수잔 세노프 01:00:00.000
최소한의 기능을 갖춘 기업(MVE)에 대해 진지하게 생각하기 시작해야 합니다. 저희도 그렇게 시작했습니다. 복원력이란, 어떤 비즈니스 프로세스가 실행되어야 하고, 그 프로세스를 지원하는 시스템은 무엇이며, 어떤 데이터가 필요한지를 파악하는 것입니다. 그렇게 시작해야 비로소 운영 환경을 제대로 이해할 수 있습니다.
로이 아커만 01:00:12.240
수잔 사르노프는 코나의 최고보안책임자(CSO)이자 프로스의 CSO 자문위원입니다.
롭 아인스코프 01:00:17.040
수잔은 에이전트가 기존 보안 시스템을 스트레스 테스트할 때 어떤 일이 발생하는지에 대한 직접적인 경험을 가지고 있습니다.
수잔 세노프 01:00:23.400
미래는 인공지능입니다. 인공지능 에이전트가 이러한 정보에 접근하려고 시도할 것이라는 점을 미리 예상해야 합니다. 위협 행위자를 바라보는 방식과 유사하지만, 에이전트는 훨씬 더 빠를 것입니다.
로이 아커만 01:00:33.560
현재 기업들이 AI 에이전트를 어떻게 보호할 수 있을지에 대한 가장 중요한 질문 중 하나를 심층적으로 살펴보겠습니다.
수잔 세노프 01:00:40.320
ID 보안 엔지니어가 반드시 필요합니다. 여러분이 표준을 설정하고 IAM이 실제로 제대로 작동하는지 검증해야 합니다. 그러니 만약 그렇게 하지 않고 있다면 지금 당장 시작하세요.
로이 아커만 01:00:50.480
신원 확인은 단순히 운영상의 문제가 아니라 보안상의 문제입니다. 그리고 대부분의 팀은 이 문제를 실시간으로 파악하고 있습니다.
롭 아인스코프 01:00:57.240
여기는 아이덴티티 디코디드(Identity Decoded)입니다. 아이덴티티 보안의 의미를 역추적하는 팟캐스트죠. 사람들에 대한 솔직한 대화를 나누고, 내부에서부터 아이덴티티 보안을 구축하고, 수정하고, 재고해 봅니다.
로이 아커만 01:01:09.260
저는 로이 애커먼입니다.
롭 아인스코프 01:01:10.700
저는 롭 아인스코프입니다.
로이 아커만 01:01:11.980
들어가자.
롭 아인스코프 01:01:13.060
해보자
로이 아커만 01:01:19.620
네트워크에서 무슨 일이 일어나고 있는지 이해해야 한다는 생각은 있지만, 요즘 트래픽의 70%, 혹은 50%를 AI 에이전트가 처리하는 상황에서는 무엇이 인간의 행동이고 무엇이 비인간적인지 구분하기가 정말 어렵습니다. 그런데 얼마 전에 당신이 겪었던 멋진 경험담을 들려주셨는데요. 그 이야기를 청중들과 공유해 주시면 좋겠습니다.
수잔 세노프 01:01:40.220
네, 물론이죠. AI를 적극적으로 활용하는 회사에서 일하는 우리 모두는 보안 전략을 세울 때 AI 에이전트가 어떤 역할을 하는지 많이 참고했어요. 에이전트가 처음 나왔을 때는 다들 엄청 기대했었죠. "이게 우리 보안 시스템을 완전히 바꿔놓을 거야!"라고 생각했어요. 필요한 제품들을 제대로 갖추고 있다고 믿었죠. 그런데 어느 날, 클라우드 보안 업체에서 보안팀에 경고가 왔어요. "가장 중요한 데이터베이스 중 하나에서 리버스 프록시 스크립트가 실행된 메모리 덤프가 발견됐습니다."라는 내용이었죠. 다들 깜짝 놀랐지만, 다행히 경고를 받았어요. 그리고 이 사건을 분석하던 엔지니어 중 한 명이 "이 스크립트는 AI 에이전트가 작성한 것 같네요."라고 말했어요. 그래서 우리는 그 문제가 해당 데이터베이스 관리자의 노트북에서 발생한 것임을 추적할 수 있었습니다. 관리자는 "아, 네, 그냥 상태 점검을 하고 있었어요."라고 말했습니다. 무슨 일이 있었냐면, 에이전트가 상태 점검에 실패했고, "상태 점검에 실패하고 싶지 않아."라고 말하면서 위협 행위자처럼 행동하기 시작한 것입니다.
