ERP 접근제어로 기업 정보 유출 막는다

[김관용기자] 기업의 핵심시스템인 전사적자원관리(ERP) 애플리케이션을 위한 정보보안 제품이 출시됐다.

인스피언은 4일 서울 서머셋팰리스호텔에서 제품설명회를 열고 SAP ERP 접근제어 솔루션인 '엑스콘(xCon for SAP)'을 소개했다.

엑스콘은 기존의 데이터베이스(DB) 접근제어 제품과는 차별화되는 솔루션이다. 애플리케이션에 대한 접근제어 제품이기 때문에 사용자에 대한 정확한 정보를 바탕으로 접근 권한을 부여한다.

ERP에 저장된 개인정보를 지키는 방법은 사용자와 애플리케이션 서버 사이에서 접근제어를 하는 것과 사용자와 ERP DB 서버 사이에서 접근제어를 하는 방법이 있다. 이 가운데 DB서버 앞단에 대한 접근제어 시스템을 구축할 경우 누가 어디에서 무엇을 했는지에 대한 정보를 알 수 없다.

반면에 사용자와 애플리케이션 서버 사이에서 접근제어를 할 경우 이 같은 정보를 모두 조회할 수 있다.

인스피언 신동하 상무는 "엑스콘은 SAP의 ERP 시스템에 접속하는 사용자와 인터넷주소(IP)별 접근 이력, 업무수행 이력 등의 접근 로그 기록을 관리함으로써 ERP에 저장돼 있는 각종 개인정보를 보호해주는 제품"이라고 설명했다.

◆기업의 내·외부 정보 유출 차단

엑스콘은 SAP ERP 사용자와 애플리케이션 서버 사이에 구축돼 특정 사용자가 로그인에 성공하거나 실패 할 때, 개인정보를 조회할 때, 사용자 암호를 변경할 때, 중요 업무에 접근하거나 오류를 범할 때 등의 다양한 특이사항을 파악한다.

이중 규정 위반사항으로 판단되면 사용자의 접근을 차단하는 기능을 수행한다. 또한 사용자의 로그인을 사용자 ID, IP주소, 시간에 따라 통제할 수 있는 시스템 로그인 통제 기능을 지원한다.

엑스콘은 다양한 통계리포트도 제공해 경영진이나 관리자가 ERP의 보안 상황을 쉽게 파악할 수 있도록 해준다. 통계리포트는 일별 감사와 경고 발생에 대한 추이 정보, 가장 빈번하게 사용되는 애플리케이션 정보, 가장 많은 업무를 수행하는 조직 등의 시스템 운영 현황 정보를 제공한다.

최정규 인스피언 대표는 "다년간의 SAP ERP 구축 노하우와 컨설팅을 바탕으로 기업들의 보안 요구를 반영해 이번 제품을 개발했다"며 "SAP 세션 통제 기능과 로그 검색 기능을 강화한 2.0버전을 출시해 관련 사업을 대대적으로 확대할 계획"이라고 말했다.

◆ERP 보안 왜 중요할까?

EPR는 기업의 재무와 인사, 판매 등 모든 자원을 통합 관리하는 시스템이어서 업무처리를 위해 주민번호, 계좌번호, 외국인등록번호, 카드번호, 주소, 연락처 등 다양한 유형의 개인정보를 포함하고 있다. 특히 ERP에는 해당 기업 임직원들의 인사평가와 급여 등 민감한 인사정보가 보관돼 있다.

최근에는 ERP가 기업의 내부 시스템으로만 사용되는 것이 아니라 고객관계관리(CRM), 공급망관리(SCM) 등 각종 기업 애플리케이션들과 상호 유기적으로 연계되는 추세다.

따라서 이같은 정보가 유출될 경우 해당 기업 뿐 아니라 사회적으로도 큰 혼란을 야기할 수 있다. 하지만 대부분의 기업들은 ERP에 대한 보안은 신경쓰지 않고 있는게 사실.

인스피언에 따르면 서비스업에 종사하는 A사는 ERP에 주민번호를 포함한 개인정보를 6억건이나 보관하고 있으며 금융기업인 B사는 주민번호와 계좌번호 등 1억건의 개인정보를 보관하고 있다.

신동하 상무는 "최근 발생한 카드사 개인정보 유출 사고에서 볼 수 있듯 기업 내부 시스템에 저장된 개인정보도 다양한 경로로 유출될 수 있다"며 "대량의 개인정보를 포함하고 있지만 상대적으로 보안에 소홀한 ERP에 대한 보안이 시급하다"고 강조했다.