신원 및 접근 관리(IAM)란 무엇인가요?

신원(Identity)이 새로운 경계입니다. 사용자가 회사 사무실, 가정용 네트워크, 혹은 지구 반대편의 파트너 시스템에서 로그인하든 간에, 보안 팀이 답해야 할 질문은 동일합니다. ‘이 사람이 올바른 사람인가? 올바른 리소스에, 올바른 상황에서, 올바른 시간에 접근하고 있는가?’ 신원 및 접근 관리(IAM)는 조직이 이러한 질문에 일관되고 대규모로 답할 수 있게 해주는 방법입니다.

실무에서 IAM은 사용자의 신원을 확인하고, 사용자가 주장하는 신원이 사실인지 검증하며, 사용자에게 허용된 권한을 결정하고, 사용자가 수행한 작업 내역을 기록합니다. 모든 로그인, 모든 권한 부여, 모든 접근 검토, 그리고 모든 계정 변경 사항은 이 프레임워크 내의 어느 한 부분에 해당합니다.

신원 및 접근 관리는 조직 내 시스템, 애플리케이션, 데이터 전반에 걸쳐 디지털 신원과 이에 따른 접근 권한을 관리하는 분야입니다. 이는 신원이 생성되는 순간부터 모든 역할 변경, 권한 조정, 그리고 최종적인 사용 중지까지 신원의 전체 수명 주기를 포괄합니다.

현대적인 IAM은 단순한 직원을 넘어 훨씬 더 광범위한 영역을 포괄합니다. 이는 계약자, 파트너, 고객, 제3자, 애플리케이션, 서비스, 그리고 봇, AI 에이전트, 워크로드와 같은 머신 아이덴티티에도 적용됩니다. 이러한 각 아이덴티티는 인증을 거쳐 적절한 접근 권한을 보유해야 하며, 일관된 정책에 따라 관리되어야 합니다.

완벽한 IAM 프로그램은 다음과 같은 여러 가지 상호 연계된 기능을 통합합니다:

• 비밀번호 없는 방식 및 생체 인증을 포함한 다단계 인증(MFA)을 통해 신원을 확인하는 인증 방식
• 신원이 어떤 자원에 접근할 수 있는지를 규정하는 권한 부여
• 접근 권한의 요청, 승인, 검토 및 철회 방식을 관리하는 신원 거버넌스
• 입사, 전근, 퇴사 이벤트를 자동화하는 라이프사이클 관리
• 접근 활동 및 정책 준수 현황을 파악할 수 있도록 지원하는 모니터링 및 보고 기능

IAM의 목표는 단순히 접근 권한을 통제하는 데 그치는 것이 아니라, 비즈니스 운영을 지원하고, 위험을 줄이며, 감사에 대비할 수 있는 방식으로 이를 수행하는 데 있습니다.

대부분의 현대적인 보안 침해 사고는 신원 보안의 취약점이나 신원 보안 정책의 결함에서 비롯됩니다. 공격자들은 도난당한 인증 정보를 이용해 로그인할 수 있다면 방화벽을 뚫을 필요가 없으며, 비밀번호나 기타 인증 정보를 도용하다, 잊혀진 서비스 계정을 악용하거나, 한 번도 검토된 적이 없는 기존 권한을 악용하는 경우 등이 있습니다. IAM은 바로 이러한 보안 허점을 메우기 위해 존재합니다.

탄탄한 IAM 프로그램이 없다면, 조직은 여러 가지 반복적인 위험에 직면하게 됩니다. 신원 및 접근 관리(IAM)는 조직이 누가 어떤 시스템에 접근할 수 있는지 통제하고, 사용자가 주장하는 신원이 맞는지 확인하며, 더 이상 접근 권한이 필요하지 않을 때 해당 권한을 해제하는 방식입니다.

