공급업체들은 보호된 건강 정보를 공유하는 한편 HIPPA 보안 규정을 준수하라는 연방 정부의 압력을 받고 있다. 바이털라이즈 컨설팅 솔루션(Vitalize Consulting Solutions)의 수석 컨설턴트인 잭 와그너는 “미국 암 등록센터에서 얼마나 많은 환자를 진료하고 있는지를 알고 싶으면, IRM을 통해서 환자의 신원이 지워진 통합 데이터를 받을 수 있다”고 말한다.

일부 ERM 제품에는 감사 기능도 있어서, 규제 기관이나 법정에서 필요로 할 경우, 적절한 보안 수단이 제자리에 있음을 입증할 수 있을 뿐 아니라 누가 무엇을 언제 보았는지도 보여줄 수 있다.

오늘날의 ERM 시장은 많은 통합이 이루어지면서 끊임없이 변하고 있다. DLP 업체로는 EMC의 자회사인 RSA, 시만텍(Symantec), 맥아피(McAfee), 웹센스(webSense), 코드 그린(Code Green)과 CA가 있다. IRM 공급업체에는 마이크로소프트, 리퀴드 머신즈(Liquid Machines), 지아트러스트(Giatrust), 오라클, 락리저드(LockLizard) 등이 있다. 넥스트랩은 2가지 기술을 모두 제공하는 동시에 정책 엔진까지 포함된 통합 플랫폼을 제공하고 있다고 주장하고 있다.

#######

구매 팁: 클라이언트 기기 지원이 핵심

ERM 제품을 구매하여는 기업들은 자신들이 선택한 제품이 단지 보안 상의 필요사항들뿐 아니라 내.외부 고객들의 필요사항들까지도 만족시키는지 확인할 필요가 있다.

사전에 해야 할 한가지 중요한 질문은 그 제품이 어떤 문서 포맷(Format)과 애플리케이션을 지원하는가 이다. 대부분의 IRM 제품은 어도비(Adobe) PDF와 마이크로소프트 오피스 문서를 지원하지만, 일부 제품은 더 많은 포맷을 지원한다. 예를 들어, 지아트러스트는 다양한 캐드(CAD)와 엔지니어링 포맷을 지원한다. 리퀴드 머신즈는 400여 가지 이상의 파일 유형을 지원한다고 주장하고 있으며, 락리자드는 플래시(Flash)와 HTML을 지원한다.

제품 담당 관리자인 앤디 한에 따르면 넥스트랩의 IRM 소프트웨어는 운영 체제 레벨에서 동작하므로 포맷이나 애플리케이션 독립적이라고 한다. 이런 동작방식으로 인해 워터마킹(Watermarking: 투명무늬 삽입)이나 콘텐츠 편집(단어 삭제) 같은 특정 기능을 제어할 수 있는 능력이 제한된다. 하지만, 넥스트랩은 마이크로소프트 오피스로 작성된 문서에 대해 이런 기능을 제공하는 플러그인(Plug-in)을 제공하고 있다.

또 다른 핵심 기준은 어떤 클라이언트 기기들이 지원되는가이다. IRM 공급업체들은 이제 막 모바일 기기를 지원하기 시작하여, 외근 중에 회사 보안 정책을 무시하거나 잊어버리곤 하는 직원들의 부적절한 행동을 IT가 제한할 수 있도록 해준다. 예를 들면, IRM의 내장 보안 통제기능은 여행 중인 영업 대표가 안전하지 않은 웹 메일을 통해 동료에게 고객 정보를 송신하는 것을 방지할 수 있다. 그리고 모바일 기기를 분실하거나 도난 당해도, 정보는 암호화된 상태를 유지하고 있으며 액세스할 수도 없다.

클라이언트 기기의 폭넓은 지원은 고객 만족을 위해서도 중요하다. BCA의 초우는 BCA의 고객들은 “우리 회사의 조사 보고서를 오로지 데스크톱에서만 읽고 싶어하는 게 아니라, 자신의 랩톱, 차량 탑재 컴퓨터, 집, 그리고 아이폰이나 블랙베리 또는 킨들(Kindle)에서도 읽고 싶어한다”고 말한다. 일부 IRM 공급업체들은 현재 블랙베리를 지원하고 있으며, 어떤 업체들은 곧 아이폰도 지원하겠다고 약속하고 있다. 하지만 아직까지 킨들을 지원하는 경우는 많지 않다.

까다로운 설치

적절한 도구를 갖추고 있더라도, ERM 설치는 어려울 수도 있다. 그 중에서도 특히 어려운 것은 고객들, 특히 다른 회사에 근무하고 있는 고객들을 설득하여 자신들의 클라이언트 시스템에 IRM 소프트웨어를 설치하는데 동의하도록 하는 것이다.

올트식은 “ERM의 한계는, 내가 협력업체나 외부 고객과 문서를 공유하고 싶을 경우, 클라이언트를 반드시 설치해야만 하고 이 클라이언트 소프트웨어를 나의 보안 도메인 일부로 만들어야 한다는 것이다”고 지적했다.

