안녕하세요, 데이터센터스퀘어입니다.
최근 정부기관과 공공기관, 그리고 다양한 산업군의 기업들이 서버, 스토리지, 백업 시스템, 네트워크 장비, 보안 솔루션, 심지어 개인 PC에 이르기까지 — IT 인프라 전반의 접근 보안을 강화하는 데 공통적으로 집중하고 있는 영역이 있습니다. 바로 2차 인증(다계층 인증) 입니다.
오늘은 이 흐름의 중심에 있는 솔루션, BaroPAM(바로팜)을 소개해 드리려고 합니다. 단순한 신제품 소개가 아니라, 왜 지금 이 솔루션이 “선택”이 아니라 “필수”가 되어가고 있는지, 그리고 유사한 2차 인증 제품들과 무엇이 다른지를 중심으로 정리했습니다.
1. 왜 지금, 다시 2차 인증인가
지능형 랜섬웨어와 해킹 공격이 AI 기반 학습 모델과 결합하면서, 공격 양상이 크게 달라지고 있습니다. 더 이상 시스템을 직접 뚫는 방식이 아니라, 정상 사용자의 계정과 세션 정보를 탈취한 뒤 정상 권한으로 위장해 허가된 경로를 통해 내부망에 침투하는 방식이 주를 이루고 있습니다. 이런 공격 앞에서는 아이디와 비밀번호만으로 구성된 지식 기반 인증 체계는 사실상 무력화될 수밖에 없습니다.
이런 위협에 대응하기 위해 국내 정보보호 관련 규정과 정책들도 빠르게 강화되고 있습니다.
① 개인정보 보호법 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시) 제5조(접근통제)에서는, 정보통신망을 통해 외부에서 개인정보처리시스템에 접속할 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하도록 요구하고 있습니다.
② 전자금융거래법 전자금융감독규정(금융위원회 고시) 제14조는 정보처리시스템의 운영체제 계정으로 로그인할 때 이중인증 절차 시행을, 제17조는 공개용 웹서버에 접근하는 사용자 계정에 대해 업무 관련자로 제한하고 이중 인증수단을 적용할 것을 명시하고 있습니다.
③ 2026년도 국정원 사이버보안 평가지표 국가·공공기관을 대상으로 한 이 평가지표에서는 업무시스템 사용자 인증·점검, 원격근무시스템 로그인 항목이 “다중인증(Multi-factor) 방식 강화”로 전환되며 배점이 2점으로 보강되었습니다. 다계층·이중 인증, 다중 인증 방식이 명확한 평가 대상으로 자리잡은 것입니다.
④ 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) ISMS-P 인증 심사 기준 2.5.3(사용자 인증)에서는 정보시스템과 개인정보 및 중요정보에 대한 사용자 접근에 안전한 인증절차와 필요 시 강화된 인증방식을 적용할 것, 로그인 횟수 제한과 불법 로그인 시도에 대한 통제방안을 수립·이행할 것을 요구합니다. 매출 100억 원 이상 정보통신서비스 사업자, 일평균 이용자 100만 명 이상 사업자, ISP·IDC 사업자, 매출 1,500억 원 이상 상급종합병원, 재학생 1만 명 이상 학교 등이 인증 의무 대상에 해당하며, 공기업과 주요 공공기관도 개인정보 처리 규모와 매출 기준으로 의무 대상에 포함됩니다.
⑤ 정보보호공시 의무 현재 매출 3,000억 원 이상 상장사 등이 대상이지만, 2027년부터는 매출액 기준이 삭제되고 모든 유가증권시장·코스닥시장 상장법인이 공시 의무 대상으로 확대됩니다.
인증을 취득하지 않거나 공시를 이행하지 않은 상태에서 개인정보 유출 등 보안 사고가 발생하면, 최대 3,000만 원(ISMS/ISMS-P)에서 기업 전체 매출액의 최대 10%(중대한 개인정보 유출 시 과징금)에 이르는 제재가 부과될 수 있습니다. 대기업, 공공기관, 금융권 등의 입찰(RFP)에서도 ISMS 또는 ISMS-P 인증을 필수 조건으로 요구하는 사례가 늘고 있습니다.
