신원 거버넌스 및 관리(IGA) 대 신원 및 접근 관리(IAM): 차이점은 무엇인가?

IAM과 IGA: 이 두 가지는 서로 다르지만 상호 보완적인 기능을 수행하는 신원 보안 기능 세트입니다.

• IAM은 인증, 단일 로그인(SSO) 및 인증과 접근 권한과 관련된 기타 기능을 통해 사용자가 디지털 리소스(애플리케이션, 시스템, 데이터)에 안전하게 접근할 수 있도록 지원하고 이를 관리하는 데 중점을 둡니다.
• IGA는 접근 권한 부여 및 관리의 기본을 넘어, 1) 조직이 디지털 자원에 대한 접근 권한을 어떻게 부여하는지에 중점을 두고, 2) 부여된 접근 권한이 적절하고 규정을 준수하는지 확인하며, 그렇지 않을 경우 조치를 취합니다.

기본적으로 IAM은 누가 로그인하는지, 어떻게 로그인하는지, 그리고 로그인 후 어떤 항목에 접근 권한이 있는지와 같은 근본적인 문제를 다루는 반면, IGA는 사용자에게 부여된 접근 권한이 애초에 그 사용자의 역할과 할당된 업무에 적합한지 여부를 검토합니다.

IAM이란 조직 내의 하나 또는 여러 자원에 대한 안전한 접근을 시도하는 사용자(사람 또는 기계)의 신원을 인증하는 데 관련된 정책 및 프로세스를 의미합니다. 사용자 신원을 인증하는 목적은 1) 사용자가 자신의 역할과 책임에 따라 요청한 접근 권한을 실제로 가질 자격이 있는지 확인하고, 2) 그에 따라 접근 권한을 부여(또는 거부)하는 것입니다.

주요 IAM 기능

IAM은 사용자의 신원을 인증하고, 조직의 보안과 사용자의 생산성을 모두 우선시하는 방식으로 사용자에게 리소스에 대한 접근 권한을 부여하는 것을 핵심으로 합니다. IAM은 수십 년에 걸쳐 발전해 오며, 이 두 가지 영역을 점점 더 정교한 방식으로 동시에 해결해 왔습니다.

• 인증: 가장 기본적인 의미에서 인증이란 사용자가 자신의 신원을 증명하기 위해 사용자 이름과 비밀번호와 같은 전통적인 인증 정보를 제출하는 것을 의미합니다. 그러나 신원 관리 환경과 위협 상황이 규모와 복잡성 면에서 점점 커짐에 따라, 사용자가 인증 정보를 기억하기 어렵고 악의적인 행위자가 이를 훔치기 쉬운 문제가 더욱 시급해지고 있습니다.
• 다단계 인증(MFA): 생체 인식과 같은 또 다른 인증 요소를 추가하면 인증 기준이 높아져 보안성이 향상됩니다. 특히 추가 요소가 사용자에게 큰 부담이 되지 않을 때 이 방법이 유용합니다. 예를 들어, 얼굴 스캔이나 지문 인식은 사용자에게 별다른 수고를 주지 않으면서도 인증 정보를 도용하기 훨씬 어렵게 만듭니다.
• 단일 로그인(SSO): 사용자가 접근해야 하는 보안 리소스의 수가 늘어남에 따라, SSO를 통해 사용자는 단일 로그인 지점에서 강력한 인증을 거쳐 여러 애플리케이션에 접근할 수 있어, 이 과정을 더 빠르고 간편하게 만들 수 있습니다. 또한 SSO는 공격자가 여러 번의 로그인과 관련된 취약점을 악용할 기회를 줄여줌으로써 공격 표면을 최소화합니다.
• 패스워드리스: 비밀번호 없는 인증은 기존의 인증 정보를 생체 인식, 패스키, 인증 앱 등 도용되기 어려운 신원 확인 수단으로 대체합니다. 또한 사용자가 점점 더 많아지는 리소스에 접근하기 위해 여러 가지 인증 정보를 기억할 필요가 없게 됨으로써, 정당한 인증 절차를 더욱 간편하게 만들어 줍니다.

IAM 핵심 중점 사항: 제로 트러스트

제로 트러스트(Zero Trust)는 리소스에 대한 접근 권한을 부여하기 전에 신뢰를 확립해야 하며, 결코 신뢰를 전제로 삼지 않는다는 원칙에 기반한 보안 개념입니다. 따라서 제로 트러스트 환경을 운영하고자 하는 조직에게 IAM은 필수적인 기반이 되며, 이러한 환경에서는 사람이나 시스템이 접근을 시도할 때마다 신원을 반드시 입증해야 합니다.

