적응형 MFA란 무엇인가요?

적응형 다단계 인증(MFA)은 모든 사용자에게 매번 동일한 인증 절차를 적용하는 대신, 기기 신뢰도, 위치, 네트워크, 사용자 행동, 접근하려는 리소스의 민감도 등의 상황별 신호를 평가한 후, 이에 따라 인증 수준을 조정합니다.

적응형 MFA(Adaptive MFA)는 때때로 상황 기반 MFA(contextual MFA) 또는 상황 인식 인증(context-aware authentication)이라고도 불리며, 기존의 다단계 인증 접근이 위험해 보일 때는 더 강력한 통제 조치를 적용하고, 그렇지 않을 때는 덜 엄격한 검증 절차를 적용하도록 설계되었습니다.

기존의 MFA 환경에서는 사용자가 회사 네트워크에 연결된 익숙한 노트북에서 로그인하든, 낯선 나라의 미확인 기기에서 로그인하든 상관없이 매번 로그인할 때마다 모든 사용자가 동일한 인증 절차를 거쳐야 합니다. 적응형 MFA는 이러한 방식을 바꿉니다. 이 시스템은 접속 시점에 상황별 신호를 분석하여, 위험이 명백히 낮은 요청에 대해서는 번거로움 없는 로그인을 허용하는 한편, 비정상적이거나 중요한 것으로 보이는 모든 요청에 대해서는 피싱 공격에 강한 단계적 강화 인증을 적용하는 등 적절한 인증 수준을 결정합니다.

그 결과, 접근 보안에 대해 보다 유연한 접근 방식이 구현되었습니다. 일상적인 업무 흐름을 따르는 신뢰할 수 있는 사용자는 불필요한 지연을 겪지 않는 반면, 의심스럽거나 민감한 요청의 경우 접근 권한이 부여되기 전에 더 엄격한 인증 절차가 진행됩니다.

정적 인증 정책은 현대 업무 환경의 현실을 따라잡기 어렵습니다. 직원들은 가정 네트워크를 통해 클라우드 애플리케이션에 접속하고, 계약직 직원들은 관리 대상이 아닌 기기를 통해 연결되며, 특권 사용자들은 다양한 위치와 기기를 통해 민감한 시스템에 접근합니다. 이러한 모든 접근 이벤트를 동일한 방식으로 처리할 경우, 사용자에게 불필요한 확인 요청을 반복적으로 제시하여 부담을 주거나, 고위험 요청에 대한 보호가 미흡해지는 결과를 초래합니다.

적응형 MFA는 이 두 가지 문제를 한 번에 해결합니다. 다음과 같은 내용을 제공합니다:

• 해킹된 인증 정보로 인해 중대한 피해가 발생할 수 있는 고위험 접속 시도에 대한 보호 조치를 강화합니다.
• 신뢰할 수 있는 사용자의 경우 번거로움이 줄어들어, 일상적인 로그인 절차를 최소한의 방해만 받으며 진행할 수 있습니다.
• 사용 편의성과 보안 간의 균형을 더욱 개선하여, 사용자 경험과 접근 제어 간의 상충 관계를 줄임
• 지원 대상 제로 트러스트 접근 전략: 로그인 시 일회성 신뢰가 아닌 지속적인 검증이 필요한 전략
• 민감한 리소스에 대한 접근 통제를 강화하여, 가장 중요한 시스템과 데이터에 대해 가장 강력한 인증이 적용되도록 보장합니다.

보안 담당자들에게 있어 적응형 다단계 인증(MFA)은 접근 제어를 정적인 ‘문’에서 맥락을 고려한 지속적인 의사결정 과정으로 전환하는 것을 의미합니다.

적응형 다단계 인증(MFA)은 각 액세스 요청에 대한 맥락 정보를 수집하고, 해당 맥락이 높은 위험도를 나타내는지 평가한 다음, 적절한 수준의 인증 절차를 적용하는 방식으로 작동합니다. 이 과정은 실시간으로 이루어지며, 대개 사용자는 이를 눈치채지 못합니다.

로그인 컨텍스트를 평가합니다.