롭 아인스코프 01:02:53.360
이건 마치 당신이 사용하는 AI 제품을 완전히 합법적으로 사용한 것처럼 보였어요. 그러니까 모든 게 합법적인 것처럼요? 네, 하지만 그 활동 자체는 그렇지 않아요.
로이 아커만 01:03:01.470
맞아요. 수잔, 아시다시피 신원 확인이 새로운 경계선이 됐잖아요. 이런 현상이 곳곳에서 나타나고 있죠. 그런데 어떤 사람들은 신원 확인 때문에 우리가 네트워크 보안에서 저질렀던 실수를 반복하는 것 같다고 느끼기도 해요.
수잔 세노프 01:03:12.230
저는 신원 정보를 새로운 경계로 삼는다는 개념 자체가 좀 이상하다고 생각합니다. 마치 어떤 신원 정보 회사의 마케팅 부서에서 "이걸 내놓으면 사람들이 좋아할 거고, 그러면 더 많이 팔 수 있겠지"라고 생각하는 것 같아요. 제가 보안 분야에 처음 발을 들였을 때는 해자를 만드는 게 핵심이었죠. 그리고 그 해자를 네트워크 보안으로 지켜야 했습니다. 그런데 이제는 "신원 정보만 제대로 관리하면 새로운 해자를 만들 수 있다"는 식의 접근 방식이 있는데, 저는 그게 오히려 해롭다고 생각합니다.
로이 아커만 01:03:36.510
그러니까 당신은 그런 생각을 정말 싫어하는 거죠? 네, 맞아요. 그리고 이 진부한 표현에 대해, 롭, 우리 방송 전에 많이 얘기했잖아요. 당신은 어떻게 생각해요?
롭 아인스코프 01:03:45.070
저는 조금 다른 의견을 갖고 싶습니다. 저는 그 성명서를 조금 다르게 해석했습니다. 네, 맞습니다. 마케팅 성명서입니다. 가장 먼저 말씀드려야 할 중요한 점이죠. 그저 마케팅 성명서일 뿐입니다. 하지만 제가 보기에는 그 성명서는 우리가 기업 보안의 최전선, 가장 중요한 요소로 정체성을 다시금 강조하고 있다는 뜻입니다. 저는 그것을 마치 성과 해자로 둘러싸인 요새와 같은 것으로 해석하지 않습니다. 경계는 도처에 존재하며 정체성을 통해 표현된다고 생각합니다. 제가 유럽 전역의 기업들과 정체성에 대해 이야기를 나눠보면, 많은 기업들이 매우 개방적인 방식으로 운영되고 있습니다. 그렇죠? 사람들은 정체성을 통해 그러한 경계를 넘나들 가능성이 큽니다. 그리고 저는 일부 기업의 경우, 비록 해자를 조금 구축하는 것이 현재 상황보다 나을 것이라고 생각하더라도, 그것이 최종적인 해결책은 아니더라도 분명 시작점은 될 수 있다고 생각합니다.
수잔 세노프 01:04:31.370
그리고 최소한의 기능을 갖춘 기업(MVE)에 대해 진지하게 생각하기 시작해야 합니다. 저희도 그렇게 시작했습니다. 복원력이란, 어떤 비즈니스 프로세스가 필요하고, 그 프로세스를 지원하는 시스템은 무엇이며, 어떤 데이터가 있어야 하는지를 파악하는 것입니다. 그렇게 해야 비로소 운영 환경을 제대로 살펴볼 수 있습니다.
로이 아커만 01:04:44.210
보안 관점에서 생각해 보면, 문제가 발생했을 때 즉시 탐지 메커니즘을 실행하도록 되어 있습니다. 하지만 그 과정에서 문제가 무엇인지, 무엇을 공격하는지 정확히 파악하거나 정의하기는 어렵습니다. 보호하려는 대상이 누구인지, 공격자는 누구인지, 상습적인 공격자인지 등을 파악하기 어렵죠. 어떻게 하면 가시성을 확보하고, 발견하고, 기록하고, 탐지하고, 대응하고, 수정하고, 복구하는 프레임워크를 구축할 수 있을까요? 이러한 피드백 루프가 계속해서 작동하는 것이죠.
