아이덴티티 및 액세스 관리 (IAM) 설명

IAM은 기업 리소스에 대한 모든 액세스 시도를 관리하기 위해 구조화된 프로세스를 사용합니다. IAM 관리 솔루션은 데이터베이스를 기준으로 자격 증명을 인증한 다음 엔터티의 권한을 승인하여 적절한 수준의 액세스만 부여합니다. IAM의 4대 핵심 요소는 다음과 같습니다.

관리

이 단계는 앞서 언급한 대로 ‘아이덴티티 관리’ 또는 ‘아이덴티티 수명 주기 관리(ILM)’라고도 합니다. 사용자 아이덴티티를 생성, 유지, 삭제하는 전반적인 과정을 의미합니다. 인간 사용자와 비인간 사용자에게 각각 별도의 디지털 아이덴티티가 부여되며, 이 아이덴티티는 사용자 이름, 직무, 로그인 자격 증명, 액세스 권한 같은 구별 가능한 속성의 집합으로 구성됩니다. 이러한 아이덴티티는 중앙 데이터베이스에 저장되며, IAM 시스템은 데이터베이스에서 정보를 가져와 사용자 및 권한을 검증합니다. 일반적으로 IT 및 사이버 보안 팀이 사용자 생성 및 삭제(프로비저닝 및 디프로비저닝)를 수동으로 처리하지만, 일부 IAM 시스템은 조직에서 정의한 사용자 생성 규칙을 기반으로 이 과정을 자동화할 수 있습니다.

인증

인증은 사용자 아이덴티티를 확인하는 과정입니다. 사용자가 시스템에 로그인하거나 리소스 액세스를 요청할 때, 아이덴티티 확인을 위해 어떤 형태로든 자격 증명을 입력합니다. 이러한 자격 증명을 인증 요소라고 하며, 비밀번호, MFA, 2단계 인증(2FA), 인간 사용자의 지문 스캔, 비인간 엔터티의 디지털 인증서 등이 이에 해당합니다. IAM 시스템은 자격 증명을 데이터베이스와 비교해 일치 여부를 확인하고, 일치할 경우 접근을 허용합니다.

권한 부여

권한 부여와 인증은 연결된 프로세스이며, 인증이 먼저 이루어져야 권한 부여가 가능합니다. 사용자가 자신의 아이덴티티를 입증하면, IAM 시스템은 다시 데이터베이스를 참조해 해당 사용자에게 어떤 권한이 할당되어 있는지 확인한 후, 해당 사용자가 가져야 할 권한만 정확히 인가합니다. 과도하지도 부족하지도 않은 권한 부여가 핵심입니다.

감사

이 단계는 두 가지를 보장하는 중요한 단계입니다. IAM 시스템이 정상적으로 작동하는지 확인하고, 사용자가 권한을 남용하거나 액세스해서는 안 되는 리소스에 액세스하지 않는지를 점검합니다. 또한 이는 규정 준수를 위해서도 중요합니다. 예를 들어 유럽 일반 데이터 보호 규정(GDPR)과 같은 규제는 조직이 사용자 액세스 권한을 일정한 방식으로 제한하도록 요구합니다.

IAM의 네 가지 핵심 요소는 서로 유기적으로 작동하여 악의적인 행위자의 무단 액세스를 차단하는 동시에, 사용자가 적절한 시점에 필요한 리소스와 정보에 접근해 업무를 수행할 수 있도록 지원합니다.

기존 IAM 도구 및 솔루션은 일반적으로 조직의 물리 시설 내 서버에서 관리되며, 이를 온프레미스라고 합니다. 하지만 대부분의 기업은 확장성, 비용 효율성, SSO 및 MFA 같은 기능을 통한 보안 강화를 이유로 클라우드 기반 IAM 솔루션으로 전환했습니다. 특히 원격 인력이나 멀티 클라우드 환경을 가진 조직에는 사용자 액세스를 단순화하고, 중앙 관리 및 자동화 프로세스로 규정 준수와 운영 효율성을 개선한다는 점에서 매우 적합한 솔루션입니다. 오늘날 기업이 도입하는 클라우드 기반 IAM 도구 및 솔루션의 예는 다음과 같습니다.