즉, 2차 인증 도입은 이제 “보안을 잘 챙기는 기업”의 문제가 아니라 법적·제도적 의무 이행의 문제로 옮겨가고 있다는 뜻입니다.
2. BaroPAM이란 — 커널 레벨에서 완성되는 다계층 인증
BaroPAM은 다양한 운영체제와 애플리케이션에 플러그인 형태로 적용 가능한 인증 모듈(PAM, Pluggable Authentication Module) 방식을 기반으로, 정보자산 접근 보안에 최적화된 다계층 인증 체계를 지원하는 솔루션입니다.
핵심은 “제로 트러스트(Zero Trust)” 원칙, 즉 “아무도 믿지 말고, 모든 접근을 매 순간 검증하라(Never Trust, Always Verify)” 는 철학을 시스템의 가장 낮은 단(커널 레벨)에서부터 구현했다는 점입니다.
일반적인 2차 인증 솔루션은 별도의 인증 서버와 DB를 구축하고, 사용자 인증 요청이 이 중앙 서버를 거쳐가는 구조입니다. 반면 BaroPAM은 각 서버나 PC에 인증 모듈을 개별적으로 설치하는 탈중앙화 분산형 구조를 취합니다. 이 방식 덕분에:
- 별도의 인증 서버나 DB 구축이 필요 없어 초기 투자 비용과 운영 부담이 줄어듭니다.
- 인증 서버 장애가 곧 전사 서비스 마비로 이어지는 위험(SPOF, 단일 장애점) 자체가 존재하지 않습니다.
- 통신 장애가 발생하거나 폐쇄망 환경이라도 인증이 가능해, 기존 중앙집중형 솔루션이 적용하기 어려웠던 환경까지 대응할 수 있습니다.
적용 방식도 실무적으로 매우 간단합니다. 각 Windows 또는 서버에 모듈을 설치하는 구조로 적용되며, 서버나 시스템을 재기동할 필요가 없어 운영 중에도 무중단으로 적용할 수 있고, 기존 네트워크 장비의 설정 변경도 필요하지 않습니다.
3. 유사 2차 인증 제품과 무엇이 다른가
시중에는 이미 다양한 OTP·2차 인증 솔루션들이 존재합니다. BaroPAM이 이들과 구분되는 지점은 크게 다섯 가지입니다.
① AI가 학습할 수 없는 구조 — 동적 Seed 기반 휘발성 인증 기존 인증 방식의 가장 큰 약점은 고정된 Seed 값이나 패스워드 패턴을 AI가 수집·학습해 미래의 인증키를 예측할 수 있다는 점입니다. BaroPAM은 서버나 기기에 Seed 값을 저장하지 않고, 인증이 이루어지는 순간에 생성한 뒤 즉시 파기합니다. AI 입장에서는 애초에 “학습할 대상” 자체가 존재하지 않는 셈입니다.
② OS 커널 및 PAM 계층에서 직접 동작 일반적인 보안 소프트웨어는 사용자 공간(User Space)에서 구동되기 때문에, 공격자가 관리자 권한을 확보하면 프로세스를 강제 종료하거나 우회당할 수 있습니다. BaroPAM은 운영체제의 최하단 영역, 즉 OS 커널 및 PAM 계층에서 직접 동작하기 때문에 해커가 프로세스를 강제 종료하거나 인증 절차를 변조하는 것이 원천적으로 불가능한 구조입니다.
③ 이원화된 인증 검증 + 중간자 공격 방어 OS 계정 정보와 PAM 인증키를 이원화하여 검증하는 구조로, 평균 인증 시간 0.01초 이내의 빠른 속도를 보장하면서도 중간자(man-in-the-middle) 공격을 예방하는 기능을 제공합니다. 인증 절차 중 인증 정보가 위변조되더라도 우회 인증이 불가능하며, 자동 로그인 기능을 악용해 계정 정보를 탈취하더라도 로그인 자체가 불가능합니다.
④ 국제 표준 암호 방식 + 금감원 권장 방식 채택 전 세계적으로 인정된 512Bit 표준 해시 함수(HMac-SHA512, 인터넷 보안표준 IETF RFC 6238)를 사용하며, 금융감독원에서 권장하는 Time-Sync 방식과 동적 Secret Key 방식을 함께 지원합니다.
