cyber security concept

액세스 제어 시스템의 사이버 보안을 보장하는 방법

취약점 파악 및 해결

사이버 보안: 건물 및 기타 물리적 공간에 대한 무단 침입을 방지하는 액세스 제어 시스템을 생각할 때 가장 먼저 사이버 보안을 떠올리는 사람은 많지 않습니다.

하지만 액세스 제어 시스템이 처리하는 데이터는 중요한 정보로, 반드시 보호해야 합니다. 카드 복제부터 전면적 네트워크 공격에 이르기까지 다양하게 존재하는 위협은 사람과 건물뿐 아니라 기업 네트워크 전체를 위험에 빠뜨릴 수도 있습니다.

많은 조직이 이러한 보안 격차를 해소하고 물리적 보안과 네트워크 보안 운영 사이의 사일로를 제거하고자 노력하고 있으며, 이는 어쩌면 당연한 일입니다. Gartner(1)에 따르면 2025년까지 사이버 보안과 물리적 보안을 일부 통합할 계획이라 밝힌 기업은 전체의 41%였으며, 2020년 이 수치는 10%에 불과했습니다.

액세스 제어에서 사이버 보안이 중요한 이유

특정 영역에 대한 액세스 권한을 부여할지 여부를 결정하는 과정에서 자격 증명, 리더, 컨트롤러, 서버, 소프트웨어 클라이언트 등 다양한 구성 요소를 통해 중요 데이터가 이동합니다. 이와 같은 전체 체인을 보호하지 않을 경우 공격과 데이터 유출에 취약해집니다.

게다가 공격은 실제로 심각한 결과를 초래할 수도 있습니다. 이러한 결과는 매년 발표되는 놀라운 수준의 비용 추정치를 훌쩍 뛰어넘는 대규모 악영향을 미칩니다. 액세스 제어 시스템에 침해가 발생하면 공격자는 제한된 영역에 액세스하고, 알람을 비활성화하고, 권한을 변경하고, 기업의 기밀 정보를 훔칠 수 있습니다.

액세스 데이터를 보호한다는 것은 곧 기밀성과 무결성, 가용성을 보장한다는 것을 의미합니다. 하지만 많은 조직이 물리적 보안과 사이버 보안을 별개의 영역으로 취급하고 있으며, 그 결과 전체 정보 시스템을 포괄적으로 파악하는 데 어려움을 겪고 있습니다. 따라서 취약점을 발견하기가 어려워지고, 취약점을 해결하기는 훨씬 더 어려워집니다.

액세스 시스템 보안 관련 장애물

사이버 보안에 대한 의식은 높아지고 있지만, 액세스 제어 시스템의 사이버 보안을 강화한다는 것의 의미를 명확하게 이해하는 사람은 그리 많지 않습니다. 표준이 등장했습니다. NIST 800-53 또는 TÜVIT와 같은 인증도 등장했습니다. 이러한 발전은 반가운 일이지만, 전체 문제를 해결하기에는 충분하지 않습니다.

액세스 시스템을 보호한다는 것은 그저 개별 구성 요소의 무결성을 평가하는 것 이상을 의미하기 때문입니다. 그보다는 정보가 하나의 구성 요소에서 다른 구성 요소로 이동하는 방식을 조사하고 이를 통해 위험이 발생할 수 있는 영역을 확인하는 것을 의미합니다. 직원 신원 및 인증 권한에 대한 중요 정보는 어떻게 자격 증명에 프로비저닝되나요? 어떻게 저장되고 관리되나요?

이러한 유형의 위험을 평가하기 위해서는 암호화 프로토콜 및 알고리즘에 대한 기본 지식과 운영 체제, 활성 디렉터리, 데이터베이스와 같은 도메인 전반에 걸친 심층적 지식이 필요합니다. 따라서 여러 팀과 내부 전문가의 긴밀한 협력이 필요합니다.

