“계정 관리는 옛말, 권한을 통제하라”…세일포인트가 말하는 아이덴티티 보안

[인터뷰] 세일포인트 지정권 한국 대표 

국내 주요 기업에서 계정 탈취를 발판으로 내부망까지 장악하는 사고가 잇따르면서, 이제 보안의 패러다임은 “어디로 들어왔는지”보다 “누가, 무엇에, 어떤 권한으로 접근했는지”를 묻는 방향으로 전환되고 있다.

아이덴티티 보안 전문기업 세일포인트(SailPoint)의 지정권 한국 대표는 바이라인네트워크와의 인터뷰에서 “지금의 보안 사고 대부분은 계정과 권한 관리 부실에서 시작된다”며 “아이덴티티 보안이 사이버 보안의 최전선이자 가장 기초적인 요소로 자리 잡았다”고 강조했다.

세일포인트는 미국 텍사스 오스틴에 본사를 둔 아이덴티티 보안 솔루션 선두 기업이다. 설립 이후 약 20년 동안 아이덴티티 보안 한 영역에 집중해 왔으며, 2017년부터는 업계에서 선도적으로 전 제품을 인공지능(AI) 기반 플랫폼으로 전환했다.

지정권 세일포인트 한국 대표는 “세일포인트의 로드맵은 단순한 ‘자동화’를 넘어, 기업 환경에 맞춰 스스로 판단하고 대응하는 ‘자율(Autonomous) 아이덴티티 보안’으로 나아가는 것”이라고 설명했다.

도둑은 굳이 유리를 깨지 않는다…‘아웃사이드–인’에서 ‘인사이드–아웃’으로

지정권 대표가 진단하는 최근 보안 사고의 공통점은 공격 방식이 완전히 뒤집혔다는 것이다. 그는 전통적인 해킹 방식을 “밤에 아무도 없는 금은방 유리를 깨고 보석을 훔쳐 달아나는 방식”에 비유했다. 이는 외부에서 내부로 뚫고 들어오는 ‘아웃사이드-인(Outside-In)’ 방식으로, 방화벽 같은 경계 보안으로 어느 정도 방어가 가능했다.

“하지만 지금은 도둑이 굳이 유리를 깨지 않습니다. 대신 누군가 가게에 ‘직원’ 혹은 ‘단기 알바’로 위장 취업해 오랫동안 CCTV 사각지대나 금고 위치를 파악합니다. 그러다 어느 날 출근을 하지 않고 그 순간 보석도 함께 사라지게 되죠.”

이른바 ‘인사이드-아웃(Inside-Out)’ 공격이다. 공격자는 먼저 은밀하게 진입 후 내부 계정을 탈취해 내부자로 위장한다. 이미 침입한 공격자의 활동은 겉보기엔 정상적인 직원의 로그인과 다를 바 없기에, 기존 보안 장비로는 탐지가 어렵다.”

지 대표는 “결국 관건은 ‘탈취된 계정이 어디까지 접근할 수 있었냐’이다”라며 “최소한의 권한만 부여하고, 필요한 순간에만 열어두는 구조가 아니면 피해는 계정 하나를 넘어 조직 전체로 번진다”고 강조했다.

그가 정의하는 아이덴티티 보안의 핵심은 세 가지다.

“누가, 무엇에, 언제·어디서·어떤 맥락으로(Context) 접근했나.”

이 세 질문에 명확히 답할 수 있어야 아이덴티티 보안 체계를 완성하고, 사고의 확산을 막을 수 있다는 설명이다.

‘정적인 권한’에서 ‘다이나믹 아이덴티티’로

아이덴티티 보안이 까다로운 이유는 관리해야 할 ‘신원’의 범위가 셀 수 없을 만큼 급증하고 있기 때문이다. 과거에는 임직원 계정만 관리하면 되는 ‘정적(Static) 아이덴티티’ 시대였다. 한 번 권한을 설정하면 인사 이동 전까지는 크게 변하지 않았다.

하지만 디지털 전환(DX) 이후 환경은 ‘다이나믹(Dynamic) 아이덴티티’로 변모했다. 지정권 대표는 현재 기업이 관리해야 할 아이덴티티를 크게 두 가지 축, 세 가지 유형으로 분류했다.

