Secure Your Business with PNPSECURE

피앤피시큐어, 실시간 안면인식 보안 솔루션 'FaceLocker', ‘TTA Verified 인증’ 획득


                                       (피앤피시큐어, 클라우드 상호운용성 TTA Verified 인증 획득)


Unified-IAM(U-IAM, 통합접근제어) 솔루션 전문기업 피앤피시큐어(대표 박천오)가 ‘클라우드 상호운용성 TTA Verified 인증’을 획득했다고 밝혔다.


한국정보통신기술협회(TTA)가 주관하는 클라우드 상호운용성 TTA Verified 시험인증은 국제표준 기반의 체계적인 시험 평가를 통해 클라우드 제품·서비스 간 상호운용성이 보장됨을 인증하는 제도이다.


피앤피시큐어는 클라우드 상호운용성시험(ION)인 TTA Verified 심사를 통과하여, 다양한 클라우드(AWS, Naver CLoud, KT 클라우드 등) 환경에서 생체(안면) 정보를 통한 안전한 인증 서비스 제공을 TTA 시험을 통하여 검증이 되었다는 TTA Verified 인증서와 인증 마크를 부여받아 클라우드 상호운용성 TTA Verified 인증기업으로 선정되었다.

                                              (피앤피시큐어 실시간 안면인식 보안 솔루션 'FaceLocker')


'FaceLocker'는 인공지능(AI) 기술을 바탕으로 사용자 안면인식을 실시간으로 분석해 인증하는 기능을 제공하여 비대면·재택 근무 시 안전한 워크플레이스를 구현하는 제로트러스트 기반 제품으로 안전하고 편리한 사용자 인증과 화면을 통한 정보유출을 예방한다. PC나 노트북에 부착된 RGB카메라와 인공신경망을 포함한 실시간 안면 인증을 통해 사용자를 확인할 뿐 아니라, 인증 후에도 지속적으로 사용자임을 확인하여 중요정보 유출 등 보안 위협을 방지합니다. 'FaceLocker'는 단순한 안면인식 기능뿐만 아니라, 업무 시스템을 실행하거나 종료하는 것을 탐지하고, SSL VPN, 화상 스트리밍 지원 등  비대면·재택 근무의 필수 요소를 지원하는 다양한 기능을 탑재하여 비대면·재택 근무 컴플라이언스 만족과 더불어 기업에서 우려하는 보안 위협 봉쇄와 업무 편의성을 대폭 확보했다. 또한 RGB 카메라의 부재 혹은 장애 시 OTP와 같은 부가적인 인증을 연동할 수 있어 예상치 못했던 장애 상황에 대비가 가능하며, 외부 공격이나 인증 무력화 공격 방지를 위해 자체 보호 기능을 포함하고 있어 안심하고 사용할 수 있는 솔루션이다.


피앤피시큐어는 솔루션의 다양한 환경의 클라우드에서 호환성 및 안정성 등을 검증 받아 TTA Verified 시험인증을 획득했으며, “비대면·재택 근무 보안을 확대하는 경우, 사용자 입장에서 기업의 보안 지침에 따라 주어진 업무를 수행하기 위한 애플리케이션에 접속해 권한 내 행위를 하는 것은 당연히 허용되고, 업무를 수행하는 과정에서 사용자는 불편함이나 장애가 없어야 하며, 정상적인 협업 과정도 원활하게 진행돼야 한다. 고객의 안전한 워크플레이스를 제공하기 위해 'FaceLocker'를 개발했다.”고 전했다.


한편, 피앤피시큐어는 금융권, 기업, 공공기관 등 다양한 산업군에 'DBSAFER'(DB접근제어, 통합 계정 관리, 시스템 접근제어, 서버 접근 통제), 'INFOSAFER'(개인정보 접속기록 관리)와 같은 보안분야 솔루션을 성공적으로 구축하며 정보보안 시장을 이끌어가고 있다.




📰 아이티데일리
김호 기자 sokim9303@itdaily.kr
원문 = http://www.itdaily.kr/news/articleView.html?idxno=210327


📰 데이터넷
김선애 기자
원문 = http://www.datanet.co.kr/news/articleView.html?idxno=176930


📰 전자신문
안수민 기자 smahn@etnew.com
원문 = https://www.etnews.com/20221003000021


📰 데일리시큐
길민권 기자
원문 = https://www.dailysecu.com/news/articleView.html?idxno=140055


피앤피시큐어, "2022년 목표 매출 510억 원 순항 중"


국내 최고의 Unified-IAM(U-IAM, 통합접근제어) 솔루션 전문기업 피앤피시큐어(대표이사 박천오)가 지난 7일 기자간담회를 열고 2021년 국내외 약 431억 원 매출 및 영업이익 약 170억 원을 달성했으며, 2022년 상반기 매출액은 2021년도 상반기 165억 원 대비 25% 증가한 약 210억 원으로 2022년 목표 매출 510억 원을 달성할 수 있을 것으로 전망했다.


박천오 대표이사는 ”우리가 Unified-IAM(U-IAM, 통합접근제어) 솔루션이라는 개념을 만들고 고객사에서 이러한 제안을 긍정적으로 평가하여 H그룹, K은행 등에 성공적으로 구축을 마쳤다. 대기업의 클라우드 전환율이 예상보다 높지 않았음에도 불구하고 클라우드 전환 사업에 집중한 결과 좋은 성적을 거둘 수 있었다. 솔루션의 병렬화와 수준 높은 기술지원을 통해 성장세를 유지한 실적을 거둘 수 있었다고 판단한다.”라고 전했다. 2022년은 신제품인 실시간 안면인증 솔루션인 페이스락커(FaceLocker)의 고도화와 클라우드 및 레거시 통합접근제어 사업에 역량을 집중하고 해외 진출을 위한 사전작업을 진행 중이라고 밝혔다.


피앤피시큐어는 2003년 창립 이후 지난 19년간 매출액 기준 연평균 30%의 지속적인 성장을 이어오고 있다. 대표 DB 접근제어 솔루션인 ‘디비세이퍼(DBSAFER DB)’는 이미 금융권 시장에서 80% 이상의 점유율을 차지하고 있으며, 계정관리, 접속권한, 명령 실행권한을 통제하는 통합계정 및 접근제어 솔루션을 제공하여 보안 담당자의 관리 편의성을 증대시키고 있다.


또한, 시장에서 호평을 받는 개인정보 접속기록관리 솔루션인 인포세이퍼(INFOSAFER)는 기관 내 개인정보취급자, 처리자(권한자)가 기관 내 보유한 개인정보를 어떻게 활용하는지 접속기록을 저장하고, 처리과정에 발생할 수 있는 이상행위를 점검해 사고를 확인, 조치할 수 있도록 제공하고 있다.

 <피앤피시큐어의 실시간 안면인식 보안 솔루션 ‘페이스락커(FaceLocker)’>


실시간 안면인증 솔루션인 페이스락커(FaceLocker)는 AI 인공지능 기술을 바탕으로 사용자 안면 인식을 실시간으로 분석하여 인증하는 기능을 제공한다. 비대면/재택근무 시 필요한 사용자 인증 환경을 조성하고, 기업 업무시스템을 실행하거나 종료하는 것을 탐지하는 기능, SSL VPN, 화상 스트리밍 지원 등 비대면/재택근무의 필수 기능을 탑재하여 원격 근무 컴플라이언스 만족과 더불어 보안 위협을 차단한다. 박천오 대표이사는 “코로나19로 인해 재택근무 문화가 급속도로 퍼졌다. 그로 인해 보안 위협도 증가했으며, 해결책으로 페이스락커(FaceLocker)를 개발했다. 페이스락커(FaceLocker)는 뛰어난 안면 인식 기술 알고리즘을 보유한 회사와 경쟁하기 위해 만든 솔루션이 아니라, 인증의 후속 단계에서 뛰어난 보안성을 제공하여 보안 위협을 차단하기 위해 만들었다.”라고 전했다.


실시간 안면인증 솔루션인 페이스락커(FaceLocker)는 AI 인공지능 기술을 바탕으로 사용자 안면 인식을 실시간으로 분석하여 인증하는 기능을 제공한다. 비대면/재택근무 시 필요한 사용자 인증 환경을 조성하고, 기업 업무시스템을 실행하거나 종료하는 것을 탐지하는 기능, SSL VPN, 화상 스트리밍 지원 등 비대면/재택근무의 필수 기능을 탑재하여 원격 근무 컴플라이언스 만족과 더불어 보안 위협을 차단한다. 박천오 대표이사는 “코로나19로 인해 재택근무 문화가 급속도로 퍼졌다. 그로 인해 보안 위협도 증가했으며, 해결책으로 페이스락커(FaceLocker)를 개발했다. 페이스락커(FaceLocker)는 뛰어난 안면 인식 기술 알고리즘을 보유한 회사와 경쟁하기 위해 만든 솔루션이 아니라, 인증의 후속 단계에서 뛰어난 보안성을 제공하여 보안 위협을 차단하기 위해 만들었다.”라고 전했다.


피앤피시큐어는 클라우드 사업에서 다양한 마켓 플레이스에 솔루션을 등록하여 고객 편의성을 증대시키고, 공공부문 민간 클라우드 전환 사업에도 전략적으로 대응하여 클라우드 시장 매출을 가속화 할 것이라고 전했다. 비대면 업무환경이 확산됨에 따라 신제품 페이스락커(FaceLocker) 사업을 확장하고 있으며 특히 금융권 고객사들의 도입이 확대 되고 있다. 해외 진출에 대해 박천오 대표는 “일본 시장은 현지화 전략으로 진출이 완료된 상태다. 이미 수익이 발생하고 있지만 해외 시장에 적합한 UI(User Interface) 개선, 제품에 대한 평판 및 인지도와 유통/기술지원 체계를 준비하여 재투자를 할 생각이다.”라고 전했다. 또한, RSA 컨퍼런스와 같은 대규모 보안 박람회 참가 등 적극적인 마케팅 활동을 전개해 나갈 것이라고 밝혔다.


<마곡동 소재 피앤피시큐어 신사옥 전경>


한편, 피앤피시큐어는 지난 4월부터 주 35시간 근무제(7-UP 제도)를 도입하여 일과 삶의 균형을 보장하고 있다. 10월 8일 마곡동 소재 신사옥 이전이 확정되어 임직원들에게 쾌적한 근무 환경을 제공한다. 또한 사업장 이전으로 인해 불편함을 겪을 수 있는 임직원들을 위해 이사비용 지원, 출/퇴근 셔틀버스 운행 등 복지 제도를 추가 시행하여 직원 친화적인 기업 문화를 강조하고 있다.




📰 전자신문
안수민 기자 smahn@etnews.com
원문 = https://www. etnews.com/20220708000142


📰 데일리시큐
길민권 기자 mkgil@dailysecu.com
원문 = https://www.dailysecu.com/news/articleView.html?idxno=138160


📰 데이터넷
윤현기 기자
원문 = https://www.datanet.co.kr/news/articleView.html?idxno=174360


📰 IT데일리
정종길 기자 gil0717@itdaily.kr
원문 = https://www.itdaily.kr/news/articleView.html?idxno=208998


📰 디지털타임스
김나인 기자
원문 = https://www.dt.co.kr/contents.html?article_no=2022071002109931029005


📰 글로벌이코노믹
이원용 기자 wony92kr@naver.com
원문 = https://www.news.g-enews.com/article/ICT/2022/07/202207081602561066c5fa75ef86_1?md=20220708161115_U


📰 보안뉴스
원병철 기자 boanone@boannews.com
원문 = https://www.boannews.com/media/view.asp?idx=108221&page=1&kind=3


피앤피시큐어, 'AWS 파트너 소프트웨어 패스' 획득

                                                                                               (PNP SECURE, AWS 파트너 소프트웨어 패스 획득)


솔루션 전문기업 피앤피시큐어(대표 박천오)가 ‘AWS 파트너 소프트웨어 패스(AWS Software Partner Path)’를 획득했다고 밝혔다.


‘AWS 파트너 패스(AWS Partner Path)’는 클라우드 환경 내의 다양한 파트너 고객 오퍼링을 지원 및 강화하기 위해 APN 등록 파트너를 대상으로 전용 파트너 포털 액세스, 교육 할인, 비즈니스 및 기술 지원 콘텐츠, 프로그램 및 해당 제품과 관련된 혜택을 제공하는 프레임워크다.


피앤피시큐어는 AWS SaaS 팩토리(AWS SaaS Factory) 프로그램을 활용하여 솔루션을 최적화하고, 기본 기술 검증(FTR, Foundation Technical Review)을 거쳐 ‘AWS 인증 소프트웨어(AWS Qualified Software)’ 배지를 획득했다.


피앤피시큐어는 솔루션의 보안 우수성과 안정성 등을 검증 받아 AWS 웹사이트 내 파트너사로 등재를 마쳤으며, “AWS 파트너 소프트웨어 패스를 통해 브랜드 인지도 강화와 더불어, 고객들에게 더 효율적으로 정보보안 솔루션을 제공하여 각종 보안 위협을 낮추는 것이 우리의 역할이라고 생각한다”고 전했다.


한편, 피앤피시큐어는 KB국민은행 ‘KB원 클라우드 (KB One Cloud)’사업에 Unified-IAM(U-IAM, 통합접근제어) 솔루션 제공을 하는 등 다양한 클라우드 산업군에 DB접근제어, 통합 계정 관리, 시스템 접근제어, 서버 접근 통제 솔루션을 성공적으로 구축하며 정보보안 시장을 이끌어가고 있다.




📰 전자신문
안수민 기자 smahn@etnews.com
원문 = https://www.etnews.com/20220624000071


📰 보안뉴스
원병철 기자 boanone@boannews.com
원문 = https://www.boannews.com/media/view.asp?idx=107663


📰 데일리시큐
길민권 기자 mkgil@dailysecu.com
원문 = https://www.dailysecu.com/news/articleView.html?idxno=135531


📰 데이터넷
김선애 기자
원문 = https://www.datanet.co.kr/news/articleView.html?idxno=173924


📰 이뉴스투데이
박응서 기자 gopoong@enewstoday.co.kr
원문 = https://www.enewstoday.co.kr/news/articleView.html?idxno=1578702


📰 글로벌이코노믹
이원용 기자 wony92kr@naver.com
원문 = https://www.
g-enews.com/view.php?ud=202206220931167122c5fa75ef86_1&mobile=1


📰 IT데일리
김호 기자 sokim9303@itdaily.kr
원문 = https://www.itdaily.kr/news/articleView.html?idxno=208775


[세계보안엑스포] 일상과 업무에 녹아든 각양각색 보안 시스템



                                                                   피앤피시큐어의 안면인식 보안 솔루션 시연 장면




📰 산업일보
[세계보안엑스포] 일상과 업무에 녹아든 각양각색 보안 시스템 

조해진 기자 sokim9303@itdaily.kr
원문 = http://www.kidd.co.kr/news/226836

[세계보안엑스포] 일상과 업무에 녹아든 각양각색 보안 시스템



 (주)피앤피시큐어 박천오 대표이사 


 [아이티데일리] 국내 최고의 DB 통합접근제어 솔루션 전문기업으로 평가 받고 있는 (주)피앤피시큐어가 8년 전 매각했던 자사 주식을 지난해 11월 모두 다시 사들였다. 그것도 매각 당시 금액보다 6.5배나 더 큰 금액으로 빚까지 내서 매입했다고 한다. 박천오 대표는 “글로벌 시장에서의 승부” 때문이라고 밝혔지만, 일반적인 상식으로는 선뜻 이해가 잘 안 간다.

이어 그는 8년 전인 지난 2014년 4월 자사 주식을 NHN엔터테인먼트에 모두 매각한 배경도 그런 데 있었다고 덧붙여 설명했다. 즉 NHN은 규모가 큰 대기업일 뿐만 아니라 글로벌 시장에도 진출해 성장가도를 달리고 있어 배울 게 많다고 판단했었다는 것이다. 더욱이 NHN은 여러 가지 다양한 상용 소프트웨어를 직접 개발해 사용하고 있어 이들 가운데 한두 개 소프트웨어에 자사의 기술을 접목시켜 패키지화 한다면 글로벌 시장 진출이 훨씬 쉬울 것으로 판단했다는 것이다.

그러나 가장 중요하게 생각했던 기술력에 대한 시너지가 기대에 미치지 못했고, 특히 박천오 대표와 NHN의 이준호 회장은 추구하는 목표가 서로 달랐다는 것이다. 즉 박 대표는 기술력 확보 및 성장을 통한 글로벌 시장 진출에 더 중점을 둔 반면, 이 회장은 피앤피시큐어를 NHN 그룹을 지원하는 포트폴리오의 개념으로 인식하고 있었다. 그렇게 되면 피앤피시큐어가 하고자 하는 동력은 크게 떨어지고, 종국에는 존재가치도 없어지게 된다는 게 박 대표의 판단이었던 것이다.

결국 박 대표는 이 회장에게 팔았던 주식을 되사겠다는 의견을 제시했고, 이 회장 역시 흔쾌히 받아들였다는 것이다. 박 대표는 “대기업인 NHN의 경영 및 조직 관리 등 여러 가지 많은 것을 배웠다”며, “NHN의 특장점을 피앤피시큐어에 접목시킨다면 글로벌 시장에서의 승부를 위한 더 큰 회사로 성장하는데 많은 도움이 될 것”이라고 피력했다.

 사실 박천오 대표는 올해로 지천명의 나이를 앞둔 49세이다. 그의 꿈을 실현할 수 있는 기회가 그렇게 많지 않은 것이다. 그렇다고 포기한다는 것은, 자존심 강한 그로서는 더더욱 용납할 수 없었을 것이다. 박 대표는 그의 나이가 한창 때인 30세에 ‘잘 하는 분야에 집중해 좋은 제품을 개발해 세계 시장에서의 한판 승부’라는 목표로 피앤피시큐어를 창립했다. 이후 국내 최고의 DB 보안 솔루션 전문기업으로 성장시켰고, NHN에 매각해 다시 사들이는 등 창립자이자 경영자로서 남들이 쉽게 할 수 없는 경험을 통해 노하우도 축적했다. 지천명의 나이에 오랜 꿈을 실현하기 위해 다시 도전에 나선 박천오 대표에게 모두가 박수를 보내는 이유일 것이다. 


                                                                                                          (주)피앤피시큐어 박천오 대표이사


 “‘돈’보다는 기업의 ‘존재가치’가 더 중요”

 
 “피앤피시큐어는 보안 솔루션을 개발 공급하는 전문기업이다. 더 크게 성장하고 싶고, 더 좋은 솔루션을 개발하고 싶어 매각했는데, 매입을 한 NHN의 생각은 달랐다.”

 
매각대금의 6.5배나 더 주고 빚까지 내서 주식을 모두 사들인 배경에 대한 박천오 대표의 설명이다. 사실 박 대표는 독자 경영을 선택하지 않고 NHN의 의지에 따랐다면 수백억 또는 수천억 원을 벌 수 있었을 것이다. 그러나 그는 ‘돈’보다는 본인과 기업의 ‘존재가치’에 더 중점을 뒀다. 피앤피시큐어는 국내 최초로 게이트웨이 방식을 채택해 DB접근통제라는 보안 솔루션을 개발했고, 관련 분야 국내 최고라는 평가까지 받고 있다. 그러나 국내 시장은 성장에 한계가 있다고 판단, 해외 시장 진출이라는 더 큰 목표를 설정한 것이다.