수잔 세노프 01:05:11.150
당신은 네스트에서 일하시죠.
로이 아커만 01:05:13.630
네, 저도 그 프레임워크에 공감하고 감사하게 생각합니다. 하지만 지금 우리는 완전히 다른 세상에 살고 있는 것 같아요. 모든 것이 무너져 내리는 상황이라 모든 것을 함께 처리해야 할 것 같습니다. 그렇다면 인증은 어디에서, IAM(신원 및 접근 관리)은 어디에서 다뤄야 할까요?
롭 아인스코프 01:05:28.430
최소 기능 비즈니스(MVB) 또는 최소 기능 기업(MVE)이라는 개념으로 다시 돌아가는 게 정말 흥미롭다고 생각해요. 제가 기업들과 아이덴티티에 대해 이야기할 때 흔히 보는 건, 티어 제로(Tier Zero)에만 집중한다는 거예요. 티어 제로에 모든 노력을 쏟아붓죠. 좋아요, 중요하긴 하네요. 하지만 비즈니스 운영에 필수적인 부분은 어떻게 되는 거죠? 비즈니스 앱은 없는데 티어 제로만 있다면, 과연 비즈니스에서 그 비용을 지불할 가치가 있을까요? 아이덴티티에 대한 우선순위 설정에서 흔히 나타나는 문제가 바로 '내 비즈니스에 무엇이 중요한지 제대로 이해하고 있는가?'라는 질문에서 비롯되는 것 같아요.
수잔 세노프 01:06:04.450
음, 저도 당신 말씀대로 정말 중요한 점을 지적해 주셨다고 생각해요. 바로 특정 부분에만 집중하는 경향이 있다는 거죠. 저희도 정체성이라는 측면에서 그런 문제를 고민하곤 합니다. 사용자, 비인간 객체, 에이전트 중 어느 쪽에 더 신경 써야 할지, 어떤 사람이 인간이고 어떤 사람이 에이전트인지 등등 말이죠. 하지만 이 모든 것들이 어떻게 서로 연결되는지 파악해야 합니다. 때때로 이 부분을 간과하는 것 같아요.
로이 아커만 01:06:26.690
우리는 일종의 경계 없는 세상에 대해 이야기하고 있는 겁니다. 죄송하지만, 롭, 두 번째 문제는 기본 권한이 악의적인 의도나 악의적인 의도로 사용될 수 있다는 것입니다. 그런 에이전트의 확산을 막을 수 없는 프레임워크를 어떻게 구축할 수 있을까요? 아마 당신 조직에도, 우리 조직에도 수백만 명이 있을 겁니다. 생각만 해도 끔찍합니다.
수잔 세노프 01:06:46.050
저는 인공지능 도입을 막고 싶지 않아요. 미래는 인공지능이니까요. 우리가 무엇을 보호해야 하는지 알아야 하고, 그에 필요한 것들을 갖춰야 한다는 점으로 다시 돌아가야 합니다. 인공지능 에이전트도 위협 행위자를 보는 것과 같은 방식으로 접근하려고 할 거라는 가정을 해야 하는데, 다만 에이전트가 더 빠를 뿐이죠. 그리고 예전처럼 위협 행위자를 미리 알아채지 못할 수도 있어요. 그래서 이건 꽤 흥미로운 문제라고 생각합니다. 해결해 볼 만한 재밌는 문제죠. 아, 그리고 제게는 15살짜리 딸이 있는데, 제 딸아이를 에이전트라고 생각해 봐요. 저는 개인적으로 제가 정말 훌륭하게 딸을 키웠다고 생각해요. 남편과 저는 이렇게 멋진 아이를 키웠으니까요. 딸아이는 모든 올바른 지시를 받았고, 필요한 훈련도 받았고, 모든 게 잘 되어가고 있어요. 이제 15살이 되어 세상으로 나아가려고 하죠. 아시다시피, 두어 달 후면 그녀는 운전면허증을 딸 거예요. 그러면 신분이 생기겠죠. 정말 멋진 일이에요. 그렇죠. 하지만 지금 제가 걱정하는 건, 세상에 있는 어떤 정보기관이 그녀의 위치를 파악할 수 있을까 하는 거예요. 그리고 참고로, 저는 그녀에게 위치 추적기를 부착해 놨는데, 그게 그 문제의 일부입니다.
