‘형식적인 규정 준수’에서 ‘적극적 방어’로

여러 산업 분야의 신원 관리 프로그램들은 한 가지 잘못된 전제 하에 운영되고 있습니다. 바로 정기적인 접근 권한 검토, 문서화된 정책, 그리고 문제 없는 감사 보고서가 방어 가능한 보안 태세를 구축해 준다는 전제입니다. 하지만 그렇지 않습니다.

위협 환경은 근본적으로 변화했습니다. 인간이든 비인간이든 모든 신원 정보는 단 몇 밀리초 만에 생성, 수정, 악용됩니다. 검토 주기 사이에는 접근 권한이 끊임없이 변동합니다. 그리고 침해 사고가 발생하면 감사관, 규제 당국, 조사관, 보험사, 소송 담당자들은 정책이 존재했는지 묻지 않습니다. 그들은 사고가 발생한 바로 그 순간, 해당 정책이 실시간으로 시행되었는지 묻습니다.

본 논문은 연례 또는 분기별 검토 활동에 의존하는 기존의 신원 거버넌스 및 관리(IGA) 모델이, 우리가 ‘소홀함의 격차’라고 명명한 현상을 초래한다고 주장한다. 이는 조직의 정적인 정책 문서에 명시된 내용과 동적인 시스템이 실제로 수행하는 작업 사이에 벌어지는 간극이 점차 확대되는 현상을 의미한다. 이 격차를 방치할 경우, 이는 단순한 보안 위험에 그치지 않는다. 이는 법적 책임의 소지가 되며, 금융 기관과 정부 기관의 경우 조만간 발생할 감사 지적 사항이 될 수도 있다.

대안은 ‘능동적 거버넌스(Active Defense Governance, ADG)’로 전환하는 것입니다. 이 모델에서 거버넌스는 주기적인 검증 절차가 아닌, 지속적이고 자동화된 위험 기반 제어 체계로 기능합니다. ADG를 효과적으로 구현하면, 신원 거버넌스를 단순한 규정 준수 비용 센터에서 운영 보안 역량으로 전환할 수 있으며, 무엇보다도 소송 발생 시 방어 근거로 활용할 수 있는 기반이 됩니다.

본 입장문은 실무자, 프로그램 책임자 및 경영진 이해관계자들에게, 단순한 정기적 규정 준수 활동을 넘어 지속적이고 타당성이 입증된 ADG 모델로 발전해 나갈 수 있도록 IGA 현황을 평가하고 개선하기 위한 프레임워크를 제시하고자 합니다. 본 문서에서는 다음 내용을 상세히 다룰 것입니다:

• 왜 기존의 IGA 검토 주기가 오늘날의 위험 요인들에 대처하기에는 불충분한가
• 이로 인해 발생하는 거버넌스 공백이 어떻게 법적·규제적 리스크를 초래하는가
• 기초 역량부터 완전한 방어 능력 확보에 이르기까지 ADG 구현을 위한 프레임워크
• 조직이 ADG의 효과를 측정하는 데 활용할 수 있는 지표
• 거버넌스 성숙도의 어느 단계에 있는 조직을 위한 구현 시 고려 사항

‘무결점 감사’의 역설

오늘날 많은 조직이 SOC 2 Type II 감사, GDPR 준비도 평가, DORA 준수 검토, CJIS 보안 감사 등에서 우수한 성과를 거두고 있음에도 불구하고, 무결점 판정을 받은 지 불과 몇 주 만에 신원 정보 유출 사고를 겪는 경우가 빈번합니다. 이는 우연이 아닙니다. 이는 기존 규정 준수 프레임워크가 설계된 방식과 조직이 이에 대응하는 방식에서 비롯된 구조적인 결과입니다.

규정 준수 프레임워크는 그 특성상 특정 시점을 기준으로 평가합니다. SOC 2 심사는 정의된 기간 동안 통제 수단이 마련되어 있었으며 효과적으로 운영되었는지 여부를 평가합니다. CJIS 감사는 형사 사법 정보를 관리하는 접근 정책이 문서화되어 있고 준수되고 있는지 확인합니다.