박천오 대표는 “당시 NHN은 많은 기술을 보유하고 있었다. 그 기술들을 피앤피시큐어에 접목시키고 싶었다. NHN은 비정상적일 만큼 갑자기 성장했다. 때문에 기존 상용 소프트웨어들을 사용할 수 없어 직접 개발해 사용했다”며, “그 가운데 서너 개만 상품화시켜도 피앤피시큐어가 2배 이상 4배 정도 빨리 성장할 수 있겠다고 판단했다. 그러나 실제 환경은 많이 달랐다”고 밝혔다. 이어 그는 “건물을 짓는 기술을 가져다 다른 곳에 건물을 지어주고 싶었는데 건물만 덜렁 있는 상황이었다. 사실 소스 코드만으로는 뭔가를 개발해내기가 어렵다. 소스에 대한 설계 사상이나 설계한 사람이 필요한데 그런 것들이 없었다”며 솔루션 개발에 대한 기본 철학에 대해서도 밝혔다.

 글로벌 시장 진출 위한 ‘포트폴리오’ 완성

 
- 피앤피시큐어는 DB접근제어와 시스템접근제어가 주력이다. 보안 솔루션이라는 시장이 굉장히 분야가 많고 다양하다. 글로벌 시장에서는 어떻게 할 것인가.

 
“제품에 대한 다각화는 오래 전부터 하고 있었다. 제품의 포트폴리오는 거의 완성된 상태다. 예를 들면 우리는 자산을 서버로 봤다. 그 자산을 지키기 위해서 어떤 솔루션들이 필요한가라는 생각을 해왔고 그 서버를 지키는 솔루션이 4가지가 있다. 그 제품 완성을 다 했다. 하지만 완성되는 게 제품 하나당 설계해서 시장에 내놓고 안정화되기까지는 5년 정도 걸린다.”

“피앤피시큐어는 ▲데이터베이스 접근 제어 ▲시스템 접근 제어 ▲계정 관리 ▲시큐어 OS(운영체제) 등을 개발했다. 이들은 모두 서버를 보호하는 보안 솔루션들이다. 서로 비슷비슷한 역할을 해준다. 4개 모두 슈퍼 셋은 없다. 다 서브 셋이 있어서 고객이 원하는 걸 모두 제공해준다. 처음 만든 제품이 데이터베이스 접근 제어이고, 그 다음이 시스템 접근 제어, 계정 관리, 시큐어 OS 순이다. 개인적으로는 언제든 갖다 팔아도 문제가 없을 정도를 완성된 것이라고 판단한다. 예를 들어 시골에 살고 있는 고객이 오토바이, 승용차, 트랙터가 필요한데, 인터페이스 등이 모두 다르다. 일반적으로 볼 때는 다 엔진을 갖고 있는 교통수단일 뿐인데, 운전 또는 관리하는 방법이 각각 다르다. 피앤피시큐어는 그것을 하나로 통합한 것이다. 인터페이스, 지원 체계, 유통 체계 등도 하나로 만들었다. 피앤피시큐어는 강력한 가격 경쟁력을 갖췄고, 고객들은 제각각 공부를 안 해도 된다.”

 
- 포트폴리오가 완성됐다면, 여기서 멈추는 건가 아니면 또 다른 계획이 있는가.

 
“또 다른 솔루션을 최근 개발 공급하고 있다. 페이스락커(FaceLocker)다. 페이스락커는 요소 기술이라 여기저기에 다 쓸 수 있다. 보안 솔루션이라고 해서 항상 좋은 점만 있는 것은 아니다. 사용자에게 불편함도 줄 수 있다. 예를 들어 성능 저하로 느려지고 복잡해진다. 해서 공부를 많이 해야만 한다. 하지만 페이스락커는 실시간 안면인증으로 보안과 업무 편의성을 동시에 잡아준다. 다시 말해 인증 체계를 바꾸는 건데, 이전에는 OTP를 주로 사용해 보호를 했다. 페이스락커는 그러나 얼굴만 갖다 대면 열리는 윈도우 페이스 아이디라고 생각하면 된다. 예를 들어 회사 그룹에 들어갈 때 켜주거나 자리를 비우면 자동으로 잠가준다. 화면 보호기를 켤 필요도 없다. 본인이 앞에 있어야만 열린다. 설정에 따라 내 화면을 누군가 보고 있으면 잠가버린다. 인증 처리 시스템을 하나 더 개발한 것이다. 페이스락커가 어느 정도 성공할지는 아직 잘 모르겠다.”

 페이스락커는 코로나19로 인한 비대면, 재택근무가 일상화 되면서 이에 따른 보안 환경에 대한 대응 솔루션으로 개발했다고 한다. 즉 기존 구축한 물리적 보안 시스템만으로는 보호할 수 없어 안면인증을 통한 업무 시스템에 접근할 수 있도록 개발했다는 것이다. 해서 단순한 안면인식 기능뿐만 아니라 기업 업무시스템의 실행과 종료를 탐지하고 SSL VPN, 화상 스트리밍 지원 등 다양한 기능을 탑재하고 있다고 한다. 피앤피시큐어는 지난해 초 개발을 시작해 지난달 19일 공식 발표했는데, 고객들의 반응은 기대 이상이라는 게 박 대표의 설명이다. 



‘마곡동 사옥 조감도’ 피앤피시큐어는 강서구 마곡동에 8층 규모(대지면적 1,328평, 건축면적 795.7평, 연면적 7,977평)의 사옥을 짓고 있다. 오는 10월 초 입주 예정이라고 한다.


 3년 내 미국 시장 진출

 
- 미국을 비롯한 글로벌 시장에 진출할 경우 승산은 어느 정도로 보는가.


“사실 기술적인 완성도는 결코 뒤떨어지지 않는다고 본다. 인터페이스도 나쁘지 않고, 기술적으로도 밀리지 않기 때문이다. 글로벌 시장을 주도하고 있는 기업은 C사인데, 이 회사는 피앤피시큐어처럼 4개 제품을 동시에 공급하지는 못한다. 즉 DB 제품이 빠져있다. C사와의 경쟁에서 이긴다는 표현은 못하겠지만 싸워볼 수는 있다고 본다. 사거리가 길기 때문이다. 다만 미국 시장에 적합한 UI(User Interface)를 보완해야만 한다. 또한 막상 진출하면 예상 밖의 또 다른 문제들이 발생할 수 있다. 또 하나의 관건이라면 피앤피시큐어 제품에 대한 평판과 인지도, 이에 따른 유통 및 기술지원 체계다. 이런 문제들을 어떻게, 얼마나 빨리 단축시킬 수 있는지가 해결해야만 할 숙제이다.”


 - 그렇다면 글로벌 시장 진출은 언제쯤 가능한가.

 
“사실은 보안 솔루션이 그 나라 문화와 맞아떨어져야 하기 때문에 제품 변경을 해야만 된다. 원래 계획대로라면 2년 내 진출인데, 3년 넘게 걸릴 것 같다. 현재 많은 개발인력을 뽑는 중이고, 개발자들도 점점 늘어나고 있다. 한국에서는 잘 팔리게 만들어져 있지만 미국에서도 잘 팔린다는 보장은 없다. 나는 아니라고 생각하고 있다. 하지만 뭔가 해야만 한다는 생각은 명확하게 알고 있다. 그것을 NHN에 있을 때부터 계속 해 왔지만 잘 안 되고 있어 해결하는 데 오래 걸릴 것으로 예상된다.”


 - 6년 전 일본에 진출했었는데, 어떤 상황인가.

 
“일본 시장은 NHN에 들어와 진출했다. 코로나 영향도 있지만 일본 시장은 답보 상태다. 레거시 시장의 고객들은 시스템을 변경하지 않거나 변경하게 된다면 클라우드로의 전환을 우선 검토하는 것으로 보인다. 이러한 사유로 올해부터 AWS, MS 애저(Azure) 클라우드 쪽으로 영업 방향을 전환했고 내년부터는 실적 성장을 기대하고 있다.”


 연평균 15% 성장

 
 - NHN과 8년을 함께 했는데, 득과 실이라면.

 
“좋은 사람들을 만났고 대기업 시스템을 훑어볼 수 있었다. 밖에서 보는 것과 안에서 보는 건 다르니까. 시스템이나 리스크 관리 등이 달랐다. 그런 게 있다라는 것과 그게 어떻게 돌아가는지 인지하는 건 큰 차이다. 우리한테 어떻게 적용할지도 다른 부분이다. 적용하는 부분에 있어서 배울 수 있어 좋았다. 수업료를 비싸게 낸 셈이다. 실이라면 NHN에 인수되면서 대기업으로 분류돼 정부 프로젝트는 입찰 제한이 돼 기회비용을 좀 많이 치른 편이다.”

매각 당시 피앤피시큐어의 매출실적과 영업이익은 각각 180억 원과 100억 원이었다. 매입할 당시인 지난해는 431억 원과 170억 원이었다. 피앤피시큐어는 매각 이후에도 연평균 약 15% 정도로 성장했다고 한다. 매입가격을 6.5배나 더 준 이유라고 박 대표는 밝혔다.


 - 상장할 계획은.

 
“사실은 코로나 발생 이전에 상장을 검토했었고, 당시 금융기관으로부터 심사도 받았다. 그러나 시장이 안 좋았고, 코로나도 발생해 보류시켰다. 지금은 부채가 많아 자격요건이 안 된다. 해서 당분간은 정상화에 집중할 계획이다.”


 - 지금까지의 경험을 바탕으로 스타트업 등에 조언을 한다면.

 
“너무 당연하게 생각하는 것도 다시 한 번 확인해보는 과정이 있어야 한다. 항상 당연한 게 안 돼서 문제였다. 그리고 중요한 결정을 할 때는 조언이나 충고를 해줄 사람이 주변에 있는지가 중요하다. 내가 아는 게 세상의 1%도 안 되기 때문이다.”

한편 벤처기업들의 대다수는 설립 목적을 ‘돈’ 버는 것에 중점을 둔다. 어떻게 보면 당연한 현상이다. 그러나 목적이 무엇이냐에 따라 기업의 성장 방향 및 존재가치는 크게 달라진다. 돈을 목적으로 하면 제품이나 기술에 관계 없이 돈 되는 비즈니스에 더 관심을 갖는다. 하지만 좋은 제품과 기술개발이라면 피앤피시큐어처럼 그 존재가치가 달라진다. 사실 박천오 대표는 자사 주식을 매입매각하는 것과 관계없이 여유롭게 살아갈 수 있을 만큼 돈을 벌었다. 그러나 그는 지천명의 나이에 그의 오랜 꿈이었던 ‘글로벌 시장에서의 승부’라는 목표를 실현하기 위해 적극 나섰다. 내부 직원은 물론 주변 관계자들이 박천오 대표에게 박수를 보내는 이유일 것이다.

영림원소프트랩, 피앤피시큐어와 내부통제 접근제어 사업 협력



(왼쪽부터) 피앤피시큐어 솔루션사업본부 류승열 본부장, 박천오 대표, 영림원소프트랩 권영범 대표, ERP 사업본부 박윤경 부사장



 영림원소프트랩이 데이터베이스 보안 전문기업 피앤피시큐어와 내부통제 접근제어 사업 확대를 위한 양해각서(MOU)를 체결했다.

영림원소프트랩은 피앤피시큐어의 접근제어 플랫폼 서비스를 제공받아 고객이 요청하는 접근제어 보안 기술을 공급한다. 피앤피시큐어는 영림원소프트랩의 영업 네트워크를 활용해 접근제어 시장 점유율을 확대한다.

양 사는 피앤피시큐어의 접근제어 솔루션 '디비세이퍼(DBSAFER)'와 같이 보안시장 요구에 부합하는 기술과 마케팅 인프라 개발을 위해 지속 협력한다.

김응주 영림원소프트랩 상무는 “최근 내부회계관리제도(신외감법) 등 기업 내부통제 이슈가 확대돼 OS와 데이터베이스(DB) 통제와 관련한 니즈가 날로 커지고 있는 상황”이라며 “내부통제솔루션으로 손꼽히는 피앤피시큐어와의 협력관계로 고객사에 좋은 서비스를 공급할 수 있게 돼 기쁘다”고 말했다.

 박천오 피앤피시큐어 대표는 “컴플라이언스 강화로 기업 내 접근제어와 DB 보안이 갈수록 중요해지고 있는 만큼 피앤피시큐어의 우수한 통합접근제어 플랫폼 서비스와 영림원소프트랩의 ERP 서비스는 분명 높은 시너지 효과를 낼 것”이라고 밝혔다. 




📰 전자신문
송혜영 기자 hybrid@etnews.com
원문 = https://www.etnews.com/20220427000072


📰 데이터넷
윤현기 기자
원문 = http://www.datanet.co.kr/news/articleView.html?idxno=172028


📰 아이티데일리
정종길 기자
원문 = http://www.itdaily.kr/news/articleView.html?idxno=207775


📰 디지털데일리
이상일 기자 2401@ddaily.co.kr
원문 = https://www.ddaily.co.kr/news/article/?no=236408


📰 디지털타임스
안경애 기자 naturean@dt.co.kr
원문 = http://www.dt.co.kr/contents.html?article_no=2022042702109931650003&ref=naver


📰 아이뉴스24
박진영 기자 sunlight@inews24.com
원문 = https://www.inews24.com/view/1474560


📰 아이티비즈
김문구 기자
원문 = http://www.it-b.co.kr/news/articleView.html?idxno=59086


📰 머니투데이
홍효진 기자
원문 = https://news.mt.co.kr/mtview.php?no=2022042709285254701


📰 이데일리
양지윤 기자
원문 = https://www.edaily.co.kr/news/read?newsId=01987686632300384&mediaCodeNo=257&OutLnkChk=Y


📰 정보통신신문
박남수 기자
원문 = http://www.koit.co.kr/news/articleView.html?idxno=96283


📰 디지털투데이
황치규 기자
원문 = http://www.digitaltoday.co.kr/news/articleView.html?idxno=443162


📰 IT조선
류은주 기자
원문 = http://it.chosun.com/site/data/html_dir/2022/04/27/2022042700965.html


📰 프라임경제
박기훈 기자 pkh@newsprime.co.kr
원문 = http://www.newsprime.co.kr/news/article/?no=566226


📰 데이터뉴스
강동식 기자 lavita@datanews.co.kr
원문 = https://www.datanews.co.kr/news/article.html?no=121044


📰 굿모닝경제
노진우 기자 jinrocals@kpinews.co.kr
원문 = http://www.kpinews.co.kr/news/articleView.html?idxno=175299


📰 인더스트리뉴스
최동윤 기자
원문 = http://www.industrynews.co.kr/news/articleView.html?idxno=45794


📰 헬로티
함수미 기자 etech@hellot.net
원문 = https://www.hellot.net/news/article.html?no=67694

[구축성공사례] 피앤피시큐어, 국내 H자동차그룹에 U-IAM 구축



 보안 대상서버 10만대 지원, 통합관리 기능 제공 


 [아이티데일리] 피앤피시큐어가 H자동차그룹의 ‘DB접근제어/시스템접근제어 표준화 도입사업’을 성공적으로 구축했다. 이는 국내 최대 규모의 사업으로 온프레미스와 클라우드 환경을 통합해 시스템접근제어와 DB접근제어 보안기능을 피앤피시큐어의 U-IAM 통합 솔루션(DBSAFER)으로 전체 표준화해 제공했다.


피앤피시큐어가 H자동차그룹의 ‘DB접근제어/시스템접근제어 표준화 도입사업’을 성공적으로 구축했다.


 기술적으로는 분산/병렬처리와 플러그인 기술을 적용함으로써 감시 대상 서버들이 늘어나도 기존 구조의 변경 없이 보안장비만 플러그인 형태로 확장해 고성능/고가용성의 보안서비스를 제공한다. 보안대상 서버 수를 10만 대까지 수용할 수 있도록 지원해 성능과 가용성을 충분히 확보했으며, 국내외의 여러 곳에 분산된 보안 관리서버를 통합 관리할 수 있어 사용성과 효율성을 높였다. 


 또한 이번 시스템 구축으로 물리적, 논리적으로 분산된 여러 세트의 DBSAFER 장비를 하나로 통합해 보안관리 기능을 제공할 수 있도록 했다. 보안장비 세트별로 분산 저장된 로그를 통합관리서버에서 하나의 로그처럼 묶어서 관리하면서 부하분산은 물론 성능도 향상됐다. 


 로그 저장/처리/조회 속도도 동종업계 타사 대비 10배 이상의 우수한 성능을 제공한다. RDP 감사로그는 타사 대비 5% 이하의 용량으로 고품질의 영상기록 및 메타 검색 기능을 제공한다. 이외에 RDBMS/NoSQL 등 국내에서 가장 많은 32개의 이기종 DBMS에 대해 보안기능을 통합으로 제공한다.

 편의성과 보안성을 고려한 연동 지원 


 고객사에서 운영중인 ITMS/EAI/SRMS/ESM/AD/인사DB 등의 업무시스템 및 FIDO/OTP/SMS 등 다양한 MFA(2차인증)을 U-IAM 통합 솔루션과 연동해 업무의 편의성과 보안성을 높였다.


피앤피시큐어의 U-IAM 솔루션


한편 피앤피시큐어의 U-IAM 솔루션인 DBSAFER는 시스템접근제어, DB접근제어, DBMS계정관리/OS계정관리, OS접근제어를 통합해 하나의 솔루션으로 제공함으로써 대기업뿐만 아니라 금융권, 공공기관에서 호평을 받고 있다. 특히 중견·중소기업에서 내부회계관리제도(신외감법)에 반드시 필요한 솔루션으로 도입을 많이 하고 있다.
 



📰 IT DAILY
[SECON & eGISEC 2022] [구축성공사례] 피앤피시큐어, 국내 H자동차그룹에 U-IAM 구축

김호 기자 sokim9303@itdaily.kr
원문 = http://www.itdaily.kr/news/articleView.html?idxno=207709

[SECON & eGISEC 2022] 피앤피시큐어, 멀티기능 탑재한 통합 솔루션으로 ‘눈길’



 통합접근제어, 개인정보 접속기록 관리, 실시간 안면인식 보안 솔루션 선보여 


 [보안뉴스 기획취재팀] 차세대 클라우드 통합 정보보안 전문 기업 피앤피시큐어는 Unified-IAM(U-IAM, 통합 계정 및 접근 제어) 솔루션 제공 업체로, 이번 ‘SECON & eGISEC 2022’에서는 통합접근제어 솔루션 ‘DBSAFER’ 개인정보 접속기록 관리 솔루션 ‘INFOSAFER’ 실시간 안면인식 보안 솔루션 ‘FaceLocker’ 등을 선보였다. 



 △통합접근제어 솔루션 ‘DBSAFER’는 DBMS 또는 SYSTEM에 접근하는 사용자들에 대해 접근 및 사용 권한을 통제하며 로그 관리, 모니터링 등의 기능을 제공한다. △개인정보 접속기록 관리 솔루션 ‘INFOSAFER’는 데이터베이스 내 개인정보의 위치를 자동으로 검출하고, 해당 개인정보에 접근하는 모든 경로의 활동을 기록 및 모니터링하며, 이상징후를 분석하고 알린다. ‘INFOSAFER’는 행정안전부 가이드라인에 따라 개인정보처리시스템으로 접근하는 모든 경로에서 개인정보에 대한 접속기록을 수집 및 생성하며 생성된 접속기록을 안전하게 보관하기 위해 국가정보원의 검증을 받은 암호모듈을 통해 저장한다. △‘FaceLocker’는 재택근무 및 원격근무자의 실시간 안면인식을 통한 인증과 강력한 보안 기능을 제공하여 회사의 기밀정보 또는 개인정보등에 대한 유출을 차단할 수 있다. 