첫째는 ▲휴먼 아이덴티티(Human Identity)다. 정규직 임직원뿐만 아니라 협력업체, 파트너사 등 ‘비임직원(Non-employee)’까지 포함된다. 두 번째 축은 ▲디지털 아이덴티티(Digital Identity)다. 여기에는 RPA나 봇(Bot) 같은 머신 아이덴티티가 해당된다. 세 번째는 ▲시스템 운영을 위한 ‘서비스 계정’, 그리고 최근 급부상한 ▲‘AI 에이전트’가 그 마지막이다.

특히 서비스 계정과 AI 에이전트는 위험의 사각지대다. 화면 앞에 실체가 있는 사람이 아니기 때문에 ‘누가 관리하는 계정인지’, ‘어떤 데이터에 접근하는지’ 파악하기 어렵기 때문이다.

지 대표는 “아이덴티티 수, 애플리케이션 수, 데이터 파일 수, 권한 수를 모두 곱해 보면 중견 기업만 해도 관리 포인트가 수백억개, 대기업은 조 단위까지 늘어난다”며 “이는 사람이 수작업으로 관리할 수 있는 영역을 넘어섰기에 AI 기반의 통합 플랫폼이 필수적”이라고 말했다.

또한 그는 서비스 계정을 “시스템 운영을 위해 존재하지만, 담당자도 모호하고 아무도 쳐다보지 않는 계정”이라고 지적했다. 세일포인트는 이러한 계정들을 모두 찾아내 담당자를 할당하고 주기적으로 검토하게 만든다.

나아가 ‘AI 에이전트’ 시대에는 AI 자체가 데이터를 조회하는 주체가 된다. 지 대표는 “많은 기업이 대규모언어모델(LLM)을 도입하지만, AI 에이전트가 어떤 문서에 접근하고 학습하는지 통제하는 곳은 드물다”고 짚었다.

“AI가 긁어온 데이터의 출처를 사람이 일일이 확인하는 건 불가능합니다. 결국 AI 에이전트 자체를 하나의 ‘아이덴티티’로 등록하고, 어떤 데이터에 접근 가능한지 권한을 제어해야 합니다. AI를 관리하는 ‘사람 아이덴티티’와 연결해 한눈에 확인하고, 책임 소재를 분명히 하는 것이 중요합니다.”

‘조이너·무버·리버’…계정 생애주기를 자동으로 관리하는 LCM

세일포인트가 제시하는 첫 번째 해법은 계정의 생성부터 소멸까지 전 과정을 자동화하는 ‘라이프사이클 매니지먼트(LCM)’다. 지 대표는 이를 업계에서 사용하는 ‘JML(Joiner, Mover, Leaver)’ 3단계로 설명했다.

먼저, 조이너(Joiner, 입사자)의 경우, 입사 예정자의 직무와 역할에 맞춰 필요한 권한을 미리 정의해 둔다. ‘최소 권한의 원칙’에 따라, 채용 담당자라도 임원 급여 정보에는 접근할 수 없도록 처음부터 설정한다.

다음은 ‘무버(Mover, 이동자)’다. 승진이나 부서 이동으로 역할이 바뀌면, 기존 권한은 즉시 회수되고 새 업무에 필요한 권한만 부여된다. 과거의 권한이 계속 남아 보안 구멍이 되는 것을 방지한다.

마지막은 리버(Leaver, 퇴사자)다. 가장 위험한 단계가 될 수 있다. 인사팀에서 퇴사 처리를 해도 시스템상 접근 권한이 살아있는 ‘좀비 계정’이 흔하기 때문이다. 최근 대규모 개인정보 유출을 겪은 이커머스 기업의 사례가 이 유형에 해당된다고 볼 수 있다.

지 대표는 “인사 시스템상 퇴직 처리가 되어도 특정 서버나 앱에는 권한이 남아있는 경우가 비일비재하다”며 “퇴사와 동시에 모든 시스템 접근을 일괄 차단하는 자동화가 구현되지 않으면, 그 잠깐의 방심이 치명적인 보안 사고로 이어진다”고 경고했다.

수많은 역할과 권한을 읽는 AI, 세일포인트 아틀라스 

LCM이 ‘계정의 흐름’을 자동화한다면, 세일포인트의 AI 플랫폼 ‘세일포인트 아틀라스(SailPoint Atlas)’는 계정 권한의 ‘적절성’을 판단하는 두뇌 역할을 한다.