프레임워크는 서로 다르지만, 한 가지 공통된 한계가 있습니다. 바로 정해진 기간, 즉 통제의 순간적인 단면일 뿐, 지속적인 집행.

FFIEC 지침, NYDFS Part 500 또는 PCI DSS v4.0의 적용을 받는 금융 기관들은 감사관들로부터 특정 시점의 검증 결과보다는 지속적인 통제 조치의 증거를 요구하는 요청을 점점 더 많이 받고 있습니다. FISMA, FedRAMP 또는 NIST SP 800-53의 적용을 받는 연방 기관들은 승인 시점에 통제 사항을 문서화하는 거버넌스 모델 하에서 운영되지만, 해당 문서화는 검토 주기 사이의 운영상 이행 상황을 반영하지 못할 수 있습니다. 각 경우에서 감사 프레임워크는 특정 시점만을 포착합니다. 위협 환경은 검토 주기가 진행되는 동안 멈추지 않습니다.

그 결과, 실무자들 사이에서 ‘청정 감사 역설’ 또는 ‘규정 준수 역설’이라 불리는 현상이 점점 더 자주 언급되고 있습니다. 즉, 조직이 감사 결과를 더 확신할수록 실제로는 더 큰 위험에 노출될 수 있다는 것입니다. 3개월, 6개월, 혹은 11개월 전 데이터를 바탕으로 생성된 녹색 대시보드는 내부 통제가 제대로 이루어지고 있다는 증거가 아닙니다. 그것은 오히려 과거 통제, 그리고 보안 침해 상황이 발생했을 때, 바로 그 차이가 모든 것을 좌우합니다.

만약 귀사가 오늘 신원 정보 기반의 중대한 보안 침해 사고를 겪었다면, 수사관들은 귀사에 거버넌스 정책이 있었는지 묻지 않을 것입니다. 그들은 침해 사고가 발생한 시점에 해당 정책이 실제로 시행되고 있었는지, 그리고 제대로 준수되었는지 물을 것입니다. 만약 그 대답이 “우리는 그 정책을 매년 검토합니다”라면, 귀사는 단순히 보안이 취약한 수준을 넘어선 것입니다. 이는 변명의 여지가 없는 상황입니다.

감사 효력 상실: 모든 검토에 숨겨진 유효기간

모든 접근 권한 인증 캠페인, 권한 검토, 역할 확인 절차에는 아무도 기록하지 않는 만료일이 존재합니다. 캠페인이 종료되는 순간, 인증된 데이터는 현실과 점점 괴리되기 시작합니다. 우리는 이를 ‘감사 정보의 부패’라고 부릅니다.

현대 기업 환경에서 신원 정보와 이에 연동된 접근 권한은 고정되어 있지 않습니다. 서비스 계정이 생성되기도 하고 잘못 구성되기도 합니다. 계약직 직원이 합류하면 그들의 접근 범위가 당초 의도보다 확대되기도 합니다. 직원들은 직책을 변경하지만, 취소되지 않은 권한을 계속 보유하게 됩니다. API 키, 머신 계정, 에이전트형 AI, RPA(로봇 프로세스 자동화) 봇을 포함한 비인간 신원 정보는 최소한의 감독 하에 인프라 전반에 걸쳐 급증하고 있습니다.

이러한 환경에서 분기별 검토 주기는 접근 권한의 변동이 적발될 자격조차 얻기 전까지 최대 90일 동안 감지되지 않은 채 방치된다는 것을 의미합니다. 연간 검토는 최대 1년 동안 노출이 모니터링되지 않는 것을 의미합니다. 공격자 집단은 이러한 역학을 잘 알고 있습니다. 신원 기반 공격의 체류 기간이 시간이 아닌 주나 달 단위로 측정되는 것은, 바로 기존의 거버넌스 주기가 예측 가능한 공격의 기회를 만들어내기 때문입니다.