사용자가 로그인을 시도하면 시스템은 해당 요청에 대한 정보를 수집합니다. 여기에는 사용 중인 기기, 네트워크 및 IP 주소, 사용자의 위치와 접속 시간, 요청된 애플리케이션 또는 리소스, 최근 인증 내역 등이 포함됩니다. 이러한 신호들이 종합되어 접속 컨텍스트에 대한 전체적인 그림을 형성합니다.

적절한 수준의 보증을 부여합니다

이 시스템은 해당 상황을 예상되는 패턴 및 정책 기준치와 비교합니다. 관리 대상 기기를 사용하는 알려진 사용자가 민감도가 낮은 애플리케이션에 접근하는 경우, 일반적으로 더 낮은 수준의 보증 수준이 요구됩니다. 반면, 익숙하지 않은 위치에서 규제 대상 시스템에 접근하는 권한이 높은 사용자의 경우 더 높은 수준의 보증 수준이 필요합니다. 최신 적응형 MFA 솔루션은 머신러닝과 행동 분석을 활용하여 시간이 지남에 따라 이러한 평가의 정확도를 높여갑니다.

단계별 강화 인증을 실행합니다

상황에 따라 추가 확인이 필요한 경우, 시스템은 사용자에게 더 강력한 인증 수단이나 추가 인증 수단을 요청합니다. 여기에는 등록된 기기로 전송되는 푸시 알림, 일회용 인증 코드, 생체 인증, 또는 피싱 방지 기능이 탑재된 하드웨어 인증기 등이 포함될 수 있습니다. 비밀번호 없는 인증 배포. 단계적 확대는 실질적인 보안 가치를 더할 때에만 이루어집니다.

불필요한 안내 메시지를 줄이는 데 도움이 됩니다

보증 기준을 명확히 충족하는 요청의 경우, 적응형 다단계 인증(MFA)을 통해 추가 단계 없이 바로 액세스를 진행할 수 있습니다. 이를 통해 인증 요청으로 인한 피로감을 줄이고, 헬프데스크 문의량을 감소시키며, 사용자의 생산성을 유지하는 동시에, 필요한 부분에서는 강력한 인증을 지속적으로 적용할 수 있습니다.

적응형 MFA는 다양한 상황적 신호를 활용할 수 있습니다. 더 강력한 인증을 유발하는 가장 일반적인 요인은 다음과 같습니다:

• 새 장치 또는 알 수 없는 장치: 사용자가 시스템에서 이전에 인식하지 못한 기기를 통해 로그인할 경우, 이러한 환경의 변화로 인해 위험이 높아질 수 있으며, 새로운 기기가 신뢰할 수 있는 것으로 판단되기 전에 추가적인 인증 절차가 필요할 수 있습니다.
• 특이한 장소 또는 이동 패턴: 낯선 국가에서의 로그인 시도나, 사용자가 짧은 시간 내에 멀리 떨어진 두 곳에 동시에 있는 것처럼 보이는 비현실적인 이동 경로는 계정 정보가 유출되었음을 나타내는 강력한 징후입니다.
• 신뢰할 수 없는 네트워크 또는 의심스러운 IP 주소: 익명화 네트워크, 알려진 악성 IP 범위 또는 관리되지 않는 Wi-Fi 네트워크를 통한 접속 시, 더 엄격한 인증 요건이 적용될 수 있습니다.
• 비정상적인 로그인 활동: 평소와 다른 로그인 패턴(예: 이례적인 시간대, 비정상적인 작업 순서, 예상치 못한 접속 속도 등)은 무언가 문제가 있음을 시사할 수 있습니다.
• 민감한 애플리케이션 또는 데이터에 대한 접근: 요청되는 리소스의 민감도는 이를 요청하는 사용자만큼이나 중요합니다. 금융 시스템, 인사 데이터, 소스 코드 저장소 및 규제 대상 정보는 사용자가 아무리 신뢰할 수 있어 보일지라도 더 강력한 인증 절차가 필요합니다.
• 특권 계정 또는 관리자 권한이 부여된 사용자 역할: 관리자, 임원 및 기타 높은 권한을 가진 사용자는 보안 침해 시 더 큰 위험을 초래하므로, 적응형 다단계 인증(MFA)은 기본적으로 이러한 역할에 대해 더 강력한 인증을 요구할 수 있습니다.

기존 MFA와 적응형 MFA의 차이는 결국 상황에 따라 달라집니다.