아틀라스의 핵심 기능 두 가지는 ‘권한 수준 분석’와 ‘권한 승인 추천’이다. AI가 동일 부서나 직무 그룹의 권한 패턴을 학습한 뒤, 특정 직원의 권한이 다른 동급 직원의 권한과 얼마나 차이가 나는지 수치로 분석해 관리자에게 보여준다.

“예를 들어 같은 팀원 10명 중 9명은 갖고 있지 않은 권한을 1명이 요청했다면 AI는 이를 분석해 위험도를 알립니다. 관리자는 동일 직무자 중 0%만 사용하는 권한이라는 분석 내용을 보고 해당 직원의 권한 승인 여부를 판단할 수 있죠.”

기업은 이를 바탕으로 ‘동료의 80% 이상이 사용하는 권한 요청은 자동 승인’과 같이 정책을 자동화할 수 있다. 또한 권한을 탐지하고 분석하는 ‘롤 마이닝(Role Mining)’ 기능을 통해, 시간이 지나며 여기저기 흩어져 있는 불필요한 개별 권한들을 찾아내 회수하고, 꼭 필요한 권한만 부여하도록 알려준다. 지 대표는 이를 통해 ‘권한 다이어트’가 가능하다고 비유했다.

제로트러스트와 ‘저스트 인 타임’ 접근, 새로운 경계는 아이덴티티

세일포인트가 말하는 아이덴티티 보안의 본질은 제로트러스트(ZeroTrust) 패러다임과도 연결된다. 제로트러스트는 ‘아무도 믿지 않는다’는 보안 철학이지만, 기술적으로는 “아이덴티티를 새로운 보안의 경계(Perimeter)로 삼는 것”을 의미한다. 여기서 세일포인트는 ▲최소 권한 ▲필요한 순간에만 권한을 부여하는 ‘저스트 인 타임(Just-in-Time)’ 접근 ▲지속적인 모니터링을 통해 제로 트러스트를 구현한다고 강조한다.

기존 보안이 건물 출입증을 확인하는 ‘인증’에 집중했다면, 아이덴티티 보안은 “건물에 들어온 뒤 어떤 방의 서랍까지 열 수 있는지”를 제어하는 ‘인가’의 영역이다.

지 대표는 “아이덴티티 보안은 단순히 문을 열어주는 것이 아니라, 누구에게 어떤 문을, 얼마나 오래 열어줄지를 아주 세밀하게 관리하는 기술”이라고 정의했다.

아이덴티티 보안 “가장 높은 ROI 낼 것”

여전히 많은 기업이 보안을 ‘비용’으로 인식하는 경향에 대해 지 대표는 “지금의 환경에서는 아이덴티티 보안 투자가 가장 높은 ‘투자 대비 수익(ROI)’를 낸다고 본다”고 강조했다.

“최근 보안 사고들을 통해 봤지만 보안 사고 한 번이 초래하는 피해는 천문학적입니다. 금전적 손실을 넘어, 기업 이미지와 시장의 신뢰가 무너지는 것은 숫자로 환산할 수 없는 피해죠.”

세일포인트가 글로벌 시장에서 가지는 영향력은 수치가 보여준다. 세일포인트에 따르면, 현재 포춘(Fortune) 500대 기업의 43%가 이들의 솔루션을 사용 중이며, 포브스(Forbes) 글로벌 2000개 상위 기업들도 과반수가 고객사다.

지정권 대표는 “한국 시장에서도 특히 제조업 분야를 중심으로 아이덴티티 보안의 필요성을 체감하는 기업이 늘고 있다”며 “시장 인지도와 함께 실질적인 성장세도 뚜렷해지는 추세”라고 설명했다.

그는 마지막으로 아이덴티티 보안을 ‘규제 준수’를 넘어선 ‘비즈니스 전략’으로도 볼 필요가 있다고 주문했다.

“아이덴티티는 보안의 ‘대상’이면서 동시에 ‘목적’입니다. 특히 AI와 사람이 서로 데이터를 주고받는 복잡한 환경에서 아이덴티티를 제대로 관리하지 않으면 위험은 보이지 않는 곳에서 기하급수적으로 커집니다. 이제 아이덴티티 보안은 선택이 아니라, 기업의 생존과 혁신을 위한 필수 조건입니다.”

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network