 한편, 물리보안과 사이버보안을 아우르는 국내 최대 통합보안 전시회인 제21회 세계보안엑스포(SECON & eGISEC 2022)는 4월 22일까지 일산 킨텍스 제1전시장 3~5홀에서 진행된다. 




📰 보안뉴스
[SECON & eGISEC 2022] 피앤피시큐어, 멀티기능 탑재한 통합 솔루션으로 ‘눈길’

권준 기자 editor@boannews.com
원문 = https://www.boannews.com/media/view.asp?idx=106179&kind=

피앤피시큐어, 1일 7시간(주 35시간) 근무 ‘세븐업’ 시행


<!-- /wp:separator --><!-- wp:image {"id":4104,"align":"center"} -->


 통합계정·접근제어(UIAM) 솔루션 기업 피앤피시큐어(대표 박천오)는 이달부터 1일 7시간(주 35시간) 근무 제도인 '세븐업(Seven + Stand Up)'을 시행한다고 3일 밝혔다. 


 세븐업은 1일 7시간(주 35시간) 근무에 유연근무 제도(09시~17시, 10시~18시)로 운영된다. 


 박천오 대표는 “세븐업은 근무종료 즉시 자리에서 일어나는 캠페인”이라며 “모든 구성원의 일과 삶의 균형을 지원하는 피앤피시큐어의 새로운 근무방식”이라고 말했다. 


 회사 임직원은 “근무시간이 줄어 오히려 업무 집중도가 올라갔다”며 “퇴근 후 여유시간을 활용해 자기 계발을 하게 됐다”고 말했다. 이어 “직원 워라밸을 보장해주는 제도”라고 말했다. 


 미취학 자녀를 둔 임직원도 “아침에 1시간을 활용해 아이를 어린이집에 등원시키고 여유롭게 출근할 수 있었다”고 전했다. 


 세븐업은 급여와 연차휴가 조정 없이 시행된다. 회사는 1등 제품을 만들고 퇴사율이 낮은 좋은 기업을 실현하기 위해 '3E'를 기업 비전으로 삼고 있다. 3E는 'Energize(열정과 생동감이 넘치는 기업문화)' 'Expert(정보보안 최고의 전문가 그룹)' 'Encourage(조직 구성원의 상호 발전적 동기부여)'다. 현재 DB보안 시장에서 60%를 점유해 업계 1위를 기록하고 있다. 



📰 전자신문
피앤피시큐어, 1일 7시간(주 35시간) 근무 ‘세븐업’ 시행

임중권 기자 lim9181@etnews.com
원문 = https://www.etnews.com/20220401000146


📰 IT DAILY
피앤피시큐어, 1일 7시간(주 35시간) 근무 ‘세븐업’ 시행

김호 기자 sokim9303@itdaily.kr
원문 = http://www.itdaily.kr/news/articleView.html?idxno=207340


📰 데일리시큐
피앤피시큐어, 1일 7시간(주 35시간) 근무 ‘세븐업’ 시행

길민권 기자 mkgil@dailysecu.com
원문 = https://www.dailysecu.com/news/articleView.html?idxno=135531


📰 지디넷코리아
보안기업 피앤피시큐어, 1일 7시간·유연근무 시행

임유경 기자 lyk@zdnet.co.kr
원문 = https://zdnet.co.kr/view/?no=20220404082614


피앤피시큐어, 금융권 클라우드 통합접근제어 사업 잇따라 수주

2022.03.17


KB국민은행 ‘KB원 클라우드’사업에 통합접근제어 시스템 구축

[아이티데일리] 통합접근제어(Unified-IAM, U-IAM) 솔루션 전문기업 피앤피시큐어(대표 박천오)는 KB국민은행 ‘KB원클라우드(KB One Cloud)’ 사업의 통합접근제어(DB접근제어+시스템접근제어+계정관리) 시스템 구축을 완료했다고 17일 밝혔다.

KB원클라우드 사업은 KB금융그룹 각 계열사가 자체적으로 운영 중이던 클라우드 시스템을 동일 플랫으로 통합하는 하이브리드 및 멀티 클라우드 플랫폼 사업이다. 그룹 공통 표준 클라우드 시스템으로 전환함으로써 각 계열사의 업무 효율성은 물론 그룹사간 운영 시너지 효과 향상도 기대된다.

지난해 4월 은행 마이데이터 사업을 시작으로 현재 10여개 은행 및 계열사에 시스템을 구축한 피앤피시큐어는 KB금융그룹이 목표로 하는 클라우드 전환에 맞춰 DB접근제어, 시스템접근제어, 계정관리를 통합하는 보안체계를 마련했다. 기존 레거시 환경에서 운영되는 보안체계 수준을 확보하면서도 클라우드 환경에서 통합 접근제어가 원활하게 운영되도록 지원했다.


피앤피시큐어의 디비세이퍼(DBSAFER) 제품군은 DBMS 또는 시스템에 직접 접속하는 사용자들에 대한 접근을 통제하며 권한별 제어, 로그 관리 기능 등을 제공하는 것은 물론 우회접속까지 완벽하게 로깅 및 제어가 가능한 솔루션이다. 또한 적용 결재자가 승인 후 및 실행 전/후 데이터를 남길 수 있는 기능이 있어 보안 감사에 대응할 수 있다.

클라우드의 복잡성을 제거하기 위해서는 관리 포인트를 단순화해야 한다. 정책 관리를 일원화해 어떤 환경에서도 동일한 정책이 자동으로 부여되고, 모든 접근 기록이 저장되며, 모니터링돼야 한다.

피앤피시큐어는 다양한 보안기능을 통합해 제공하는 통합접근제어(U-IAM) 방식으로 강화된 접근제어를 제공한다. DB, 시스템, 애플리케이션, OS, 개인정보 등 다양한 접근제어와 계정관리를 통합 지원하며 국내에서 사용되는 대부분 퍼블릭·프라이빗 클라우드를 지원한다.

피앤피시큐어 관계자는 “통합접근제어 솔루션은 기존 금융권 DB접근제어 부문에서 확보하고 있는 압도적인 시장점유율을 바탕으로 금융권 클라우드 전환 사업에서도 좋은 평가를 받고 있다”면서 “피앤피시큐어는 기존의 통합접근제어 시장에서 꾸준히 성장하고 있으며, 온프레미스(On-Premise) 환경뿐만 아니라 클라우드 부문에서도 지속적으로 영향력을 확대해 나가면서 올해 매출 500억 원을 달성 할 것으로 예상된다”고 밝혔다.


 

📰 IT DAILY
피앤피시큐어, 금융권 클라우드 통합접근제어 사업 잇따라 수주

김호 기자 sokim9303@itdaily.kr
http://www.itdaily.kr/news/articleView.html?idxno=206959

 

📰 전자신문
피앤피시큐어, KB국민은행 통합접근제어 구축 사업 완료

안수민 기자 smahn@etnews.com
https://www.etnews.com/20220317000076

 

📰 데이터넷
피앤피시큐어, KB국민은행에 통합 IAM 제공

김선애 기자 iyamm@datanet.co.kr
http://www.datanet.co.kr/news/articleView.html?idxno=170513

 

📰 디지털타임스
피앤피시큐어, 금융권 클라우드통합접근제어구축 사업 잇따라 수주

김대성 기자 kdsung@dt.co.kr
http://www.dt.co.kr/contents.html?article_no=2022031702109919608003&ref=naver

 

📰 보안뉴스
피앤피시큐어, 금융권 클라우드 통합접근제어 구축 사업 잇따라 수주

원병철 기자 boanone@boannews.com
https://www.boannews.com/media/view.asp?idx=105475&kind=

 

📰 데일리시큐
피앤피시큐어, 금융권 클라우드 통합접근제어 구축 사업 잇따라 수주

길민권 기자 mkgil@dailysecu.com
https://www.dailysecu.com/news/articleView.html?idxno=1351137

 

📰 아이뉴스24
피앤피시큐어, KB원 클라우드에 통합접근제어 시스템 구축

김혜경 기자 hkmind9000@inews24.com
https://www.inews24.com/view/1461064

 

📰 지디넷코리아
피앤피시큐어, KB원클라우드에 통합접근제어 시스템 공급

임유경 기자 lyk@zdnet.co.kr
https://zdnet.co.kr/view/?no=20220316142626

 

피앤피시큐어, 주 35시간 근무 시행 선언

2022.02.08


매일 1시간 조기 퇴근해 일과 생활의 균형 실현

[아이티데일리] 통합 계정 및 접근 제어(Unified-IAM, U-IAM) 솔루션 전문 기업 피앤피시큐어(대표 박천오)는 지난달 21일 온라인 신년 워크샵에서 박천오 대표이사가 언급한 주 35시간 근무 제도 ‘(가칭) 에브리데이 패밀리데이(Everyday Family Day)’를 시행한다고 밝혔다.

피앤피시큐어는 지난해까지 매월 첫째 주와 마지막 주 금요일에 1시간 일찍 퇴근하는 ‘패밀리 데이’를 시행한 바 있다. 더 나아가 2022년에는 근무 혁신을 통해 일과 생활의 균형이 실현되는 ‘워라밸(work-life balance)’이 보장된 근무환경을 만들고자, 매일 한 시간 조기 퇴근해 하루 7시간씩 주 35시간 근무하는 제도인 ‘(가칭) 에브리데이 패밀리데이(Everyday Family Day)’를 시행하기로 선언했다.


피앤피시큐어 박천오 대표가 2022 신년 워크샵에서 주 35시간 근무를 마곡 사옥 이전에 시행하기로 선언했다.

피앤피시큐어 박천오 대표가 2022 신년 워크샵에서 주 35시간 근무를 마곡 사옥 이전에 시행하기로 선언했다. 피앤피시큐어 박천오 대표는 “피앤피시큐어의 단기 목표는 대한민국 최고의 정보보호 기업이 되는 것이고, 장기적으로는 대한민국 최고의 IT기업으로 성장하는 것”이라면서 “‘이번에 (가칭) 에브리데이 패밀리데이를 시행하는 것은 대한민국 최고의 기업으로 성장하는 과정 중 하나며, 지속적인 혁신을 통해 임직원들의 삶의 질을 높일 것이다. 다음에는 어떠한 혁신을 준비할지 기대된다”고 덧붙였다.

한편, 온라인 신년 워크샵 당일에 각 분야별 포상 발표로 장기근속, 루키상, 공로상, 최우수사원, 베스트오브베스트(Best of Best) 등 60여명의 임직원에게 골드바, 황금열쇠, 페이코 포인트 등 푸짐한 포상을 준비해 직원들의 노고에 대한 감사를 전했다.


 

📰 IT DAILY
피앤피시큐어, 주 35시간 근무 시행 선언

정종길 기자 gil0717@itdaily.kr
원문 = http://www.itdaily.kr/news/articleView.html?idxno=206266

 

📰 전자신문
피앤피시큐어, 일 7시간·주 35시간 근무제 도입

안수민 기자 smahn@etnews.com
원문 = https://www.etnews.com/20220208000004

 

📰 보안뉴스
피앤피시큐어, 주 35시간 근무 시행 선언

원병철 기자 boanone@boannews.com
원문 = https://www.boannews.com/media/view.asp?idx=104601&kind=

 

📰 바이라인네트워크
피앤피시큐어, 주 35시간 근무 시행 선언, “매일 1시간 조기 퇴근”

이유지 기자 yjlee@byline.network
원문 = https://byline.network/2022/02/7-127/

 

📰 디지털데일리
피앤피시큐어, 주 35시간 근무 시행 선언

이종현 기자 bell@ddaily.co.kr
원문 = https://www.ddaily.co.kr/news/article/?no=230729

 

📰 지디넷코리아
정보보안업체 피앤피시큐어, 주 35시간 근무제 도입

임유경 기자 lyk@zdnet.co.kr
원문 = https://zdnet.co.kr/view/?no=20220208090353

 

📰 디지털타임스
피앤피시큐어, 주 35시간 근무 실시

유선희 기자 view@dt.co.kr
원문 = http://www.dt.co.kr/contents.html?article_no=2022020802109931076005&ref=naver

 

📰 데일리시큐
피앤피시큐어, 주 35시간 근무 시행 선언

길민권 기자 mkgil@dailysecu.com
원문 = https://www.dailysecu.com/news/articleView.html?idxno=134047

 
 

[솔루션 리뷰] 피앤피시큐어 ‘페이스락커(FaceLocker)’

2022.02.03


실시간 안면인증으로 보안과 업무 편의성 동시에 잡아

[아이티데일리] 코로나19가 전 세계에 확산되면서 비대면·재택근무는 이제 보편적 근무 방법으로 자리 잡았다. 하지만 기업이 기존에 구축해둔 물리적 시스템 보안 수단만으로는 중요 업무시스템에 허가받지 않은 외부 사용자가 접근할 가능성이 높은 상황이다. 이에 통합접근제어 솔루션 전문기업인 피앤피시큐어는 비대면·재택근무 시 실시간 안면인증을 통해 업무 시스템에 접근할 수 있도록 돕는 ‘페이스락커(FaceLocker)’를 선보이고 있다. 페이스락커는 단순한 안면인식 기능뿐만 아니라, 기업 업무시스템의 실행과 종료를 탐지하고 SSL VPN, 화상 스트리밍 지원 등 다양한 기능을 탑재하고 있다. <피앤피시큐어 기술본부 이용 수석 / 솔루션사업본부 강필성 이사>


​실시간 생체인증을 통한 비대면·재택 근무 보안 강화

코로나19가 전 세계에 확산된 지 2년이 지난 지금, 비대면·재택근무 업무환경이 보편적 근무 방법으로 빠르게 자리 잡았다. 비대면·재택근무는 정보통신 기술을 활용해 자택 등 사무실이 아닌 곳에서 사무실과 마찬가지로 업무를 수행하는 것으로, 코로나19의 확산으로 보편적 근무 방법으로 자리를 잡았다. 보편적 근무 방법으로 자리를 잡은 만큼 각 도입 기관별로 적용되는 컴플라이언스도 빠르게 마련됐다.

금융감독원 ‘전자금융 감독규정 시행세칙’, 금융보안원 ‘금융회사 재택근무 보안 안내서’, 방위사업청 ‘방산 및 협력업체 비대면·재택근무 보안 안내서’, KISA ‘재택근무 시 지켜야 할 정보보호 6대 실천 수칙’, 고용노동부 ‘재택근무 종합 매뉴얼’ 등이 대표적이고, 국가정보원의 ‘원격업무 통합보안매뉴얼’도 대상 기관에게 배포되고 있다. 이들 컴플라이언스는 공통적으로 재택/원격근무를 하는 근무자들이 보안 위협에서 안전한 환경을 조성하는 것을 강조하고 있다.

보안 컴플라이언스가 물리적 시스템 보안에 중점을 뒀다면 코로나19의 확산에 따라 비대면·재택근무를 실시하고 있는 기업들은 현재의 물리적 시스템 보안만으로는 기업의 중요 업무시스템에 언제든지 허가되지 않은 외부 사용자가 접근할 수 있다고 판단하고 있다. 이에 대한 보호조치로 실시간 생체인증을 통해 인가된 사용자만 업무시스템에 접근하도록 기술적 보호조치를 강화하고 있다.

대표적인 것이 안면인증 기술을 적용한 계정 및 액세스 관리다. 생체인증 기술은 생체 정보를 신원 확인에 사용하는 것이며, 사용자 고유의 생체인식 정보를 사용해 보안성이 높은 것을 특징으로 한다. 코로나19 기간 동안 안면인식, 지문인식 등 생체인식 정보를 신원 확인에 사용하는 사례가 급증했다. 계정 및 액세스 관리(IAM)는 조직 내에서 사용자 아이디를 관리하고 사용자 접근을 규제하는데, 특히 재택근무가 활성화되면서 사용자가 원격 위치에서 안전하게 권한을 행사할 수 있도록 생체인식 기술과 연동된 계정 및 액세스 관리의 중요성이 대두되고 있다.

재택/원격근무 조성 요건과 위협 요소 (출처: 피앤피시큐어)

통합접근제어 솔루션 전문기업인 피앤피시큐어는 비대면/재택근무 시 실시간 안면인증을 통해 업무시스템에 접근할 수 있는 기술을 탑재한 ‘페이스락커(FaceLocker)’를 공개했다.

실시간 안면인증 솔루션인 페이스락커는 인공지능(AI) 기술을 바탕으로 사용자 안면인식을 실시간으로 분석해 인증하는 기능을 제공, 비대면·재택 근무 시 반드시 필요한 사용자 인증 환경을 조성한다.

피앤피시큐어 이용 수석은 “페이스락커는 단순한 안면인식 기능뿐만 아니라, 기업 업무시스템을 실행하거나 종료하는 것을 탐지하고, SSL VPN, 화상 스트리밍 지원 등 비대면/재택근무의 필수 요소를 지원하는 다양한 기능을 탑재해 비대면/재택근무 컴플라이언스 만족과 더불어 기업에서 우려하는 보안 위협 봉쇄와 원격근무, 업무 편의성을 대폭 확보했다”고 발표하며 페이스락커가 제공하는 강력한 기능에 대해 전했다.

페이스락커(FaceLocker)의 구성 (출처: 피앤피시큐어)


페이스락커, 실시간 안면인증 이용해 비인가자에 대한 노출 위협 탐지 및 방지

비대면/재택근무는 휴식 공간과 업무 공간이 동시에 존재하기 때문에 적합한 업무환경을 조성해야 할 필요가 있다. 적합한 환경을 조성하기 위해선 근무 공간, 장비, 안전, 보안 적정성을 고려할 필요가 있다. 특히 휴식 공간이 혼재된 환경인 재택은 근무자 개인의 노력만으로 보안 적정성을 진단하는 것이 매우 어렵다. 특히 보안 위험이 예상되거나 개인정보처리를 다루는 업무가 필요할 경우, 제3자에게 노출되거나 돌발 상황으로 인한 자리 이석이 발생할 경우 등에는 전적으로 운영체제에 설정된 보안 장치에 의존할 수밖에 없다.

페이스락커는 카메라를 통해 실시간으로 입력되는 영상 속에서 허가된 사용자가 아닌 ‘제3자’를 탐지하거나 ‘자리 이석’과 같이 사용자를 인식할 수 없는 위협에 노출될 경우, 즉시 화면 잠김이 동작하는 위협 탐지를 포함하고 있다. 고객 정보를 다루는 개인정보업무처리에 고객정보와 업무 정보의 노출을 즉시 차단해 유출을 예방할 수 있고, 휴식과 업무가 혼재된 공간에서 보안 적정성을 확보할 수 있다.


페이스락커, 일반 RGB 카메라 이용해 실시간 사용자 인증 및 업무 지속성 확보

페이스락커의 ‘일반 RGB 카메라를 이용한 실시간 사용자 인증’은 일반 경계 특성(Edge), 색 분포(Color Distribution) 등을 이용한 자체 개발한 알고리즘을 적용한 기술이다. 특정 규격을 만족해야 하는 것이 아닌, 시중에 유통되는 저가형 웹캠 수준에서도 실시간 사용자 인증이 가능하다. 마이크로소프트의 ‘윈도우 헬로(Windows Hello) 얼굴 인증’과 같이 인증을 위한 특정 카메라 요구 스펙이 존재하지 않아 다양한 조건의 PC와 노트북에서도 사용할 수 있다.