이는 다른 회사의 IT 부서 직원들을 매우 불안하게 만들 수 있다. ESG가 알고 있는 대부분의 경우, 협력업체의 사이트에 IRM 보안을 성공적으로 설치한 회사는 시장 생태계에서 많은 비판을 들었다고 한다.

저항을 최소화하기 위한 한 가지 방법은 클라이언트 코드가 비교적 두드러지지 않고 비독점적인 IRM 제품을 선정하는 것이다.

예를 들어, 초우는 BCA는 어도비의 PDF 리더가 아닌 특정 회사 고유의 PDF 설치를 필요로 했기 때문에 락리자드의 IRM 제품 사용을 중지했다. 그는 “우리 클라이언트 기반에서는, 도저히 말이 안 된다”라고 말했는데, 이와는 대조적으로, 파일오픈은 30초면 설치될 수 있는 기존 어도비 리더용 플러그인을 공급하고 있다고 전했다.

그렇게 해도, 여전히 꺼리는 고객들이 가끔 있다. 초우는 “IT 부서에서 말하기를, ‘이게 뭐야, 감염된 건 아니겠지? 어떤 종류의 정보를 보내준다고? 이 플러그인에 대한 보안 감사가 필요한데’라는 식의 질문이 들어올 수도 있다”고 덧붙였다.

반면, 어떤 협력업체의 IT 부서는 딱 잘라 거절하기도 하는데, 그런 경우 BSA는 그 회사에게 사유 정보를 공유하거나 오용하지 않겠다는 약속을 하는 동의서에 서명해 줄 것을 요청한다. 초우에 따르면, 이런 방법이 실제로 아주 효과적이라고 한다.

작은 출발

ERP 플랫폼을 사용하려면, 기업들은 IRM과 DLP 통제기능이 집행할 정책을 정의해야만 한다. 이 작업은 까다로운데 기업이 방화벽 내.외부에서 폭넓고 다양한 정보를 보호하기를 원하는 경우에는 더 까다로울 수 있다.

올트식은 적은 수의 정책과 집행 메커니즘으로 시작할 것을 권고 한다. 그렇지 않으면, 새로운 규칙을 처리하기 위해 사용자, 헬프 데스크 요원 그리고 정책 입안자들이 허우적거리게 될 것이라는 설명이다. 정책과 집행 문제를 자세히 살펴보는데 도움을 줄 수 있는 경험 있는 전문 서비스 공급업체를 고용하는 것도 현명하다.

복잡한 정책 세트를 배치할 계획이라면, 개발 도구와 정책을 관리하고 배치하기 위한 일종의 규칙 엔진을 제공해주는 ERM 제품을 선택하라. 현재 대부분의 ERM 정책 도구는 주로 특정 업체의 전유물이며 독립형이다. 하지만 일부 IRM과 DLP 공급업체들은 통합 정책 시스템을 제공하기 위해 협력관계를 맺고 있다.

더욱 희망적인 것은 상이한 정책 엔진들이 정보를 공유할 수 있도록 해줄 업계표준인 XACML(Extensible Access Control Markup Language: XML 기반 접근제어 기술)에 대한 업계의 지원이 점점 더 많아지고 있다는 점이다. 다수의 ERM 공급업체들은 마이크로소프트의 AD(Active Directory)와 RMS(Rights Management Services)에 연결되어, 자사의 제품이 자동적으로 AD 액세스 권한을 전파하도록 한다.

#######

기존 엔터프라이즈 애플리케이션과 연결

초우는 이런 상황이 “내부 직원들이 암호화되지 않은 조사 보고서를 아무에게나 송신할 수 없도록 통제를 가하기 위해 파일오픈의 IRM이나 아마도 DLP 사용을 고려하고 있는 BCA에게는 커다란 도움이 된다”고 말한다. 이 BCA의 IT 부서는 현재 사용자의 액세스 권한 정책을 파일오픈은 제외하고 여러 가지 내부 보안 시스템에 전파하기 위해 AD를 사용하고 있다. 초우는 “만약 내부적으로 IRM을 설치한다고 하면, 그걸 AD에 연결 할 수도 있다”고 말했다.

물론, 복잡한 보안 규칙이 개입되지 않는 좀 더 단순한 ERM 설치에는 정책 엔진이 필요 없을 수도 있다.

예를 들면, 셀렉트 밀크 프로듀서(Select Milk Producers)는 전원이 낙농가인 고객들과 임원들이 자사의 웹 서버 상에 있는 정보에 안전하게 액세스할 수 있도록 락리자드의 IRM 제품을 사용하고 있다. 셀렉트 밀크의 시스템 하드웨어 분석가인 크레이그 카드(Craig Card)는 “이들은 능숙한 사용자가 아니라, 낙농가들이어서, 가끔은 로그오프 하지 않거나 웹 사이트에 대한 암호를 저장해 놓지 않는다”고 말한다. 그리고 대부분의 낙농가들은 서로 경쟁관계에 있으며, 단지 일부만이 임원이다. 결국, 권한이 부여된 정보에 대한 액세스만 주는 것이 중요하다.