로이 아커만 01:07:50.790
그녀는 알고있다.
수잔 세노프 01:07:53.390
그녀의 관점에서 보면 그렇죠. 하지만, 예를 들어 미국에서는 술집에 들어가려면 21살이 되어야 해요. 그러니까 그녀는 술집에 들어갈 수 없을 거라고 확신해요. 운전면허증은 위조하기가 정말 어려워요. 그리고 행동적인 측면도 고려해야 해요. 그녀가 고속도로에서 차선을 이리저리 바꾸며 운전한다면, CCTV에 찍힐 거고 경찰에 단속될 거예요. 그러니까 조직의 보안을 설계할 때는, 하고 싶은 대로 할 15살짜리 아이를 생각해야 해요.
로이 아커만 01:08:25.140
비결정적인 15세 소녀라고 생각해 보세요. 뭐 그런 거죠. 네, 이해합니다. 하지만 저는 그 아이가 차를 운전할 권한이 있다는 사실, 돈을 쓸 권한이 있다는 사실이 정말 불편해요. 그렇죠? 그런 권한이 잘못된 방향으로 흘러갈 수도 있잖아요. 지금 에이전트를 예로 들어볼게요. 에이전트의 네트워크 기능이나 연결성을 일관되게 유지하는 상태 점검이나 리버스 프록시 같은 거죠. 권한 체계는 여전히 동일하게 적용됩니다. 여전히 세상을 규범적인 목록으로 설명할 수 있을까요? 여기서는 무엇을 할 수 있고, 저 안에서는 무엇을 할 수 있는지 같은 식으로요. 실제로 적절한 곳에 제어 기능을 구현할 수 있는 언어가 있을까요?
수잔 세노프 01:09:07.400
아시다시피, 예전에는 정체성이 매우 2차원적이고 평면적이었습니다. 그러다가 사용자가 비인간 AI 정체성을 사용하는 단계로 넘어가는 것을 목격했습니다. 그렇죠. 하지만 그것만으로는 충분하지 않습니다. 그렇죠. 이제 정체성은 2차원적인 차원을 넘어 의도와 행동이라는 3차원적인 차원으로 확장되고 있습니다. 따라서 한 가지 요소만으로는 부족하고, 여러 요소를 조합해야 합니다.
로이 아커만 01:09:30.040
그리고 행동 분석에 더 집중한다면, 어떤 센서가 무엇을 하고 있는지 이해하고 그에 따라 제어할 수 있도록 어떤 정보를 알고 싶으신가요? 악의적인 의도와는 전혀 관련이 없는 행동인데 말이죠. 어떻게 하면 그걸 파악할 수 있을까요? 흥미로운 질문입니다. 제 생각에는 이 분야가 보안이 어떻게 발전해 왔는지 다시 생각해 볼 기회를 제공하는 것 같습니다. 처음에는 모든 악의적인 행위를 탐지하고, 그 다음에는 공격자가 어떤 행동을 하기 전에, 즉 공격의 첫 단계를 차단하는 메커니즘을 구축하려고 노력합니다. 하지만 결국에는 적절한 시기에 대응하지 못하는 이상한 균형 상태에 놓이게 되고, 결국 피할 수 있었던 위험을 탐지하고 경보를 구매해야 하는 상황이 발생합니다.
롭 아인스코프 01:10:14.220
제 생각에 여기서 흥미로운 점은 과거에 우리가 의존해왔던 탐지 및 대응, 또는 취약점 패치와 같은 수단들이 더 이상 효과적인 대응책으로 활용될 수 있는 기회가 줄어들고 있다는 것입니다. 이러한 수단들을 주요 통제 수단으로 사용할 수 있는 여지는 매우 좁아지고 있으며, 시간이 지남에 따라 더욱 줄어들 가능성이 큽니다. 따라서 우리는 핵심 요소인 신원 확인에 다시 주목하게 되고, 무엇을 다르게 해야 할지 고민하게 됩니다. 의도가 중요하다는 말은 좋지만, 실제로 무엇을 의미하는 걸까요? 무엇을 다르게 해야 할까요? 우리에게 어떤 의미가 있을까요? 저는 이것이 우리가 해결해야 할 매우 어려운 과제라고 생각합니다. 이 문제에 대해 완전히 새로운 방식으로 접근해야 합니다. 거버넌스나 양식 작성, 승인 절차는 너무 빠릅니다. 그렇다면 무엇을 다르게 해야 할까요? 이것이 제가 가장 중요하게 생각하는 부분입니다.