IDaaS(서비스형 아이덴티티) 플랫폼

IDaaS(서비스형 아이덴티티) 솔루션은 온프레미스 솔루션 대비 유연한 아이덴티티 관리를 제공합니다. IDaaS 솔루션은 사용자가 퍼블릭 클라우드 및 프라이빗 클라우드 전반에서 Windows, Mac, Linux 및 모바일 디바이스로 로그인하는 복잡한 네트워크에 특히 적합합니다. 원격 사용자, 계약자 및 고객을 위해 별도의 시스템을 운영할 필요를 없애고, 모든 시스템 전반에서 액세스 제어를 보장합니다.

권한 있는 액세스 관리(PAM) 솔루션

일부 사용자 계정은 사이버 범죄자의 주요 표적이 되며, 이러한 계정이 해킹될 경우, 공격자는 민감 정보에 접근해 조직에 중대한 피해를 입힐 수 있습니다. 외부 공격은 물론 내부에서 발생할 수 있는 위협으로부터 기업을 보호하기 위해, 시스템 관리자와 같은 역할을 수행하는 사용자에게는 권한 있는 액세스 관리(PAM) 솔루션을 통해 더 높은 수준의 권한이 부여됩니다. 이러한 솔루션은 권한 있는 아이덴티티를 일반 아이덴티티와 분리하고, 자격 증명 볼트와 JIT(Just-In-Time) 프로토콜을 활용해 보안을 강화합니다.

고객 아이덴티티 및 액세스 관리(CIAM) 솔루션

IAM과 고객 아이덴티티 및 액세스 관리(CIAM)는 모두 인증 수단(비밀번호, MFA 등)을 활용해 특정 시스템과 리소스에 대한 액세스를 관리하지만 IAM과 CIAM이 동일한 것은 아닙니다. IAM 시스템은 일반적으로 사용자가 시스템이나 리소스에 액세스할 때 충족해야 하는 요건이 비교적 단순합니다. 사용자는 사용자 이름, 비밀번호, 생체 정보 자격 증명의 조합만으로도 충분한 경우가 많으며, 일반적으로 시스템 내부에 개인 정보를 거의 또는 전혀 저장할 필요가 없습니다. 반면 고객의 경우에는 상황이 다릅니다. 고객 계정에는 신용카드 번호나 주민등록번호와 같은 다양한 민감 정보가 저장되는 경우가 많습니다. 따라서 CIAM 시스템은 이러한 계정에 접근할 때 더 엄격한 통제 조치를 적용합니다. 여기에는 조직 내부에서 고객 데이터를 열람할 수 있는 대상을 제한하는 조치도 포함됩니다.

연합 아이덴티티 관리(FIM) 시스템

연합 아이덴티티 관리(FIM) 시스템은 여러 개의 분리된 아이덴티티 관리 시스템 전반에서 사용자의 아이덴티티를 연결해, 승인된 사용자가 단일 자격 증명 세트로 여러 도메인과 애플리케이션에 액세스할 수 있도록 합니다. 이를 통해 사용자는 매번 별도로 로그인하지 않고도 시스템 간을 신속하게 이동할 수 있으며, 동시에 보안을 유지할 수 있습니다. SSO를 지원하지만, 개념을 한 단계 더 확장한 방식입니다. FIM은 온라인상에서 사용자를 식별하는 속성(위치, 전화번호 등)에 대해 아이덴티티 공급자와 서비스 공급자 간의 명확한 합의를 기반으로 작동합니다. 해당 자격 증명이 검증되면 사용자는 여러 플랫폼에서 인증됩니다.