기존의 MFA는 모든 로그인 시 동일한 인증 절차를 적용합니다. 사용자가 오전 10시에 익숙한 네트워크 환경의 관리 대상 회사 노트북에서 로그인하든, 새벽 3시에 다른 나라의 미확인 기기에서 로그인하든, 인증 단계는 똑같습니다. 이러한 일관성은 배포가 간편하고 사용자에게 설명하기도 쉽지만, 두 가지 실질적인 단점이 있습니다. 저위험 사용자는 불필요한 번거로움을 겪게 되는 반면, 고위험 요청은 추가적인 심사를 받지 못합니다.

다음과 같은 적응형 MFA RSA 리스크 AI 실시간 상황에 따라 요구 사항을 조정합니다. 동일한 사용자라도 아침에는 위험도가 낮은 로그인 절차를 손쉽게 통과할 수 있지만, 같은 날 늦게 새로운 기기에서 민감한 애플리케이션에 접근할 때는 강화된 인증 절차를 거쳐야 할 수도 있습니다. 인증 정책은 각 접근 이벤트의 실제 위험도에 따라 유연하게 대응하게 됩니다.

실질적인 이점은 동일한 수준의 [...], 없이도 더 강력한 통제력을 확보할 수 있다는 점입니다. 프로프트 피로. 사용자는 전반적으로 더 적은 수의 보안 점검 항목을 접하게 되지만, 실제로 확인하게 되는 항목들은 더 의미가 깊고 공격자가 우회하기 더 어렵습니다. 이러한 맥락 기반 접근 방식은 또한 위험 기반 인증, 이는 동일한 유형의 신호를 활용하여 신원 관리 프로그램 전반에 걸친 접근 권한 부여 결정을 내립니다.

몇 가지 간단한 시나리오를 통해 적응형 MFA가 실제로 어떻게 작동하는지 살펴보겠습니다.

신뢰할 수 있는 직원이 관리 대상 기기에서 로그인합니다.

사용자는 일반적인 업무 시간 중에, 확인된 네트워크 환경에서, 알려진 노트북을 통해 로그인합니다. 상황상 위험이 낮아 보이기 때문에, 시스템은 추가적인 번거로움을 최소화한 상태로 접근을 허용할 수 있습니다.

새로운 국가에서 로그인 시도가 감지되었습니다.

사용자가 이전에 로그인한 적이 없는 위치에서 비즈니스 애플리케이션에 접근하려고 시도합니다. 적응형 MFA는 접근 권한을 부여하기 전에 피싱 방지 인증 요소나 생체 인증과 같은 더 강력한 인증 절차를 요구할 수 있습니다.

특권 관리자가 민감한 시스템에 대한 접근 권한을 요청합니다.

장치와 네트워크가 확인된 경우라 하더라도, 요청된 리소스가 더 큰 위험을 수반하기 때문에 시스템에서 추가 인증을 요구할 수 있습니다. 역할과 리소스가 결합되어 보증 기준이 더 높아집니다.

사용자가 로그인하는 동안 비정상적인 행동을 보입니다.

접속 시도 순서가 비정상적이거나 접속 시점이 이례적인 경우 등 로그인 패턴이 평소와 다를 때, 적응형 다단계 인증(MFA)은 보안 요구 수준을 높이거나 해당 세션을 추가 검토 대상으로 표시할 수 있습니다.

한 계약직 직원이 관리가 되지 않는 기기를 통해 중요한 클라우드 애플리케이션에 접속합니다.

이 시스템은 장치 및 사용자 컨텍스트가 관리형 직원 엔드포인트와 동일한 신뢰 기준을 충족하지 않기 때문에, 보다 엄격한 인증 규칙을 적용할 수 있습니다. 타사 액세스의 경우 대개 별도의 적응형 정책이 필요합니다.