상사의 평가: 거버넌스에서 가장 신뢰할 수 없는 도구

기업용 IGA(Identity Governance and Administration) 프로그램에서 가장 흔히 볼 수 있는 접근 권한 검토 방식은 관리자 인증 절차입니다. 이는 관리자가 직속 부하 직원의 권한을 검토하고 해당 접근 권한이 여전히 적절한지 확인하도록 주기적으로 요청하는 방식입니다. 이러한 관행은 규정 준수 체계와 감사 기준에 깊이 뿌리내려 있습니다. 또한 이는 신원 보안 도구 모음에서 가장 효과가 낮은 통제 수단 중 하나이기도 합니다.

이러한 구조적 문제들은 이미 잘 알려져 있습니다. 관리자들은 방대한 양의 권한 데이터를 접하지만, 이를 제대로 평가할 만한 기술적 지식이 부족합니다. 검토 작업은 시간적 제약이 따르며 핵심 업무와 경쟁 관계에 놓여 있습니다. 게다가 가장 수월한 방법인 기존 접근 프로필을 무비판적으로 승인하는 것은, 설령 위험을 지속시키더라도 당장 어떤 결과도 초래하지 않습니다.

그 결과 ‘감사 중심의 무관심’이 발생하는데, 이는 심사관들이 인증 캠페인을 진정한 위험 관리 활동이 아닌 단순한 행정적 의무로 취급하는, 조직 내에서 형성된 행동 양상이다. 이러한 역학은 스스로를 강화하는 성격을 띠고 있다. .

한편, 역할 권한 검토, 정책 예외 검토, 비정형 데이터 접근 검토, 비인간 신원 감사 등 의미 있는 위험 요소를 발견할 가능성이 가장 높은 검토 유형들은 가장 드물게 수행되는 편에 속합니다. 이러한 검토에는 해당 분야의 전문 지식과 책임 소재가 명확히 규명되어야 하는데, 이는 관리자 중심 모델이 본래 고려하지 않은 요소들입니다.

거버넌스가 부담이 될 때

지난 20년 동안 대부분 기간 동안, 취약한 신원 관리의 주된 결과는 운영상의 문제, 즉 보안 침해, 데이터 유출, 평판 훼손 등으로 나타났습니다. 법적·규제적 위험은 분명 존재했지만, 대개 시정 조치 약속이나 합의 계약을 통해 해결되었습니다.

이러한 인식은 변화하고 있습니다. 현재 SEC(미국 증권거래위원회)의 공시 요건은 중대한 사이버 보안 사고에 대한 적시적이고 정확한 보고를 의무화하고 있으며, 규제 당국은 조직이 단순히 체크리스트를 준수했는지 여부를 넘어 보안 관행에 있어 합리적인 주의를 기울였는지 여부를 적극적으로 평가하고 있습니다. EU 전역의 금융 기관에 적용되는 DORA는 정보통신기술(ICT) 위험 관리 및 사고 대응에 대한 명확한 요건을 규정하며, 이는 제3자 접근 및 신원 관리까지 확대됩니다. 형사 사법 정보 접근에 대한 CJIS 보안 정책 요건은 엄격하며 타협의 여지가 없으며, 접근 통제 실패 시 심각한 연방 차원의 제재가 따릅니다. 금융 기관 및 정부 기관의 경우, 감사관들은 지난 감사 당시 통제 수단이 마련되어 있었는지에 그치지 않고, 통제 수단이 지속적으로 작동하고 있는지에 점점 더 주목하고 있습니다.

이러한 환경에서, 보안 침해 발생 후 제기되는 소송이나 규제 당국의 조사는 해당 조직에 거버넌스 프로그램이 있었는지 여부는 고려하지 않을 것입니다. 대신, 사고 발생 당시 해당 프로그램이 실제로 운영되고 있었으며 제대로 이행되었는지에 초점을 맞출 것입니다. 증거개시 절차에서는 접속 로그, 인증 기록, 예외 승인 내역, 그리고 정책 이행 증거를 요구할 것입니다. 이는 철학적 차원의 문제가 아니라 증거에 관한 문제일 것입니다.