API 액세스 관리 도구

클라우드 중심 환경에서 API 도구는 조직의 데이터와 비즈니스 로직에 대한 주요 게이트웨이이므로, 조직은 이를 관리할 도구를 갖추는 것이 중요합니다. API 액세스 도구는 애플리케이션, 개발자 및 기타 서비스가 API와 상호작용하는 방식에 대한 규칙을 관리, 보안, 모니터링하고 적용하도록 돕는 전문 소프트웨어 솔루션 및 플랫폼입니다. API 액세스는 일반적으로 API 관리 플랫폼(i.e. Google Apigee, Azure API management), 전용 API 보안 솔루션(i.e. Salt Security, Traceable) 및 IAM 플랫폼(i.e. Okta Auth0, WSO2 Identity Server)으로 관리됩니다.

아이덴티티 거버넌스 및 관리(IGA)

아이덴티티 거버넌스 및 관리(IGA)는 IAM의 관리 및 규정 준수 측면에 중점을 두며, 액세스 정책이 올바르게 설계되고 지속적으로 준수되도록 보장합니다. 여기에는 사용자가 여전히 해당 권한이 필요한지 정기적으로 확인하기 위한 액세스 및 자격 인증 검토, 프로비저닝 및 디프로비저닝을 위한 자동화된 ILM, 그리고 단일 사용자가 전체 프로세스를 통제하지 못하도록 핵심 기능을 서로 다른 사용자에게 분리하는 직무 분리(SoD) 적용이 포함됩니다.

IAM 솔루션과 도구는 다양하지만, 리소스를 보호하고 아이덴티티를 관리하는 일관된 프레임워크를 만들기 위해 반드시 함께 작동해야 하는 핵심 구성 요소가 있습니다. 주요 구성 요소는 다음과 같습니다(앞서 일부는 설명한 바 있습니다).

사용자 아이덴티티 관리

앞서 언급했듯이 이는 IAM의 관리 프로세스를 의미하며, 이름, 역할, 부서 등 모든 식별 속성을 포함한 디지털 아이덴티티의 생성, 유지 및 안전한 저장에 중점을 둡니다. 이를 통해 모든 개인 및 비인간 엔터티가 시스템 내에서 단일하고 고유한 디지털 아이덴티티를 갖도록 보장합니다.

인증

개인 또는 엔터티가 자신이 주장하는 아이덴티티와 일치하는지를 검증하는 절차로, 액세스 프로세스의 첫 단계입니다. 사용자는 비밀번호, 생체 정보, MFA 등으로 자신의 아이덴티티를 증명해야 합니다. 검증이 완료되면 권한 부여 단계로 진행할 수 있는 임시 신뢰를 부여받습니다.

권한 부여 및 액세스 제어

이 과정에서 IAM 시스템은 인증된 아이덴티티가 수행할 수 있는 작업과 액세스 가능한 리소스를 결정합니다. 해당 아이덴티티는 요청한 리소스와 대조되며(i.e. 사용자가 파일 열기를 시도함) 이후 적절한 접근이 허용됩니다(i.e. 해당 파일에 대한 액세스 권한이 있는 경우 열기가 허용됨).

역할 기반 및 속성 기반 액세스 제어(RBAC 및 ABAC)

일반적으로 액세스 제어 도구를 사용하면 조직은 인간 사용자와 비인간 사용자 모두에 대해 권한 부여 정책을 정의하고 적용할 수 있습니다. 대표적인 두 가지 프레임워크는 다음과 같습니다.

• 역할 기반 액세스 제어(RBAC): 사용자의 직무 또는 역할을 기준으로 액세스를 부여합니다. 사용자 권한 설정을 간소화하고, 필요 이상으로 과도한 권한을 부여할 위험을 줄입니다.
• 속성 기반 액세스 제어(ABAC): 사용자에 연결된 여러 속성의 조합을 기준으로 액세스를 부여합니다(i.e. (예: ‘Developer’이면서 ‘Engineering Department’ 소속이고 ‘Corporate Network’에서 접속한 경우). RBAC보다 훨씬 세분화된 통제를 제공합니다.
   

권한 있는 액세스 관리(PAM)

PAM은 높은 액세스 수준을 가진 권한 있는 계정을 보호하는 데 중점을 둔 IAM의 핵심 하위 집합입니다. 자격 증명 볼트 저장과 세션 모니터링을 요구하며, JIT(Just-In-Time) 기반의 권한 부여를 적용합니다.

