아이덴티티 기반 사이버 공격과 액세스 탈취로 인한 보안 사고는 연일 발생하고 있다. IDSA(Identity Defined Security Alliance)에 따르면 2021년 조직의 84%가 아이덴티티 관련 침해를 경험했고 78%가 직접적으로 비즈니스에 영향을 받았다고 한다.
아이덴티티 기반 사이버 공격이 보안 문제의 주요 원인인 이유는 무엇일까. 가장 중요한 이유는 아이덴티티 규모가 이미 인간 통제의 수준을 넘어섰기 때문이다. 이미 직원 하나가 평균 30개 이상의 계정을 갖고 있는데 머신 아이덴티티가 소유한 계정 수는 직원이 소유한 계정 수의 45배 수준이다. 세일포인트가 연구한 결과에 따르면 머신 아이덴티티는 일반 기업 전체 아이덴티티 가운데 43%로, 고객(31%)나 직원(16%)보다 많은 수준이다.
앞으로 3~5년 동안 아이덴티티 전체 숫자는 더욱 증가할 것으로 예상된다. 기업은 정교해지고 끊임없이 변화하고 있는 보안 위협에서 아이덴티티와 함께 아이덴티티에 발급된 계정을 적절히 관리할 수 있어야 한다. 기업 보안 차원에서 내년에 반드시 주목해야 할 트렌드는 다음과 같다.
첫째 아이덴티티 기반 사이버 공격은 계속 보안 문제의 주요 원인이 될 것이다. 아이덴티티 자격 위반이나 잘못된 사용은 2017년 37%에서 2021년 48%로 증가했다. 역사상 가장 큰 사이버 공격으로 기록된 지난해 미국 콜로니얼 파이프라인 사건처럼 피해는 더욱 커지고 있다. 클라우드 기반 앱 및 서비스가 늘며 임직원이 IT 승인 없이 시스템, 디바이스, 소프트웨어, 앱 등을 사용하는 섀도 IT가 기하급수적으로 증가했다. 편의성은 향상되겠지만 IT 부서가 파악하지 못해 관리가 되지 않는 엔드포인트에는 보안을 보장할 수 없다는 맹점도 있다. 보안 관리자는 관리되지 않는 앱과 디바이스의 가시성이 필요하며, 효과적 보안 전략의 출발점으로 포괄적인 아이덴티티 보안을 보장해야 한다.
둘째 '절대 신뢰하지 말고 항상 검증하는' 원칙에 기반한 '제로 트러스트' 보안 환경은 아이덴티티 보안에서 시작된다. 효과적인 제로 트러스트 프레임워크는 아이덴티티 수명 주기를 자동화하고, 무결성을 관리할 수 있어야 한다. 싱글 사인온이나 다단계인증(MFA)은 기본적인 인증 방법으로, 여기에만 의존하면 안 된다. 강력한 제로 트러스트는 사용자와 아이덴티티를 지속적으로 모니터링할 수 있어야 한다. 인공지능(AI), 머신러닝(ML)과 같은 고급 기술을 기반으로 엄격한 거버넌스를 적용할 수 있어야 한다.
다음으로는 사람만이 아니라 아이덴티티 자체에 주목해야 한다. 조직이 머신 아이덴티티에 대한 액세스 제어나 지속적인 검증을 하지 않는 경우가 많아 머신 아이덴티티는 사이버 공격자에게 종종 좋은 디지털 공격 경로를 제공하게 된다. 2025년까지 연결된 디바이스는 250억개에 이를 것으로 예상된다. 현재 조직의 50%는 머신 아이덴티티 보호에 어려움을 겪고 있다는 조사 결과가 있다. IT 인프라 전반에 걸친 효과적인 중앙 집중식 아이덴티티 보안 전략이 필요하다.
넷째 클라우드 복잡성으로 클라우드에서 아이덴티티 보안 수요가 증가할 것이다. 팬데믹으로 하이브리드 클라우드의 채택이 가속화되면서 38%는 2023년에 클라우드로 심각한 사이버 공격이 있을 것으로 예상하고 있다. 솔라윈즈(SolarWinds) 사고를 보면 싱글사인온이 적용된 수천의 정부 및 기업 고객의 클라우드 기반 마이크로소프트 365 계정이 백도어로 뚫린 사건이다.
아이덴티티 거버넌스를 효과적으로 배포하고 확장하려면 서비스형클라우드(SaaS) 플랫폼을 고려해야 한다. SaaS 모델은 유연성, 향상된 보안 및 자동화로 조직을 지원하는 동시에 임직원의 업무 중단을 줄이고 비용을 절감하며 짧은 시간에 아이덴티티 거버넌스를 적용할 수 있도록 설계됐다. 더욱 중요한 것은 클라우드 기반의 SaaS 아이덴티티 플랫폼으로 비즈니스를 신속하게 혁신, 오늘날의 빠르게 진화하는 고객 요구사항을 충족할 수 있다.
마지막으로 AI, ML 같은 스마트한 방식을 고민해야 한다. 조직이 명확한 아이덴티티 보안 제어로 각 액세스 포인트를 강화하지 않고 기술 리소스 액세스를 제공하는 것은 매우 위험한 일이다. AI, ML 기반 아이덴티티 보안은 아이덴티티에 대한 360도 가시성을 제공한다. 신뢰할 수 있는 데이터 인텔리전스를 활용해 모든 사용자 액세스를 사전에 검색, 관리·제어할 수 있다. 비정상적인 아이덴티티 및 고위험 액세스 권한의 검색과 변경을 자동화해서 비용을 절감하고, 전반적인 사용자 생산성도 높일 수 있다.
세일포인트가 올해 진행한 리서치에 따르면 많은 기업이 전반적으로 아이덴티티 보안 성숙도가 낮은 것으로 평가되고 있다. 사이버 공격이 비즈니스 중단, 기업 명성과 재정적 손실을 유발할 수 있다는 점을 고려, 아이덴티티 보안은 내년에도 네트워크 방어의 최선전이 돼야 할 것이다.
지정권 세일포인트 코리아 지사장 jeonggwon.jee@sailpoint.com
