개요

간단히 요약해보자. IBM은 고객 조직에서 어떤 데이터를 보호할 필요가 있는지 검색하고, 이런 데이터에 대한 액세스를 보안 설정하고, 데이터 암호화 기술을 제공하고, 정보 라이프사이클 내내 적절한 개인정보 보호정책의 통제 수단을 마련하도록 도와주는 IBM 하드웨어 플랫폼을 위한 포괄적인 일련의 정보 보호 기능을 제공한다. 그 밖에도, IBM은 고객에게 강력하면서도 유연한 분석 도구, 실시간 감사 도구 및 보고 도구를 제공한다.

위로

IBM System z를 위한 정보 보호

Fortune 1000에 선정된 회사 중 95%가 비즈니스 데이터를 IBM System z®에 저장하는 것으로 추정된다. 고급 비즈니스 연속성 기능, 보안, 트랜잭션 무결성, 확장성, 동적 워크로드 밸런싱 기능 및 액세스 제어와 보호를 위한 강력한 도구와 같이, 비즈니스에 초점을 맞춘 IBM System z®의 다양한 기능들 덕분에, System z 플랫폼은 비즈니스에 핵심적인 정보를 저장하고 처리하기 위한 탁월한 선택으로 손꼽히고 있다.

하지만, 조직에서는 산업, 재무 및 규정상의 가이드라인을 준수하여 책임 있는 자세를 보이고, 데이터 액세스에 관해 누가, 무엇을, 언제, 어디서, 어떻게 했는지에 대한 질문에 답할 수 있어야 한다. 조직이 준수해야 하는 국가 및 주 단위의 법률가 규정 외에, 전 세계적 차원에서 지켜야 하는 규정도 존재한다. 사베인스-옥슬리 법안(SOX), 결제카드 산업 데이터 보안 표준(PCI DSS), 연방 정보보안 관리법(FISMA), 건강보험 양도 및 책임에 관한 법안(HIPAA), Basel II 및 미 상원 법안 1396호는 조직이 준수해야 할 규정의 몇 가지 예에 불과하다. 연구 결과, 회사의 기업 지배 구조에 대한 인식 수준은 자본 조달 비용뿐 아니라, 회사 주가에도 영향을 줄 수 있는 것으로 밝혀지고 있다.

이번에는 z/OS에서의 감사 및 준수에 초점을 맞춰 System z 플랫폼에서의 정보 보호를 면밀히 살펴보자.

위로

z/OS에서의 감사 및 IBM 데이터 서버

RACF는 z/OS에 대한 업계 표준 보안 제품으로서, z/OS용 데이터 서버 상의 보안 자산에 대한 액세스 보호에 탁월한 성능을 발휘한다. 하지만, RACF가 액세스 및 활동 보고에는 거의 아무런 역할도 하지 않는다. 감사 메커니즘에서는 비교적 낮은 오버헤드로 z/OS용 데이터 서버에서 수행되는 활동에 대해 정보를 수집하여 보고할 필요가 있다. 감사에서는 보안 정책이 적용되지 않는다. 따라서 강력한 보안 구현을 위해 RACF 기반 보호와 감사 지원이 모두 필요하다. 감사의 목적은 프로덕션 데이터의 부적절한 액세스와 사용을 식별하기에 알맞은 통제 장치가 마련되어 있는지 확인하는 것이다. 감사에서 액세스 패턴을 적용하거나 보안을 구현하지는 않지만, 액세스가 이루어진 후 사용자 활동 분석에 사용되는 포렌식 정보를 제공한다. 기억해야 할 핵심 사항은 감사 솔루션이 데이터 또는 다른 데이터베이스 자원에 대한 액세스를 보호하기 위해 하는 일은 아무 것도 없다는 점이다.

위로

권한 있는 사용자 문제

z/OS 상의 DB2 및 IMS를 포함한 모든 데이터베이스 관리 시스템(DBMS)을 지속적으로 양호한 상태로 유지하기 위해서는, 시스템 및 데이터베이스 관리자가 정기적으로 많은 활동을 수행해야 한다. 이런 활동들은 RACF와 같은 외부 보안 프로세스에 의해 적절히 제어할 수 있지만, 이런 프로세스가 사실상 만연해 있고 보안 정책에 반하는 방식으로 사용될 수 있다. 한 가지 가능한 시나리오를 인용하자면, DB2 테이블에 상주하는 중요한 데이터가 있고, IMS 또는 IBM CICS®와 같이 이 테이블에 액세스하는 애플리케이션은 RACF로 잘 보호되고 있다. 데이터베이스 관리자는 CICS 애플리케이션을 실행할 RACF 권한이 없지만, 테이블을 관리하기 위한 데이터베이스 관리 권한(DBADM)은 있다. 데이터베이스 관리자는 테이블에 대해 UNLOAD 유틸리티를 실행하여 테이블에 포함된 모든 데이터를 추출한다. 그런 다음, 데이터베이스 관리자는 어떤 메커니즘을 통해 외부 엔티티(FTP, 플래시/USB, 스프레드시트에 대한 CSV 등)로 그 데이터를 전송할 수 있다. 사용자가 해당 테이블에 대해 특별한 권한이 있으므로, RACF에서 보고하는 보안 위반의 증거가 없을 것이다.