아이덴티티 연합 및 SSO

아이덴티티 연합은 서로 다른 두 조직 또는 시스템 간 신뢰 관계를 설정해, 외부 서비스 제공자가 사용자의 아이덴티티를 신뢰하고 수용할 수 있도록 합니다. SSO는 사용자가 기본 아이덴티티 제공자에서 한 번만 인증하면, 이후 다른 애플리케이션이나 서비스 전반에서 자격 증명을 다시 입력하지 않고 권한 부여를 받을 수 있도록 합니다.

감사 및 규정 준수 모니터링

IAM의 책임성을 담당하는 핵심 요소로, 시스템 내에서 발생하는 모든 아이덴티티 관련 이벤트를 지속적으로 추적하고 기록하는 것을 의미합니다. 모든 로그인 시도(성공 여부와 관계없이), 모든 액세스 요청, 사용자 권한에 대한 모든 관리자 변경 사항이 여기에 포함됩니다. IAM 시스템은 의심스러운 활동을 감지하고 규정 준수를 입증하는 데 중요한 감사 로그를 생성합니다. 이러한 로그는 GDPR 및 HIPAA과 같은 규제가 요구하는 상세한 증빙을 제공하며, 액세스 제어가 적용되고 정기적으로 검토되고 있음을 보여줍니다.

거버넌스 및 수명 주기 관리

IAM 시스템의 이 구성 요소는 시간이 지나도 규정 준수를 유지하고, 효율성과 정확성을 지속적으로 확보하도록 보장합니다. 수명 주기 관리는 프로비저닝부터 디프로비저닝까지 아이덴티티 관리를 자동화해 보안 공백을 제거합니다. 이 과정에서 앞서 언급한 추적 및 감사 보고도 함께 수행됩니다.

IAM 시스템은 조직의 보안과 운영에 필수적이지만, 구현과 유지 관리는 결코 단순하지 않습니다. IAM의 목표는 명확하지만, 이를 달성하는 과정에는 복잡한 기술적 및 운영상의 어려움이 곳곳에 존재합니다. 레거시 시스템을 새로운 클라우드 플랫폼과 통합하는 것부터 수많은 아이덴티티를 관리하는 것까지, 기업은 보안 공백, 병목 현상, 직원 및 최종 사용자의 불편으로 이어질 수 있는 문제에 자주 직면합니다. 다음은 일반적인 과제와 이에 대한 대응 방법입니다.

레거시 시스템과의 통합

클라우드 기반 IAM 시스템을 레거시 솔루션과 통합하는 과정에는 상당한 기술적 장애가 존재합니다. 이는 많은 레거시 애플리케이션과 데이터베이스가 IAM 프로토콜(SAML, OAuth, SCIM)을 사용해 통신하도록 설계되지 않았기 때문입니다. 통합에는 대개 광범위한 우회 작업이 필요하며, 작은 변경 하나로도 예기치 않은 장애나 감사 경고를 유발할 수 있습니다. 그러나 미들웨어와 아이덴티티 브로커는 최신 시스템과 레거시 시스템 간의 격차를 해소하여, 기존 코드를 다시 작성하지 않고도 레거시 애플리케이션에 최신 인증 정책을 적용할 수 있도록 지원합니다. 또한 SAML, OAuth 또는 맞춤형 API를 통해 핵심 레거시 애플리케이션이 IAM과 상호작용하도록 업데이트할 수 있습니다.

높은 구현 비용

포괄적인 최신 IAM 솔루션을 도입하는 데는 소프트웨어 라이선스 비용만 드는 것이 아닙니다. 복잡한 IAM 아키텍처에 능숙한 전문가를 채용하는 비용, 새로운 시스템과 호환되지 않는 기존 시스템의 구성 요소를 교체하는 비용, 맞춤화 및 통합 서비스 비용까지 고려하면 전체 비용은 상당한 수준에 이를 수 있습니다. 그러나 대규모 일괄 도입 대신 단계적 롤아웃을 진행하면 비용을 보다 효과적으로 통제할 수 있습니다. 또한 전면적인 레거시 시스템 통합에 투자하기보다, 유지와 보안에 과도한 비용이 드는 레거시 애플리케이션부터 최신화하는 전략이 더 효과적일 수 있습니다. 클라우드 기반 IAM 시스템은 종량제 모델로 운영되므로, 기존 솔루션 대비 확장성이 높고 비용 효율적인 이점이 있습니다.