제로 트러스트 환경은 IAM의 핵심 기능과 관행을 통해 구현됩니다.

• 인증: MFA 및 비밀번호 없는 인증을 통한 신원 확인
• 접근 권한: 접근 권한 부여를 위한 상황 인식 및 조건부 정책 채택
• 중앙 집중화: 다양한 애플리케이션 및 액세스 환경에서 SSO 활용

IAM은 주로 사용자에게 접근 권한을 부여하기 전에 사용자의 신원을 인증하는 데 중점을 두는 반면, IGA는 거버넌스에 중점을 둡니다. 어떻게 누구에게 어떤 접근 권한이 부여되는지 확인하고, 해당 권한이 사용자와 상황에 항상 적합한지 확인하는 것입니다. IGA의 전반적인 목적은 접근 권한이 비즈니스 정책을 준수하고, 규정 준수 요건을 충족하며, 보안 모범 사례와 일관성을 유지하도록 보장하는 것입니다.

IGA의 주요 기능

IAM이 누가 어떤 자원에 접근할 수 있는지에 초점을 맞추는 반면, IGA는 조직 내 사용자의 역할, 조직의 보안 및 규정 준수 정책과 관행 등의 요소를 바탕으로 해당 접근 권한이 적절하게 부여되었는지에 중점을 둡니다.

• 접근 권한 요청 및 승인: IGA 환경에서의 워크플로우 기반 접근 권한 부여는 자동화와 사람의 개입을 결합하여 접근 권한 요청을 신속하고 정확하게 심사하고 사용자에게 권한을 부여합니다.
• 접근 권한 인증: 사용자의 역할과 책임이 끊임없이 변화함에 따라, 신원 거버넌스에서는 접근 권한 수준의 적절성을 검증하기 위해 정기적인 접근 권한 인증이 필요합니다. 수작업만으로는 이러한 변화를 따라잡을 수 없으므로 자동화가 핵심입니다.
• 역할 관리: 사용자에게 필요한 보안 리소스에 대한 접근 권한을 손쉽게 보장하기 위해서는 사용자를 위한 역할을 생성하는 것이 필수적입니다. 또한, 보안 위험을 초래할 수 있는 과도한 권한이 부여되지 않도록 하기 위해서는 철저한 역할 관리 역시 마찬가지로 중요합니다.
• 신원 수명 주기 관리: 접근 권한의 변경은 조직에 입사하고, 다양한 역할을 수행하며, 최종적으로 퇴사하는 신원 수명 주기를 거치는 과정의 일부입니다. 신원 수명 주기 관리는 접근 권한을 현재 역할에 적합하게 유지하는 데 필수적입니다.
• 감사 및 보고: 누가 어떤 자원에 접근할 수 있는지 파악하는 것은 규제 요건을 준수하고 접근 위험을 명확히 파악하는 데 매우 중요합니다. 감사와 보고는 이 두 가지를 모두 달성하는 데 있어 핵심적인 요소입니다.

IGA 주요 초점: 제로 트러스트

제로 트러스트는 신뢰가 기본적으로 존재할 수 없으며, 누군가 또는 무언가가 접근을 시도할 때마다 신뢰를 새로이 확립해야 한다는 전제 하에 운영됩니다. IGA는 조직이 사용자에 대한 신뢰 수준을 바탕으로 접근 권한이 적절한지 지속적으로 평가하는 데 필요한 제어 수단과 거버넌스를 제공합니다.

제로 트러스트 환경은 특히 IGA의 몇 가지 핵심 기능과 관행을 통해 구현됩니다.

• 워크플로우 기반 프로비저닝: 자동화를 통해 접근 권한에 대한 적절한 감독 보장
• 접근 권한 인증: 접근 권한을 지속적으로 검증하고 그에 따라 조정
• 역할 관리: 접근 권한의 유해한 조합을 파악하고 방지하기
• ID 라이프사이클 관리: 역할이 변경되거나 종료될 때 즉시 액세스 권한을 업데이트
• 감사 및 보고: 신뢰 결정에 대한 입증을 요구하는 제로 트러스트 원칙 지원

IGA 핵심 중점 사항: 규정 준수

SOX, HIPAA, GDPR, PCI-DSS, ISO 27001 IGA 및 기타 규정들은 엄격한 접근 제어를 요구할 뿐만 아니라, 접근에 대한 통제 조치가 해당 규정이 정한 기준을 충족함을 입증할 수 있는 능력도 요구합니다. 이러한 책임성과 감사 가능성은 바로 IGA가 제공하는 것입니다.