일반 RGB 카메라와 IR센서 장착 카메라 간 이미지 비교
(출처: 마이크로소프트, 재가공)

일반 RGB 카메라를 통해 지속적으로 입력되는 영상 신호에서 자체 개발한 알고리즘은 사용자의 얼굴을 계속 탐색해 ‘허가된 사용자’인지를 지속적으로 학습 및 판별한다. 또한 특정 시스템의 인증에만 국한되는 것이 아닌, 인증이 필요한 전반적인 영역에 연동을 위한 연결고리를 갖추고 운영체제(윈도우) 시작 시 동작하는 안면인증보다 우선권을 부여할 수 있어 적극적인 실시간 인증이 가능하다.

KISA 정보보안 실천 수칙(기업편)에 따라 설정한 ‘화면 보호기’와 같은 설정은 보편적으로 운영체제에서 제공하는 보안 설정 정책을 사용한다. 이는 PC, 노트북 등 입력장치의 조작, 동작 또는 입력신호가 감지 되지 않을 때 사용자 존재 유무와 상관없이 동작한다. 이에 사용자가 화면 보호기 동작 시간을 권장 시간인 5분을 초과한 30분으로 설정하도록 유도하는 결과를 만들어 낸다.

페이스락커는 실시간으로 사용자에 대한 학습 및 판별을 하기 때문에 일정한 시간 동안 이상 모니터를 응시하는 업무를 해도 화면 보호기 또는 절전모드 실행과 같은 방해 요소가 동작하지 않는다. 이에 업무의 생산성과 지속성을 유지할 수 있고, 생산성 향상을 도모할 수 있다.


페이스락커, RGB 카메라를 활용한 스푸핑 방지

일반 RGB 카메라의 경우 입력되는 RGB 영상 정보만으로 진위여부를 판별해야 하는데, 페이스락커가 자체 개발한 알고리즘은 경계정보(Edge), 색 분포(Color Distribution)를 적극적으로 활용해 심도(Depth) 카메라를 이용한 검출과 동등한 수준의 스푸핑 방지를 할 수 있다. 심도 카메라는 일반적으로 적외선 센서를 탑재해 쉽게 판별이 가능하지만, RGB 카메라는 영상을 처리하는 알고리즘에 의존해 인쇄한 사진이나 스마트폰, 태블릿, PC 등에 노출된 이미지를 구분해내야 한다.

심도 카메라의 이미지 인식 예시 (출처: 마이크로소프트)


페이스락커, 보안과 업무 편의성을 동시에 잡아

페이스락커는 실시간 안면인증을 위해 상시 카메라를 사용하고 있다. 이러한 상시적인 카메라 사용이 비대면/재택 근무에 필수적인 화상 스트리밍(회의)에 영향을 줄 수 있다. 페이스락커는 실시간 안면인식 기능 동작 중에도 자체 기술을 이용해 화상 스트리밍(회의)과 인증을 위한 스트리밍 정보를 구분할 수 있어 근무 상황에 맞춰 업무 처리가 가능하도록 했다. 필수적인 보안 요구사항을 만족시키는 것과 동시에 비대면/재택 근무를 위한 업무 편의성을 확보하고 있다.

페이스락커의 안면 인증 사용자 등록 화면 (출처: 피앤피시큐어)
페이스락커의 다른 사용자 접근 시 화면 차단 (출처: 피앤피시큐어)
페이스락커의 자리비움 시 화면 차단 (출처: 피앤피시큐어)

피앤피시큐어 이용 수석은 “비대면/재택 근무 보안을 확대하는 경우, 사용자 입장에서 기업의 보안 지침에 따라 주어진 업무를 수행하기 위한 애플리케이션에 접속해 권한 내 행위를 하는 것은 당연히 허용되고, 업무를 수행하는 과정에서 사용자는 불편함이나 장애가 없어야 하며, 정상적인 협업 과정도 원활하게 진행돼야 한다. 하지만 보안이라는 명목으로 근무자의 감시나 통제가 강화되는 것이 아닌지 의심받는 부문도 있다”면서, “평소와 다른 접속 환경과 행위가 나타나거나, 동료들과 다른 행위를 보이거나, 권한 외 애플리케이션·시스템 접속 시도, 혹은 권한 내 행위라 해도 평소와 다른 오남용이 의심되는 상황, 허가되지 않은 외부와의 통신 시도 등이 보일 경우 접속을 중단하고 확인이 필요하다. 또 이상 행위를 미리 탐지하고 조사하지 않아 공격을 당했다면 사고 후 조사에서 직원이 직접 공격행위에 가담했는지를 밝혀내야 하기 때문에, 지속적인 검증과 모니터링으로 직원 본인이 정상적인 행위를 했다는 사실을 기록함으로써 보호받을 수 있다는 점을 강조하는 것이 필요하다”고 말했다.


 

📰 IT DAILY
[솔루션 리뷰] 피앤피시큐어 ‘페이스락커(FaceLocker)’

이용 수석, 강필성 이사
원문 = http://www.itdaily.kr/news/articleView.html?idxno=206195

 

[2021년 평가: 계정·권한 관리] 제로 트러스트의 시작 ‘계정’

2021.12.29



데이터 유출 사고 80%, 취약한 PW·탈취계정에 의해 발생
제로 트러스트 시작, 계정·권한 관리…지속적 검증·모니터링 필수

[데이터넷] “공격자는 침입하지 않고 로그인한다.”

마이크로소프트 CISO인 브렛 아세놀트(Bret Arsenault)가 한 말이다. 계정을 탈취하면 공격자는 많은 것을 할 수 있다. 계정은 지하세계에서 무료로 혹은 저렴하게 구입할 수 있으며, 방치된 시스템과 클라우드, 엔드포인트에서 계정정보를 쉽게 수집할 수 있으며, 간단한 피싱만으로도 권한 사용자의 계정도 획득할 수 있다. ​

정상 계정으로 로그인한 공격자는 계정에 허용된 권한으로 접속할 수 있는 시스템을 찾아다니면서 더 높은 권한 계정을 탈취한다. AD 서버 관리자 계정을 탈취하면 높은 권한의 계정을 만들고 중요 시스템을 마음대로 드나들 수 있다. ​

‘왕국의 열쇠’라고 표현되는 특권권한이 있는 계정은 매우 중대한 침해행위를 할 수 있다. 사실 특권계정을 탈취하면 모든 것을 할 수 있다. 시스템의 중요한 설정을 변경하고, 새로운 권한 계정을 마음대로 생성하며, 외부와 통신하며, 중요한 데이터에 접근해 유출할 수 있다. ​

데이터 유출 사고의 80% 이상이 취약한 패스워드와 탈취된 계정에 의해 발생했으며, 피싱 공격의 90% 이상이 사용자 계정을 노린 것이고, 보안사고의 80%가 관리권한을 가진 계정에서 발생한 것이다. ​

그래서 계정과 접근관리는 보안의 시작이며 가장 중요한 원칙이라고 할 수 있다. 제로 트러스트 보안 원칙인 ‘신뢰하지 않고 검증한다’의 기본 사상도 계정과 접근관리의 영역이다. ​

가트너는 “아이덴티티가 보안 설계의 중심이 됐다. 원격·재택 및 사무실 근무자 등 모든 환경에서 접속하는 사람들을 위해 ‘아이덴티티 우선 보안’이 필수”라고 강조한다. 또 AM과 ID 관리(IM)를 통합한 IAM, 싱글사인온(SSO), 다중인증(MFA), ID 거버넌스 및 어드미니스트레이션(IGA), 특권권한관리(PAM) 등이 통합되고 있다고 설명했다. 고객의 ID와 접근을 제어하는 CIAM까지 지원할 수 있는 역량이 중요해지고 있으며, 이를 완성할 수 있는 플랫폼을 제공하는 ID 공급자(IdP)의 경쟁력도 집중 조명되고 있다. ​

▲컨텍스트 기반 액세스 관리(자료: 옥타)​


통합·자동화된 IM/AM 필수
전통적인 계정관리는 SI 사업으로 진행됐으며, 한 번 구축하면 잘 바꾸지 않는 인프라의 성격을 가졌다. 그러나 비즈니스가 급변하면서 계정 변경이 수시로 일어나 오래 전 구축된 계정관리로 감당할 수 없게 됐다. 직원과 파트너사 직원, 계약직 직원, 때로 고객들의 계정까지 관리해야 하며, 다양한 기기에도 계정이 부여돼 업무 시스템에서 작동해야 한다. 클라우드로 비즈니스가 확장되면서 다양한 클라우드 환경을 지원해야 한다는 요구도 있다. ​

클라우드와 IoT 사용이 늘어나면서 관리해야 하는 계정이 폭증하고 있으며, 계정 생성과 권한 부여, 변경과 삭제를 수동으로 관리하는 것은 불가능한 일이 됐다. IBM 조사에 따르면 대규모 퍼블릭 클라우드 액세스 키는 단 15달러에 판매되고 있다. ​

따라서 비즈니스 속도에 맞춰 유연하게 변화될 수 있는 자동화된 계정관리(IM) 시스템이 필요하며, 계정에 부여된 권한 내에서 접근을 통제하는 AM도 필수다. IM과 AM은 클라우드 속도에 맞게 민첩하게 작동해야 하며, 개발자 친화적 환경을 통해 컨베이어벨트처럼 돌아가는 CI/CD 파이프라인에서 개발자들이 불편함 없이 통합 IAM을 적용할 수 있어야 한다. 더불어 컨테이너·서버리스·로코드·노코드 등 새로운 개발환경까지지원할 수 있는 기술적인 민첩성도 갖춰야 한다. ​

국내 기업 특수성 지원하는 토종 기업
계정관리와 접근관리는 국내기업의 경쟁력이 매우 강한 시장이다. SI성으로 사내 구축형을 선호하는 국내 기업의 특성에 맞게 개별 사이트에 맞춤형으로 공급해 온 전문 솔루션 기업들이 경쟁해왔다. 그러나 클라우드로 전환하는 상황에 유연하게 맞추지 못했다는 한계도 드러냈다. 그래서 국내 기업들도 클라우드 지원 기능을 한층 강화한 IM/AM 솔루션을 출시하고 있다. ​

접근관리 영역에서는 피앤피시큐어, 휴네시온, 넷앤드 등이 경쟁을 펼치면서 클라우드로 변화되는 시장에 적극 대응하고 있다. 또한 국내 기업들은 신 외감법 시행으로 중소·중견 상장사의 내부회계관리제도에 대한 인증 수준이 감사로 강화되고 정보기술 일반통제(ITGC)에 대한 대응이 필요해 접근통제를 적극 도입하고 있다. 2022년 1000억원 이상 기업, 2023년부터 1000억 미만 전체 상장사에 적용되기 때문에 2021년 접근통제 도입 사업이 활발하게 진행됐다. ​

휴네시온의 ‘NGS’는 내부 시스템에 대한 접근통제, 사용자 그룹별 권한 부여·삭제, 퇴직자 권한 회수, 계정 생성 및 사용이력관리 등을 위해 시스템 접근제어와 계정관리 서비스를 제공하는 통합 접근제어 시스템이다. ​

클라우드 환경에서도 사용자의 접근권한 관리, 모니터링, 감사 등을 수행해 업무효율은 물론 효과적인 클라우드 운영 방안을 제공한다. 조달청 나라장터 종합쇼핑몰 우선구매대상 제품으로 등록되어 있으며, KT클라우드 마켓플레이스에도 등록되어 있다. ​

글로벌 기업의 국내 성과 이어져
토종 솔루션이 주도권을 쥐고 있는 접근관리 시장에 글로벌 시장 리더인 옥타가 진출해 강력한 영업전략을 전개하면서 상당한 성과를 거두고 있다. SaaS로 제공되는 통합 AM 플랫폼을 제공하는 옥타는 통합 계정접근관리와 SSO, MFA 등 계정·접근에 관련된 모든 기술을 지원한다. 또한 개발자 친화적 계정·접근관리 기업 오스제로를 인수하고 모든 개발자들이 쉽게 IM/AM을 서비스에 적용할 수 있게 한다. 옥타는 계정·접근관리 포트폴리오를 확장해 IGA, PAM을 갖춘 통합 IAM으로 진화시킬 계획이다. ​

옥타는 SK㈜ C&C와 유니버셜 디렉토리(UD), SSO, MFA 솔루션을 제공한다. 양사는 2021년 말까지 SK 전 계열사 임직원 계정관리 프로젝트를 완료하며, 이후 대외 고객을 위한 서비스를 출시할 계획이다. ​

마이크로소프트도 IAM 분야의 경쟁력 있는 플레이어다. 애저 AD를 이용한 통합 계정관리와 제로 트러스트 원칙의 접근관리, 7월 인수한 클라우드녹스 시큐리티 기술을 접목한 멀티 클라우드 보안, PAM, IGA를 제공한다. ​

퀘스트소프트웨어의 ID 사업부인 원아이덴티티는 원로그인을 인수하면서 기존의 계정관리 솔루션과 결합한 IAM을 완성했다. 퀘스트소프트웨어의 AD 보안, PAM, IGA와 결합해 계정·접근관리에 대한 총체적인 계획을 제공할 수 있다. ​

제로 트러스트 완성하는 PAM
PAM은 권한을 가진 모든 계정을 위해 필요한 솔루션이다. 특권권한은 소수의 수퍼관리자에게만 부여되는 것이 아니라 사실상 모든 계정에 해당한다고 볼 수 있다. 예를 들어 윈도우 PC 사용자는 모두 특권권한을 갖는다. 사용자가 자유롭게 애플리케이션을 설치·삭제하고 설정을 변경할 수 있는 관리자 권한으로 접근하는데, 이것이 바로 특권권한이다. ​

PAM을 포함한 접근제어는 제로 트러스트의 ‘최소권한 원칙’에 따라 관리되어야 한다. 한 번 권한을 부여 받았을 때 접근할 수 있는 애플리케이션과 접근 시간을 제한해 권한을 탈취한 불법 사용자가 침해행위를 할 수 있는 시간을 최소화한다. ​

지속적인 검증과 권한부여를 위해 생체인증을 활용해 보다 편리하게 할 수 있는데, 예를 들어 모니터의 카메라를 바라보면 얼굴인식을 통해 본인인증을 하는 시스템을 갖춘다면, 모니터를 보고 업무를 하는 중 지속적으로 인증이 이뤄져 사용자를 불편하게 하지 않으면서 최소권한 원칙을 적용할 수 있다. ​

클라우드 확장으로 PAM에 대한 관심이 쏠리자 전문기업의 국내 진출도 활발하게 이어지고 있다. 사이버아크, 비욘드트러스트, 센트리파이, 퀘스트소프트웨어 등이 시장의 강자로, 다양한 사업에 PAM 솔루션을 적극적으로 소개하고 있다. 이 솔루션들은 윈도우 권한관리, 브라우저 플러그인 방식의 원격접속 솔루션, 권한세션관리, 머신러닝 기반 행위분석 등의 기능을 갖추고 클라우드, 재택·원격근무 환경의 보안 요구에 대응한다. ​

PAM을 보다 쉽게 구축할 수 있는 비밀번호 관리 솔루션도 국내에서 많이 사용된다. 휴네시온, 한싹시스템, 파이오링크 등 여러 기업들이 제공하는 비밀번호 관리 시스템은 비밀번호 유출·손실로 인한 보안위협을 원천 제거할 수 있다. ​

비밀번호를 없애는 패스워드리스도 빠르게 확장되고 있다. 사용자가 직접 입력하는 비밀번호를 없애고 생체인증, 모바일 인증 등을 이용하거나 사용자의 키보드·마우스 사용 습관을 익혀 평소와 다른 활동이 나타나면 접근을 거부하는 방식을 사용한다. ​

ID/PW 외에 추가인증으로 접근보안을 강화하는 MFA도 계정·접근보안을 위한 필수 솔루션이다. RSA의 시큐어ID는 전 세계적으로 가장 높은 점유율을 갖는 OTP와 MFA 솔루션을 제공한다. 적응형 인증을 지원하며, 위험기반 액세스 결정을 간소화하며, 클라우드 기반 디지털 이니셔티브를 지원한다. ​


 

📰 데이터넷
김선애 기자 iyamm@datanet.co.kr

원문 = http://www.datanet.co.kr/news/articleView.html?idxno=167956

 

피앤피시큐어 박천오 대표, 소프트웨어산업 발전 유공 '국무총리 표창' 수상

2021.12.01


 

통합접근제어 솔루션 전문 기업 피앤피시큐어 박천오 대표는 3일 개최된 '제22회 SW산업인의 날' 기념식에서 SW산업 발전에 기여한 공로를 인정받아, 소프트웨어산업 발전 유공 '국무총리 표창'을 수상했다.

박 대표는 지난 2003년 세계최초 게이트웨이 방식 DB 접근통제 기술을 개발해 국내에선 생소했던 DB보안 개념을 표준화했다. 이와 함께 18년간 DB보안 SW를 5000여 고객사에 공급, 연간 약 1000억원 대 내수시장을 창출해 SW 산업 발전에 기여했다. 매년 전체인원의 15%이상을 청년으로 채용, 고용노동부 청년친화강소기업으로 6년 연속 선정되기도 했다.

한편 피앤피시큐어는 '정보보안기술연구소'의 혁신적 R&D 활동과 기술혁신을 인정받아 2018 과학의날 '대통령 표창'과 2018 신기술실용화 유공기업부문 '국무총리 표창'을 수상한 바 있다.


 

📰 전자신문
윤대원 기자 yun1972@etnews.com

원문 = https://www.etnews.com/20211203000155

 

📰 디지털타임스
김대성 기자 kdsung@dt.co.kr

원문 = http://www.dt.co.kr/contents.html?article_no=2021120302109919608002&ref=naver

 

📰 아이티데일리
권정수 기자 kjs0915@itdaily.kr

원문 = http://www.itdaily.kr/news/articleView.html?idxno=205311

 
 
 

[인터뷰] “2023년 국내 보안 SW 기업 1등 목표, 클라우드 시장 적극 공략”

2021.12.01



[인터뷰] 류승열 피앤피시큐어 솔루션사업본부장

[아이티데일리] 2023년에 창립 20주년을 맞이하는 피앤피시큐어(대표 박천오)가 ‘국내 보안 SW 기업 1등’이라는 목표를 세우고 영업력을 강화하고 있다. 접근제어 시장에서 높은 점유율을 보이고 있는 ‘DB세이퍼(DBSAFER)’를 기반으로, 개인정보 접속기록 관리 솔루션 ‘인포세이퍼(INFOSAFER)’, 비정형데이터 암호화 솔루션 ‘데이터크립토(DATACRYPTO)’, 실시간 안면인식 솔루션 ‘페이스락커(FaceLocker)’ 등의 시장점유율을 끌어올려 목표를 달성하겠다는 전략이다.

피앤피시큐어는 올해 매출 목표는 410억 원이다. 목표를 달성한다면 지난해 346억 원에 비해 약 18% 성장하게 된다. 내년에도 이같은 고속 성장을 이어가 500억 원의 매출을 기대하고 있다. 피앤피시큐어가 이같은 고성장을 이어갈 수 있는 배경으로는 클라우드 분야 실적 증가, 클라우드 이관 사업 및 마이데이터 관련 사업 등으로 솔루션 수요 증가 등이 곱힌다. 류승열 피앤피시큐어 솔루션사업본부장을 만나, 피앤피시큐어의 올해 성과와 내년 계획에 대해 들어봤다.

류승열 피앤피시큐어 솔루션사업본부장



올해 목표 410억 원 달성 가능

류승열 피앤피시큐어 솔루션사업본부장은 올해 실적에 대해 “매출 목표는 410억 원이었으며, 현재 충분히 달성할 수 있을 것으로 보고 있다”고 설명했다. 류승열 본부장에 따르면, 피앤피시큐어의 성장은 통합접근제어 시장에서의 견고한 성장세 및 개인정보 접속기론 관리 솔루션 부분 매출 성장, 신제품 레퍼런스 확보 등을 통해 이뤄졌다. 특히 개인정보 접속기록 관리 솔루션 ‘인포세이퍼’ 관련 매출이 지난해 대비 30% 이상 성장했다는 설명이다.