부실한 IAM으로 인한 비용은 세 가지 측면에서 드러납니다. 보안 침해는 업무에 필요한 것보다 더 많은 접근 권한을 가진 계정에서 시작됩니다. 누가, 언제, 어떤 권한을 부여받았는지 검토하는 사람이 없기 때문에 감사도 제대로 이루어지지 않습니다. 또한 IT 부서는 보안 업무 대신 비밀번호 재설정 및 수동 프로비저닝에 많은 시간을 소모하게 됩니다.

IAM을 제대로 활용하면 이 세 가지 문제를 모두 해결할 수 있습니다. 신입 사원은 입사 첫날부터 적절한 접근 권한을 부여받고, 감사 담당자는 스프레드시트 대신 확실한 증거를 확보하며, 도난당한 인증 정보는 사실상 아무런 영향도 미치지 못합니다. 이는 신원 관리를 단순한 IT 관리 업무가 아닌 보안 인프라로 간주할 때 가능한 일입니다.

효과적인 IAM 프로그램이 비즈니스에 미치는 영향은 보안 영역을 넘어섭니다. 수동적인 접근 권한 관리 프로세스는 생산성을 저해합니다. 일관성 없는 통제 체계는 합병이나 클라우드 마이그레이션 과정에서 마찰을 야기합니다. 또한 명확한 신원 정보가 없다면 제로 트러스트 전략을 제대로 추진할 수 없습니다. 모든 제로 트러스트 결정은 누가 접근 권한을 요청하는지, 그리고 해당 접근이 적절한지 여부를 파악하는 데 달려 있기 때문입니다.

IAM은 신원 정보를 중앙 집중화하고, 접근 권한 결정을 자동화하며, 최소 권한 원칙을 적용하고, 조직이 규정 준수를 입증하는 데 필요한 감사 추적을 생성함으로써 이러한 문제들을 해결합니다. 이는 제로 트러스트(Zero Trust), 하이브리드 근무 인력을 위한 안전한 접근, 지속적인 위험 평가와 같은 광범위한 보안 전략의 기반이 됩니다.

IAM을 이해하는 데 도움이 되는 방법은 이를 네 가지 핵심 축으로 나누는 것입니다. 각 축은 서로 다른 기능을 나타내며, 이 네 가지 축이 결합되어 조직 전반에 걸쳐 액세스 권한을 관리하는 기반을 형성합니다.

신원 확인

신원 확인은 모든 것의 출발점입니다. 이를 통해 누가, 혹은 무엇이 접근 권한을 요청하는지 파악할 수 있습니다. 여기에는 하루 업무를 시작하기 위해 로그인하는 직원, 프로젝트 시스템에 접근하는 계약직 직원, API를 호출하는 애플리케이션, 데이터에 대한 접근 권한을 요청하는 에이전트, 또는 예약된 작업을 실행하는 서비스 계정 등이 포함될 수 있습니다. 환경 내의 모든 신원은 고유하게 정의되고 신뢰할 수 있는 데이터와 연동되어야 하며, 그래야만 나머지 IAM 프레임워크가 신뢰할 수 있는 정보를 바탕으로 작동할 수 있습니다.

인증

인증은 신원이 진짜인지 확인하는 과정입니다. 인증 정보가 피싱당하거나 도난당하고 재사용되는 사례가 널리 퍼져 있는 현실을 고려할 때, 비밀번호만으로는 더 이상 충분하지 않습니다. 강력한 인증은 FIDO2 키, 생체 인식, 비밀번호 없는 인증과 같은 피싱 방지 방식을 포함한 여러 요소를 결합하여, 접근을 요청하는 사람이나 시스템이 주장하는 대로 실제 본인 또는 시스템인지 확인합니다.