카드는 “락리자드는 최소한의 사용자 개입만으로 자동으로 동작하는 보안을 제공한다”라면서, 이 DRM 제품에는 정책 엔진이 없으나, 약 125명의 사용자와 25명의 임원 밖에는 없으므로, 정책을 수작업으로 설정하는 것이 그다지 큰 문제는 아니라고 설명했다.

마찬가지로, 초우는 BCA도 지금까지는 고객들에게 판매한 조사 보고서에 대해 한정된 수의 파일오픈 액세스 제어만을 배포했다고 말한다. 그는 “우리 고객 중 일부는 조사를 위해 막대한 돈을 지불한다. 만약 그들에게 인쇄는 할 수 없고 온라인에서만 문서를 볼 수 있다고 말하거나, 그들의 액세스 권한이 이러이러한 날짜에 만료된다고 하면, 그 고객을 잃을 수도 있다”라고 덧붙였다.

실제로, 업계 관계자들은 성공적인 ERM 구현업체는 그것이 내부이던 외부이건 간에, 보안 우선순위를 맞추는 것과 고객을 불편하게 만드는 것 사이에서 아슬아슬한 곡예를 할 필요가 있다는 말에 동의한다.

예를 들어, 플렉스트로닉스에서 바우어는 “보안 규칙 집행에 있어서 만큼은 사후 대책보다는 사전 대책을 마련하고 싶었다”고 라며, “대부분의 보안 도구는 교통 경찰 모델을 사용하고 있다: 좋다. 속도 위반하는 걸 잡았다고 가정해보자. 하지만 그 녀석은 이미 과속으로 달아났다. ERM은 사람들이 과속하는 것을 예방해주므로, 우리는 속도 위반 딱지를 발부할 필요가 없다”라고 덧붙였다.

※ IRM 동작 방식 ※

DRM(Digital Rights Management: 디지털 권한 관리)라고도 부르는 정보 권한 관리(IRM: Information Rights Managements)는 지적 재산권을 외부 존재와 안전한 방법으로 공유할 필요가 있는 산업 영역을 중심으로 점점 더 많은 고객 기반을 확보해가고 있다.

이런 제품은 이제 폭넓고 다양한 업계에서 사용되고 있다. 예를 들면, 파일오픈(FileOpen)의 웹 사이트인 FileOpen.com에는 아콜라(Acola), 아메리칸 혼다(American Honda), 인텔 그리고 노스롭그루먼(NorthropGrumnam) 같은 제조업계의 거인과 도이치 은행(Deutsche Bank), 제이피모건 체이스(JPMorgan Chase) 같은 금융계의 강자, 화이자(Pfizer)와 아스트라제네카(Astrazeneca) 같은 제약회사를 비롯하여 미 국토 안보부와 교통부 등이 망라되어 있다.

지적 재산권을 판매하는 컨설팅 기업과 조사 기업도 이 기술을 흔히 사용하고 있다.

전형적인 IRM 제품의 동장방식은 다음과 같다. 어떤 기업의 데이터베이스에 있는 민감한 특정 데이터에 액세스할 수 있는 권한이 부여된 고객이나 도급업체는 먼저 웹을 통해서 IRM 서버에 등록해야만 한다. 사용자 인증 작업 후, 해당 서버는 사용자의 데스크톱에 코드를 한 조각 다운로드 한다. 사용자가 새 문서에 대한 액세스를 원하거나 이미 사용자의 컴퓨터에 저장되어 있는 문서를 읽을 때마다, 클라이언트에 다운로드 된 코드는 IRM 서버로부터 재 인증을 받아야 하며, 인증 받은 다음에는 그 문서를 가지고 읽기 또는 쓰기, 인쇄 또는 이 메일, 혹은 USB 기기로의 다운로드 등 할 수 있는 작업과 없는 작업을 정확하게 결정해주는 통제권과 함께 사용자가 문서를 보호 할 수 있도록 해주는 키를 다운로드 한다.

어떤 IRM 제품들은 관리자들이 시한부 오프라인 액세스 권한도 허용할 수 있도록 해준다. 예를 들면, 비행 중에 문서를 읽고 싶어하거나, 웹 액세스가 안 되는 일부 외딴 지역에 있는 직원에게 접근할 수 있도록 하는 것이다. 관리자들은 가령, 랩톱을 도둑맞았거나 부정행위로 직원이나 도급업체를 해고했을 경우에는 아무 때고 권한을 취소할 수도 있다.

Elisabeth Horwitt, 프리랜서 기자이며 전직 컴퓨터월드 선임 편집인으로 25년 이상 IT에 대한 보도를 했다. 그녀는 매사추세츠 주 와반에 거주하고 있으며 연락처는 ehorwitt@verizon.net이다. ehorwitt@verizon.net