올해 피앤피시큐어는 클라우드 시장을 집중적으로 공략했다. 구체적으로 금융 시장에서 제 1금융권의 클라우드 이관 사업, 마이데이터 관련 사업을 수주하는 등 실적을 거뒀다. 기업 시장에서는 내부회계관리제도(신외감법)와 관련해 다양한 분야에서 신규 수요를 창출했다. 이외에도 대기업 및 중견기업의 클라우드 이관·통합 사업이 활발하게 추진되면서 관련 사업을 다수 수주했다. 공공분야에서도 좋은 성과를 거뒀다. K기관, N공단, G도청, S시 데이터센터 등 클라우드 도입 사업에서 괄목할만한 성과를 이뤘다.

류 본부장은 “올해 클라우드 관련 사업에 집중해 전년 대비 170% 이상 성장이라는 실적을 달성할 수 있을 것으로 예상하고 있다”고 설명했다.

피앤피시큐어는 매출확대 이외에 기업, 금융, 공공 등 다양한 분야에서 많은 사이트를 확보했다는 점에 의미를 부여하고 있다. 실제 기업 시장에서는 자동차제조사를 비롯해 철강, IT, 회계 등 다양한 기업에 솔루션을 공급했다. 금융 분야에서는 K은행, S은행 등을 비롯해 보험사 및 제 2금융권에서도 레퍼런스를 확보했다. 공공 분야는 도청, 시청, 교육청 등에 솔루션을 공급했다. 올해 피앤피시큐어가 이처럼 다양한 분야에서 고객사를 확보했다는 것은 내년이 더욱 기대된다는 의미이기도 하다.

류승열 본부장에 따르면 고객들은 보안에 대한 기술은 물론, 기술지원 능력, 유지보수에 대한 만족도 등을 솔루션 도입의 주요 평가 사항으로 꼽고 있다. 류 본부장은 “최근 정보보안 컴플라이언스는 과거처럼 DB 한 부분에 국한하지 않고 보호 대상인 PC, 네트워크, 서버 등 연계된 모든 분야를 대상으로 하고 있다. 시장은 보안 솔루션이 고도 기술력을 갖추도록 요구하고 있다”면서 “고객사는 제품의 기술과 성능을 크게 보고 있지만, 기술지원 능력과 원활한 유지보수에 대한 만족도도 선택의 중요한 요소로 판단하고 있다. 엔지니어의 기술지원 서비스에 만족해 동종업계의 소개를 통한 영업이 늘어나고 있는 것이 이를 입증하고 있다.”고 말했다.



내년 500억 원 목표, 클라우드 매출 기대

류승열 본부장은 피앤피시큐어의 내년 계획에 대해 “아직 구체적인 계획이 마련된 것은 아니지만 매출 목표는 약 500억 원으로 생각하고 있다”고 말했다.

피앤피시큐어는 내년 매출 확대를 위해 ▲조직, 기술, 제품의 고도화를 통한 클라우드 시장 매출 올해 대비 2배 성장 ▲내부회계관리제도(신외감법) 관련 수요 공략을 위한 마케팅 및 홍보 강화 ▲코로나 시기 미흡했던 전시회 참가 및 해외 사업 발판 마련 ▲주력 시장인 DB접근제어 외에 시스템접근제어, OS접근제어, 계정관리, 개인정보접속기록관리, 커널암호화, 실시간 안면인식 보안의 시장점유율 확대 등의 전략을 세우고 있다.

구체적으로 DB접근제어 시장은 내부회계관리제도 대응 및 클라우드 통합접근제어로 인한 수요를 적극 공략한다는 방침이다. 개인정보 접속기록 관리 시장에서는 편의성 향상 등 업그레이드를 통해 시장을 확대한다는 전략이다.

류승열 본부장은 “특히 내년에는 클라우드 사업에 중점을 두고 있다. CSP, MSP 및 관련 기업과의 협업을 통한 기술력 확보 및 사업 확장에 주력할 것”이라면서 “금융시장은 마이데이터 사업과 클라우드 전환 등으로 인한 수요를 적극 공략한다는 계획이며, 기업 시장에서는 내부회계관리제도, 클라우드 통합접근제어 사업 등으로 인한 수요를 공략하고 기존 고객사의 제품을 다각화할 방침이다. 마지막으로 공공시장에서는 약 8,600억 원이 투입되는 클라우드 전환 사업에서 발생하는 통합 접근제어 수요를 적극 공략할 것”이라고 말했다.

다음은 류승열 본부장과의 인터뷰를 문답식으로 정리한 것이다.



Q. 올해 시장 상황 및 피앤피시큐어의 동향은.

피앤피시큐어가 주력하고 있는 시장은 DB접근제어 및 개인정보접속기록관리 시장이다. 지난해와 올해는 코로나19로 경제가 많이 위축됐으나 IT 업계는 업무환경의 변화 및 디지털전환(Digital Transformation)에 발을 맞추는 시기였다. DB보안의 측면에서 보면 종전과 다른 환경 또는 추가된 환경에서 데이터베이스에 접근이 필요하게 됐다.

예를 들면, 사용자 측면에서는 재택근무를 위해 원격으로 접근을 하는 경우가 발생했고, 서버측면에서는 기존 온프레미스(On-premise) 환경에서 클라우드 환경으로 이관되는 경우가 발생하고 있다. 또한 인프라 보안을 위한 망분리, VPN의 수요가 확대됐다. 변화된 환경에 맞춰 DB보안을 적용하기 위해 기존 보안정책의 강화도 필요하지만, 인프라 보안이 강화되면서 DB보안을 신규 또는 추가 도입하는 사례가 많아졌다.

정보보안 컴플라이언스와 관련해서는 과거처럼 DB 등 한 부분에 국한하지 않고, 보호 대상인 PC, 네트워크, 서버 등 연계된 모든 분야를 대상으로 하고 있다. 이 때문에 시장에서는 고도의 기술력이 집약된 보안 솔루션을 요구하고 있다. 또한 고객사는 제품의 기술과 성능을 중시하지만, 기술지원 능력과 유지보수에 대한 만족도도 제품 선택의 중요한 요소로 판단하고 있다. 우리는 엔지니어의 기술지원 서비스에 만족하여 동종업계의 소개를 통한 도입도 꾸준히 늘고 있다. 그만큼 고객의 유지보수에 에 대한 만족도가 높다는 의미이다.

피앤피시큐어는 시장에서 높은 점유율을 보이고 있는 통합접근제어 솔루션 ‘DB세이퍼’로 성장세를 이어가고 있으며, 개인정보접속기록관리 솔루션 ‘인포세이퍼’ 또한 지난해 대비 30% 성장했다. 재택근무 환경을 위해 올해 출시한 실시간 안면인식 솔루션 ‘페이스락커’도 제1금융권에 공급했으며, 이후 금융권 및 대기업에서 지속적으로 문의가 오고 있다. 이외에 올해 클라우드 분야에서 전년 대비 170% 성장을 달성했다.



Q. 내년 목표는.

피앤피시큐어는 ‘창립 20주년을 맞이하는 2023년 국내 보안 SW 기업 1등’이라는 장기적인 목표를 세우고 있다. 내년 매출 목표는 아직 구체적으로 확정하지 않았지만, 약 500억 원 수준으로 예상하고 있다. 목표 달성을 위해 ▲클라우드 시장 공략을 위한 조직, 기술, 솔루션 고도화 ▲내부회계관리제도(신외감법) 관련 수요 공략을 위한 마케팅, 홍보의 강화 ▲주력 솔루션인 DB접근제어 외에 시스템접근제어, OS접근제어, 계정관리, 개인정보접속기록관리, 커널암호화, 실시간 안면인식 보안의 시장점유율 확대 등을 추진할 계획이다. 구체적으로 접근제어 솔루션 ‘DB세이퍼’로는 내부회계관리제도 대응 및 클라우드 통합접근제어로 시장을 확대할 계획이다. 개인정보접속기록관리 솔루션은 편의성 향상 등을 통해 경쟁력을 강화할 방침이다.

특히 내년에는 클라우드에 영업력을 집중할 예정이다. 금융, 제조, 공공 등 다양한 분야에서 클라우드 전환이 본격화될 것으로 보이며, 피앤피시큐어는 이러한 수요를 공략하기 위해 CSP, MSP 및 관련 업체와의 협업을 통한 기술력 확보 및 사업 확장에 주력할 것이다.

이외에도 피앤피시큐어는 내년 10월 마곡에 건설 중인 신사옥으로 이전을 계획하고 있다.


류승열 피앤피시큐어 솔루션사업본부장은 “피앤피시큐어는 2023년 국내 보안 SW 기업 1등을 목표로, DB접근제어 외에 시스템접근제어, OS접근제어, 계정관리, 개인정보접속기록관리, 커널암호화, 실시간 안면인식 보안 등의 시장 공략도 박차를 가할 계획”이라고 말했다.

"클라우드 역량 강화, AWS·애저·네이버 클라우드 등에서 접근제어 기능 제공"


Q. 올해 주요 솔루션 업그레이드 현황은.

‘DB세이퍼’는 기존에 보안 대상 서버를 약 3만 대정도 수용했으나, 국내외의 여러 곳에 분산된 보안관리서버를 통합관리함으로써 현재는 10만 대까지 수용할 수 있도록 업그레이드됐다. 지원하는 DBMS도 지속적으로 추가, NoSQL까지 포함해 총 32종의 DB에 보안기능을 적용할 수 있다. 개인정보접속기록관리 솔루션 ‘인포세이퍼’는 고객의 요구사항을 반영해 성능 및 편의 기능이 강화됐다.

또한 클라우드 역량을 강화해, 현재 AWS, MS 애저, 구글 클라우드, 네이버 클라우드, NHN 클라우드 등 다양한 환경에서 ‘DB세이퍼’를 제공하고 있다. 특히 클라우드 DB와 NoSQL 지원 등을 위해 아마존 오로라(Amazon Aurora), 아마존 레드시프트(Amazon Redshift), 애저 SQL, 오라클 클라우드 DB, 몽고DB 등을 위한 보안기능을 제공하며, 시장상황에 맞춰 보안대상 DB 종류를 지속적으로 추가하고 있다.


Q. 현재 영업 조직 구성은.

솔루션사업본부는 금융사업팀, 기업사업팀, 채널사업팀으로 구성돼 있으며, 클라우드 TF를 신설해 클라우드 관련 수요에도 대응하고 있다. 구성인원은 대략 20명이다. 해당 팀들은 시장별로 영업을 추진하고 있다. 금융 분야의 경우 금융권의 마이데이터 사업과 클라우드 전환 사업에서 발생하는 통합접근제어 수요를 공략할 방침이다. 기업 시장은 내부회계관리제도 및 클라우드 통합접근제어 사업 수요를 공략하고, 기존 고객사의 제품다각화를 추진한다. 공공시장의 경우 2025년까지 약 8,600억 원을 투입해 추진되는 공공 분야 클라우드 전환 사업 중 통합 접근제어 관련 사업을 공략할 계획이다.


 

📰 아이티데일리
권정수 기자 kjs0915@itdaily.kr

원문 = http://www.itdaily.kr/news/articleView.html?idxno=205311

 

KISA·KISIA, 국내 보안 기업 동남아 시장 진출 지원

2021.11.09



8일부터 4일간 베트남·인니 대상 온라인 비즈니스 상담회 개최

[아이티데일리] 한국인터넷진흥원(원장 이원태)과 한국정보보호산업협회(KISIA, 회장 이동범)는 과학기술정보통신부(장관 임혜숙)와 국내 정보보호기업의 동남아시아 시장 진출을 지원하기 위한 정보보호 비즈니스 상담회를 8일부터 11일까지 4일간 온라인으로 개최한다고 밝혔다.

KISA와 KISIA는 이번 비즈니스 상담 개최국으로 동남아 IT 신흥시장인 베트남과 지속적으로 사이버 공격이 증가하는 인도네시아를 선정했다. 실제로 베트남은 작년 중소기업의 59%가 사이버 공격을 받았으며, 인도네시아는 중소기업의 60%가 고객정보 도용 경험이 있는 등 정보보호 필요성이 계속 높아지고 있다.


베트남·인니 대상 온라인 비즈니스 상담회 사진

올해 상담회에는 작년보다 4개 늘어난 총 19개 보안기업이 참여한다. 이들 기업은 KISA 동남아 거점을 활용해 모집한 현지 ICT 유관부처·기관, IT기업, 유통사, 컨설팅사 등 41개 기관·기업과 모두 140건의 1:1 비즈니스 미팅을 진행할 예정이다. 참여하는 보안 기업은 넷앤드, 명정보기술, 소만사, 스콥정보통신, 시큐아이, 안랩, 에어큐브, 에프원시큐리티, 엔피코어, 엘에스웨어, 워터월시스템즈, 이글루시큐리티, 지니언스, 파수, 파이오링크, 피앤피시큐어, 릴테크, 케이제이테크, 시큐레터 등이다.

이번 상담회를 계기로 KISA는 현지 공공 분야 수요를 발굴하고 1:1 매칭지원을 통해 국내 기업의 수출에 실효성을 더하고, 가시적 성과를 낼 수 있도록 지속적으로 비즈니스 미팅을 개최하는 등 진출 기회를 제공할 계획이다.

또한, KISIA는 최근 북미지역에서 개최한 정보보호 전시회와 웨비나에 이어, 이번 상담회를 통해 국내 기업의 동남아시아 수출 확대와 해외 판로 개척을 지원할 예정이다.

이원태 KISA 원장은 “최근 정보보호 수요가 증가하는 동남아시아는 6억 이상의 인구를 보유한 대규모 신흥시장으로, 국내기업의 적극적인 진출이 필요하다”며, “KISA는 글로벌 사이버보안을 선도하는 전문 기관으로서 현지 파트너십 프로그램 등 다양한 해외진출 지원사업을 운영해 신남방정책에 기여하겠다”고 말했다.

이동범 KISIA 회장은 “베트남은 동남아 신흥 IT시장으로 성장 중에 있고, 인도네시아는 지속적인 사이버 공격의 증가와 테러 등으로 인해 정보보호에 대한 필요성이 증대되고 있어 정보보호 시장 수요도 계속해서 상승할 것으로 예상하기 때문에 국내 기업의 시장 선점이 필요하다”며, “이번 상담회를 통해 국내 정보보호기업이 차별화된 기술과 경험을 바탕으로 ASEAN 시장 진출에 효과적으로 대응할 수 있을 것으로 기대한다”고 밝혔다.


 

📰 아이티데일리
권정수 기자 kjs0915@itdaily.kr

원문 = http://www.itdaily.kr/news/articleView.html?idxno=204995

 

📰 디지털투데이
강진규 기자 viper@d-today.co.kr

원문 = http://www.digitaltoday.co.kr/news/articleView.html?idxno=423850

 

📰 뉴시스
odong85@newsis.com

원문 = https://newsis.com/view/?id=NISX20211108_0001643678&cID=13001&pID=13000

 

📰 한국무역신문
wtrade07@gmail.com

원문 = https://www.weeklytrade.co.kr/news/view.html?section=1&category=3&item=&no=76927

 

📰 정보통신신문
박광하 기자 kjs0915@itdaily.kr

원문 = http://www.koit.co.kr/news/articleView.html?idxno=90733

 
 

[재택근무 보안] 다양한 근무 환경 보호 기술 경쟁 시작

2021.11.05



글로벌 IT·보안 기업, ZTNA 적용 재택·분산근무 지원 ‘총력’
사용자 인증·데이터 보호 등 재택근무 필수 보안 기술 경쟁 이어져

[데이터넷] ZTNA는 원격근무 환경의 보안 원칙으로 자리잡고 있다. ZTNA를 구현하는데 다양한 기술이 있으며, 에이전트를 필요로 하는 SDP와 에이전트 없이 브라우저만으로 접속하는 방식, 사용자 인증과 권한관리, 마이크로세그멘테이션 등이 있다.

국내에서 SDP 아키텍처 기반 ZTNA 솔루션은 엠엘소프트, 프라이빗 테크놀로지가 제공하고 있으며, 글로벌 기업 중 에이전트를 사용하는 SDP 방식은 지스케일러 ‘ZPA’가 지원하며, 가장 오랫동안 안정적으로 제공되어온 솔루션으로 인정받는다. 클라우드로 서비스 돼 쉽게 사용할 수 있고 편리하게 관리할 수 있다.

브라우저 기반 ZTNA는 구글 비욘드코프, 마이크로소프트, 아카마이, 포스포인트 등 여러 기업들이 제공한다. 웹브라우저를 통해 업무 애플리케이션에 접속하며, 에이전트가 필요 없어 사용하는 기기 제약이 없고, 직원뿐 아니라 외부 파트너사, 계약직, 고개의 접근도 ZTNA를 적용할 수 있다.

글로벌 기업들은 광범위하게 분산된 업무 환경을 보호하는 시큐어 액세스 서비스 엣지(SASE)로 전 세계 지점·지사, 원격지 사무소, 재택근무자까지 보호한다. 네트워크와 보안을 통합한 SASE에는 거의 대부분의 IT·보안·네트워크 기업들이 참여하고 있다.

그 중 맥아피는 SASE에서 요구하는 기능 중 보안 분야에서 CASB, SWG, DLP, FW, ZTNA, 이메일·웹 보안, 웹 격리, 엔드포인트 보안 등을 지원하며, 단일 콘솔에서 통합 관리할 수 있기 때문에 복잡한 분산환경을 단순하게 관리할 수 있다.

서동현 맥아피 엔터프라이즈 코리아 이사는 “맥아피 에이전트 하나 배포되면 맥아피가 제공하는 SASE 요소를 모두 사용할 수 있다. 클라우드로 제공되는 ‘엠비전’ 플랫폼의 보안 기능은 사용자가 어디에 있든 상관없이 연결 가능하며, 제로 트러스트 원칙을 적용해 안전하게 사용자와 애플리케이션을 연결할 수 있다. 사용과 관리 편의성, 보안성이 높기 때문에 국내 여러 대기업 등에도 공급됐다”고 말했다.

안전한 재택근무를 위한 통합 솔루션으로 마이크로소프트가 매우 경쟁력이 있다. 마이크로소프트는 팀즈, 비바, 서피스 등을 통해 협업을 지원하며, IAM, UEM, 웹·이메일 보안 등의 보안 기능을 통해 제로 트러스트 기반 재택근무를 지원한다.

박상준 한국마이크로소프트 모던워크 비즈니스 매니저는 “마이크로소프트는 제로 트러스트 기본을 지키면서 편리한 재택근무를 지원할 수 있도록 40개 이상 보안을 제공하고 있으며, 온프레미스·AWS·구글 등 다른 클라우드도 보호할 수 있게 한다. 강력하지만 편리한 사용자 인증과 뛰어난 위협 탐지와 대응, AI·가시성·자동화 엔진을 적용해 지능적인 위협으로부터 사용자와 고객을 보호한다”고 말했다.



강력하고 편리한 다중인증 필수

재택근무 보안에서 가장 중요한 기술은 사용자 인증이다. 원격지에서 중요 애플리케이션에 접속하려는 사용자가 정상권한을 가진 사람인지, 계정을 탈취한 공격자인지 반드시 확인해야 하며, ID/PW 외에 다른 인증 방식을 사용하는 이중인증/다중인증(2FA/MFA)이 요구된다.