승인

권한 부여는 인증된 신원이 무엇을 수행할 수 있는지를 결정합니다. 바로 여기에서 역할, 정책, 권한이 중요하게 작용합니다. 재무 분석가는 재무 시스템에는 접근할 수 있어야 하지만 엔지니어링 소스 코드에는 접근할 수 없어야 합니다. 계약직 직원은 프로젝트가 종료되면 만료되는 기간 제한적인 접근 권한을 가져야 합니다. 권한 부여 결정은 ‘최소 권한 원칙’에 근거해야 하며, 이는 각 신원이 자신의 업무를 수행하는 데 필요한 접근 권한만을 부여받음을 의미합니다.

책임성

책임성야말로 이 프레임워크의 타당성을 뒷받침하는 요소입니다. 모든 액세스 내역은 기록되어야 하며, 모든 권한은 검토 가능해야 하고, 모든 정책 결정은 추적 가능해야 합니다. 책임성은 규정 준수를 지원하고, 포렌식 조사를 가능하게 하며, 조직이 자사의 IAM 프로그램이 설계된 대로 작동하고 있음을 입증하는 데 필요한 증거를 마련해 줍니다.

이를 구체적으로 설명하기 위해, 한 명의 직원이 업무를 수행하는 과정에서 IAM이 어떻게 작동하는지 살펴보겠습니다.

신입 사원이 회사에 입사합니다. 인사 시스템은 공식 신원 기록을 생성하며, 이 기록은 IAM 플랫폼으로 전송되어 자동 프로비저닝을 실행합니다. 신입 직원은 디지털 신원 정보, 기업 디렉토리 내 계정, 그리고 자신의 역할에 연계된 기본 권한 세트를 부여받습니다. 입사 첫날, 해당 직원은 로그인하여 다단계 인증(MFA)에 등록하며, 이 과정을 통해 ‘알고 있는 것’, ‘소지하고 있는 것’, 그리고/또는 ‘본인의 생체적 특성’을 기반으로 한 여러 요소의 조합을 통해 신원이 검증됩니다.

인증 절차가 완료되면 IAM 시스템은 사용자가 어떤 자원에 접근할 수 있는지 평가합니다. 사용자는 자신의 역할에 따라 이메일, 협업 도구 및 소속 팀에서 사용하는 비즈니스 애플리케이션에 접근할 수 있습니다. 해당 역할에 특별히 필요한 경우가 아닌 한, 민감한 시스템에 대한 접근은 허용되지 않습니다.

6개월 후, 해당 직원은 새로운 직무로 이동합니다. 인사 시스템이 해당 직원의 기록을 업데이트하면, IAM 플랫폼이 이러한 변경 사항을 감지하여 권한을 자동으로 조정합니다. 즉, 기존 접근 권한은 제거되고 새로운 접근 권한이 부여되며, 관리자에게는 다음 접근 권한 검토 시 해당 결과를 승인하도록 요청됩니다.

결국 해당 직원은 회사를 떠납니다. 인사 시스템이 퇴사 사실을 기록합니다. IAM 플랫폼은 즉시 해당 직원의 접근 권한을 해제하여 모든 계정을 폐쇄하고, 모든 권한을 철회하며, 감사를 위해 퇴사 기록을 생성합니다. 성숙한 IAM 프로그램을 갖춘 조직은 이러한 동일한 통제 조치를 에이전트형 AI에도 적용하고, 에이전트를 책임 있는 인간 사용자와 연계할 것입니다.

이것이 바로 IAM이 본래의 목적대로 작동하는 모습입니다. 즉, 신원 기반이며, 정책에 따라 적용되고, 자동화되어 있으며, 종단 간 감사 가능합니다.