사이버 보안을 최우선 순위로

그렇다면 액세스 제어 시스템의 사이버 보안을 보장하는 방법은 무엇일까요? 이에 대한 자세한 내용은 온디맨드로 확인할 수 있지만, 간단히 말하자면 환경에 따라 다양하게 나타납니다. 그리고 보통은 단계적으로 진행됩니다. HID의 경우 “좋음, 더 좋음, 최고” 유형의 프레임워크로 시작하여 추가 업그레이드 및 개선을 진행하기 전에 기준선을 설정하는 것을 권장합니다.

다음은 액세스 제어 시스템을 구성하는 여러 부분의 모습입니다.

취약한 영역: 자격 증명 

  • 목적: 액세스 제어 데이터를 안전하게 저장합니다.
  • 13.56MHz 기술 카드로 기준선을 설정합니다. 암호화를 통해 카드에 저장된 데이터를 보호해야 합니다(모범 사례: AES 128). 인증 프로세스 중 카드에서 리더로 전송되는 데이터 역시 마찬가지입니다. 
  • 키 관리 정책을 배포하여 보안을 강화합니다. 또한 제3자의 침투 테스트 및 인증을 취득한 솔루션을 찾아봅니다.

취약한 영역: 리더  

  • 목적: 자격 증명을 처리하여 컨트롤러로 전송합니다.
  • 13.56MHz를 지원하고 암호화 키를 저장하는 보안 요소를 갖춘 리더로 기준선을 설정합니다.
  • 리더와 컨트롤러의 안전한 통신 채널을 제공하는 솔루션을 선택하여 보안을 강화합니다. 구성 카드보다는 공인 유지보수 애플리케이션을 통해 업데이트 및 업그레이드를 관리합니다.

취약한 영역: 컨트롤러

  • 목적: 리더 및 카드와 인터페이스로 접속하여 사용자의 권한이 구역 접근을 허용해도 좋은 수준인지 판단합니다.
  • 안전한 변조 방지 인클로저에 컨트롤러를 설치하는 기준선을 설정합니다. 안전한 전용 VLAN에 연결하고 다른 모든 인터페이스(예: USB, SD)를 비활성화합니다. 모든 기본 구성을 제거하고 펌웨어와 패치를 언제나 최신 상태로 유지합니다.
  • 승인된 IP 주소만 컨트롤러에 연결할 수 있도록 허용하여 보안을 강화하고, 암호화를 통해 미사용 및 전송 중 데이터를 보호합니다. 

취약한 영역: 액세스 제어 서버 및 클라이언트

  • 목적: 시스템의 기본 데이터베이스 및 관리 콘솔 역할을 하며, 활동을 기록하고 조직의 설정 변경 및 조정을 지원합니다.
  • 안전한 전용 VLAN에서 서버와 클라이언트를 호스팅하여 기준선을 설정합니다. 투명한 CVE(Common Vulnerabilities and Exposures) 보고 기능을 제공하고, ISA/IEC 62443-4-1과 같은 SDLC(Secure Software Development Lifecycle) 표준을 준수하는 솔루션을 선택하고, 소프트웨어 및 운영체제 패치를 최신 상태로 유지합니다.
  • 미사용 데이터와 전송 중 데이터를 암호화하고 사용자 지정 TLS 인증서를 배포하여 보안을 강화합니다.

확립된 프로토콜이 있더라도 구현 중 작은 실수가 큰 결과로 이어질 수 있습니다. 따라서 모범 사례와 제조업체의 권장 사양을 확인하는 것이 중요합니다. 최종적으로 액세스 제어 아키텍처는 광범위한 네트워크 및 IT 아키텍처와 원활하게 작동해야 합니다. 따라서 액세스 시스템을 보호하는 것은 운영 효율성을 향상하고 광범위한 IT 전략을 간소화할 수 있는 기회이며, 동시에 위험을 축소할 기회이기도 합니다.

액세스 제어 보안은 쉽지 않은 일입니다. 하지만 혼자 할 필요는 없습니다! 웨비나에 참여하여 사이버 보안 전략을 강화하여 진화하는 위협으로부터 조직을 보호할 수 있는 방안에 대한 실질적 인사이트를 얻어보세요.

1. Emerging Trend: Convergence of Cyber and Physical Security – Harnessing the Disruption Opportunity. 2022년 2월 22일

Related Posts