연간 인증 기록만 제출할 수 있고 지속적인 모니터링에 대한 증거를 제시하지 못하는 조직은 규정 준수를 입증하지 못한 것입니다. 이는 문서화된 정책과 실제 보안 상태 사이의 괴리를 드러낸 것이며, 그 결과 가장 치명적인 결과를 초래할 수 있는 상황에서 이를 입증해 버린 셈입니다.

과실의 공백 정의하기

‘과실 격차’란 조직의 정적인 정책 문서에 명시된 내용과, 검토 주기 사이에 동적인 신원 관리 시스템이 실제로 수행하는 작업 사이에 벌어지는 간극을 말합니다. 이는 단순한 이론적 위험이 아닙니다. 거버넌스 조치가 이루어지지 않는 동안 하루하루 커져만 가는, 명백히 확인된 위험 요소입니다.

이러한 격차에는 여러 가지 요인이 작용하고 있습니다:

첫째, 접근 권한의 점진적 변화: 검토 기간 사이에 거버넌스 조치가 취해지지 않은 채로 발생하는 권한, 역할 할당(구식 역할 정의 포함) 및 권한 부여의 누적 현상.

둘째, 탐지 지연 시간: 액세스 이상 현상이 발생한 시점부터 조직이 거버넌스 프로세스를 통해 이를 인지하기까지 걸리는 시간입니다.

셋째, 대응 지연: 정책 위반 액세스가 탐지된 시점부터 실제 접근 권한이 취소되거나 문제가 해결되기까지 걸리는 시간.

보안 침해 사고 발생 시, ‘과실의 공백(Negligence Gap)’은 법적 책임이 발생하는 영역입니다. 원고 측 변호사와 규제 당국은 이를 시간적 관점에서 평가할 것입니다. 즉, 보안이 침해된 상태가 얼마나 오래 지속되었는지, 언제 이를 감지했어야 했는지, 그리고 합리적인 거버넌스 프로그램이었다면 어떤 조치를 다르게 취했어야 했는지를 따지게 됩니다.

비인간 정체성: 검토되지 않은 공격 표면

신원 관리의 범위는 인간 사용자를 훨씬 넘어 급격히 확대되었습니다. 서비스 계정, API 토큰, 머신 신원, RPA 봇, AI 에이전트는 이제 대부분의 기업 환경에서 전체 신원의 상당 부분을 차지하고 있습니다. 이러한 비인간 신원들은 종종 높은 권한으로 운영되며, 관리자의 검토 대상에 거의 포함되지 않고, 시스템과 통합 환경의 변화에 따라 접근 범위가 자연스럽게 변화합니다.

공격자의 관점에서 볼 때, 비인간 계정은 매우 매력적인 표적이 됩니다. 권한은 높고, 노출은 적으며, 탐지되기까지의 체류 시간이 길기 때문입니다. 법적 관점에서 볼 때, 측면 이동 경로로 악용된 해킹된 서비스 계정은 조직이 조직도상에 명시된 계정뿐만 아니라 모든 유형의 계정에 대해 효과적인 감독 체계를 유지해 왔는지에 대한 날카로운 의문을 제기합니다.

비인간 주체에 대한 적극적인 모니터링 및 정책 이행 능력을 입증하지 못하는 거버넌스 프로그램은 규제 당국, 소송 담당자, 그리고 경쟁사들이 점점 더 인식하고 있는 구조적인 사각지대를 안고 운영되고 있다.

철학적 전환

액티브 디펜스 거버넌스(ADG)는 신원 거버넌스를 이해하고 실행하는 방식에 대한 근본적인 전환을 의미합니다. 기존 모델은 ‘누가 접근 권한을 가지고 있는가?’라고 묻는 반면, ADG 모델은 ‘왜 이 신원이 지금 이 접근 권한을 가지고 있는가? 그리고 그 접근 권한이 현재의 정책 및 위험 관리 현황과 일치하는가?’라고 묻습니다.

