아이덴티티 관리(IAM) 및 액세스 제어(Access Control)는 기업 리소스에 대한 액세스 관리를 통해 시스템과 데이터를 안전하게 보호합니다. 이는 보안 아키텍처의 핵심 구성요소로서, 기업 시스템과 정보에 대한 적정 수준의 액세스 권한을 부여하기 위해 사용자의 아이덴티티를 확인하는 데 사용됩니다. 사람들은 아이덴티티 관리, 인증, 액세스 제어라는 용어를 한 가지 의미로 혼용하기도 하지만, 실제로 이들은 기업 보안 프로세스에서 명확히 구분된 계층입니다.

아이덴티티 관리, 인증, 액세스 제어

IAM(Identity and Access Management)이라고도 하는 아이덴티티 관리는 사용자의 아이덴티티와 특정 시스템에 대한 액세스 수준을 확인하는 중요한 기능입니다. 이러한 범위 내에서 특정 시스템에 대한 각 사용자의 액세스 수준을 조절하는 인증 및 액세스 제어는 사용자의 데이터를 보호하는 데 중요한 역할을 합니다.

Okta는 인증 메커니즘과 매일 상호작용합니다. 사용자 이름과 비밀번호를 입력할 때도, PIN을 사용할 때도, 지문을 스캔할 때도, 은행 카드를 클릭할 때도 인증을 위해 사용자 아이덴티티를 항상 확인합니다. 아이덴티티가 확인되면 액세스 제어를 통해 액세스 수준이 결정됩니다. 사용자마다 권한 인증 수준이 상이한 애플리케이션과 서비스에서는 이러한 액세스 제어가 중요합니다. 예를 들어 소프트웨어 관리자는 액세스 제어를 통해 사용자를 추가하거나 프로필을 편집할 수 있으며, 티어가 낮은 사용자가 특정 기능과 정보에 액세스하는 것을 차단할 수 있습니다. 

최신 아이덴티티 관리 및 액세스 제어를 통해 위험을 완화하는 방법

Okta의 Business at Work 2019 보고서에 따르면 평균 약 40%의 사용자가 100개 이상의 앱에 액세스할 때 2~4개의 비밀번호를 반복해서 사용한다고 합니다. 이렇게 되면 기업의 IT 관리자가 다수의 시스템에서 사용자 자격 증명을 관리하는 것이 매우 힘들어집니다. 온프레미스(on-premise) 서비스와 온라인 서비스가 혼재된 기업 환경에 클라우드 기반 툴이 도입됨에 따라 IT 관리자는 각종 아이덴티티 관리 및 액세스 제어 솔루션을 사용하여 다수의 플랫폼에 대한 액세스를 보호하는 역할을 맡게 되었습니다. 이는 IT 팀에게도 어려운 문제이지만 사용자들 역시 여러 차례 로그인을 해야 하기 때문에 불만이 쌓일 수밖에 습니다.

IAM은 IT 팀이 중요한 데이터에 액세스하는 계정을 추적, 모니터링 및 제어할 수 있도록 지원하는 동시에 보안 인증 솔루션으로 데이터를 안전하게 보호하는 데 특히 효과적입니다. 직원들은 비밀번호 모범 사례를 따르지 않아서 잘못을 저지르는 경우가 많기 때문에 관리자는 SSO와 같은 인증 보호 계층을 추가하여 기업 시스템에 대한 무단 침입을 차단해야 합니다.

관리자가 SSO와 적응형 다중 요소 인증(Adaptive MFA)을 함께 사용하면 사용자가 인증 프로세스에서 요소를 추가로 입력해야 하기 때문에 비밀번호만 사용하는 위협으로부터 조직을 보호할 수 있습니다. 또한 사용자의 디바이스, 위치 및 네트워크에 따른 조건부 액세스를 설정하여 실시간으로 위험 등급을 할당할 수 있습니다. 그 밖에도 적응형 MFA를 통해 패스워드리스(Passwordless) 경험을 구성할 수도 있습니다. 사용자가 스마트폰이나 물리적 토큰을 사용해 단 한 차례 인증만으로 모든 애플리케이션에 원활하게 액세스할 수 있기 때문에 취약한 비밀번호로 인한 위험을 크게 줄일 수 있습니다. 이러한 툴과 기타 주요 보안 조치를 구현하면 IT 팀은 물론이고 직원들까지 보호하여 더 큰 혜택을 얻을 수 있습니다. 

IAM에서는 이 외에도 효과적인 라이프사이클 관리가 필요한데, 직원의 입사와 직무 이동 및 변경이 잦은 기업에게 특히 그렇습니다. 관리자가 이러한 업무 변동에 대처하려면 각종 애플리케이션에 대한 직원의 액세스 권한을 효과적으로 허용, 변경 또는 취소할 수 있어야 합니다. 이때 라이프사이클 관리 솔루션을 구현하면 이러한 작업을 자동화하여 관련된 위험을 완화할 수 있습니다.