성숙한 IAM 프로그램은 보안, 운영, 규정 준수 전반에 걸쳐 측정 가능한 이점을 제공합니다:

• 무단 접근을 차단합니다 모든 요청에 대해 엄격한 신원 확인 절차를 적용함으로써
• 최소 권한 원칙에 따른 액세스를 지원합니다사용자, 애플리케이션 및 머신 ID 전반에 걸쳐
• 운영 효율성 향상프로비저닝, 디프로비저닝 및 접근 권한 검토를 자동화함으로써
• 신입 입사, 직무 변경 및 퇴사 절차를 간소화합니다그래서 사람들은 필요한 시점에 지체 없이 접근 권한을 얻고, 정해진 시점에 그 권한을 상실하게 됩니다
• 규정 준수 및 감사 대비 역량을 강화합니다일관된 정책 적용과 완벽한 접근 기록을 바탕으로
• 가시성을 높입니다 누가 어떤 정보에 접근할 수 있는지, 언제 그 정보를 사용했는지, 그리고 해당 접근 권한이 여전히 적절한지 여부를 파악하기 위해

이러한 이점은 시간이 지남에 따라 누적됩니다. 조직이 IAM에 일찍 투자할수록, 나중에 누적된 권한을 정리하고 감사 지적 사항을 시정하는 데 드는 비용을 줄일 수 있습니다.

IAM은 클라우드 및 온프레미스 환경 전반에 걸쳐 신원을 확인하고, 권한을 관리하며, 정책을 적용하고, 액세스를 모니터링하기 위해 상호 연동되는 다양한 기술의 지원을 받습니다. 모든 IAM 기능을 단일 도구 하나로 처리할 수는 없기 때문에, 대부분의 조직은 IAM을 상호 연결된 기능들의 집합으로 운영합니다.

인증 도구

이러한 기술들은 접근 권한을 부여하기 전에 신원이 진짜인지 확인합니다. 여기에는 다단계 인증, 비밀번호 없는 인증, 생체 인증, FIDO2 키와 같은 하드웨어 토큰, 그리고 사용자가 한 번만 인증하면 반복적인 로그인 없이 여러 연결된 애플리케이션에 접근할 수 있게 해주는 싱글 사인온(SSO)이 포함됩니다.

신원 거버넌스 도구

거버넌스 도구는 액세스 라이프사이클을 관리합니다. 이들은 접근 요청 및 승인을 처리하고, 접근 인증 및 검토를 수행하며, 직무 분리를 이행하고, 연결된 시스템 전반에 걸쳐 프로비저닝 및 디프로비저닝을 자동화합니다. 이러한 통제 수단들은 접근 권한이 도입 초기뿐만 아니라 시간이 지나도 적절하게 유지되도록 보장합니다.

접근 제어 및 정책 도구

이러한 도구는 인증된 사용자가 수행할 수 있는 작업을 결정합니다. 여기에는 권한이 정의된 역할에 연계되는 ‘역할 기반 접근 제어(RBAC)’, 속성과 규칙에 따라 접근 여부가 결정되는 ‘정책 기반 접근 제어(PBAC)’, 그리고 기기 상태, 위치, 위험 신호와 같은 실시간 상황을 고려하여 접근 여부를 결정하는 ‘적응형 또는 조건부 접근 제어’가 포함됩니다.

제로 트러스트 보안 프레임워크

IAM은 다음의 기초가 됩니다. 제로 트러스트. 제로 트러스트 모델은 네트워크 위치에 기반한 암묵적인 신뢰를 전제로 하지 않으며, 접근 권한을 부여하기 전에 신원, 기기 및 상황을 지속적으로 평가합니다. IAM은 제로 트러스트를 단순한 이론이 아닌 실제에서 구현할 수 있도록 하는 신원 신호, 정책 적용 및 지속적인 검증 기능을 제공합니다.

두 개념의 핵심적인 차이점은 간단합니다. 신원 관리는 ‘누구인지’에 관한 반면, 접근 관리는 ‘무엇을 할 수 있는지’에 관한 것입니다. 두 기능 모두 동일한 IAM 프레임워크의 일부이지만, 각각 다른 질문에 답하며 서로 다른 통제 수단에 의존합니다.