이는 단순한 철학적 구분이 아닙니다. 이는 보안 운영 환경 내에서 거버넌스가 작동하는 방식의 구조적 변화를 반영합니다. 전통적인 모델에서 거버넌스는 주기적인 기능으로, 캠페인이 실행되고 종료된 후 재개될 때까지 대기하는 방식입니다. 반면 ADG 모델에서 거버넌스는 지속적인 텔레메트리 스트림입니다. 모든 액세스 이벤트, 프로비저닝 작업, 권한 변경 사항이 정책에 따라 실시간으로 평가되며, 인간의 검토 과정 없이도 즉시 적용되는 자동화된 대응 기능을 갖추고 있습니다.

이 모델에서 공식적인 접근 권한 인증 절차가 사라지는 것은 아닙니다. 단지 그 성격이 재정의될 뿐입니다. 주기적인 인증은 더 이상 주된 통제 수단으로 기능하기보다는, 지속적인 모니터링을 통해 이미 탐지·관리·기록된 사항들을 확인하고 입증하는 역할을 합니다. 이 절차는 시스템과 정책의 유효성을 검증하는 것이지, 더 이상 시스템 그 자체가 아닙니다.

ADG 프로그램의 핵심 역량

효과적인 능동적 방어 거버넌스 프로그램은 다음과 같은 상호 의존적인 역량들을 기반으로 구축됩니다:

• 실시간 정책 평가를 통한 지속적인 액세스 모니터링으로, 정적인 검토 주기를 이벤트 기반 거버넌스 트리거로 대체
• 위험 기반 인증 우선순위 지정은 모든 접근 권한에 걸쳐 검토 자원을 균등하게 분배하는 대신, 가장 위험이 높은 권한 및 신원에 검토 자원을 집중시키는 방식입니다.
• ‘적시(Just-in-Time, JIT)’ 접근 권한 부여 방식은, 위험이 존재할 경우 정의된 기간 동안에만 접근 권한을 부여하며, 이러한 권한 부여가 상시적인 권한이 아닌 검증된 필요성에 기반하여 이루어지는 방식입니다.
• 비인간 아이덴티티 거버넌스: 서비스 계정, API 자격 증명, AI, RPA 봇 및 머신 아이덴티티에 대해 인간 사용자에게 적용되는 것과 동일한 지속적인 모니터링 및 정책 적용을 수행합니다.
• 신원 변경 이벤트 발생 시점부터 해당 액세스 권한이 취소될 때까지의 경과 시간을 추적하는 ‘권한 취소까지 소요 시간(TTR)’ 측정치를 주요 보안 지표로 활용

규제 당국이나 법적 검토 시 즉시 활용할 수 있도록, 액세스 결정, 정책 평가 및 거버넌스 조치에 대한 변조 방지 기능이 적용된 기록을 지속적으로 생성하는 자동화된 감사 등급 로깅

적시 거버넌스와 제로 트러스트의 연계

‘적시(Just-in-Time)’ 액세스 거버넌스는 기존 IGA(Identity Governance and Administration)의 가장 고질적인 구조적 취약점 중 하나인 ‘상시 권한’ 문제를 해결합니다. 대부분의 기업 환경에서 액세스는 한 번 부여되면 명시적으로 취소될 때까지 유지되는데, 이는 사실상 액세스가 무기한 지속된다는 것을 의미합니다. 상시 권한은 신원 기반 공격에서 측면 이동 및 권한 상승을 가능하게 하는 주요 요인입니다.

