세일포인트 “AI 시대, 가장 효율적인 보안 투자는 아이덴티티”

인공지능(AI) 기술이 빠르게 확산되면서 보안 분야 가운데 높은 투자 대비 수익률(ROI)을 내는 영역으로 아이덴티티가 주목받고 있다. 아이덴티티 보안 체계는 자동화·온보딩·권한 관리 흐름을 효율화하면서 기업 생산성을 직접 끌어올리는 핵심 축으로 자리 잡았고, 이제 아이덴티티 보안은 단순한 위협 대응을 넘어 기업의 업무 속도와 성장 방향을 결정하는 전략 영역으로 재편되고 있다.

지정권 세일포인트 한국 대표는 25일 서울 여의도에서 열린 기자간담회에서 “아이덴티티 환경의 변화는 더 이상 미래 예고가 아니라 이미 기업의 운영 속도를 바꾸는 현실”이라며 “AI·자동화 시대에 아이덴티티 보안이 기업 경쟁력의 중심에 서고 있다”고 강조했다.

이날 세일포인트는 올해 발표한 ‘아이덴티티 보안 트렌드·전략’ 보고서를 토대로, AI 확산으로 등장한 보안 위험과 아이덴티티 성숙도 격차, 그리고 기업 생산성을 높이기 위한 아이덴티티 기반 전략을 소개했다.

AI 확산이 가져온 새로운 위협…보이지 않는 ‘에이전트 아이덴티티’

세일포인트가 분석한 가장 먼저 주목할 변화는 AI 에이전트의 폭발적 증가였다. 첸 위 보이 세일포인트 아시아·태평양(APJ) 총괄 사장은 “과거 아이덴티티가 사용자와 외주 인력 중심으로 관리됐다면, 이제는 머신과 AI 에이전트까지 포함해 “누가 접근하는가”라는 기본 질문 자체가 재정의되고 있다”고 설명했다.

보이 총괄은 지금의 기업 환경을 ‘실시간으로 움직이는 AI 기반의 세계’라고 설명했다. 예전처럼 사용자 이름과 권한 목록을 기준으로 한 고정된 계정 권한 관리(IAM) 체계는 더 이상 현실을 반영하지 못한다고 강조했다.

또한, 그는 한 해외 고객 사례를 들며 AI 에이전트의 위험성을 구체적으로 설명했다. 업무 환경에서 아무도 인지하지 못한 AI 에이전트 47개가 돌아가고 있었던 것이다. 마케팅팀은 챗봇을 운영했고, 개발 조직은 내부 자동화봇을 사용했으며, 재무팀도 이미 AI 기반 조정 업무를 수행하고 있었다. 그러나 각 부서 어느 누구도 “이 에이전트를 누가 책임지는지”, “어떤 데이터에 접근하는지”, “권한은 누구의 통제를 받는지” 설명하지 못했다.

보이 총괄은 “이런 환경에서는 공격자가 침입하지 않아도 내부에서 이미 위험이 자라고 있다”며, 에이전트의 아이덴티티 관리가 선택이 아니라 필수라고 말했다.

지정권 대표는 국내 기업이 처한 다수의 보안 위협이 아이덴티티 보안의 부재에서 온다고 강조했다. 그는 최근 발생한 국내 보안 사고의 다수는 ‘계정 탈취’로 시작됐으며, 외부 침입보다는 탈취된 계정의 내부 남용에서 피해가 확산된 경우가 많았다고 짚었다.

지 대표는 “대부분의 사고가 아이디와 패스워드 관리 부실에서 출발한다는 말은 단순한 진단이 아니라 AI 시대의 위험이 어떻게 현실화되고 있는지 보여주는 사례”라며 “계정 하나가 뚫리면, AI가 자동화된 방식으로 권한을 사용해 더 빠르게 더 넓은 범위의 시스템에 접근하는 시대가 됐다”고 강조했다.