로이 아커만 01:11:04.880
만약 당신이 그날 SOC실에 앉아서 클라우드 벤더의 리버스 프록시 등에서 오는 실시간 경고를 보고 있다면, 어떤 상황에서 해당 트래픽을 허용할지, 아니면 차단할지 결정하시겠습니까?
수잔 세노프 01:11:21.040
문제는 상황에 따라 다르다는 겁니다. 그렇죠. 그리고 제가 생각하기에 지금 변화하고 있는 부분이 바로 이겁니다. 우리는 오래전부터 SoC가 비즈니스와 통합되어 있지 않고, 필요한 컨텍스트를 즉시 확보할 수 없다면, 더 이상 엔지니어에게 전화해서 티켓을 접수하고 "이게 맞나요? 이게 당신에게 영향을 미치나요?"라고 물어볼 시간이 없다는 것을 알고 있었습니다. 우리는 이것이 악의적인지 아닌지에 대한 거의 미리 정의된 관점을 확보해야 합니다. 그래서 제가 여러분께 드린 예시처럼, 우리는 그것을 차단했습니다. 위협 행위자로 보였기 때문입니다. 그래서 차단한 겁니다.
로이 아커만 01:11:50.600
그리고 이해하기 전에.
수잔 세노프 01:11:51.880
이해하기 전에는 위협 행위자처럼 보였기 때문입니다. 하지만 제품이나 경영진 모두 훌륭하고 완벽한 아이디어라고 생각했습니다.
롭 아인스코프 01:12:00.420
제 생각에는 아마도 보안 부서가 사업에 방해가 되는 것을 꺼려왔고, 어려운 결정을 내리고 "이런 일이 일어나도록 내버려 두지 않겠다"라고 말하는 것을 주저했던 것 같습니다. 왜냐하면 우리는 사업을 제대로 운영하려고 노력하고 있고, 방해하고 싶지 않았기 때문입니다. 하지만 진정성 있는 관점에서 위험을 감수한다면, 우리가 정말 중요하게 생각하는 것들에 대해 무엇을 용인하고 무엇을 용인하지 않을지 좀 더 적극적으로 말할 수 있을 것 같습니다. 그래서 우리가 할 수 있는 일과 사업에 설정하는 경계에 대해 더 적극적으로 목소리를 내는 새로운 시대가 열리는 것 같습니다. 왜냐하면 이것은 새로운 것이기 때문입니다.
로이 아커만 01:12:37.380
결국에는 기본적으로 차단하지 않고 새로운 현상과 행동 양식을 수용할 수 있는 메커니즘을 마련해야 할 것이라고 생각합니다. 해커의 의도로 보이는 것을 감지했을 때, 의도라는 개념은 흥미로운 지점입니다. 현재 '의도', '방화벽', '의도', '보호' 등 여러 용어가 사용되고 있지만, 만약 의도가 단순히 시스템 상태 점검이고, 해당 에이전트가 사람이 소유한 노트북에서 작동하며, 그 사람이 신뢰할 수 있고 검증을 거친 사용자라면, 차단 기준이 달라질 수도 있고, 아니면 기존 방식대로 작동할 수도 있습니다. 에이전트가 이러한 불확실성을 해소하고 누가 무엇을 왜 했는지, 그리고 트래픽을 허용할지 말지를 결정하는 정확한 순간과 그 직전의 상황을 파악할 수 있도록 하는 것이 중요한 과제일 것입니다.