JIT 거버넌스는 이메일과 같은 일상적인 리소스가 아닌, 고위험 액세스 요청에 대해 이 모델을 반대로 적용합니다. 모든 권한을 취소될 때까지 영구적인 것으로 간주하는 대신, 상시 액세스가 가장 큰 위험을 초래하는 경우 시간 제한이 있고 정책에 따라 평가된 권한 부여를 적용합니다. 모든 권한 상승 또는 민감한 액세스 이벤트는 기존의 관행이 아닌 거버넌스 결정 사항이 됩니다. 목표는 모든 액세스 요청에 마찰을 일으키는 것이 아니라, 위험이 있는 경우 과거에 권한이 부여되었다는 이유만으로 지속되는 상시 액세스 대신, 신중하게 결정되고 기간이 제한되며 검증된 필요성에 기반한 액세스가 이루어지도록 보장하는 것입니다.

이러한 접근 방식은 제로 트러스트(Zero Trust) 아키텍처 원칙, 특히 지속적인 검증 및 최소 권한 원칙의 적용 요건과 직접적으로 부합합니다. 또한 규제 또는 소송 상황에서 가장 방어력이 뛰어난 거버넌스 아티팩트를 생성합니다. 이러한 아티팩트는 타임스탬프가 찍혀 있고, 정책과 연계되어 있으며, 자동화되어 있고, 조직의 거버넌스 기능이 이론적으로 지향하는 바가 아니라 실제로 수행하는 바를 보여줍니다. 조사관이 특정 신원이 특정 시점에 특정 리소스에 액세스한 이유를 묻는 경우, JIT 거버넌스 모델은 정확하고 문서화된 답변을 제공합니다.

보안 현황을 반영하는 지표

거버넌스 프로그램은 역사적으로 캠페인 완료율, 즉 정해진 기간 내에 인증된 검토 건수의 비율로 평가되어 왔습니다. 이 지표는 보안 성과와는 거의 무관합니다. 형식적인 승인 절차를 통해 달성한 100% 캠페인 완료율은 위험 관리가 아닌, 행정적 규정 준수를 보여줄 뿐입니다.

ADG 프로그램에는 실제 보안 현황과 법적 방어 가능성에 중점을 둔 별도의 지표 세트가 필요합니다. 고려해야 할 주요 지표는 다음과 같습니다:

• 정책 이행률(지속적), 캠페인 완료율을 주요 관리 지표로 대체
• 정의된 SLA 기간 내에 탐지된 액세스 이상 현상의 비율을 나타내는 실시간 이상 탐지율
• 신원 관련 이벤트 발생 시점부터 접근 권한이 취소될 때까지의 경과 시간을 추적하는 ‘권한 취소까지 소요 시간(TTR)’
• 비인간 정체성 포괄성: 현재 관리 및 통제 대상인 비인간 정체성의 비율을 측정함
• JIT 액세스 도입률: 상시 권한에 비해 JIT 메커니즘을 통해 부여된 특권 액세스의 비율 추적
• 감사 증거의 완전성: 특정 기간에 대한 지속적인 거버넌스 로그의 가용성 및 무결성 측정

이사회 차원의 지표로서의 인증서 무효화까지 소요 시간

‘권한 취소까지 소요 시간(TTR)’은 해고, 역할 변경, 이상 징후 탐지, 정책 위반 등 신원 관련 사건이 발생한 후 공격자가 활동할 수 있는 시간을 직접적으로 측정하기 때문에 특히 주목할 필요가 있습니다.

성숙한 지속적 거버넌스 역량을 갖춘 조직은 TTR을 분 단위로 측정합니다. 반면, 주기적인 검토 주기에 의존하는 조직은 이를 일이나 주 단위로 측정하며, 표준 캠페인에 포함되지 않는 액세스 유형의 경우(측정 자체를 한다면) 사실상 무기한으로 측정될 수도 있습니다. 이러한 차이는 사소한 차이가 아닙니다. 이는 통제된 신원 공격과 중대한 침해 사고로 번지는 공격 사이의 차이입니다. 금융 기관과 정부 기관의 경우, 이러한 차이는 보안 운영 센터(SOC)를 넘어 중요한 의미를 지닙니다. 심사관들은 다음 인증 주기를 언급하는 것이 아니라, 유발 사건 발생 후 접근 권한이 얼마나 신속하게 취소되었는지에 대한 정확하고 문서화된 답변을 점점 더 기대하고 있습니다.

