국내 기업들은 정보보호 예산을 꾸준히 늘려 왔다. 그러나 경영진이 스스로에게 던져야 할 질문은 여전히 단순하다. “우리의 핵심 시스템에 접근할 수 있는 것이 누구, 혹은 무엇인지 정확히 알고 있는가?”
답하기는 갈수록 어렵다. 임직원 계정에 더해 서비스 계정, 클라우드 워크로드, 소프트웨어(SW) 자격증명, 자율적으로 움직이는 인공지능(AI) 에이전트가 빠르게 늘고 있다. 각 아이덴티티의 권한은 정보를 꺼내고 시스템을 바꾸고 다른 영역으로 진입하는 통로가 될 수 있다.
우리 환경에는 고유한 변수가 있다. 첫째, 다단계 외주와 협력사 상주 인력이 많아 계정이 사람과 조직을 오가며 쌓이고, 프로젝트가 끝나도 권한이 회수되지 않는 경우가 잦다. 둘째, 운영 편의를 위한 공용 관리자 계정과 장기간 교체되지 않는 서비스 계정이 곳곳에 남아 있다. 셋째, 오랜 기간 망분리에 기대 온 탓에 '내부망은 안전하다'는 인식이 강했다.
이제 상황이 바뀌고 있다. 망분리 규제가 완화되고 제로트러스트 전환이 논의되면서 클라우드·SaaS·생성형 AI 활용이 빠르게 확산하고 있다. 경계가 흐려질수록 보안의 기준은 네트워크 위치가 아니라 '누가, 어떤 권한으로' 접근하느냐로 옮겨 간다. 계정 탈취와 과도한 권한이 침해사고의 출발점이 되는 사례가 반복되는 이유다.
많은 기업이 아이덴티티 거버넌스, 특권 접근 관리(PAM), 클라우드 아이덴티티 보안의 중요성을 이해하고 그 투자 비중을 높여 가고 있다. 문제는 관리 체계가 쪼개져 있다는 점이다. 계정 생성 기록, 접근 승인 이력, 특권 계정, 클라우드 권한, 이상 행위 탐지가 각기 다른 도구에 있다. 한 환경에서 사소해 보이던 권한이 다른 환경의 권한과 결합하면 치명적인 공격 경로가 된다. 퇴사 후에도 특권이 남은 휴면 계정, 여러 시스템으로 횡적 이동을 허용하는 서비스 계정, 사람의 감독 없이 민감 데이터에 상시 권한을 가진 AI 에이전트가 대표적이다. 권한이 어디에 있는지 모르면 최소 권한 원칙도 실행할 수 없다.
이 간극을 메우려는 접근이 '아이덴티티 가시성 및 인텔리전스 플랫폼(IVIP)'이다. 쉽게 말해 여러 도구에 흩어진 계정과 권한 정보를 한데 모아, '누구의 열쇠가 어느 문까지 열 수 있는지'를 한눈에 보여주는 분석 도구다. 기존 통제를 대체하는 것이 아니라 그 위에서 계정과 권한의 관계를 분석해, 한 계정이 실제로 무엇을 할 수 있고 악용되면 연결된 시스템을 통해 어디까지 갈 수 있는지 보여준다.
차이는 우선순위에서 드러난다. 오래된 특권 계정이 수백 개라고 알려주는 대시보드는 '보이게' 해줄 뿐이다. 그중 운영 환경으로 가는 경로가 될 가능성이 높은 몇 개를 짚어줘야 보안팀은 어디부터 손댈지 판단한다. 이를 위해서는 사람·워크로드·머신 아이덴티티·에이전틱 AI의 관계까지 함께 드러내야 한다.
도입 시에는 연동 범위의 넓이만 볼 일이 아니다. 해당 아이덴티티가 왜 위험한지 설명해 주는지, 협력사 계정을 포함해 실제 업무에 쓰이는 계정을 포괄하는지 따져야 한다. 인증 심사와 규제 대응용 증빙에 그치지 않고 접근 관리의 측정 가능한 개선으로 이어져야 한다.
AI 에이전트 도입이 가속화될수록 아이덴티티는 더 빠르게 늘어난다. 중대한 노출을 조기에 찾아 기존 통제와 연결하고 대응 책임자를 분명히 하는 일이, 모든 보안 투자의 가치를 지키는 최소 조건이다.
양희정 BeyondTrust 한국 비즈니스 총괄·공학박사 jyang@beyondtrust.com