반면에, 감사 솔루션으로 환경을 보호하면 권한은 부여되었지만 문제가 되는 이런 특별한 권한의 사용에 대해 보고하는 메커니즘이 있을 수 있다. 감사 콜렉션을 위한 한 가지 권장 사항은 권한 있는 사용자에 대한 SQL 또는 유틸리티 액세스를 모니터하는 것이다. 역으로, 일정한 시간 내에 하나 또는 둘 모두의 이벤트 클래스를 찾아 각각의 유틸리티 이벤트를 모니터하거나 결합하는 방법을 선택할 수도 있다. 그래서 데이터베이스 관리자가 정상 영업 시간 중에 감사 대상 테이블에 액세스하는 것이 허용될 수 있지만, 정상 영업 시간 외에 비정상적인 액세스 패턴을 찾기 위한 감사 매개변수를 설정할 수 있다. 이 모든 시나리오에서의 문제점은 이런 권한의 성격상 권한 있는 사용자에게 잘 보호된 애플리케이션 환경을 사용하는 것 이외의 방법으로 DB2 및 IMS 자원과 데이터에 액세스할 수 있는 능력이 주어진다는 점이다. 이는 데이터에 대한 무제한적인 액세스를 제공하고 정상적인 트랜잭션 레벨 RACF 보호를 뚫는 효과가 있다. 권한 있는 사용자에게 권한이 부여된 DBMS 환경에서는 이런 권한 있는 사용자의 ID를 올바로 제어한 상태에서 수행되는 활동을 추적하고 기록할 메커니즘이 있어야 한다.

위로

역할 분리

신뢰할 수 있는 사용자의 활동을 감사하는 데 사용되는 모든 메커니즘은 권한 있는 사용자가 감사 데이터의 콜렉션을 방해하거나 감사 데이터의 소스를 훼손하지 못하도록 하는 방식으로 구현되어야 한다. z/OS용 데이터 서버에 대한 감사 메커니즘에서는 직무의 필수적 분리 상태를 유지하여, 결과적으로 감사 데이터 무결성과 더 정확한 보고서를 보장해야 한다. 이를 통해 데이터베이스 관리자는 고유의 직무를 수행하고 감사자는 데이터베이스 관리자와는 독립적으로 감사 보고서를 실행할 수 있으므로, 결국 더욱 쉽고 정확하게 감사할 수 있다. 감사자는 모니터 대상 직원의 도움에 의존하지 않고 공표된 산업 표준과 외부 감사 기준을 준수할 수 있는 능력이 있어야 한다.

위로

Guardium for z

Guardium for z를 사용하는 감사자는 데이터 액세스를 위해 많은 수의 소스로 이동할 필요도, DB2 또는 운영 체제에 대한 사용자 ID를 가질 필요도 없다. 그냥 Guardium에 로그인하면 감사 가능한 모든 대상에 대한 완전한 정보를 얻을 수 있다. 감사자는 중앙 저장소에서 모든 DB2 인스턴스에 대해 수집된 데이터를 표시하거나 관심 있는 DB2 인스턴스만 표시할 수 있다. 중앙 저장소에서는 데이터베이스 관리자의 개입 없이 감사자의 통제에 따른 강력한 레벨의 이벤트 보고뿐 아니라 감사 이상 및 드릴다운 기능(한 번에 한 계층씩)의 상위 레벨 추세 분석을 포함하여, 데이터의 보고, 제도적 통제 및 요약을 위한 단일 소스를 작성한다. 보안 감사 데이터는 데이터베이스 관리자와 권한 있는 다른 사용자를 포함한 그 누구도 수정할 수 없도록 잠긴 상태로 무단 변경이 금지된 감사 저장소에 있어, 직무 분리를 뒷받침하고 핵심 감사 요구사항을 충족시킨다. 감사 데이터가 Guardium for z와 같이 강화된 환경에 있을 때, 조직에서는 더욱 효과적으로 액세스를 제어하고 감사 데이터를 보호할 수 있다.