수잔 세노프 01:13:34.290
네. 그리고 그게 바로 앞서가는 클라우드 보안 제공업체들이 하는 일이죠. 그들은 즉시 상황 맥락을 파악하고, 단순히 문제점을 발견하는 것만으로는 부족하다는 것을 깨닫고 있습니다. 여러분께서 속도에 대해 말씀하셨던 부분을 다시 한번 짚어보고 싶습니다. 클라우드 보안 연합(Cloud Security Alliance)에서 최근 Mythos와 Glassing에 대한 대응으로 보고서를 발표했는데, 거기에 있는 차트를 보고 정말 놀랐습니다. 제 팀 전체에 공유하기도 했죠. 그 차트에 따르면, 2018년에는 취약점 발견부터 공격까지 걸리는 시간이 50~60일 정도였는데, 2026년에는 20시간으로 줄어든다고 합니다. 기하급수적으로 빨라지고 있는 거죠. AI 덕분에 앞으로는 몇 분 안에 해결될 거라고 생각합니다.
로이 아커만 01:14:19.150
우리에게 있어 이것은 무엇을 의미할까요? 저는 사람입니다. 우리는 준비해야 하고, 이야기의 일부가 되어야 합니다. 하지만 우리의 청중이 실제로 무엇을 다르게 할 수 있을까요? 예를 들어 월요일 아침이라고 생각해 보세요. 저는 CISO와 팀에게 전달할 새로운 계획을 세워야 합니다. 어떻게 하면 우리가 그 과정에 참여할 수 있을까요? 저는 계속해서 권한, 즉 '할 수 없는' 것들을 떠올립니다. 네, 그런 권한이 있습니다. 좋습니다. 하지만 누가 그 권한을 가지고 있는지, 어떤 권한이 있는지 알 수 없습니다. 마치 그 결과가 어디로 이어질지 모르는 것처럼 말이죠. 그래서 이를 보호하기 위한 새로운 프레임워크를 구축해야 합니다. 따라서 IAM은 관리적인 측면보다는 행동적인 측면, 실시간 의사 결정 측면에 더 중점을 두어야 합니다. 즉, '제어를 설정하고, 잘 되기를 기도하자'는 식의 접근 방식은 안 됩니다. 이건 좀 다른 얘기야. 아, 그리고 세실이 IAM도 그 파티에 초대해야 해. 맞아. 그리고 너도 거기 앉아 있어야지. 마치... 흠. 마치, 네가 이 일을 하도록 내버려 둔 건가? 어, 이게 무슨 의미지? 어디로 갈 수 있을까?
롭 아인스코프 01:15:23.810
그게 결국 기업에게 중요한 거잖아요, 그렇죠? 다시 본론으로 돌아와서, 우리는 기업에 중요한 것이 무엇인지, 그리고 그것을 보호하기 위해 무엇을 해야 하는지에 대해 이야기해 왔습니다. 제 생각에는 그게 핵심 차이입니다. 제게는 당연한 이야기지만, 다른 사람들에게는 이해가 안 될 수도 있겠죠. 하지만 핵심은 신원을 보호해서 무언가를 보호하는 것과 신원을 통해 무언가를 보호하는 것의 차이입니다. 그렇죠? 생각해 보면 실제로 꽤 큰 차이입니다. 그렇죠? 정말 중요한 것은 무엇이고, 행동, 의도, 맥락과 같은 신원 정보를 어떻게 활용해서 위험 측면에서 무엇이 적절하고 무엇이 적절하지 않은지 결정을 내릴 것인가 하는 문제입니다.
로이 아커만 01:15:57.890
그렇다면 차세대 IAM 담당자들이 어떤 능력을 더 갖추기를 기대하시나요?
수잔 세노프 01:16:04.310
속도에 대해 이야기했던 거 기억하시죠? 인간은 사물을 인식하는 속도에 한계가 있잖아요. AI 에이전트가 AI 에이전트를 보호하는 것에 대해서도 이야기하셨었는데, 어디서 들었는지 정확히 기억은 안 나지만, 앞으로 2년 동안은 공격자, 그러니까 실제로 게임을 실행하는 쪽이 유리한 위치에 있다는 이론이 있었어요. 2년이라는 기간이 어디서 나온 건지는 모르겠지만요. 어쨌든 2년이 지나면 어떤 이유에서인지 방어자가 주도권을 잡게 된다는 거죠. 저는 방어자가 주도권을 잡을 거라고 믿어요. AI 에이전트들이 그 속도로 움직이면서, 차단을 하더라도 맥락을 파악하는 데는 찰나의 1초밖에 걸리지 않는 세상이 올 겁니다.