⑤ 이기종 OS 전반을 아우르는 폭넓은 지원 범위 Windows(8.1 이상, Windows Server 2012 R2 이상)는 물론 Redhat, CentOS, Ubuntu 등 다양한 Linux 계열, 그리고 AIX, HP-UX, Solaris, FreeBSD, MacOS 등 Unix 계열까지 지원합니다. C, C++, C#, Java, PHP 등 다양한 개발 언어와 IIS, NodeJS, WAS 등 애플리케이션 서버, Oracle·MySQL·MariaDB 등 데이터베이스, RADIUS 인증을 지원하는 네트워크 장비와 저장장치까지 — 사실상 기업 IT 인프라 전 영역에 적용할 수 있는 폭넓은 호환성을 갖추고 있습니다.
이 외에도 BaroPAM 앱 자체의 소스 난독화 및 화면 캡처 방지 기능, 앱 실행 시 지문·얼굴 등 생체인증 연동, 인증 제한 횟수·제한 시간 설정, 이상 인증 탐지 및 차단(옵션), 2차 인증에서 허용·제외 대상을 지정하는 ACL 기능, 스마트폰 사용이 불가한 상황을 위한 응급 일회용 인증키 제공 등 실무 환경에서 필요한 세부 기능들도 함께 제공됩니다.
4. 도입 효과 — 무엇이 달라지는가
- 내부망에 침투한 랜섬웨어 등의 측면 이동(Lateral Movement) 시도를, 커널 레벨의 동적 인증으로 각 자산 단위에서 차단할 수 있습니다.
- 무서버 기반의 개별 자산 인증 구조로, 전체 시스템이 한 번에 마비되는 리스크 자체를 해소합니다.
- 기존에 투자한 보안 시스템을 폐기하거나 수정할 필요 없이, 모듈 추가만으로 AI 해킹 방어 능력을 갖춘 제로 트러스트 환경을 구축할 수 있습니다.
- 다중인증과 강화된 인증방식 적용을 요구하는 대내외 정보보호 규제 요건에 실질적으로 대응할 수 있습니다.
실제로 BaroPAM은 중앙부처 41개 기관, 지자체 15개 기관, 준정부기관 60개 기관을 포함한 공공기관, 금융·보험 200개 기업, 일반·제조 85개 기업 등 다양한 분야에서 레퍼런스를 보유하고 있습니다.
5. 공공기관은 나라장터에서 바로 구매할 수 있습니다
BaroPAM은 공공기관 조달 절차에도 이미 등록되어 있어, 별도의 개별 협상 없이 표준화된 절차로 도입할 수 있습니다.
① 조달청 이음장터 (서비스 공공조달 플랫폼) ERP·포탈·업무시스템 등 애플리케이션 보안 강화, Windows·Linux·Unix 등 OS 보안 강화, PC·노트북·구름OS 등 데스크톱·네트워크 장비 보안 강화까지 세 가지 유형으로 견적 요청이 가능합니다.
② 조달청 디지털서비스몰 “BaroPAM”으로 검색하면 Desktop 인증모듈, Server 인증모듈, Application 인증모듈 등 용도별 제품을 확인하고 바로 구매할 수 있습니다. 참고로 이음장터는 수량에 따른 할인 금액 제공이 가능하다는 점에서 디지털서비스몰과 차이가 있습니다.
6. 도입 문의 및 기술지원
BaroPAM 도입을 검토 중이시라면, 아이웍스가 협력하고 있는 BaroPAM 공식 취급 파트너를 통해 제품 상담과 기술지원을 받으실 수 있습니다.
BaroPAM 파트너 제품문의
- 업체명: 디에이치솔루션
- 담당자: 조동환 이사
- 연락처: 010-3847-8143
- E-mail: dhs@dhsolution.kr
“기억할 필요가 없는 비밀번호” — 아이디와 비밀번호에만 의존하던 보안체계에서, 매 순간 검증하는 다계층 인증체계로.
BaroPAM 및 정보보호 규제 대응과 관련해 궁금하신 점이 있으시면 언제든 디에이치솔루션으로 문의해 주세요.
이 기사와 관련하여 문의사항은 zagatoson@gmail.com으로 연락주시기 바랍니다.
