[ET단상] 아이덴티티 사각지대가 기업 보안 투자의 시험대가 되는 이유

양희정 BeyondTrust 한국 비즈니스 총괄·공학박사 국내 기업들은 정보보호 예산을 꾸준히 늘려 왔다. 그러나 경영진이 스스로에게 던져야 할 질문은 여전히 단순하다. “우리의 핵심 시스템에 접근할 수 있는 것이 누구, 혹은 무엇인지 정확히 알고 있는가?” 답하기는 갈수록 어렵다. 임직원 계정에 더해 서비스 계정, 클라우드 워크로드, 소프트웨어(SW) 자격증명, 자율적으로 움직이는 인공지능(AI) 에이전트가 빠르게 늘고 있다. 각 아이덴티티의 권한은 정보를 꺼내고 시스템을 바꾸고 다른 영역으로 진입하는 통로가 될 수 있다. 우리 환경에는 고유한 변수가 있다. 첫째, 다단계 외주와 협력사 상주 인력이 많아 계정이 사람과 조직을 오가며 쌓이고, 프로젝트가 끝나도 권한이 회수되지 않는 경우가 잦다. 둘째, 운영 편의를 위한 공용 관리자 계정과 장기간 교체되지 않는 서비스 계정이 곳곳에 남아 있다. 셋째, 오랜 기간 망분리에 기대 온 탓에 '내부망은 안전하다'는 인식이 강했다. 이제 상황이 바뀌고 있다. 망분리 규제가 완화되고 제로트러스트 전환이 논의되면서 클라우드·SaaS·생성형 AI 활용이 빠르게 확산하고 있다. 경계가 흐려질수록 보안의 기준은 네트워크 위치가 아니라 '누가, 어떤 권한으로' 접근하느냐로 옮겨 간다. 계정 탈취와 과도한 권한이 침해사고의 출발점이 되는 사례가 반복되는 이유다. 많은 기업이 아이덴티티 거버넌스, 특권 접근 관리(PAM), 클라우드 아이덴티티 보안의 중요성을 이해하고 그 투자 비중을 높여 가고 있다. 문제는 관리 체계가 쪼개져 있다는 점이다. 계정 생성 기록, 접근 승인 이력, 특권 계정, 클라우드 권한, 이상 행위 탐지가 각기 다른 도구에 있다. 한 환경에서 사소해 보이던 권한이 다른 환경의 권한과 결합하면 치명적인 공격 경로가 된다. 퇴사 후에도 특권이 남은 휴면 계정, 여러 시스템으로 횡적 이동을 허용하는 서비스 계정, 사람의 감독 없이 민감 데이터에 상시 권한을 가진 AI 에이전트가 대표적이다. 권한이 어디에 있는지 모르면 최소 권한 원칙도 실행할 수 없다. 이 간극을 메우려는 접근이 '아이덴티티 가시성 및 인텔리전스 플랫폼(IVIP)'이다. 쉽게 말해 여러 도구에 흩어진 계정과 권한 정보를 한데 모아, '누구의 열쇠가 어느 문까지 열 수 있는지'를 한눈에 보여주는 분석 도구다. 기존 통제를 대체하는 것이 아니라 그 위에서 계정과 권한의 관계를 분석해, 한 계정이 실제로 무엇을...