ITPE Momentum

SSO(Single Sign-On)

[정의] 한 번의 시스템 인증을 통하여 여러 정보시스템에 재인증 절차 없이 접근할 수 있도록 하는 통합 로그인 솔루션

[구성요소] 사용자, 인증 서버(ACL(Access Control List)을 통한 통합 인증 서버), SSO Agent(각 정보시스템에 자동인증 정보), LDAP(네트웍상의 자원을 식별하고, 사용자와 Application이 자원에 접근할 수 있도록 하는 네트워크 디렉토리 서비스)

[기술요소]
-인증 : PKI(비대칭키(공개키, 비밀키) 기반의 인증 및 암호화), 생체인식, OTP.
-관리 : LDAP(X.500을 근거로 한 디렉터리 데이터베이스에 접속하기 위한 통신규약), 쿠키.
-암호화 통신 : SSL, IPSec.
[구축유형]
-인증대행 모델(Delegation) : 인증방식을 변경하기 어려울 때 많이 사용됨. 애플리케이션 인증 정보를 에이전트가 관리해 사용자 대신 로그온 해주는 기능. ID/Password의 집중화로 유출 시 큰 피해 우려. C/S나 패키지 소프트웨어도 SSO통합가능.(C/S방식, 패키지 소프트웨어, ERP 시스템)
-인증정보 전달 모델(Propagation) : 통합 인증을 수행하는 곳에서 인증을 받아 대상 애플리케이션에 전달한 Token을 발급. 웹 환경 에서는 쿠키를 이용해 Token을 자동으로 대상 애플리케이션에 전달.(웹 기반에서 구현되는 대부분의 시스템)

EAM(Extranet Access Management)

[정의] 다양한 응용 플랫폼 환경에서 효과적인 통합인증 (SSO)환경과 이를 기반으로 통합된 권한 관리(Access Contol)시스템을 구축하기 위한 접근제어 시스템.

[특징] EAM = SSO + 권한관리 + 자원관리 기능 + 보안정책 수립지원 기능.
[동작원리] 

[구성요소]
-Clients(사용자) : 다양한 사용자 층에게 인터넷(Extranet) 기반으로 서비스 제공
-Authentication(인증/SSO) : SSO 기반, 로그인(ID/PASSWORD)기반, PKI 인증서 기반 사용자 인증
-Authorization(권한관리) : ACL (Access Control List) 기반 권한 관리와
PMI(Privilege Management Infrastructure) 기반 권한 관리 방식. 사용자별/서비스별/역할별 접근제어 기능.
-Legacy System(접근시스템) : 그룹웨어, ERP, KMS 등 다양한 기간 시스템 및 응용.

IAM(Identity Access Management)

[정의] 조직이 필요로 하는 보안정책을 수립하고 정책에 따라 자동으로 사용자의 계정과 권한을 관리하는 솔루션

[개념] 3A(Authentication, Authorization, Administration)에 Provisioning 기능을 포함한 포괄적인 의미의 IM(Identity Management) 솔루션
[프로세스] SSO(통합인증) ->(AAA) -> EAM(전사 접근제어) ->(AAA+Provisioning) -> IAM (통합관리,자동화)
[구성도 및 주요기능] 

-인증(Authentication) : 통합인증(SSO: Single Sign On). PKI, 생체인식 등 다양한 인증방법. 중앙처리
-권한부여(Authorization) : 기업의 일관된 정책을 유연하게 반영하도록
RBAC(Role Based Access Control)기반 접근권한관리 체계.
-관리(Administration) : 통합적인 Logging, 감시 리포팅. 모든 3A 기능을 관리할 수 있는 일원화된 관리.
-Provisioning : 정책기반 인증, 권한 자동생성관리. 사용자 역할/규칙에 맞는 보안요소 식별.
자동화된 프로세스로 각 업무 시스템 계정을 통합적으로 관리.
-Audit : 중앙통제, 감시강화, 평가.
-연합서비스(Federation Service) : 외부시스템과의 정보공유를 위한 보안환경 제공.
계정관리 Infrastructure 를 외부 환경으로 확장지원.
-디렉토리 서비스(Directory Service) : 계정 및 접근제어는 사용자 관련정보를 포함하며 디렉토리에 저장됨. 프로파일 및 정책등과 같은 공유정보를 관리.

[정의] 유럽의 개인에 대한 개인 정보 보호권 및 개인 정보의 자유로운 이동 보장을 위해 유럽연합 (EU)가 제정한 국제규정

[필요성] EU 권역내 개인정보의 자유로운 이동 보장, 일관성 있는 개인정보보호체제 확립

[주요골자]

① EU 역내 국민의 개인정보를 처리하는 역외 기업에게도 적용
② 중대 사항 위반 시 최대 전년도 글로벌 매출액의 4%까지 벌금이 부과
③ 개인정보처리 기준을 매우 향상
④ 정보주체인 개인의 권리를 확대하기 위해 데이터 삭제권과 이동권 등을 법제화