사용자 저항 및 낮은 채택률

절차를 지나치게 복잡하게 하거나 사용자 경험에 과도한 부담을 주면 IAM 전략의 효과가 약화될 수 있습니다. 비밀번호를 지나치게 자주 변경하도록 요구하거나 MFA를 제대로 구현하지 않으면 사용자가 비밀번호를 외부에 기록해 두게 되어 분실이나 도난, 또는 무단 계정 공유에 취약해질 수 있습니다. 보안 경로를 가장 쉬운 경로로 만드세요. 자주 사용하는 모든 애플리케이션에 SSO를 구현하고, 비밀번호를 대체할 생체 정보 인증을 도입하거나, 로그인에 위험 징후가 있을 때(i.e. 다른 국가에서 로그인하는 경우)에만 사용자에게 추가 인증을 요구하는 적응형 MFA를 사용하는 것이 좋습니다. 

하이브리드 및 멀티 클라우드 환경 관리의 복잡성

오늘날 IT 인프라가 단일 위치에만 존재하는 경우는 거의 없습니다. 대부분의 조직은 온프레미스와 클라우드가 혼재된 하이브리드 환경 또는 멀티 클라우드 환경 전반에서 아이덴티티를 관리합니다. 그러나 각 클라우드는 자체 네이티브 IAM 프레임워크를 갖고 있기 때문에, 일관된 정책을 적용하고 수많은 아이덴티티(특히 비인간 아이덴티티)를 관리하는 일이 매우 어려울 수 있습니다. 아이덴티티 페더레이션을 통해 인증을 중앙화하고 비인간 아이덴티티를 인간 아이덴티티와 동일한 수준으로 보호하며 정책을 표준화하세요. 정책 표준화는 PaC(policy-as-code)를 수립함으로써 구현할 수 있습니다. 또한 네이티브 IAM 위에서 작동하는 도구를 활용해 정책 정의를 각 플랫폼에 필요한 기술 규칙으로 변환합니다.

진화하는 보안 위협 대응

아이덴티티는 주요 공격 표적 중 하나이며, 해커들은 사용자 자격 증명을 탈취해 탐지되지 않은 채 시스템에 침투하는 데 능숙합니다. 일단 내부에 침투하면, 이들이 초래할 수 있는 피해와 접근 가능한 정보의 범위는 치명적일 수 있습니다. 비밀번호를 넘어 MFA와 생체 정보와 같은 강력한 인증 방식을 도입하는 것은 보안 강화에 있어 중요한 진전입니다. PoLP 및 JIT(Just-In-Time)을 적용해 핵심 시스템을 보호하고, 관리자 계정에는 최고 수준의 보안을 적용하며, IAM 로그를 면밀히 모니터링해 이상 행위를 탐지하고 표시하세요.

거버넌스 및 규제 규정 준수

조직은 사용자 액세스를 통제하고 있음을 감사자에게 명확히 증명할 수 있어야 합니다. 감사자는 누가 민감 데이터에 접근 권한을 보유하고 있는지, 그 이유는 무엇인지, 그리고 조직이 정기적으로 감사를 수행하고 있다는 증빙을 요구할 것입니다. 이러한 방대한 데이터를 수동으로 수집하는 것은 사실상 불가능에 가깝습니다. 그러나 IGA 플랫폼을 활용하면 액세스 검토 프로세스를 자동화해 관리자가 권한을 인증하거나 철회하도록 유도할 수 있으며, 감사자가 요구하는 감사 추적을 생성할 수 있습니다. RBAC 또는 ABAC 모델을 수립하면 역할 기반이나 속성 기반으로 권한을 그룹화해 규정 준수를 단순화하고 대규모 액세스 감사도 효율적으로 수행할 수 있습니다.