TTR은 기술적 거버넌스 역량을 실질적인 위험 감소 성과로 연결해 주기 때문에, 이사회 보고에 있어 가장 효과적인 지표 중 하나이기도 합니다. 종료 이벤트 발생 후 평균 TTR이 15분 미만임을 입증할 수 있는 조직은, 캠페인 완료율로는 전달할 수 없는 보안 태세에 대한 의미 있는 메시지를 전달한 셈입니다.

성숙도의 연속체

규정 준수에 중점을 둔 IGA에서 ADG로의 전환은 단번에 이루어지는 변화가 아닙니다. 이는 성숙도를 높여가는 과정으로, 대부분의 조직은 위험도가 가장 높은 신원 범주부터 시작하여 시간이 지남에 따라 적용 범위를 점차 확대해 나가는 방식으로 접근할 것입니다.

ADG 도입을 위한 실용적인 성숙도 모델은 다음 네 단계를 거칩니다:

• 1단계 | 기초 단계: 중앙 집중식 ID 인벤토리, 일관된 프로비저닝 및 디프로비저닝 워크플로, 그리고 기준선 액세스 인증 캠페인. 이 단계는 이후 모든 단계의 필수 전제 조건입니다.
• 2단계 | 위험 인식: 신원 및 권한에 대한 위험 점수화 도입, 위험 가중치에 따른 검토 우선순위 설정, 이상 탐지 기능의 초기 구현.
• 3단계 | 지속적: 실시간 정책 평가, 이벤트 기반 거버넌스 트리거, TTR 측정 및 보안 운영 도구와의 통합. 이것이 ADG의 기준점입니다.
• 4단계 | 방어 가능: 상시 접근 권한이 가장 큰 위험 요인이 되는 영역에 JIT(Just-In-Time) 접근 권한 관리 체계를 적용하고, 비인간 신원 정보를 완벽하게 포괄하며, 감사 등급의 지속적인 로깅을 수행하고, 규제 보고를 자동화합니다. 이 단계는 소송에 대비한 태세를 의미합니다.

지속적인 거버넌스를 위한 힘의 증폭 장치로서의 AI

현대 기업에서 발생하는 액세스 이벤트, 권한 변경, 신원 관련 상호작용의 양이 방대하기 때문에, 수동적인 지속적인 거버넌스 운영은 사실상 불가능합니다. AI 기반 분석은 ADG 프로그램에 대한 선택적 개선 사항이 아닙니다. 이는 아키텍처상 필수 요건입니다.

IGA 플랫폼 내의 AI 기능을 효과적으로 활용하면, 사람이 주도하는 검토 프로세스로는 실질적으로 달성하기 어려운 여러 가지 기능을 수행할 수 있습니다. 행동 분석을 통해 각 신원의 기준 접근 패턴을 설정하고, 정책 평가가 필요한 이상 징후를 식별할 수 있습니다. 또한 머신러닝 모델을 활용하면 개별 권한 및 접근 조합의 위험 가중치를 평가하여, 일반적인 역할 검토에서는 놓치기 쉬운 위험한 권한 조합을 파악할 수 있습니다. 자연어 처리 기술은 정책 문서를 해석하고 권한을 정책 의도에 매핑하여, 수동적인 해석 대신 자동화된 규정 준수 평가를 가능하게 합니다.

중요한 점은, AI 기반 접근 결정은 단순히 모델의 산출 결과만으로는 안 되며, 검증 가능한 위험 점수와 문서화된 정책 연계성을 바탕으로 해야 한다는 것입니다. 법적 또는 규제적 맥락에서 중요한 거버넌스 요소는 AI가 결정을 내렸다는 사실이 아닙니다. 중요한 것은 그 결정이 문서화되고 감사 가능한 정책 평가 절차에 따라 이루어졌으며, 결정 시점에 위험 근거가 기록되었다는 점입니다.