많은 조직의 경우, 포괄적인 감사 환경에는 단순히 데이터를 수집, 저장, 제공 및 보고하는 메커니즘보다 훨씬 다양한 메커니즘이 필요하다. 오늘날 대다수 고객들은 다양한 하드웨어, 운영 체제 및 데이터베이스 관리자가 혼재된 이기종 DBMS 환경에 대한 지원을 요구한다. 효과적인 감사를 위해서는 단일 창 보기에 이렇듯 다른 환경들로부터의 데이터를 결합해야 한다. 더 큰 이기종 구현의 일부인 Guardium은 추가적인 지원을 제공하여 수많은 공통 감사 및 보고 요구사항을 충족시킬 뿐 아니라, 훨씬 더 강력한 기능을 제공한다. Guardium은 SLA와 성능에 영향을 주지 않고, 데이터베이스나 애플리케이션을 변경할 필요도 없이 다음과 같이 다양한 모니터링 및 경보 요구사항을 충족시키는 데 도움이 된다.

• 전자 사인오프, 단계적 확대 및 설명에 대해 준수 보고서를 감시팀에 자동으로 배포하는 워크플로우 자동화로 준수 프로세스를 간소화한다.
• 증가된 워크로드와 추가 애플리케이션 및 데이터 센터 위치를 처리하기 위해 손쉽게 성장하는 확장 가능한 다중 계층 아키텍처를 제공한다.
• 데이터베이스 스키마 및 데이터에 대한 무단 변경을 예방한다.
• 승인된 변경 티켓을 데이터베이스 관리자가 구현한 실제 변경 내용과 비교하여 자동 변경 제어 조정의 구현을 고려한다.
• SOX, PCI, HIPAA 등의 규정과 표준을 위해 미리 구성된 수백 개의 보고서와 정책이 포함된 모범 사례 라이브러리는 물론이고, 사용자 정의 보고서 및 정책을 작성하기 위해 사용하기 쉽게 끌어서 놓는 방식의 "빌더"를 제공한다.

고객 조직에서는 잠재적 위협에 대해 거의 실시간으로 경보를 받으므로 한발 앞서 대처할 수 있다. Guardium for z를 사용하면 이런 위협을 사전에 예방할 수 있는데, 뒤늦게 대응할 이유가 없다.

위로

결론

IBM의 z/OS용 Information Management 정보 보호 솔루션은 데이터의 위치, 데이터를 사용하고 있는 사람, 데이터 사용 시간에 상관없이, 비즈니스 위험을 관리하고 데이터 보안 침해의 위협을 줄이는 데 도움이 되는 포괄적인 엔드 투 엔드 기능을 제공한다. IBM은 고객 조직이 확고한 통제권을 되찾고 더욱 안전해지기 위해 S.A.F.E.R.를 실행할 방법을 찾도록 도와드릴 수 있다.

참고자료

교육

• IBM의 z/OS용 Information Management 정보 보호 솔루션이 데이터 침해와 보안 노출 위협을 줄이는 데 어떤 도움이 될 수 있을지 알 수 있다.
  
  
• "IMS at 40: Stronger than Ever", IBM 데이터베이스, 2008년 10월.
  
  
• "A Board Culture of Corporate Governance", Corporate Governance International Journal, 제6권, 제3호, 2003년 7월.
  
  
• IBM System z cryptographic function에 대해 자세히 알 수 있다.
  
  
• developerWorks 기술 행사 및 웹 캐스트를 통해 다양한 IBM 제품 및 IT 산업 주제에 대한 최신 정보를 얻을 수 있다.
  
  
• 무료 developerWorks Live! briefing을 통해 최신 IBM 제품 및 도구에 대한 정보뿐만 아니라 IT 업계의 최신 경향까지도 빠르게 확인할 수 있다.
  
  
• Twitter의 developerWorks 페이지를 살펴보자.
  
  
• developerWorks on-demand demos에서는 입문자를 위한 제품 설치 및 설정부터 숙련된 개발자를 위한 고급 기능까지 망라된 다양한 데모를 제공한다.
  
  

제품 및 기술 얻기

• 자신에게 가장한 적합한 방법으로 IBM 제품을 평가해 보자. 시험판 제품을 다운로드하거나, 온라인으로 제품을 사용해 보거나, 클라우드 환경에서 제품을 사용하거나, SOA Sandbox에서 SOA(Service Oriented Architecture)를 효과적으로 구현하는 방법을 배울 수 있다.
  
  

토론

• My developerWorks 커뮤니티에 참여하자. 개발자가 운영하고 있는 블로그, 포럼, 그룹 및 위키를 살펴보면서 다른 developerWorks 사용자와 의견을 나눌 수 있다.
  
  

필자소개

아티클 순위

의견

위로

목차

• 개요
• IBM System z를 위한 정보 보호
• z/OS에서의 감사 및 IBM 데이터 서버
• 권한 있는 사용자 문제
• 역할 분리
• Guardium for z
• 결론
• 참고자료
• 필자소개
• 의견