[GDPR 의 개인 정보처리 원칙] 적법성, 목적제한, 정보처리 최소화, 정확성, 기간제한, 기밀성/무결성, 책임성

[주요내용]
1) 적용대상 : 개인정보, 가명화정보, 민감정보
2) 적용범위 : 물리적범위(DB, 컴퓨터기반 파일링 시스템 등), 지리적 범위(EU역내/EU역외)
3) 적용대상주체 : EU 역내 거점을 둔 사업장(자회사, 지점, 판매소, 영업소 등), EU 역외 거점을 둔 사업장
4) 주요원칙 : 개인정보의 처리원칙(적법, 공정, 투명성, 목적제한, 개인정보처리 최소화), 동의(구체성 추가. 진술 적극적 행동 등), 아동 개인정보(만 16세 미만시 친권자 동의), 민감정보(법률적 이유 제외하고 원칙적으로 처리금지)

[DPO(Data Protection officer)] 개인정보보호책임자 지정

[컨트롤러] 개인정보의 처리 목적 및 수단을 단독 또는 공동(jointly)으로 결정하는 자연인, 법인, 공공기관, 에이전시 기타 단체 ≒ 개인정보 위탁자

[의무] 개인정보 처리의 성격, 범위, 목적, 위험성 등을 고려하여 GDPR 준수 하에 개인정보 처리가 수행되고 있다는 것을 보장. 컨트롤러는 개인정보에 관한 모든 1차적인 책임을 짐

[공동 컨트롤러] 둘 이상의 컨트롤러가 공동으로 개인정보 처리의 목적과 수단을 결정하는 경우.

[프로세서] 컨트롤러를 대신하여 개인정보를 처리하는 자연인, 법인, 공공기관, 에이전시, 기타 단체. 컨트롤러의 명령으로만 개인정보 처리 ≒ 개인정보 수탁자
[의무]
1)컨트롤러의 서면승인: 컨트롤러의 사전적/구체적 또는 일반 서면 승인 없이 다른 프로세서를 추가할 수 없음.
2) 프로세서의 사용: 개인정보의 처리가 GDPR 의 요구사항을 준수하고 정보주체의 권리의 보호를 보장하는 방식으로 적절한 기술적, 조직적 조치의 이행을 보증하는 프로세서만을 이용
3) 문서화 된 지시사항: 원칙적으로 문서화된 지시사항에 의해서만 처리
4) 기밀 준수, 보안조치, 컨트롤러 권리 보장, 개인정보 폐기, GDPR 준수 입증 등
5) 공동 프로세서: 만약 다른 프로세서가 개인정보 보호의무를 이행하지 않을 경우 프로세서는 다른 프로세서의 의무이행에 대해 컨트롤러에게 전적으로 책임.
[특징] 프로세서가 처리의 목적 및 수단을 결정함으로써 GDPR을 위반하는 경우, 해당 처리에 관해 컨트롤러로 간주.

[EU GDPR의 기업 대응방안 및 EU GDPR 적정성 평가]

[정의] 국가마다 서로 다른 정보보호시스템 평가 기준을 연동하고, 평가 결과를 상호 인증하기 위해 제정된 정보보안 평가기준,국제표준

[표준 구성]
Part1(cc 소개 및 일반모델) :  공통평가기준에 대한 소개부분. IT보안성 평가의 원칙과
일반 개념을 정의. 평가의 보편적인 모델 제시.
Part2(보안기능 요구사항) : TOE(Target of Evaluation:평가제품)에 대한 기능요구
정립 표준이 되는 기능컴퍼넌트의 집합.  패밀리 및 클래스로 구성.
Part3(보증 요구사항, EAL 단계별 요구사항) : 보호프로파일 및 보안목표명세서에 대한
평가기준 정의, 7 개 등급 보증패키지를 제시.

[특징] 평가, 보안등급체계, 관련작성 문서, 평가수행지침, 인증서 효력
-평가 : 보안 기능과 보호기능으로 나누어 평가. 각 기능 및 보증 요구는 사용자로 하여금
원하는 보안요구사항을 쉽게 활용 가능한 계층적 구조 정의.
-보안등급체계 : EAL(Evaluation Assurance Level) 부여. EAL 0 : 부적절. EAM 1.0 ~ EAL 7
(정형적으로 검증된 설계 및 시험평가 보안 등급체계)
-관련작성 문서: 보호프로파일(Protection Profile), 보안 목표 명세서(Security Target).
PP : 정보 제품이 갖추어야 할 공통적인 보안 요구사항을 모아 놓은 것.ST : 요구사항을 구현할 수 있는 보안 기능 및 보증 수단 정의.
-평가수행지침 : CEM(Common Evaluation Methodology). 평가진행을 위한 방법론 혹은 프로세스.
-인증서 효력 : CCRA(Common Criteria Recognition Arrangement) 가입시 효력 발생.

[절차] 준비단계(평가제출물), 평가단계(평가보고서), 인증단계(인증서, 인증결과서), 사후관리(보안영향분석서)

[PP와 ST 비교] 그림참조

[cPP(Collaborative Protection Profile)] : 기존 필수대상이 아니었으나 3 등급 이상 상호인증을 위해 필수.
- EAL 등급기반에서 보안지침(cPP) 기반으로 변경되는 제도는 국제용에서부터 적용
- EAL3 이상 인증을 받고자 하는 국내 보안업체들은 cPP 개발 참여가 반드시 필요

이후 2020년에 개정됨