거버넌스를 보안 기능으로 재정의하기

ADG로의 전환 과정에서 가장 큰 구현 과제는 기술적인 측면보다는 조직적인 측면에 있을 것입니다. 기존의 IGA 프로그램은 대개 규정 준수, HR 기술 또는 IT 운영 부서에 소속되어 있습니다. 반면 ADG는 신원 거버넌스를 핵심 보안 역량으로 간주하고, 이를 보안 운영, 사고 대응 및 위협 인텔리전스와 통합할 것을 요구합니다.

이러한 맥락에서 ADG의 역할을 재정의하는 것은 실질적인 의미를 갖습니다. 거버넌스 지표는 단순한 규정 준수 대시보드뿐만 아니라 보안 운영 보고서에 반드시 포함되어야 합니다. 거버넌스 관련 이상 징후는 SIEM 및 SOAR 워크플로에 반영되어야 합니다. 또한 거버넌스 담당 리더십은 규정 준수나 감사 부서를 경유하는 보고 관계가 아닌, 보안 리더십과 직접적인 소통 채널을 확보해야 합니다.

이러한 변화는 거버넌스 투자 평가 방식의 변화도 요구합니다. 지속적인 거버넌스 인프라에 대한 지출은 단순한 규정 준수 비용이 아닙니다. 이는 측정 가능한 위험 감소 효과를 가져오는 보안 투자이며, 사이버 보험료, 규제 준수 상태, 소송 대응 태세에 직접적인 영향을 미칩니다.

이 논문의 핵심 주장은 규정 준수가 무의미하다는 것이 아니다. SOC 2, DORA, CJIS 보안 정책과 같은 프레임워크는 중요한 기능을 수행한다. 즉, 기준이 되는 기대치를 설정하고, 감사 체계를 제공하며, 책임성 확보 메커니즘을 마련해 준다. 본 논문의 주장은 대부분의 조직에서 현재 시행하고 있는 규정 준수가 불충분하며, 이러한 불충분함이 더 이상 단순한 보안 위험에 그치지 않는다는 점이다. 이는 법적 위험이자 평판상의 위험이다.

신원 위협 환경은 이제 지속적인 정책 기반 실시간 접근 제어를 입증하지 못하는 거버넌스 프로그램은 구조적인 취약점을 안고 운영되고 있다고 볼 수 있을 정도로 진화했습니다. 정기적인 검토는 지속적인 통제 조치의 검증 및 확인, 정책 개선의 수단, 그리고 규제 당국에 제출할 결과물로서 여전히 역할을 할 수 있습니다. 그러나 이는 주된 통제 수단이 될 수 없습니다. 위험은 검토 주기를 기다려주지 않기 때문입니다.

ADG로 전환하는 조직들은 단순히 더 효과적인 보안 프로그램을 넘어서는 무언가를 구축하고 있습니다. 이들은 규제 당국의 조사, 이사회 논의, 침해 사고 후 조사, 그리고 최악의 경우 법정에서까지 정당성을 입증할 수 있는 거버넌스 체계를 구축하고 있는 것입니다.

문제는 귀사에 거버넌스 정책이 있는지 여부가 아닙니다. 중요한 순간에 그 정책이 제대로 작동했음을 입증할 수 있는지, 그리고 오늘날에도 여전히 효과적으로 작동하고 있는지 여부입니다.

본 논문에 대하여

이 입장문은 RSA의 신원 거버넌스 및 관리 전문가들이 작성했습니다. 본 문서는 실무자, 프로그램 책임자 및 경영진 이해관계자들에게 주기적인 규정 준수 활동을 넘어, 지속적이고 타당성이 입증된 ‘능동적 방어 거버넌스(Active Defense Governance)’ 모델로 나아가기 위해 신원 거버넌스 현황을 평가하고 발전시킬 수 있는 프레임워크를 제공하기 위해 마련되었습니다.