벌어진 아이덴티티 성숙도 격차 “너무 빠르게 발전”

추가로 세일포인트가 가장 우려한 지점은 ‘성숙도 격차의 확대’였다. 보고서에 따르면, 전체 조직의 63%가 여전히 아이덴티티 성숙도 1~2단계에 머물러 있는 것으로 나타났다. 특히 아시아·태평양 지역은 그 비율이 72%로 더 크다. 지정권 대표는 이 수치를 설명하며 “이들 기업은 여전히 수작업 기반의 IAM을 사용하고 있고, 권한 검토와 ‘프로비저닝(사용자나 시스템에 필요한 권한·계정·접근을 자동으로 생성하고 배포하는 과정)’조차 자동화돼 있지 않다”고 말했다.

세일포인트의 성숙도 모델은 총 5단계로 구성되는데, 1단계는 기본적인 계정 생성·삭제 수준의 수작업 중심 체계, 2단계는 애플리케이션 일부가 자동화돼 있지만 여전히 정적 규칙에 의존하는 단계를 말한다. 3단계에 들어서야 자동화된 프로비저닝과 권한 검토가 본격적으로 작동하고 라이프사이클 전반이 연결된다. 4단계는 머신 아이덴티티·클라우드 환경까지 통합된 동적 제어를 수행하는 수준, 5단계는 AI 에이전트 거버넌스와 실시간 맥락 기반 접근제어까지 구현된 최상위 단계로 정의된다. 1~2단계는 ‘수동·정적’, 3~4단계는 ‘자동·통합’, 5단계는 ‘AI 기반 실시간 운영’으로 구분할 수 있다.

특히 올해는 처음으로 아이덴티티 성숙도가 후퇴한 기업이 등장하기도 했다. 이는 투자 축소나 운영 실패 때문이 아니라, 아이덴티티의 성숙도 기준 자체가 더 빠르게 상향되었기 때문이다. 예전에는 자동화된 프로비저닝을 갖추면 고도화 단계로 인정받았지만, 이제는 AI 에이전트 거버넌스, 적응형 인증, 정교한 아이덴티티 데이터 모델링까지 갖춰야 상위 단계로 인정된다.

보이 총괄은 “고도화된 기업은 동종 업계보다 4배 빠른 속도로 AI 기반 아이덴티티 제어를 도입하고, 4~8배 높은 확률로 통합 정책 집행을 구현한다”며 “그런데 하위 단계 기업은 이전과 같은 속도로는 절대 이 격차를 따라잡지 못한다”고 말했다. 기준 자체가 급격히 높아지며, 현상을 유지조차 어려운 시대가 왔다는 설명이다.

알아서 환경에 맞추는 ‘적응형 아이덴티티’ 필요

이처럼 위험이 폭발적으로 늘고 기준이 상승하는 환경에서 세일포인트는 ‘적응형 아이덴티티(Adaptive Identity)’를 핵심 보안 전략으로 제시했다.

지정권 대표는 지나치게 정적인 기존 권한 관리 체계의 한계를 설명하며, 한 가지 상황을 예로 들었다. 기자가 어떤 회사의 민감한 재무 데이터를 열람할 수 있는 계정을 갖고 있다고 가정했을 때, 기존 IAM은 ‘항상 허용’을 전제로 한다. 그러나 적응형 아이덴티티는 “왜 오늘 새벽 3시에, 새로운 디바이스에서, 평소와 다른 위치에서 접근을 시도하는가”라는 질문을 실시간으로 던진다. 즉, 권한을 완전히 없애지 않더라도 필요한 순간에만 최소한으로 열고, 위험이 감지되면 즉시 닫는 방식이다. 이를 ‘저스트 인 타임(Just-in-Time) 접근’이라고 부른다.

세일포인트는 이를 가능하게 하는 기술적 토대를 자세히 소개했다. 우선 AI 에이전트를 인간 사용자처럼 하나의 아이덴티티로 등록하고, 에이전트가 접근할 수 있는 데이터와 권한을 관리자와 매핑해 책임 영역을 명확히 한다.