• 위험도가 낮은 사용자의 마찰을 줄여줍니다: 일상적인 로그인 절차는 추가 단계가 거의 없이 원활하게 진행되어 생산성을 유지하고 사용자의 불편을 줄여줍니다.
• 의심스러운 활동이 감지되면 방어 체계를 강화합니다: 중요한 부분에는 단계별 인증이 적용되어, 자격 증명 기반 공격을 실행하기가 훨씬 더 어려워집니다.
• 보다 효율적인 액세스 정책을 지원합니다: 보안 팀은 일률적인 규칙을 벗어나 사용자, 기기 및 리소스의 실제 위험 프로필에 부합하는 정책을 수립할 수 있습니다.
• 민감한 시스템과 데이터를 보호하는 데 도움이 됩니다: 고가치 리소스는 사용자의 기존 신뢰 수준과 관계없이 더 엄격한 인증 절차를 거치므로, 인증 정보가 유출되었을 때의 영향을 최소화합니다.
• 보안을 저해하지 않으면서 사용자 경험을 향상시킵니다: 사용자들은 전반적으로 더 적은 수의 안내 메시지를 보게 되며, 표시되는 안내 메시지는 명백히 높은 위험도와 연관되어 있어, 이로 인해 도입률과 보안 태세 모두 향상됩니다.

적응형 다단계 인증(MFA)은 상당한 이점을 제공하지만, 성공적인 도입을 위해서는 철저한 계획이 필요합니다. 보안 담당자들은 다음과 같은 과제를 미리 예상해야 합니다.

• 정책 조정은 복잡할 수 있습니다: 적절한 임계값, 신호 및 단계별 요건을 정의하는 데는 시간이 걸리며, 특히 규모가 크거나 다양한 환경에서는 반복적인 과정이 필요합니다.
• 신호 품질이 나쁘면 오탐이 발생할 수 있습니다: 상황 관련 데이터가 불완전하거나 신뢰할 수 없는 경우, 시스템이 사용자에게 불필요한 경고를 보내거나 실제 위협을 놓칠 수 있습니다.
• 일관성 없는 사용자 경험은 혼란을 야기할 수 있습니다: 사용자가 시기에 따라 서로 다른 안내 메시지를 접하게 될 때, 헬프데스크 문의량 증가와 사용자의 불만을 방지하기 위해서는 명확한 의사소통이 필수적입니다.
• 불완전한 인증 방식은 여전히 위험을 초래합니다: 적응형 다단계 인증(MFA)은 기본이 되는 요소가 탄탄할 때만 그 가치를 발휘합니다. SMS 기반 일회용 비밀번호(OTP)와 같이 피싱 공격에 취약한 요소는 아무리 지능적으로 적용하더라도 여전히 우회될 수 있습니다.
• 장기적인 성공을 위해서는 투명성과 거버넌스가 중요합니다: 감사 가능성, 정책 문서화 및 지속적인 검토가 없다면, 적응형 정책은 본래의 방향에서 벗어나 공격자가 악용할 수 있는 취약점을 남길 수 있습니다.

적응형 다단계 인증(MFA) 구현은 단순히 로그인 요청 횟수를 늘리는 것에 그치지 않습니다. 보안 담당자들은 적응형 정책이 어디에서 가장 큰 가치를 창출하는지, 어떤 신호가 신뢰할 수 있는지, 그리고 강화된 보안과 사용자 경험 간의 균형을 어떻게 맞출지 결정해야 합니다. 가장 성공적인 도입 사례는 일괄적인 활성화가 아닌, 운영상의 의사결정, 신중한 정책 설계, 그리고 체계적인 단계적 도입을 통해 이루어집니다.

위험도가 가장 높은 사용자와 자원을 우선적으로 검토하십시오.

먼저 특권 계정, 원격 액세스 워크플로우, 민감한 비즈니스 애플리케이션, 그리고 고가치 데이터부터 시작하십시오. 침해 시 가장 큰 피해를 초래할 수 있는 대상 및 자원에 우선적으로 집중하면 도입의 타당성을 입증하기가 더 쉬워지고, 위험도가 낮은 시나리오에 대해 정책을 과도하게 설계할 가능성을 줄일 수 있습니다.

사용자의 환경에서 가장 중요한 신호를 정의하십시오

관리 대상 기기와 비관리 대상 기기, 내부 직원과 제3자 사용자, 비정상적인 위치, 의심스러운 IP 주소, 비현실적인 이동 경로, 규제 대상 또는 민감한 리소스에 대한 접근 권한 등 실질적인 신호에 주목해야 합니다. 모든 신호가 모든 환경에서 동등한 신뢰도를 보이는 것은 아니므로, 신호를 기반으로 정책을 수립하기 전에 신호의 신뢰도를 검증하는 것이 중요합니다.

