SaaS공급자에게 확인해야 할 7가지

Cover Story

Q 2. 사인-온, 접근, 인증 정책들은 어떤 것인가?

인터넷을 통해 애플리케이션에 접근하는 가장 일반적인 방법은 분명 사용자 이름과 패스워드 사용일 것이다. 계정연합 소프트웨어(Identity federation software) 제조사 핑 아이덴티티(Ping Identity)의 기술 총책임자 패트릭 하딩(Patrick Harding)은 “일반적인 방법은 그것의 정문으로 가는 것이다”라고 말했다.

그러나 보다 많은 기업들이 SaaS 사인-인(Sign-in) 프로세스를 그들의 방화벽이나 VPN 영역에 넣기 위해 더 높은 인증 정도를 제공하는 서비스 공급자와 함께 작업하고 있다. 그러나 사용자가 문제의 애플리케이션에 사인 온하기 전에 사용자 이름이 먼저 안전하게 회사의 기업 인트라넷에 로그인 되어야만 한다. 이것은 그 로그인이 기업의 보안 정책을 따르고 있다는 것을 보장한다. 또한 어떤 직원이 퇴사할 경우 보다 쉽게 해당 계정 접근을 사용할 수 없게 할 수 있다.

포레스터 리서치의 애널리스트 리즈 허버트(Liz Herbert)는 이것이 효과적으로 기업의 내부 IT 부서의 손에 접근 정책을 돌려준다고 말했다. 그녀는 “기업은 패스워드 정책을 갖고 있어야만 한다. 그러나 때때로 같은 규칙으로 SaaS 애플리케이션을 관리할 수 없는 경우가 있다”고 말했다. 그녀의 말에 따르면 SaaS 사인-인(sign-in) 프로세스가 싱글사인온 프로세스와 결합될 수 있는지, 또는 액티브 디렉토리와 같은 LDAP 디렉토리 서비스와 통합될 수 있는지의 여부를 주의해야 한다(‘Single Sign-on’ 참고).

프로젝트 관리와 비즈니스 기능을 처리하기 위해 SaaS를 사용하고 있는 Ebiztechonline의 최고경영자 Adam Sroczynski는 “이 점 때문에 내가 거부했던 웹 기반 애플리케이션들을 자세히 살펴보고 있다”고 말했다. Sroczynski의 가장 큰 고민은 사용자 이름과 패스워드를 적절히 보호하기 위한 SaaS 공급자의 정책들이다. 만일 적당한 공식적인 방안이 없었더라면 세일즈포스닷컴과 같은 침해가 더 많이 발생했을 것이다.

사람의 잘못된 판단에 관한 잠재적인 위험들을 감소시키기 위한 적절한 보안 수단을 내부적으로 갖춰놓지 않았기 때문이다. 사업체들은 그들 스스로 이러한 프로세스의 통제 유지를 고민해야만 한다고 그는 제안했다. 그러나 그것은 패스워드가 분실될 경우 SaaS 공급자가 고객을 대표해서 그것을 복구하는 위치가 될 수 없다는 의미이기도 하다.

[Single Sign-on]

하나면 충분!

싱글사인온이 접근 통제를 단순화한다.

일반인이 관리할 수 있는 계정 비밀번호는 몇 개나 될까?

Ebiztechonline의 최고경영자 Adam Sroczynski는 싱글사인온(Single sign-on)이라는 보물은 로그인 한 번으로 다중 애플리케이션 사용을 가능케 해주며 SaaS 계정으로의 이동을 가속화시키는 존재라고 말했다.

Ebiztechonline은 TriCipher의 새로운 온디멘드 싱글사인온 소프트웨어 myOneLogin의 초기 사용 고객이다. Sroczynski는 한 사람이 기억해야 하는 패스워드가 많아질수록 적어도 그 중 하나가 분실되거나 손상될 기회도 많아진다고 말했다.

개인 어시스턴트 서비스를 제공하는 SaaS 공급자 Rearden Commerce의 플랫폼 서비스 책임자 척 모티모어(Chuck Mortimore)는 싱글사인온이 접근 통제와 인증을 IT 부서의 손안에 되돌려 준다며 “이것은 매우 중요하다. 이것은 이미 그들이 관리해왔던 정보의 걱정꺼리를 한 세트로 묶어주는 것”이라고 말했다.

Ping Identity의 기술 총책임자 패트릭 하딩(Patrick Harding)은 또한 어떤 직원이 퇴사했을 경우 싱글사인온으로 더욱 간단히 신속하게 접근을 못하게 할 수 있다고 말했다. 그는 “더불어 회사가 필요하다고 느낄 경우 어떤 인증이든 추가할 수 있다. 인증이나 토큰처럼 이미 기존에 가지고 있던 것을 재사용할 수도 있다. 이것이 SaaS 공급자의 짐을 덜어준다”고 덧붙였다.

<글·헤더 클랜시(Heather Clancy)>

[정보보호21c (info@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)

SaaS공급자에게 확인해야 할 7가지 - 사인온, 접근, 인증