신원 관리(Identity management)는 디지털 신원의 생성, 유지 관리 및 통제에 중점을 둡니다. 이는 해당 환경에 누가 존재하는지, 그들을 설명하는 속성은 무엇인지, 그리고 시간이 지남에 따라 그들의 신원이 어떻게 변화하는지에 대한 문제를 다룹니다. 여기에는 신규 입사자 등록, 역할 변경, 그룹 구성원 지정 및 퇴사 처리 등이 포함됩니다.

액세스 관리는 해당 신원들이 수행할 수 있는 작업에 중점을 둡니다. 여기에는 인증, 권한 부여, 세션 관리, 그리고 특정 신원이 어떤 조건 하에서 어떤 리소스에 접근할 수 있는지 결정하는 정책들이 포함됩니다.

두 기능은 단일 IAM 프레임워크 내에서 서로 연동되어 작동합니다. 신뢰할 수 있는 신원 정보가 없다면, 접근 권한 결정 사항을 신뢰할 수 있는 기준으로 적용할 수 없습니다. 강력한 접근 관리 체계가 없다면, 신원 정보는 방치되어 활용되지 못합니다.

신원 및 접근 관리가 어떻게 연동되는가

신원 관리는 신뢰할 수 있는 신원 기록, 정확한 역할 할당, 명확한 수명 주기 등 기반을 마련합니다. 접근 관리는 이러한 기반을 바탕으로 사용자, 애플리케이션 또는 시스템이 접근을 요청할 때마다 정책에 기반한 안전한 결정을 내립니다. 이 두 가지가 결합되어 조직은 대규모로 최소 권한 원칙을 적용하는 데 필요한 데이터와 제어 수단을 모두 확보할 수 있습니다.

IAM은 직원의 일상적인 로그인 보안부터 제3자 접근 권한 관리 및 감사 요건 지원에 이르기까지, 현대 조직의 거의 모든 영역에 적용됩니다. 가장 일반적인 시나리오 몇 가지는 다음과 같습니다:

인력 접근 관리

직원의 기업 시스템, 비즈니스 애플리케이션 및 클라우드 서비스 접근 권한을 보호하는 것. 이는 가장 널리 알려진 IAM 사용 사례이며, 대부분의 조직이 이를 시작으로 도입합니다.

특권 액세스 제어

관리자, 임원 및 기타 영향력이 큰 직책이 보유한 높은 수준의 접근 권한을 관리합니다. 특권 계정은 공격자들의 주요 표적이므로, 보다 강력한 인증, 엄격한 거버넌스 및 지속적인 모니터링이 필요합니다.

타사 및 계약자 액세스

공급업체, 파트너 및 계약업체에 제한적이고 기간이 정해진 접근 권한을 부여합니다. 외부 접근 권한은 계약이 종료되면 자동으로 만료되어야 하며, 이는 자동화된 라이프사이클 관리를 통해 원활하게 처리됩니다.

애플리케이션 및 클라우드 액세스

SaaS, 하이브리드 및 온프레미스 환경에 걸친 액세스 제어 연동, 단일 로그인(SSO), 일관된 정책 적용을 통해 가능합니다. 애플리케이션 포트폴리오가 확대됨에 따라, 이는 IAM에서 운영상 가장 부담스러운 부분 중 하나가 됩니다.

규정 준수 및 감사 지원

IAM 제어 기능을 활용하여 적절한 사람들이 정당한 사유로 적절한 접근 권한을 부여받고 있음을 입증합니다. 접근 권한 검토 내역, 정책 적용 기록, 상세한 감사 로그 등은 규제 당국과 내부 감사인이 확인하기를 기대하는 사항입니다.

IAM 성숙도에 이르는 단 하나의 길은 없지만, 성공적인 프로그램 대부분은 동일한 일련의 기초 단계를 거칩니다.