단순히 로그인 이벤트에만 국한되지 말고, 비즈니스 위험을 중심으로 정책을 수립하십시오

적응형 다단계 인증(MFA)의 목적은 단순히 사용자에게 더 자주 인증 절차를 요구하는 것이 아닙니다. 이는 세션이 침해될 경우 비즈니스, 운영 또는 규정 준수 측면에서 중대한 위험을 초래할 수 있는 부분에 대해 더 강력한 통제 조치를 적용하기 위함입니다. 정책 결정 시 단순히 어떤 서비스에 로그인하는지가 아니라, 무엇을 보호해야 하는지에 초점을 맞춰야 합니다.

단계별 인증을 전략적으로 활용하십시오

상황에 따라 필요한 경우에만 더 강력한 인증 절차를 적용하십시오. 이렇게 하면 프롬프트 피로도를 줄이고, 시스템에 대한 사용자의 신뢰를 유지하며, 모든 사용자와 모든 애플리케이션에 대해 똑같이 불편한 경험을 야기하는 것을 방지할 수 있습니다.

보안, IAM 및 규정 준수 팀 간의 협력을 초기 단계부터 조율하십시오

정책을 사일로 방식으로 수립할 경우 구현이 실패하는 경우가 많습니다. 보안 책임자는 광범위한 도입에 앞서 허용 가능한 위험 기준치, 에스컬레이션 절차 및 예외 처리 방안을 정의하기 위해 IAM, IT 운영팀, 애플리케이션 소유자 및 규정 준수 관련 이해관계자들의 의견을 수렴해야 합니다.

고신뢰성 접근이 필요한 곳을 정의하십시오

비즈니스 영향도, 민감도 및 규정 준수 요구 사항을 바탕으로 보다 강력한 인증이 필요한 사용자, 시스템 및 워크플로를 파악하십시오. 특권 계정, 운영 시스템, 민감한 애플리케이션, 규제 대상 데이터 및 핵심 인프라는 모두 적응형 다단계 인증(MFA) 전략의 일환으로 강화된 보증 요건 적용 대상인지 평가해야 합니다.

대규모 도입 전에 시범 운영, 평가 및 최적화를 수행하십시오

단계적 도입은 위험을 줄여줍니다. 먼저 제한된 대상 그룹을 대상으로 시작하고, 오탐을 검토하며, 사용자 불편 사항을 모니터링한 뒤, 조직 전체로 확대하기 전에 정책을 조정하십시오. 출시 후 첫 몇 달 동안은 정책을 반복적으로 개선해야 할 것으로 예상하십시오.

가시성 및 거버넌스 계획

감사 가능성과 운영 통제는 정책 그 자체만큼이나 중요합니다. 정책을 문서화하고, 책임 소재를 명확히 하며, 보고 주기를 정하고, 예외 처리 및 지속적인 검토를 위한 프로세스를 구축하십시오. 적응형 다단계 인증(MFA)은 일회성 구성보다는 지속적으로 개선되는 프로그램으로 관리될 때 가장 효과적입니다.

적응형 다단계 인증(MFA)은 단순히 인증 절차를 더 스마트하게 수행하는 방법이 아닙니다. 이는 모든 액세스 요청에 불필요한 번거로움을 가중시키지 않으면서 신원 보안을 강화할 수 있는 실용적인 방법입니다. 상황에 따라 실시간으로 대응함으로써, 조직이 적절한 액세스 상황에 적합한 수준의 인증을 적용하고, 민감한 시스템에 대한 통제력을 강화하며, 인증 절차를 더 광범위한 제로 트러스트(Zero Trust) 및 안전한 액세스 목표와 연계할 수 있도록 지원합니다.

적응형 다단계 인증(MFA)은 보다 포괄적인 신원 관리 전략의 일환으로 운영될 때 그 효과가 더욱 커집니다. RSA는 조직이 보안 액세스를 신원 거버넌스 및 라이프사이클 관리와 연계하여 가시성을 높이고, 정책을 엄격히 적용하며, 클라우드 및 하이브리드 환경 전반에 걸쳐 보다 일관된 보호 체계를 구축할 수 있도록 지원합니다. 자세히 알아보기 RSA의 거버넌스 및 라이프사이클 솔루션 보안 액세스와 신원 거버넌스가 어떻게 연계되어 작동하는지 확인해 보세요.