RSA ‘시큐어ID’는 OTP와 MFA를 통해 재택근무 사용자 인증을 지원한다. 온프레미스·멀티 및 하이브리드 환경을 지원하는 시큐어ID는 적응형 상황인지 기술을 제공해 정상 사용자로 위장한 공격자의 접근을 차단한다. 다양한 디바이스를 지원해 사용 편의성을 높인다.

센스톤은 네트워크가 단절된 상황에서도 중복되지 않는 일회용 인증 코드를 발생시키는 ‘OTAC’가 재택근무를 더 안전하게 한다고 강조한다. OTAC는 ID/PW 없이 코드만으로 사용자를 식별해 사용이 편리하며, 인증정보 탈취 공격을 근본적으로 해결할 수 있다.

최경철 센스톤 보안기술이사는 “온라인 피싱으로 유출된 계정과 암호 탈취 악용사례를 방지하기 위해 2차 인증은 기본이며, 추가적으로 계정과 암호를 대체하는 인증체계를 사용하는 것은 VPN과 동일한 보안 가이드라인이 될 것”이라며 “센스톤은 서버 통신 없이 사용자를 검증할 수 있어 폐쇄망이나 네트워크 연결이 어려운 곳에서도 사용자를 확실하고 안전하게 인증할 수 있다”고 설명했다.

라온시큐어는 FIDO 기반 다채널 인증 플랫폼 ‘원패스’, 2FA로 사용 가능한 모바일 OTP ‘터치엔mOTP’, 웹 콘텐츠 유출 방지 솔루션 ‘터치엔 nxWeb’ 등을 제안한다. VDI·VPN을 연동한 보안 솔루션 구축 레퍼런스를 다양하게 확보하고 있으며 재택근무 보안 가이드라인을 만족한다.

최덕훈 라온시큐어 상무는 “보안 공격 트렌드는 끊임없이 변화하며 진화하기 때문에 재택근무 환경 구축은 보다 장기적이고 거시적인 관점에서 접근할 필요가 있다. 보안 솔루션 도입 시에는 최신 보안 기술이 접목된 제품인지 확인할 필요가 있으며, 해당 업체가 풍부한 구축 경험을 갖췄는지도 살펴보아야 한다”며 ”라온시큐어는 VPN, VDI를 연동한 재택근무 보안 솔루션 구축 레퍼런스와 노하우를 기반으로 자회사 라온화이트햇의 화이트해커 연구진을 통한 최신 보안 기술까지 접목시켜 사무실과 동일하게 안정적이고 편리한 재택근무 환경 구축을 지원하기 위해 노력한다”고 말했다.

재택근무자의 얼굴을 인식해 정상 사용자 여부를 판단하는 방법도 사용자 인증에 유용하게 사용된다. 피앤피시큐어의 ‘페이스라커’는 실시간 안면인식으로 재택·원격근무자를 검증해 정상 사용자만 접근하도록 한다. 화면에 다른 사람이 접근하면 화면을 차단하고, 자리를 비웠을 때에도 차단해 중요정보가 유출되지 않게 한다. 감사로그를 암호화해 사고 시 감사 자료로 사용할 수 있다.



단말 무결성 검증·데이터 보호도 필수

재택근무 단말의 무결성 검증은 재택근무 보안 가이드라인에서 요구하는 필수 기술이다. 허가된 단말인지, 침해당했거나 감염 가능성이 있는지 등을 파악하고, 필수 보안 모듈 설치와 최신 보안패치를 실시하는 것도 필요하다. 그래서 NAC가 필수 솔루션으로 꼽히며, 2차인증을 결합해 안전하게 접속다.

지니언스는 재택근무 보안 규정을 검사하고 무결성이 확보된 단말만 업무와 인터넷에 접속하도록 하는 ‘지니안 NAC’를 제공한다. 이 제품은 재택근무자와 단말 인증, 통신 채널 연결 단말 무결성 검사 등을 지원하며, 유사시 접근통제를 수행해 연결부터 종료까지 재택근무자 보안을 강화한다.

재택근무 시 기업·기관이 가장 우려하는 것은 데이터 유출이다. 그래서 사용자 PC에는 어떤 데이터도 저장하지 않도록 하는 것이 안전하다. 이스트시큐리티의 문서중앙화 솔루션 ‘시큐어디스크’는 중앙서버에만 자료를 저장하도록 하고, 모든 문서에 대해 사용자별 접근권한을 부여해 권한없는 공격자가 무단으로 접속해 데이터를 탈취하지 못하게 한다. 허가된 프로세스만 문서 접근이 가능해 랜섬웨어 감염을 차단하고, 메일·메신저를 통한 유출도 막는다.


 

📰 데이터넷
김선애 기자 iyamm@datanet.co.kr

원문 = http://www.datanet.co.kr/news/articleView.html?idxno=164982

 

[클라우드 보안] 데이터 보호

2021.10.06



분산된 클라우드 방대한 데이터, 적절한 보호 방안 시급
저장·이동중은 물론 사용중 데이터도 보호하는 방법 필요

[데이터넷] 그룹아이비 조사에 따르면 지난 1년간 10만개 이상의 데이터베이스가 공개됐으며, 아마존 S3 등 클라우드 스토리지를 통해 유출된 사고가 15억개 이상이다. ADT캡스 인포섹 조사에서는 2021년 상반기 발생한 개인정보 유출 사고 중 클라우드 서비스 개발과 관리 미흡 등이 구성오류로 인한 것이 40%를 차지했다. IBM은 클라우드 전환 프로젝트를 진행하는 중 데이터 유출 사고가 발생한 기업은 평균보다 18.8% 높은 비용을 지출했다고 분석했다.

이 통계가 이야기하는 것은 클라우드의 데이터 유출이 심각하다는 점이다. 탈레스가 IT 담당 임원을 대상으로 한 조사에서는 50%의 기업은 데이터의 40% 이상을 외부 클라우드에 저장하고 있으며, 클라우드에 저장한 중요 데이터의 절반 이상을 암호화 한 기업은 17%에 불가했다. 엔트러스트 조사에서는 기업 60%가 암호화·토큰화 적용과 상관없이 민감한 데이터를 클라우드에 전송한다고 답했다.

실수 혹은 장애에 의한 데이터 유출 사고도 큰 문제가 된다. 엔트러스트 조사에서는 민감한 데이터를 위협하는 요인으로 53%가 직원의 실수를 꼽았고 31%가 시스템과 프로세스의 오작동을 들었다.

해커의 공격이 위험하다고 답한 경영진은 29%, 임시직·계약직에 의한 위협이 25% 순이었다. 기업·기관은 클라우드 도입에 있어 가장 우려하는 점으로 데이터 유출을 꼽는다. 그러나 정작 클우드로 전환할 때 데이터 보호 전략 수립에 소홀하다. IBM은 유출되는 데이터의 44%가 이름, 이메일, 암호, 의료데이터 등 개인 민감정보이고, 이러한 데이터가 유출됐을 때 피해액이 평균 180달러로, 다른 데이터 유출 시 피해액인 161달러보다 크다고 분석했다.

클라우드 데이터 보호 ‘난제’

데이터 보호를 위해서는 관리하는 모든 데이터를 파악하고 적절한 기준으로 분류하며, 보호·통제 정책을 적용한다. 데이터에 대한 접근권한을 설정하고, 중요한 데이터는 암호화하며, 암호화 키에 대한 강력한 통제를 적용한다. 사용이 끝난 데이터는 안전하게 폐기해 오남용되지 않도록 하는 것까지 관리해야 한다.

그러나 클라우드에는 너무 많은 데이터가 분산되어 기존의 보안 정책을 적용하기 어렵다. 탈레스 설문에 응한 기업들은 대부분 2개 이상 IaaS와 PaaS를 운영하고 있으며, 27%는 50개 이상 SaaS를 이용한다. 엔트러스트 보고서에서는 데이터 보호의 걸림돌로 데이터 위치를 파악하는 역량(65%), 암호화 대상 데이터 분류의 어려움(34%)을 들었다.

데이터 관리의 어려움을 하나의 예로 들어 설명하면, 클라우드 데이터는 백업을 위해 여러 곳에 분산 저장된다. 그런데 데이터가 어디에 저장되는지 명확하게 파악되지 않는다. 데이터를 삭제해야 할 일이 발생해 원본 데이터와 백업 데이터를 삭제했다고 했을 때, 원본 데이터는 삭제됐지만, 분산 저장된 백업 데이터까지 모두 완벽하게 삭제됐다고 안심할 수 없다.

클라우드 데이터를 보호하기 위해서는 암호화가 필수지만, 암호화 시 업무 생산성이 떨어진다. 암호화는 컴퓨팅 리소스를 많이 사용하기 때문에 데이터 처리 속도에 영향을 준다. 암호화는 키관리가 핵심이며, 저장 중인 데이터의 키 관리는 그리 어렵지 않다.

그러나 이동 중인 데이터의 키관리는 쉽지 않다. 데이터와 키를 함께 보내면 중간에 탈취당했을 때 보호받지 못하며, 키에 대한 접근권한을 잘못 설정하거나 접근권한을 훔친 공격자가 접근하는 것을 막지 못한다. 업무 편의를 위해 암호화를 해제한 후 유통하거나 키에 대한 접근권한을 함께 보내면 암호화의 의미가 없어진다.

데이터 라이프사이클 전체 보호하는 거버넌스 필요

사용 중인 데이터는 암호화할 수 없다는 것도 문제다. 특히 여러 사람이 함께 협업할 때, 접근권한 설정을 잘못하거나 권한을 탈취한 공격자가 협업 공간에 들어왔을 때, 악의 혹은 실수로 보호조치 되지 않은 사용 중 데이터를 공개하거나 유출했을 때 발생하는 문제도 심각하다.

온프레미스 환경에서 데이터는 대체로 보호받는 회사 네트워크 내에 저장되기 때문에 일관성 있게 정책을 적용하고 통제할 수 있었다. 이렇게 잘 통제되는 상황에서도 대규모 데이터 유출사고가 빈번하게 발생했는데, 제대로 통제되거나 관리되지 못하는 멀티 클라우드 환경에서는 데이터를 보호하기 어려워질 수밖에 없다. 그래도 데이터 보호의 핵심 원칙을 지켜 관리하는 것이 필요하다.

멀티 클라우드를 위한 데이터 보호 원칙은 다음과 같다.
- 데이터 인식: 데이터 환경을 이해하고 하이브리드 환경에서 중요한 데이터 식별
​- 데이터 보호: 민감한 데이터를 분류·라벨링하고, 암호화·워터마킹과 같은 보호조치 적용
- 데이터 관리: 조직의 민감한 데이터와 지적재산권(IP) 손실 방지
- 데이터 거버넌스 수립: 데이터 라이프사이클을 효율적으로 관리하고, 서비스에 맞게 자동 적용할 수 있는 거버넌스 수립

데이터 보호 전략에는 최소 권한 원칙이 포함돼 있어야 한다. 데이터에 접근할 수 있는 권한과 범위를 최소화해 권한 오남용이나 탈취한 권한을 이용한 침해사고를 미연에 방지해야 한다. 접근권한 통제는 직원뿐 아니라 고위 임원과 경영진, 파트너사 및 외부 조직, 사람이 개입하지 않는 IoT와 사물간 통신에도 일관성 있게 적용한다.

클라우드 사용 중 데이터까지 암호화

마이크로소프트는 마이크로소프트365(M365)와 애저에 ‘MIP(Microsoft Information Protection)’를 내장해 모든 데이터를 식별하고 보호하며 추적·관리한다. AI와 인텔리전스를 이용해 분산된 모든 데이터를 분류하고 정황 정보를 적용시켜 정책을 생성하고 배포한다. 다양한 협업 환경에서 생산성을 해치지 않고 데이터를 보호할 수 있도록 마이크로소프트와 써드파티의 다양한 협업·커뮤니케이션 툴을 지원하는 보안 정책을 제공한다.

사용 중인 데이터는 상황인지 기반 접근 통제를 적용해 권한 없는 사람이나 권한을 탈취한 공격자가 무단으로 접근해 유출하는 것을 막고, 데이터를 수정·변경하는 모든 이력을 모니터링해 이상행위를 감지하고, 모든 작업 내용을 녹화해 사고 발생 시 조사자료로 사용하는 등의 조치를 취하게 된다.

이러한 조치로 데이터 침해 위협을 낮출 수 있지만 암호화 수준의 보호를 제공할 수 없다. 랜섬웨어의 경우 데이터 접근 권한을 획득한 후 일시에 데이터를 유출하고 암호화하기 때문에 접근통제 정책만으로 보호하기는 어렵다.

소프트캠프는 클라우드 환경, 특히 협업 중인 환경에서도 중단 없는 암호화로 데이터를 보호하는 클라우드 스토리지 보안 중개(CSSB) 서비스 ‘실드라이브(SHIELDrive)’를 소개한다. 소프트캠프의 문서 암호화 전문성을 클라우드 데이터에도 적용한 실드라이브는 클라우드의 모든 데이터를 암호화해 보안 수준이 낮은 데이터를 이용한 피해까지 사전 차단한다. 파일 제목까지 난독화해 권한 없는 사람들이 파일명으로 중요한 데이터 여부를 판단하지 못하게 한다.

이와 함께 문서DRM을 클라우드에서 구현한 ‘실디알엠(SHIELDRM)’으로 멀티 클라우드의 데이터 보호 문제를 해결한다. 실드라이브와 실디알엠은 MIP와 같은 클라우드 서비스 사업자(CSP)가 제공하는 데이터 보호 기능을 모두 사용하면서, 그들이 제공하지 못하는 중단없는 암호화와 키관리, 제목까지 난독화해 완전한 데이터 보호가 이뤄질 수 있도록 한다.

데이터 암호화, 키관리가 핵심

데이터 암호화는 데이터를 보호하는 가장 안전한 방법이지만, 키관리에 실패했을 때 무용지물이다. 암호화 키는 암호화 데이터와 분리된 네트워크에서 관리되어야 하지만, 암호화 데이터와 키가 멀리 떨어져있으면 암·복호화 처리 속도가 느려진다.

CSP에서 제공하는 데이터 암호화와 키관리 서비스를 사용하면 효율적으로 암호화 데이터를 보호할 수 있지만, 기업이 완벽하게 데이터 통제권을 갖지 못한다는 우려가 있다. 그래서 암호화 데이터와 키는 가까이 두고, 키에 대한 마스터키를 기업이 관리하는 방법을 추천한다. 암호화 키에 대한 접근권한만 마스터키에서 통제하기 때문에 속도저하 문제를 우려하지 않아도 된다.

클라우드 데이터를 삭제해야 할 때, 마스터키를 통해 해당 데이터의 키를 삭제하면 클라우드에 있는 데이터에 접근할 수 없기 때문에 분산된 클라우드에 삭제되지 않고 남아있는 데이터로 인해 문제가 생길 것을 걱정하지 않아도 된다.

마스터키는 강력한 암호화와 접근통제를 적용한 안전한 키관리 시스템으로 관리되어야 한다. 가장 보안 수준이 높은 하드웨어 보안 모듈(HSM)을 사용하는 것이 권고되며, 탈레스의 ‘루나’, 엔사이퍼의 ‘엔쉴드’가 글로벌 시장을 양분하고 있다.

이 시장에 새로운 경쟁자들이 등장하기 시작했다. 에스케어에서 국내에 공급하는 포타닉스는 하드웨어 기반(HSM)과 소프트웨어 기반(SGX) 암호/인증 키관리를 함께 제공하며, 동형암호화 수준의 안정성을 보장하는 강력한 키관리 시스템을 제공한다.

이 솔루션은 유연하고 비용 효율적이면서도 높은 보안성을 준수할 수 있으며, 가장 까다로운 환경에서도 강력하게 키를 보호한다. 진화하는 비즈니스 요구사항을 충족할 수 있도록 확장 가능해 유연성과 보안성이 요구되는 다양한 서비스에 적용될 수 있다.

포타닉스는 데이터 보호를 위한 모든 기술을 단일 플랫폼으로 제공한다. 키 관리, 암호화, 토큰화, 기밀 정보 관리, 커스텀 코드 등이 단일 플랫폼에서 제공되며, 멀티·하이브리드 클라우드, 데브옵스·데브섹옵스 등 다양한 클라우드 환경에서도 애플리케이션 수정 없이 데이터를 보호한다.

세분화된 액세스 제어, 키 수명주기 관리, 성능이 향상된 암호화, 마이크로 서비스 환경을 위한 보안 기밀 보호 등을 제공한다. AWS, 애저, GCP 등 퍼블릭 클라우드와도 통합되며, 추가 분석을 위한 다른 보안 툴과도 원활하게 통합된다.

사용 중 데이터 암호화하는 컨피덴셜 컴퓨팅

포타닉스가 가진 장점 중 하나는 인텔 SGX를 기반으로 설계돼 사용 중인 데이터까지 보호할 수 있다는 것이다. 인텔 SGX는 컨피덴셜 컴퓨팅 기술을 적용해 하드웨어 단에서 사용 중 데이터까지 암호화해 보호한다. 포타닉스는 SGX 기반 암호화 기술을 상용화한 ‘컨피덴셜 컴퓨팅 매니저(CCM)’를 클라우드와 마이데이터 시장에 적극 알리고 있다.

클라우드 데이터를 삭제해야 할 때, 마스터키를 통해 해당 데이터의 키를 삭제하면 클라우드에 있는 데이터에 접근할 수 없기 때문에 분산된 클라우드에 삭제되지 않고 남아있는 데이터로 인해 문제가 생길 것을 걱정하지 않아도 된다.

마스터키는 강력한 암호화와 접근통제를 적용한 안전한 키관리 시스템으로 관리되어야 한다. 가장 보안 수준이 높은 하드웨어 보안 모듈(HSM)을 사용하는 것이 권고되며, 탈레스의 ‘루나’, 엔사이퍼의 ‘엔쉴드’가 글로벌 시장을 양분하고 있다.

이 시장에 새로운 경쟁자들이 등장하기 시작했다. 에스케어에서 국내에 공급하는 포타닉스는 하드웨어 기반(HSM)과 소프트웨어 기반(SGX) 암호/인증 키관리를 함께 제공하며, 동형암호화 수준의 안정성을 보장하는 강력한 키관리 시스템을 제공한다.

이 솔루션은 유연하고 비용 효율적이면서도 높은 보안성을 준수할 수 있으며, 가장 까다로운 환경에서도 강력하게 키를 보호한다. 진화하는 비즈니스 요구사항을 충족할 수 있도록 확장 가능해 유연성과 보안성이 요구되는 다양한 서비스에 적용될 수 있다.

포타닉스는 데이터 보호를 위한 모든 기술을 단일 플랫폼으로 제공한다. 키 관리, 암호화, 토큰화, 기밀 정보 관리, 커스텀 코드 등이 단일 플랫폼에서 제공되며, 멀티·하이브리드 클라우드, 데브옵스·데브섹옵스 등 다양한 클라우드 환경에서도 애플리케이션 수정 없이 데이터를 보호한다.

세분화된 액세스 제어, 키 수명주기 관리, 성능이 향상된 암호화, 마이크로 서비스 환경을 위한 보안 기밀 보호 등을 제공한다. AWS, 애저, GCP 등 퍼블릭 클라우드와도 통합되며, 추가 분석을 위한 다른 보안 툴과도 원활하게 통합된다.

