아이덴티티 거버넌스를 통한 비즈니스 보호
이전에는 보안이라고 하면 자물쇠와 열쇠가 다였습니다. 열쇠가 있으면 문을 열고 방으로 들어갈 수 있었습니다. 초창기에는 기업 네트워크 보안도 이러한 물리적 방법처럼, 간단한 시스템을 사용하여 모든 직원이 동일한 키를 가지고 동일한 정보에 액세스했었습니다.
당시에는 직원과 시스템이 회사에 상주하였기 때문에 위협 행위자가 키에 액세스하기가 쉽지 않았습니다. 하지만 이후로 클라우드 사용량 증가와 원격 근무 기술에 대한 수요 등으로 인해 기업 보안 분야의 교전 규칙이 바뀌면서 물리적 경계가 확장되고 더욱 유연해졌습니다.
이러한 변화에 따라 해커들도 시스템에 물리적으로 접근할 필요 없이 귀중한 정보가 담긴 저장소의 문을 열 수 있는 방법을 찾아냈습니다. 이들의 주요 표적은 사용자 아이덴티티였습니다. 실제로 보안 공격의 81%가 자격 증명 탈취를 노리고 있습니다. 이렇게 탈취된 자격 증명이 다크 웹에서 다른 계정에 액세스하려는 위협 행위자에게 팔릴 수 있기 때문입니다.
그렇다면 문제를 알고 있는데도 예방이 어려운 이유는 무엇일까요? 아이덴티티 해킹이 성공하는 이유는 '원 키, 원 도어(one key, one door)' 정책 때문입니다. 기업이 사용자 데이터를 보다 효과적으로 보호하려면 최신 아이덴티티 거버넌스 방침을 시행하여 보다 포괄적으로 보안 문제를 해결해야 합니다.
새로운 보안 격전지
대다수의 기업이 사용자가 필요한 정보에만 액세스할 수 있도록 허용하고 있지만 방식은 수동 프로세스에 머물러 있습니다. 인력과 시스템은 갈수록 복잡해지고 또 다양해졌지만 이러한 시스템으로는 관리가 어려울 뿐입니다.
최근 리서치 결과에 따르면, 평균적으로 내부 사용자의 33%가 비활성 상태이지만 권한은 취소되지 않고 그대로라고 합니다. 이미 퇴사했거나, 휴가 중이거나, 혹은 직무 변경으로 인해 사용하는 툴이 바뀐 직원들이 여기에 해당할 수 있습니다. 그 밖에도 기업의 30%가 중요한 데이터가 저장된 폴더를 모든 직원들에게 노출시켜 아이덴티티 액세스 관리를 전혀 적용하지 않고 있습니다. 이로 인해 IT 팀에게 불필요한 업무 부담을 가중시킬 뿐만 아니라 불가피한 인적 실수로 인해 보안 위험에 노출될 수도 있습니다.
이제 기업은 아이덴티티 액세스 거버넌스로 눈을 돌려 지능적으로 변화하는 보안 위협으로부터 스스로를 보호하고 산업 규정을 준수해야 합니다.
아이덴티티 거버넌스의 정의
아이덴티티 거버넌스는 기업에게 정책 기반의 사용자 아이덴티티 관리 및 액세스 제어를 제공합니다. 또한 기업이 아이덴티티 액세스 관리 정책을 정의, 시행 및 심사하여 컴플라이언스 요건과 연결한 후 사용자 액세스에 대해 감사를 실행할 수 있도록 보안 및 컴플라이언스 활동을 지원합니다.
아이덴티티 거버넌스의 주요 기능으로는 사용자 관리, 권한 아이덴티티 관리, 아이덴티티 인텔리전스, 역할 기반 아이덴티티 관리 및 분석이 있습니다. 기업이 이러한 특성들을 모두 통합하면 워크플로우를 자동화하고, 사용자 권한을 관리하며, 데이터 보안 규정을 준수하고, 비즈니스를 확장할 수 있습니다.
컴플라이언스를 보장하고 복잡성을 제거하는 아이덴티티 거버넌스
오늘날 직원들의 라이프사이클은 그 어느 때보다 복잡합니다. 이전에는 이를테면 사내 우편물실에서 시작하여 꾸준한 노력 끝에 회사 고위직까지 승진하는 경우가 많았습니다. 하지만 지금은 직원들이 부서를 옮기거나, 휴가 후 복귀하거나, 계약직으로 먼저 입사하거나, 벤더에서 정규 직원이 되기도 합니다. 이렇게 방대한 권한 네트워크에서는 사용자 라이프사이클의 변화에 따라 변경 사항을 자동으로 관리할 수 있는 정책이 필요합니다.
아이덴티티 거버넌스는 다음과 같이 뚜렷한 세 가지 보안 영역을 제공하여 기업과 직원을 보호하는 최상의 접근법이 될 수 있습니다.
- 액세스 탐색: 아이덴티티 거버넌스 및 관리는 액세스 탐색에서부터 시작됩니다. 액세스 탐색은 사용자 계정과 권한에 대한 인사이트를 제공하고(누가, 언제, 어떤 정보가 필요한가), 사용자 아이덴티티와 기업에 제어하지 못하는 기타 대상 리소스(사용자가 액세스하는 외부 앱과 서비스)를 조정합니다. IT 팀은 이러한 지식을 바탕으로 만반의 준비를 갖춰 아이덴티티 탈취와 기타 공격으로부터 시스템을 보호할 수 있습니다.
- 사용자 액세스: 기업은 사용자에게 역할 및 요청을 기반으로 클라우드 애플리케이션에 액세스할 수 있는 방법을 제공하여 권한이 없는 사용자가 중요한 데이터에 액세스하는 것을 방지할 수 있습니다. 또한 기존 통합 기능을 온프레미스 애플리케이션과 호스팅 애플리케이션으로 확장하여 요청 승인 프로세스를 구현함으로써 사용자 액세스 요청 및 승인을 추적할 수 있습니다.
- 컴플라이언스 보고: 이러한 프로비저닝이 확립되면 컴플라이언스 보고서를 작성하여 어떤 사용자가 특정 시간에 어떤 정보에 액세스하는지를 보여주는 스냅샷을 제공할 수 있습니다. 그 밖에 사용자 및 애플리케이션 액세스를 비롯해 시스템 이상이나 위협의 징조가 될 수 있는 비밀번호 변경에 대해서도 인사이트를 제공할 수도 있습니다.
기업 네트워크와 인력이 경계를 넘어 확장함에 따라 아이덴티티 거버넌스는 최신 보안 위협으로부터 시스템을 안전하게 보호하고 진화하는 업계 규정을 준수하기 위한 필수 요소가 되었습니다.