한국 기업들이 흔히 갖고 있는 커스터마이징된 내부 시스템에 대해서는 ▲‘설치하자마자 바로 사용할 수 있는 기본 제공 기능(OOTB, Out-Of-The-Box)’ 커넥터와 ▲애플리케이션 프로그래밍 인터페이스(API) 기반 통합 기능, 그리고 ▲애플리케이션 온보딩 시 자동 매핑을 돕는 ‘신경망 언어모델(NLM, Neural Language Model)’ 기반 추천 기능을 활용하면 연결이 빠르게 이뤄진다고 설명했다.

적응형 아이덴티티의 두 번째 축은 ‘위협 탐지’와 ‘권한 차단의 실시간화’이다. 세일포인트는 “특정 장비를 차단하는 것보다 그 장비가 사용하던 권한 자체를 끊는 것이 빠르고 정확하다”고 설명했다. 아이덴티티 그래프를 기반으로 사용자·에이전트·데이터의 관계를 통합 분석해, 비정상적 흐름이 감지되면 단일 권한을 즉시 비활성화하는 방식이다.

세 번째는 ‘데이터 접근 보안’이다. 전통적으로 IAM은 애플리케이션 수준의 접근 통제에 머물렀지만, AI 시대에는 에이전트가 정형·비정형 데이터를 모두 직접 읽고 쓰기 때문에 파일 단위 접근 제어가 필요해졌다. 세일포인트는 AI 에이전트가 실제로 어떤 파일을 사용하고 어떤 문서를 학습에 포함시키는지까지 추적해 민감 데이터 노출을 줄이는 기능을 강조했다.

아이덴티티 보안, 가장 높은 ROI…온보딩부터 M&A까지 달라진 생산성

세일포인트는 아이덴티티 보안이 보안 투자 영역 중에서 ‘투자 대비 수익률(ROI, Return On Investment)’이 가장 높은 분야라고 단언했다. 이는 단순히 비용 절감 때문만은 아니다. 자동화된 프로비저닝과 권한 검토가 도입되면 신규 입사자의 ‘온보딩(새 사용자를 시스템이나 서비스에 등록해 처음부터 문제 없이 사용할 수 있도록 연결하는 작업)’ 속도는 며칠 단위에서 즉시 가능한 수준으로 단축되고, AI 에이전트를 활용한 업무 자동화도 빠르게 확장된다. 인수합병(M&A) 상황에서는 두 조직의 시스템과 계정을 통합하는 데 걸리는 시간이 평균 60% 줄어든다는 분석도 제시했다.

매트 밀스 세일포인트 사장은 “아이덴티티는 더 이상 비용 구조를 줄이는 보안 도구가 아니라, 기업의 성장 속도를 올리는 비즈니스 플랫폼”이라고 강조했다. 많은 기업이 여전히 IAM을 규제를 위한 체크리스트로 정도로만 인식하지만, 실제로는 자동화·생산성·속도라는 측면에서 기업 전체의 의사결정 구조를 바꿀 수 있는 기반이라는 설명이다.

세일포인트는 한국 시장을 ‘아시아·태평양 지역에서 가장 잠재력이 큰 곳 중 하나’로 평가했다. 다른 어느 나라보다 대기업 비중이 높고, 클라우드·AI 기술 도입 속도도 빠르기 때문이다. 그러나 동시에 성숙도 편차가 매우 크고, 대규모 커스터마이징 시스템이 많아 전환 과정에서 혼란이 발생하기 쉽다고 분석했다.

보이 총괄은 “한국의 최고정보책임자·최고정보보호책임자(CIO·CISO)는 모두 AI 도입에 대한 고민을 진지하게 하고 있다. 하지만 ‘어떻게 안전하게 도입할 것인지’, ‘AI가 우리 데이터를 어떻게 사용하는지’, ‘에이전트의 책임을 누가 질 것인지’에 대한 불안도 크다”고 설명했다. 이어 “그렇기 때문에 한국 기업은 단순한 기술 구매가 아닌, 아이덴티티 전략 차원의 접근이 필요하다”고 강조했다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network