사용 중 데이터 암호화하는 컨피덴셜 컴퓨팅

포타닉스가 가진 장점 중 하나는 인텔 SGX를 기반으로 설계돼 사용 중인 데이터까지 보호할 수 있다는 것이다. 인텔 SGX는 컨피덴셜 컴퓨팅 기술을 적용해 하드웨어 단에서 사용 중 데이터까지 암호화해 보호한다. 포타닉스는 SGX 기반 암호화 기술을 상용화한 ‘컨피덴셜 컴퓨팅 매니저(CCM)’를 클라우드와 마이데이터 시장에 적극 알리고 있다.

모든 데이터를 암호화하는 것은 생산성을 떨어뜨리는 요인이 된다. 그렇다고 해서 중요도가 떨어지는 데이터를 암호화하지 않고 방치하는 것도 안 된다. 그래서 모든 데이터에 대해서 적절한 접근통제 기술이 적용돼야 한다.

컨피덴셜 컴퓨팅은 칩에 암호화 저장소인 시큐어 엔클레이브를 만들어 이용 중인 데이터와 애플리케이션을 보호한다. 시큐어 엘리먼트(SE), 신뢰 플랫폼 모듈(TPM)과 유사한 기술이지만, SE와 TPM은 프로그래밍 할 수 없으며, 구동할 수 있는 애플리케이션에 제약이 있다.

컨피덴셜 컴퓨팅은 이 문제를 해결할 수 있는 대안으로 떠오르고 있으며, 마이크로소프트, 인텔, 구글, ARM 등 세계 주요 IT 기업들이 컨피덴셜 컴퓨팅 컨소시엄(CCC)을 결성해 기술 개발과 표준화를 위해 노력하고 있다.

포타닉스는 스타트업이지만 CCC에서 활동하며 주목받고 있으며, 애플리케이션 수정 없이 컨피덴셜 컴퓨팅 기술을 이용해 하드웨어 기반 암호화로 데이터를 보호할 수 있게 한다. 포타닉스는 저장중·이동 중 데이터를 보호하는 ‘데이터 시큐리티 매니저(DSM)’와 CCM을 함께 제안해 모든 환경에서 데이터를 보호할 수 있다.

CCC 설립멤버인 마이크로소프트는 애저에 컨피덴셜 컴퓨팅 기술을 내재화했다. 애저는 오픈 엔클레이브 SDK를 제공하며, 기존 애플리케이션을 보안 엔클레이브에 적용시켜 애플리케이션 수준에서 데이터의 기밀성을 보장한다. AKS(Azure Kubernetes Service)에서 지원하는 컨테이너를 보호하며, 관리형 HSM과 함께 애저 키 볼트(Azure Key Vault)를 사용해 키를 기밀성 있게 관리한다.

CCC 설립멤버에는 레드햇도 있다. IBM은 레드햇과 함께 컨피덴셜 컴퓨팅 기술로 데이터를 보호하는 기술을 속한다. IBM의 ‘시큐리티 가디엄’은 쿠핑어콜 조사에서 데이터 보호 부문 리더로 선정됐으며, 데이터의 적절한 분류와 정책 적용, 관리를 통해 데이터 라이프사이클 전반에 걸친 보호를제공한다.

AI를 활용해 데이터 접근과 활용에 대한 이상행위를 탐지하고 온프레미스와 모든 클라우드 환경을 지원한다. 다양한 종류의 데이터베이스를 지원하는데, 특히 제조망에서 사용하는 데이터베이스까지 지원해 모든 산업군에서 활용하고 있다.

데이터 접근제어로 보호 효과 높여

암호화는 데이터를 가장 안전하게 보호하는 방법이지만, 암호화는 많은 컴퓨팅 리소스가 필요하 고 업무에 영향을 주기 때문에 모든 데이터를 암호화하는 것은 생산성을 떨어뜨리는 요인이 된다. 그렇다고 해서 중요도가 떨어지는 데이터를 암호화하지 않고 방치하는 것도 안 된다. 그래서 모든 데이터에 대해서 적절한 접근통제 기술이 적용돼야 한다.

데이터의 중요도, 업무 연관성, 접근하는 사람의 권한, 접근하는 상황 등을 고려해 데이터 접근통제 정책이 적용돼야 하며, 클라우드에서도 동일한 정책으로 관리할 수 있어야 한다.피앤피시큐어는 클라우드 통합접근제어 ‘디비세이퍼 포 클라우드’를 통해 일관된 사용자 인증과 식별, 계정관리, 접근통제, 보안관리를 적용한다. DB 접근제어 솔루션 ‘디비세이퍼’는 모든 데이터베이스와 클라우드에 최적화돼 DB 접근 및 권한제어, SQL 감사, 로깅, 개인정보 보호와 유출방지를 제공한다.

DB와 파일을 암호화하는 ‘데이터크립토’는 커널 레벨 암호화로 애플리케이션 수정 없이 간편하게 설치할 수 있으며, 클라우드의 다양한 OS도 지원한다. 개인정보 접속기록 관리 솔루션 ‘인포세이퍼’는 개인정보 서버에 접근하는 기록을 관리해 권한 오남용이나 권한탈취 공격자의 접근을 모니터링하고 제어한다.


 

📰 데이터넷
김선애 기자 iyamm@datanet.co.kr

원문 = http://www.datanet.co.kr/news/articleView.html?idxno=164982

 

[클라우드 보안] ZTNA·차세대 인증

2021.10.05


누구나 접속 가능한 클라우드, 제로 트러스트 보안 원칙으로 통제
강력하고 편리한 인증으로 제로 트러스트 이상 완성

[데이터넷] 제로 트러스트(Zero Trust)는 코로나19로 가장 몸값을 높인 보안 키워드다. 전통적인 IT 환경은 ‘경계 네트워크 안에서의 접속은 신뢰할 수 있다’는 것을 전제로 보안을 설계했지만, 클라우드와 재택근무가 확산되면서 물리적인 보안 경계가 사라져서 신뢰를 전제로 한 보안 정책이 소용 없게 됐다. 그래서 모든 접속에 대해 비신뢰 원칙을 적용해 접속할 때마다, 접속 대상과 기기를 확인하도록 하는 제로 트러스트가 부상하게 됐다.

제로 트러스트 원칙에 따라 보안을 새롭게 설계한 조직들은 사이버 침해로 인한 피해를 줄일 수 있다는 통계도 나와서 제로 트러스트에 대한 관심이 더욱 집중된다. IBM 조사에 따르면 제로 트러스트 접근 방식의 성숙단계에 있는 기업이 그렇지 않은 기업보다 데이터 유출 사고 시 피해를 절반 정도로 줄일 수 있는 것으로 나타났다.

VPN 대체·개선 위해 도입되는 ZTNA

제로 트러스트는 보안에 대한 새로운 패러다임으로, 이를 구체화하는 기술과 방법은 매우 다양하다. 그래서 가트너는 제로 트러스트 개념 중 ‘접속’에 초점을 맞춰 ‘제로 트러스트 네트워크 액세스(ZTNA)’ 시장을 별도로 분리해 설명한 바 있다.

ZTNA는 대체로 VPN을 대체하거나 개선하면서 원격·분산환경의 업무 생산성과 보안성을 높이기 위해 시작된다. 그러나 기존의 네트워크 인프라를 전면 교체해야 할 수 있으며, 업무 방식의 상당한 변화도 필요하기 때문에 사전에 철저한 준비가 필요하다. 가트너의 ‘제로 트러스트 이행을 위한 베스트 프랙티스’에서는 다음의 항목을 고려해 제로 트러스트를 이행할 것을 권고했다.

· 기존 VPN처럼 ZTNA를 구현하지 말 것
모든 사용자에게 모든 애플리케이션 액세스 권한을 부여하면 VPN과 ZTNA가 다를 바 없다. 중요한 애플리케이션에 대한 강력한 접근권한 적용, 계약업체 등의 그룹에 최소 권한 부여 등의 정책을 마련해 적정하게 배포해야 한다.

· 필요한 응용프로그램 파악​ ZTNA를 사용해 접근하는 애플리케이션과 액세스 권한을 파악하고 ZTNA를 배치한다. 어떤 사용자가 어떤 애플리케이션에 액세스 하는 것이 좋은지 파악하는 것은 ZTNA 도입 초기에 미리 완료하는 것이 혼란을 덜 수 있는 방법이다.

· 응용프로그램 액세스 제어
필요한 애플리케이션에 필요한 권한 사용자만 접근하도록 하며, 불필요하거나 과도한 권한을 제거한다. 퇴사자, 임시계약직 등 수시로 변경되는 권한을 반영해 최신의 상태를 유지하도록 한다.​

· 변화하는 비즈니스 요구사항에 맞게 정책 조정
비즈니스 요구사항에 맞게 ZTNA 정책을 지속적으로 조정해야 한다. 한 번 설정하고 잊어버리는 전통적인 접근방식은 변화가 많은 클라우드 환경을 보호하지 못한다. 새로운 애플리케이션이 배치되거나 비즈니스에 벼화가 있을 때마다 세분화되고 제한적인 권한 정책을 설정하고 개선해야 한다.

· 비즈니스 리더와 협상
일부 경영진은 ZTNA 마이그레이션으로 사용자 환경이 나빠졌다고 이의를 제기하면서 갈등을 일으 킬 수 있다. 갈등이 생기기 전 ZTNA가 VPN보다 뛰어난 유연성을 제공한다는 것을 설명하고 실제 결과로 보여줘야 한다. 컨텍스트 기반 다중인증(MFA), ZTNA에 내재된 편의성 기능 등을 이용해 보안과 생산성이 향상됐다는 사실을 입증해나간다.

다양한 활용사례 가능한 SDP

ZTNA를 구현하는 방법 중 소프트웨어 정의 경계(SDP)는 확장성이 높고, 원격지 접속의 VPN 사용을 의무화한 국내 공공·금융 재택근무 가이드라인도 만족할 수 있어 국내 여러 기업·기관이 주목하고 있다.

SDP는 엔드포인트에 에이전트를 설치하고, 컨트롤러를 통해 통제해야 하는데, 이 프로세스에 NAC 기술이 활용될 수 있다. 가트너의 NAC 시장 가이드에서는 ZTNA가 NAC를 흡수하고 있으며, SASE 프레임워크 통합 과정에서 NAC를 통합한 ZTNA가 원격·로컬 캠퍼스 사용자를 제어할 것이라고 밝혔다.

엠엘소프트는 NAC와 IT 자산관리 솔루션을 공급해 온 차별화된 경쟁력을 강조하며 시장 공략에 나섰다. 엠엘소프트의 ‘티게이트 SDP’는 기존 네트워크 구성 변경을 최소화하면서 SDP를 구축할 수 있도록 지원하며, 재택근무 가이드라인, 망분리 환경에서 재택근무와 클라우드 사용 등 다양한 환경에서 ZTNA를 구현할 수 있도록 돕는다.

국내 스타트업인 프라이빗 테크놀로지는 독자 개발한 애플리케이션 접속제어 기술이 탑재된 가상게이트를 통해 SDP를 구현한다. 직원, 파트너, 고객 등 애플리케이션에 접속하려는 사용자는 프라이빗 가상 게이트를 통해 접속할 수 있다.

사용자의 위치에 상관없이 가장 가까운 클라우드에 접속이 가능하며, 가상 게이트에서 사용자와 기기, 상황을 검증한 후 접속토록 해 ZTNA의 중요한 요건을 만족시킨다. VPN을 대체하는 가상 게이트는 VPN 보다 성능 5배 향상, 비용절감 효과가 매우 높다. 이 제품은 조달청 혁신 시제품으로 지정 돼 공공기관에 공급되고 있으며, 다수 국내외 특허를 기반으로 독자적인 시장을 형성, 국내외 다양한 기업에 적용됐다.

NAC 전문기업 지니언스도 SDP 솔루션 출시를 예고하며 시장 진출을 예약했다. 완성도 높은 NAC 기술을 기반으로 개발된 SDP는 향후 출시 예정인 SASE 플랫폼에 통합돼 클라우드와 원격·재택근무를 보호한다는 계획이다. 지니언스는 가장 광범위한 엔드포인트 지원 기능을 활용해 안정성 높은 SDP를 제공할 계획이다.

브라우저로 간편하게 구현하는 ZTNA

가트너는 ZTNA 구현 방법의 대표적인 두 가지 모델로 ▲엔드포인트에서 시작한 SDP 아키텍처 ▲서비스에서 시작한 브라우저 기반 ZTNA를 소개한 바 있다. 엔드포인트 기반 SDP는 앞서 소개한 아키텍처로, 클라우드 보안 연합(CSA)이 상용화해 여러 글로벌 기업들이 채택하고 있다.

서비스 기반 모델은 구글의 비욘드코프가 대표적인 사례로, 브라우저를 통해 모든 사용자와 모든 애플리케이션을 제로 트러스트 원칙으로 연결한다. ‘비욘드코프 엔터프라이즈’는 크롬 브라우저를 통해 애플리케이션에 연결하며, 사용자 계정과 권한, 상황, 디바이스 상태를 검증해 안전한 접속 환경을 구축한다. 강력한 피싱방지 인증과 지속적인 인증, 데이터 보호 등의 기능을 제공하며, VPN이나 에이전트 설치 없이 사용할 수 있어 사내 임직원 뿐 아니라 고객사, 파트너, 외주직원도 제한없이 ZTNA를 적용한 분산·원격업무가 가능하다.

구글은 이외에도 컨피덴셜 컴퓨팅 기술을 적용한 강력한 데이터 보안과 클라우드 기반 네트워크 위협 탐지 시스템 ‘클라우드 IDS’, 네트워크 보안 분석 플랫폼 ‘크로니클’ 등의 보안 기술을 제공한다. 또 화상회의 솔루션 ‘구글 미트’에 개인정보 보호를 위한 엔터프라이즈 급 보안 인프라와 기능을 탑재했다.

브라우저를 이용한 ZTNA는 여러 기업들이 활용하고 있다. 포스포인트, 비욘드시큐리티, 체크포인트 등이 VPN 없이 브라우저로 원격접속하는 솔루션을 제공하고, 이를 통해 ZTNA를 구현한다고주장한다. 국내 기업들도 알서포트 등이 브라우저를 이용한 원격접속으로 재택·원격근무를 지원하고 있다.

SASE 일원으로 작동하는 ZTNA

ZTNA는 특별히 정해진 구현 모델이 있는 것은 아니다. 보호해야 할 애플리케이션은 외부에 노출되지 않도록 보호하고, 접속을 요청하는 사람이나 기기의 권한과 상황을 파악해 허가-차단하며, 접속 가능한 범위와 시간을 최소화해 권한을 탈취한 공격자로 인한 침해 가능성을 최소화하는 것이 주요 요건이다.

이 요건을 충족시키는 원격접속 솔루션이 다양하게 제안되고 있는데, 지스케일러는 ‘ZPA’ 솔루션으로 모든 위치, 모든 사용자와 기기를 안전하게 보호되는 애플리케이션으로 접속할 수 있도록 한다. ZPA는 강력한 ID 관리 솔루션을 이용해 사용자와 기기의 ID·상태를 확인하고 정상 권한 사용자가 정상 상황에서만 애플리케이션에 접속하도록 한다. 애플리케이션 세그멘테이션으로 접속 범위를 최소화해 공격자의 수평이동을 차단한다. 사용자와 가장 가까운 서비스 엣지를 통해 애플리케이션에 접속하게 해 지연 없이 애플리케이션에 접속하도록 한다.

팔로알토 네트웍스는 SASE 플랫폼 ‘프리즈마 액세스’에 ZTNA를 통합시켰다. 프리즈마 액세스는ID·역할기반 제어로 권한 있는 사용자의 접근만을 허용하며, 중앙집중 관리를 통해 애플리케이션 접속과 사용자 행위를 모니터링한다. 최소 권한 정책을 적용해 정상 접속도 지속적으로 인증 받게 했으며, 자격증명을 도용하거나 멀웨어·데이터 손실 징후, 기타 악의적 활동을 모니터링해 이상행위를 지속적으로 탐지한다.

포티넷은 차세대 방화벽에 ZTNA 기능을 탑재해 원격환경에서도 속도 저하 없이 보안 접속이 가 능하게 했다. SD-WAN, SASE 플랫폼으로도 사용되는 포티넷 차세대 방화벽은 액세스 프록시 기능을 제공해 어디서나 애플리케이션을 호스팅하고 원활한 사용자 경험을 구현할 수 있게 한다.

국내 기업인 모니터랩도 SASE에 포함되는 ZTNA를 출시하고 시장 공략에 나섰다. 모니터랩 ZTNA는 특화된 프록시 기술을 이용해 원격에서 안전하게 사용자를 애플리케이션에 연결시킨다. ID·컨텍스트 분석으로 정상 사용자·정상 환경에서만 접속을 허용하며, 엣지 컴퓨팅을 활용해 사용자와 가장 가까운 클라우드로 연결시켜 연결지연을 최소화한다.

상황인지·지속인증으로 ZTNA 완성

ZTNA의 핵심은 ‘지속적인 인증’이다. 클라우드 도입으로 비대면 업무가 늘어나면서 사용자가 정상 환경에서 접속을 요청하는지 관리조직이 물리적으로 확인하지 못한다. 그래서 접속을 요청하는 사용자를 지속적으로 검증하면서 정상 권한 내에서만 활동하도록 해야 한다.

이는 부정하게 획득한 접속 권한으로 침투하려는 시도가 클라우드에서 크게 늘어나기 때문이다. ADT캡스에 따르면 2021년 상반기 가장 많이 발생한 침해시도가 크리덴셜 스터핑(32.5%), ID/PW 무차별 대입 공격이 23.6%였다. IBM 조사에서는 데이터 유출 사고의 44%가 인증정보를 도난당한 것이며, 데이터 유출 사고 원인의 20% 이상이 도용된 인증정보로 인한 것이다.

이 같은 계정·권한 침해시도를 차단하기 위해서는 계정탈취 시도를 막고, 탈취한 계정으로 접속하는 것을 찾아 차단해야 한다. 가장 확실한 방법은 강력한 인증으로 탈취한 계정 정보로 접속하지 못하게 하는 것이다. 다단계 인증(MFA)이 대표적인 방법으로, 업무 시스템의 중요도에 따라 강화된 인증을 추가한다. 중요하지 않은 일반 서비스 로그인은 ID/PW만으로, 중요한 시스템 로그인은 ID/PW와 OTP·생체인증 등을 추가하는 방법을 사용한다.

RSA의 차세대 인증 솔루션 ‘시큐어ID(SecurID)’는 리스크 기반 신원인증으로 제로 트러스트 이상을 실현한다. MFA 솔루션 ‘시큐어ID 어센티케이트’는 전용 앱을 사용해 안전성이 높으며, 지문·안면인식 등 사용자 기기의 고유 인증방식을 사용해 편리하게 구현할 수 있다. 개별 업무 중요도에 따라 인증방식을 선택적으로 적용할 수 있어 편의성과 보안성을 만족시킬 수 있다 OTP 솔루션 ‘시큐어ID 소프트웨어 토큰’은 안전한 일회용 비밀번호를 생성시켜 로그인 보안을 강화한다. 전용 모바일 앱이나 웹, 전용 단말기 등 다양한 방식으로 제공될 수 있으며, 온프레미스나 멀티·하이브리드 클라우드 등 모든 환경을 지원한다.

RSA는 OTP 원천기술을 가진 기업으로, 전 세계에서 가장 높은 점유율과 가장 다양한 성공사례를 확보하고 있다. 국내에서도 모든 산업군, 모든 환경에 가장 많은 구축사례를 확보하고 있으며, 상용 소프트웨어는 물론 인하우스·써드파티 개발 애플리케이션과도 원활하게 호환된다.