1. 사용자, 시스템 및 접근 관련 위험을 평가합니다: 누가 접근 권한이 필요한지, 어떤 자원을 보호해야 하는지, 그리고 현재 어떤 취약점이 존재하는지 파악하십시오. 이 기준은 이후의 모든 의사결정에 기초가 됩니다.
2. 신원 정보 중앙 집중화: 신원 정보의 신뢰할 수 있는 출처를 확립해야 합니다. 일반적으로 직원의 경우 HR 시스템, 계정의 경우 디렉토리가 이에 해당합니다. 신원 데이터에 대한 탄탄한 기반이 없으면 후속 자동화 프로세스가 안정적으로 작동하지 않습니다.
3. 역할 및 접근 정책 정의: 최소 권한 원칙에 부합하는 역할 기반 또는 정책 기반의 접근 규칙을 수립하십시오. 역할은 서류상의 조직도 형태가 아니라, 비즈니스가 실제로 운영되는 방식을 반영해야 합니다.
4. 인증 강화: 다단계 인증, 피싱 방지 방식, 그리고 위험 수준에 따라 유연하게 적용되는 조건부 접근 제어 기능을 도입하십시오. 비밀번호만 사용하는 접근 방식을 단계적으로 폐지하는 것은 대부분의 조직이 시행할 수 있는 가장 영향력 있는 변화 중 하나입니다.
5. 프로비저닝 및 디프로비저닝 자동화: 입사, 전근, 퇴사 시 수작업 부담을 줄이고 보안 취약점을 해소하십시오. 자동화를 통해 접근 권한을 부여하는 데 소요되는 시간과 전직 직원이 해당 권한을 보유하는 기간을 모두 단축할 수 있습니다.
6. 접근 권한을 지속적으로 검토하고 관리하십시오: 정기적으로 접근 권한 인증을 수행하고, 사용 현황을 모니터링하며, 역할과 위험 요소의 변화에 따라 권한을 조정하십시오. IAM은 일회성 도입이 아니라 지속적인 프로그램입니다.

IAM 서비스는 조직이 신원을 생성하고, 사용자를 인증하며, 접근 권한을 부여하고, 정책을 적용하고, 더 이상 필요하지 않은 경우 접근 권한을 제거하기 위해 사용하는 도구, 프로세스 및 관리형 기능입니다. 대부분의 포트폴리오에는 신원 거버넌스, 인증, 액세스 관리, 라이프사이클 자동화 및 보고 기능이 포함되며, 대규모 조직의 경우 종종 특권 액세스 관리, 고객 신원 관리 및 신원 위협 탐지 기능을 추가로 도입합니다. 이 모든 기능의 목표는 동일합니다. 즉, 신원 관련 위험을 줄이고, 규정 준수를 지원하며, 액세스가 필요한 사람들이 안전하게 접근할 수 있도록 하는 것입니다.

신원 및 접근 관리(IAM)는 조직에 접근을 요청하는 사용자가 누구인지 확인하고, 해당 사용자에게 허용될 권한을 결정하며, 시간이 지남에 따라 해당 접근 권한을 관리하고, 감사관에게 이 모든 과정을 입증할 수 있는 프레임워크를 제공합니다. 환경이 점점 더 복잡해지고 신원 기반 공격이 빈번해짐에 따라, 강력한 IAM 프로그램은 더 이상 보안 측면에서 ‘있으면 좋은’ 수준이 아닙니다. 이는 다른 모든 것이 의존하는 기반입니다.

RSA는 최고 수준의 보증 요건을 충족해야 하는 고객을 위한 독립형 배포 옵션을 포함하여, 거버넌스, 인증 및 액세스 관리 전반에 걸친 통합 신원 보안 솔루션을 통해 조직이 이러한 기반을 구축할 수 있도록 지원합니다. RSA가 다음과 같은 방법을 통해 귀사의 액세스 프로그램을 어떻게 강화할 수 있는지 알아보세요. RSA ID Plus 및 RSA 거버넌스 및 수명 주기.