규제 준수는 특히 IGA의 여러 핵심 기능과 관행을 통해 지원됩니다:

• 접근 권한 인증: 접근 권한 검토 및 접근 권한 유효성 확인
• 감사 및 보고: 규정 준수 증빙과 관련된 구체적인 규제 요건 충족
• 신원 수명 주기 관리: 현재 역할에 따른 올바른 접근 권한 유지

IGA와 IAM 모두 리소스에 대한 안전한 접근을 다루고 있습니다. 하지만 IAM은 사용자가 접근 권한이 부여된 리소스에 안전하고 편리하게 접근할 수 있도록 하는 반면, IGA는 해당 사용자에게 그러한 접근 권한이 부여되어야 하는지 여부를 검토합니다. 이러한 맥락에서 두 개념의 주요 차이점은 다음과 같습니다:

신원 보안의 모든 측면을 포괄적으로 다루기 위해서는, 조직이 이상적으로는 IAM(사용자가 자원에 안전하고 편리하게 접근할 수 있도록 지원)과 IGA(사용자의 자원 접근이 적절하며 보안 위험을 초래하지 않음을 보장하고 입증)를 결합하여 활용해야 합니다. 그러나 다음 시나리오에서 설명하듯이, 조직마다 요구 사항과 자원 수준이 다르기 때문에 이에 따라 진행 방식이 결정될 것입니다.

시나리오: IAM과 IGA를 함께 도입할까요? 네, 가능한 한 그렇게 해야 합니다.

조직이 IAM과 IGA를 모두 새로 도입하든, 기존 IAM 시스템을 대체하고 IGA를 추가하든, 두 시스템을 함께 도입하는 것이 거의 항상 이상적인 방법입니다. 동일한 공급업체의 IGA 및 IAM 기능을 동시에 도입함으로써, 조직은 단계적 도입 시 발생할 수 있는 불필요한 보안 취약점, 통합 문제 또는 기타 문제의 위험 없이, 상호 보완적이며 중요한 두 영역 전반에 걸쳐 완벽한 신원 보안 범위를 확보할 수 있습니다.

H3 시나리오: 기존 IAM 배포 환경에 IGA를 추가할 수 있을까? 아마도.

이미 액세스 권한 부여 및 관리에 필요한 모든 기능을 제공하는 IAM 시스템을 구축한 조직의 경우, 초기 신원 관리에 대한 투자를 유지하면서 IGA를 추가하기 위해 기존 시스템을 그대로 유지하는 것이 바람직할 수 있습니다. IGA 솔루션이 동일한 공급업체에서 제공되는 경우 이 방법이 효과적입니다. 그렇지 않은 경우, 신원 보안의 전반적인 관리가 훨씬 더 복잡해질 가능성이 높으며, 두 시스템의 통합이 어려울 수 있고, 서로 다른 시스템을 운영함에 따라 지속적인 문제 해결이 필요할 수 있습니다.

시나리오: IAM만 사용할 것인가? 권장하지 않습니다.

일부 조직은 예산이나 운영상의 제약으로 인해 IGA 없이 IAM만 도입하는 방안을 고려하기도 합니다. 하지만 이것이 반드시 바람직한 방법은 아닙니다. IAM을 통해 사용자를 인증하면, 접근 권한이 없는 사람이 어떤 식으로든 접근 권한을 얻게 될 위험이 줄어드는 것은 사실입니다. 하지만 이는 사용자가 가진 접근 권한이 과연 오른쪽 접근 권한. 그렇기 때문에 IAM만 사용하는 조직은 사용자가 과도한 접근 권한을 축적함으로써 보안 문제가 발생할 위험에 처하게 됩니다. 또한 IGA가 없는 조직은 규제 당국의 감사를 받을 때 규정 준수를 입증할 감사 기록 및 기타 증거를 확보하지 못합니다.

시나리오: IGA만 사용할까? 사실 그건 선택지가 아니다.

IAM 없이 IGA만 운영하는 것은 말이 되지 않습니다. IGA가 보안 정책을 적용하는 데는 IAM이 제공하는 기본 인증 및 권한 부여 메커니즘이 필수적이기 때문입니다. 다시 말해, IAM이 없다면 IGA가 이를 기반으로 구축할 수 있는 기반이 전혀 없습니다. 따라서 선택해야 할 사항은 IAM만 사용할지, 아니면 IAM과 IGA를 함께 사용할지뿐입니다.