리소스·사람·데이터 위한 ID 관리 필수

인증은 사용자와 기기의 계정(ID)을 확인하고 해당 ID에 부여된 권한 내에서 접속하도록 허가하는 과정이라고 할 수 있다. 이 과정에서 가장 먼저 ID 관리가 필요한데, 마이크로소프트 액티브 디렉토리(AD)가 이 분야를 대표하는 솔루션이라고 할 수 있다. AD는 사용자 환경과 위치, 디바이스 위험도를 측정해 액세스를 허용·제한·차단한다. 암호 없는 인증, 임시 액세스 패스, 조건부 액세스 등을 적용해 ▲적절한 리소스를 보유한 ▲적절한 사람만 ▲적절한 데이터에 접근할 수 있게 한다.

SSO를 쉽게 적용해 원하는 디바이스에서 모든 서비스에 간편하게 접속할 수 있도록 하며, HR에 연결된 사용자가 접속할 수 있는 액세스 패키지를 자동으로 부여해 ID 관리 업무를 최소화한다. 권한이 부여되는 시간과 범위를 최소화한 JIT·JEA, 사용자 프로비저닝 자동화를 통해 항상 검증된 사용자와 기기만 접속할 수 있게 한다.

ID 관리 기업 옥타 아이덴티티도 제로 트러스트 구현을 위한 솔루션을 추가하면서 시장 공략에 나섰다. 옥타 아이덴티티는 서비스형 ID(IDaaS) 전문기업으로, ID 관리와 접근관리를 통합한 IAM‘WIP(Workforce Identity Products)’와 고객 계정관리를 위한 ‘CIP(Customer Identity Products)’를 공급한다. SSO, 적응형 MFA를 지원하고, 모든 사용자와 그룹, 장비를 한 곳에서 관리하는 유니버설 디렉토리, 패스워드 없는 실시간 인증 지원 등을 제공한다.

클라우드 확산으로 PAM 부상

사람이나 기기가 업무에 할당되면 계정을 받게 되는데, 많은 계정 중에서도 중요한 변경 권한이 있는 계정을 ‘특권계정’이라 한다. 특권계정은 시스템의 중요 설정을 변경하고 애플리케이션·계정 추가·삭제, 중요 데이터 접근과 암·복호화 등 다양한 활동이 가능하다.

특권권한을 중요 시스템의 상위 관리자에게만 부여된다고 생각할 수 있지만, 사실상 거의 대부분의 사람들이 특권권한을 갖는다고 할 수 있다. 윈도우 PC 사용자는 자유롭게 애플리케이션과 계정을 추가·삭제할 수 있는데 이 권한이 특권권한이다. 사실상 거의 대부분의 사람이 특권권한을 갖는다고 할 수 있다.

특권권한은 거의 모든 일을 할 수 있기 때문에 강력한 통제가 필요하다. 특히 권한관리가 쉽지 않은 클라우드에서 더욱 중요도가 높으며, 특권권한 접근제어(PAM)가 ZTNA의 필수 요소로 꼽힌다.

PAM은 ▲모든 권한 있는 계정 추적·보호 ▲액세스 관리와 제어 ▲특권활동 기록과 감사 ▲권한 있는 작업 운영 등의 기능을 한다. 특권 계정·세션 관리(PASM), 특권 평가·위임 관리(PEDM), 비밀번호 관리, 클라우드 인프라·자격 관리(CIEM) 등의 기능이 필수로 요구되며, 제로 트러스트를 위한 JIT·-JEA도 필수 요건으로 꼽힌다.

가트너 매직쿼드런트에 새롭게 리더 그룹으로 합류한 퀘스트소프트웨어 보안사업부인 원 아이덴티티는 ‘세이프가드’ PAM 기능을 강화, 특권 계정을 안전하게 저장, 관리, 인증, 기록, 감사, 분석하는 기능을 제공해 특권 권한 계정과 관련된 부담과 우려를 해소할 수 있게 한다. 또 엔드포인트 특권관리 솔루션을 출시하고 AD, 애저 AD, 윈도우 데스크톱, 리눅스·유닉스, 맥OS 등 다양한 OS를 지원, 포괄적인 엔드 투 엔드 엔드포인트 PAM을 제공한다.

이어 ‘세이프가드 데브옵스 시크릿 브로커’를 추가하며 데브옵스 도구 통합 지원도 공개했다. 이 솔루션은 데브옵스 업무에서 발생하는 특권 접근 관리 감독이 가능하며, 미인가 접근을 제거하는 기능을 통해 애플리케이션 개발 과정에서 네트워크와 데이터를 보호할 수 있다.

더불어 퀘스트는 VPN 없이 원격접속을 지원하는 ‘세이프가드 리모트 액세스’로 재택·원격근무 시장을 공략한다. 브라우저 기반 기술과 연합인증을 사용해 ZTNA를 구현했으며, 사용자·관리자 생산성을 개선할 수 있도록 개선된 환경을 지원한다.

국내기업 진출 시동거는 PAM

PAM 시장의 전통적인 강자인 사이버아크는 PAM의 필수 기능과 JIT를 구현하며, 엔드포인트 특권관리도 SaaS로 제공한다. 완성된 CIEM 솔루션을 갖고 있으며, ITSM·ID 거버넌스 및 관리(IDG) 도구와 원활한 통합을 지원한다. 국내에서도 대규모 공급사례를 다수 확보하면서 PAM 시장을 공략한다.

비욘드트러스트는 엔드포인트 특권관리와 브라우저 기반 원격접속 솔루션의 경쟁력을 강조하면서 국내 시장을 확장하고 있다. 비욘드트러스트의 엔드포인트 PAM은 금융권 컴플라이언스를 위해 공급된 사례를 다수 갖고 있으며, 편리한 원격접속과 포괄적이고 통합된 엔터프라이즈 PAM을 제공해 제로 트러스트 기반 접속을 구현할 수 있게 한다.

계정관리는 접근권한 관리와 함께 작동해야 제로 트러스트를 완성할 수 있다. 그래서 통합계정접근관리(IAM) 솔루션이 클라우드 지원 기능을 확대하면서 경쟁력을 인정받고 있다. 또 부정행위 탐 지·인증이 통합되면서 권한을 탈취한 공격자의 접근을 제어한다.

클라우드 지원 IAM ‘주목’

다양한 클라우드를 지원하는 휴네시온의 IAM ‘NGS’는 게이트웨이와 에이전트 방식, 하이브리드 방식을 지원해 기업 환경에 맞게 선택 도입할 수 있으며, 여러 방식의 MFA를 지원한다. 클라우드 사용자 접근권한 관리, 모니터링, 감사를 수행해 클라우드 환경에서 재난관리시스템 운영이 필요한 다수 지방자치단체 등 공급사례를 다수 갖고 있다.

피앤피시큐어는 클라우드를 포함한 다양한 영역에 대한 포괄적인 통합 인증·접근제어를 지원하는 U-IAM 전략을 드라이브한다. DBMS, 시스템, 애플리케이션·OS에 대한 IAM과 접근통제 기술을 접목한 데이터 보안, 개인정보 접속기록 관리 등을 지원한다.


 

📰 데이터넷
김선애 기자 iyamm@datanet.co.kr

원문 = http://www.datanet.co.kr/news/articleView.html?idxno=164976

 

[포스트 코로나 시대 주목받는 기술] 제로 트러스트

2021.09.23



‘신뢰하지 않고 검증한다’ 원칙 보안 정책 수립해야
강력하고 지속적인 인증·모니터링으로 경계 없는 디지털 환경 보호

[데이터넷] 제로 트러스트가 유행하며 많은 정의와 구현 방법이 제안되고 있다. 이 주장들의 공통된 사항은 ‘인증’과 ‘모니터링’이다. 사용자와 기기가 정상 계정과 권한으로 정상 상황에서 접근을 요청하는지 확인 후 인가하고, 접속 후 이상행위가 발생하지 않는지 지속적으로 모니터링 하는 것이 제로 트러스트의 핵심 원칙이다.

​또한 업무 시스템과 애플리케이션은 공격자가 침투 시도를 위해 스캔하지 못하도록 안전하게 보호해야 하며, 업무 시스템과 애플리케이션에서는 사용자·엔티티 행위분석으로 정상 권한 사용자라도 이상행위를 찾아내며, 지속적인 인증과 모니터링으로 권한탈취 사용자의 수평·수직이동을 막아야 한다.



간편하고 강력한 추가인증

제로 트러스트를 위해 필요한 첫 번째 항목인 ‘인증’은 접속하려는 사용자·기기의 계정과 권한, 상황 정보를 확인하고 접속 허가-차단을 결정하는 단계다. 최소 권한 원칙에 따라 한 계정에서 접근 가능한 시간과 범위를 최소화해 정상사용자로 위장한 공격자가 이상행위를 할 수 있는 범위를 최소화한다.

잦은 인증 요청으로 인한 불편을 줄이기 위해 무자각 지속인증이 도입될 수 있다. 예를 들면 스크린의 카메라를 통해 일정 시간 단위로 얼굴인증을 하면, 사용자는 모니터를 보고 일하는 것만으로도 인증절차를 끝낼 수 있다. 재택·원격근무 환경에서 다른 사람이 대신 작업하거나, 공격자가 사용자 모르게 악성 행위를 하는 것도 찾아낼 수 있다.

인증을 강화하기 위해 2차인증·다중인증(2FA·MFS)을 사용하는 것도 필요하다. 최근 MFA는 스마트폰을 이용하는 경우가 많은데, 스마트폰이 자체적으로 갖고 있는 생체인증·간편 비밀번호 인증 등을 통해 본인을 확인한 후 업무를 이어가게 한다.

RSA ‘시큐어ID’는 강력한 MFA와 OTP 기술로 제로 트러스트 환경의 인증 보안을 담당한다. RSA는 암호 분야의 선구자이면서 OTP 원천기술을 가진 기업이다. 모든 종류의 디바이스, OS·웹·앱 환경, 가장 강력한 보안으로 보호되는 전용앱을 통해 OTP와 MFA를 지원한다. 다양한 인증 및 권한관리 기술과 유연하게 연동될 수 있으며, 쉽게 구축·관리·사용이 가능하다.



계정탈취공격 막기 위한 ID 관리 솔루션 필수

계정관리와 접근관리는 제로 트러스트 시작을 위한 중요한 기술이다. 사용자·기기에 계정을 발급하고, 상황에 따라 회수·제거하는 자동관리 시스템은 퇴사자, 삭제된 기기 등 사용 종료된 계정이나 변경된 계정을 효과적으로 관리할 수 있게 한다.

공격자들이 계정을 탈취해 권한 사용자로 위장해 접근하기 때문에 계정관리는 매우 중요하다. 최근 심각한 수준으로 번지고 있는 크리덴셜 스터핑, 계정탈취 공격 등이 위험성을 알려준다. ADT캡스 조사에 따르면 올해 상반기 가장 많은 침해사고가 크리덴셜 스터핑(32.5%)이었으며, 무차별 대입공격이 23.6%로 그 뒤를 이었다.

크리덴셜 스터핑을 막기 위해서는 여러 계정에서 너무 많은 잘못된 접속 시도가 발생하거나, 다크웹 등에서 판매되는 계정을 이용한 접속 시도를 차단하는 등 고도화된 모니터링 기술을 사용한다. 그러나 계정탈취 공격을 막은 가장 좋은 방법은 계정을 안전하게 관리하는 것으로, MS AD, 옥타 등이 계정관리(IM) 분야의 선두주자로 꼽힌다. 멀티·하이브리드 클라우드 지원, 다양한 애플리케이션 및 접근제어·MFA 솔루션과의 연동을 지원한다.

접근관리는 계정이 가진 권한에 따라 접속 가능한 애플리케이션과 업무 범위를 정하고, 그 범위를 벗어나는 접근 시도를 차단하는 기술이다. 계정관리와 접근관리를 통합한 IAM으로 발전하는 추세를 보이며, 지금까지 국내에서는 엔터프라이즈 온프레미스 환경을 위해 SI로 구축되는 경우가 많았다. 클라우드로 확산되면서 클라우드 범위를 지원하는 IAM 수요가 늘어나 IAM 벤더들의 기술 혁신이 무엇보다 시급한 상황이다.



뜨거운 감자 ‘PAM’

​특권권한 계정을 관리하는 PAM이 최근 접근관리 분야에서 뜨거운 이슈로 떠올랐다. 클라우드에서 특권계정은 ‘모든 것을 할 수 있는 권한’을 부여받기 때문에 더 철저한 관리가 필요하다. 멀티 클라우드는 일원화된 관리나 포괄적인 가시성이 부족하기 때문에 특권계정을 악용해 클라우드의 설정을 취약하게 바꾸거나 무단으로 권한 계정을 생성해 데이터를 유출할 수 있다.

그래서 클라우드를 지원하는 PAM에 대한 수요가 높아지고 있으며, 사이버아크, 비욘드트러스트, 퀘스트소프트웨어 원 아이덴티티, 센트리파이 등이 시장의 리더로 꼽힌다. 이 중 가트너 매직쿼드런트 ‘비저너리’에서 리더그룹으로 뛰어오른 퀘스트소프트웨어 원 아이덴티티가 눈에 띈다. 원 아이덴티티의 권한계정 및 세션 관리(PASM) 솔루션 ‘세이프가드’는 비밀번호 관리, 권한 있는 세션 관리, 권한 있는 분석관리 등의 모듈로 구성된다. SUDO 지원, 유닉스·리눅스 지원, 권한상승 및 위임관리(PEDM) 등 PAM에 요구되는 다양한 기술을 지원한다.

한편 퀘스트소프트웨어는 VPN 없이 원격근무가 가능한 ‘세이프가드 리모트 액세스’와 개선된 엔드포인트 특권관리를 8월 새롭게 출시했다. 세이프가드 리모트 액세스는 사용자 시스템이나 접근하고자 하는 리소스에 에이전트를 설치하거나 VPN을 이용하지 않고, 에이전트 설치 없이 안전한 원격접속을 제공한다. 브라우저 기반 연합인증을 사용해 제로 트러스트 네트워크 액세스(ZTNA)를 구현했으며, 사용자뿐 아니라 관리자 생산성 개선이 가능하며, 감사 추적성과 세션 레코딩을 통한 보안 최적화가 가능하다.



클라우드로 확장되는 IAM

피앤피시큐어는 통합 접근제어 솔루션 ‘디비세이퍼’를 클라우드까지 확장한 U-IAM으로 강화된 접근제어를 제공한다. DB·시스템·애플리케이션·OS·개인정보 등 다양한 접근제어와 계정관리를 통합 지원하며 국내에서 사용되는 거의 대부분의 퍼블릭 클라우드를 지원한다.

휴네시온은 통합계정접근관리 솔루션 ‘NGS’로 차세대 IAM 시장을 공략한다. 이 솔루션도 클라우드로 제공 가능하며, 계정과 접근관리를 통합해 관리 편의성과 보안성을 높인다. 더불어 휴네시온은 NAC 솔루션 ‘세이프NAC’으로 제로 트러스트 네트워크 액세스(ZTNA)를 구현한다고 소개한다. ZTNA는 시스템·애플리케이션에 접속하기 전 사용자와 기기의 무결성과 접속 환경의 안전성을 평가하는데, NAC는 사용자와 기기의 보안상태를 확인한 후 접속을 허용하기 때문에 ZTNA의 이상을 완성할 수 있다고 주장한다.

‘세이프NAC’은 에이전트·에이전트리스 혹은 혼합 방식으로 사용할 수 있으며, 비정상 트래픽을 지속적으로 차단하고 통신을 제어한다. 유연하게 네트워크를 시각화하며, 네트워크에 연결된 자산정보를 파악하고 최적의 정책 설정이 가능하다.

​NAC 기술로 ZTNA를 구현한다는 제안은 여러 NAC 기업들이 소개하는 것이기도 하다. 엠엘소프트는 NAC·IT 자산관리 기술과 ETRI에서 이전 받은 네트워크 기술을 결합해 소프트웨어 정의 경계(SDP) 솔루션을 개발했으며, 지니언스는 SDP 아키텍처 기반으로 NAC를 설계한 ZTNA 솔루션 출시를 예고했다.

또 다른 NAC 기업인 스콥정보통신도 에이전트·에이전트리스 방식으로 설정과 운영 편의성을 높였으며, 네트워크 설정 변경 없이 사용할 수 있어 업계의 호응을 받고 있다.



ZTNA 솔루션 속속 등장

ZTNA를 솔루션 관점에서 접근해 제안하는 경우도 있다. 모니터랩은 SASE 접근을 안전하게 하기 위해 SDP 기반 ZTNA 솔루션 ‘SIA’를 공개했다. ID 중심 아키텍처로 설계돼 SWG·방화벽 등 다양한 네트워크 보안 기술을 이용해 안전하게 접근할 수 있게 한다.

포티넷은 ZTNA를 지원하는 차세대 방화벽을 출시하고 시장 공략에 나선다. 이 제품은 ZTNA 컨트롤러로 사용될 수 있으며, 사용자 인증과 안전한 접속, 사용자 모니터링 등을 제공하며, 강력한 성능과 빠른 속도로 분산환경 사용자를 안정적으로 연결한다.

엄밀히 말해 ZTNA는 특정 기술이나 솔루션을 의미하는 것은 아니다. 인증과 접속 관련 기술을 제공하는 거의 대부분의 벤더들이 ZTNA을 지원한다고 주장한다. SDP 아키텍처를 채택한 지스케일러, 펄스시큐어, 브라우저 기반 ZTNA를 지원하는 구글 비욘드코프,애플리케이션 제어 기술로 ZTNA를 완성한 프라이빗 테크놀로지, IAM·PAM·MFA 솔루션 기업 등 수많은 기업들이 ZTNA 구현에 도움이 되는 기술을 제공한다.



내부자 위협 관리로 제로 트러스트 완성

제로 트러스트 전략을 수립할 때 아주 중요한 내부자 위협은 잘 주목하지 않는다. 정상 사용자로 위장해 침투한 공격자나 고의·실수로 침해행위를 하는 내부자에 의한 위협도 제로 트러스트 전략에 필수적으로 포함돼야 한다. 특히 클라우드는 설정오류, 권한설정 실패 등 사용자의 잘못으로 인해 발생하는 사고가 거의 대부분이기 때문에 내부자에 의한 위협을 낮추는 것이 매우 중요하다.

포스포인트의 경우 내부자 위협 방지 솔루션 ‘FIT(Forcepoint Insider Threat)’를 이용해 지능적이고 정교한 위장공격까지 막는다. ‘인간중심 보안’이라는 원칙으로 설계한 FIT는 모든 시스템과 엔드포인트, 애플리케이션에서 사용자의 행위를 분석하고 위협 점수를 매겨 관리하게 하며, 사용자 행위를 기록해 사후 감사자료로 사용할 수 있게 한다.

사용자별, 부서별 업무특성을 감안한 이상행위 탐지와 피어그룹 행위 비교 등을 통해 사용자 행위의 위험도를 수치화·시각화해 사용자 위협을 사전에 인지할 수 있게 한다. IT 전문성 없어도 쉽게 사용 가능하며, 사고 시 조사 가능한 포렌식 정보를 제공해 사고조사 전문성을 높인다.


 

📰 데이터넷
김선애 기자 iyamm@datanet.co.kr

원문 = http://www.datanet.co.kr/news/articleView.html?idxno=164568

 

(주)피앤피시큐어

대표이사   박천오

대표번호   1670-9295          영업문의   sales@pnpsecure.com

사업자등록번호   107-86-44093

서울특별시 강서구 마곡서로 182(마곡동, 피앤피스테이션)


Copyright ⓒ 2023 pnpsecure All rights reserved. |개인정보 처리방침