로이 아커만 01:16:49.830
그러니까 IAM(신원 관리) 시스템을 구축해야 하는데, 그 시스템의 50% 정도는 AI 에이전트로 구성되어 모든 거래를 매 밀리초마다 검증한 후에야 신뢰할 수 있도록 해야 한다는 거죠. 그리고 실시간으로 배포할 수 있는 새롭고 다양한 제어 기능도 필요할 거라고 생각합니다. 그런데 그런 새로운 벤더들은 어떤 회사인가요? 그들은 이 분야를 어떻게 바라보고 있나요?
수잔 세노프 01:17:11.250
벤더들이 아직 따라잡지 못한 것 같아요. 다들 '이 문제를 해결해야 해. 해자란 뭘까?' 하는 생각뿐인 것 같습니다. 어떤 경우에는 기술 자체가 아니라 실행력, 마케팅, 그리고 시장을 앞서나가는 능력이 중요하다고 하더군요. 이게 한 가지 이론입니다. 또 다른 이론은 SaaS가 처음 등장했을 때와 비슷할 거라는 겁니다. 몇 년 전, '왜 굳이 사야 하지? 우리가 직접 만들면 되잖아?'라는 반응이 있었잖아요. 하지만 사람들이 직접 만들지 않았던 이유는 팀에 개발자가 없었기 때문입니다. 운영자, 방어자, 위험을 감수하는 사람만 있었죠. 그래서 아직은 잘 모르겠습니다. 지금 우리가 그 해자를 찾아가는 과정이라고 생각해요.
로이 아커만 01:17:49.330
그리고 만약 내일 당신이 IAM 업무에 복귀해서 IAM 운영자 및 리더로 구성된 부서를 재건하거나, 혹은 되살려야 한다고 가정해 봅시다. 문제가 있는 에이전트를 처리하지 않고, 이러한 어려움에 더 유연하게 대처하기 위해 무엇을 다르게 해야 할까요?
롭 아인스코프 01:18:11.790
정말 좋은 질문입니다. 로이, 아주 중요한 질문이죠. 제 생각엔 아주 중요한 질문입니다.
로이 아커만 01:18:15.470
답변에 대해서도 큰 기대를 가지세요. 정말 예상치 못한 결과가 나올 겁니다.
롭 아인스코프 01:18:18.870
여기서 기대치를 조금 낮추시면 됩니다. 제 생각에는 우리가 이야기했던 기본 사항들로 돌아가는 것 같습니다. 네. RSA 이후로, 그리고 특히 Mythos는 기본을 잘 지키는 것, 확실성, 그리고 정말 중요한 것들을 확실히 보장하는 것에 대한 중요성을 강조해 왔습니다. 만약 그것이 행동적 맥락, 즉 여러분이 정말 중요하게 생각하는 것과 신원 정보를 통해 무엇을 할 수 있고 무엇을 할 수 없는지에 대한 명확한 규칙을 정하는 것이라면, 저는 그것이 좋은 출발점이라고 생각합니다. 왜냐하면 우리가 오늘 당장 세상을 바꿀 수는 없기 때문입니다. 이는 매우 큰 문제입니다. 기업 환경은 기술적으로도 매우 복잡하고 규모가 커서 하룻밤 사이에 해결될 수 없습니다. 따라서 기본으로 돌아가서, 비즈니스에 정말 중요한 것이 무엇인지 파악하고, 무엇을 제대로 했는지 측정할 수 있어야 합니다. 저는 이것이 정말 핵심이라고 생각합니다. 그리고 종종 정체성의 공백, 즉 우리가 마련한 통제 조치와 그것이 비즈니스에 미치는 의미, 그리고 우리가 감수해야 하는 절충점을 설명하는 능력에 공백이 생깁니다. 맞습니다. 왜냐하면 우리는 핵심 데이터 저장소에 고위험 요소가 있다고 판단되면 절대 허용하지 않을 것이기 때문입니다.
로이 아커만 01:19:24.580
그리고 청중 여러분께서 이 논의를 이해하기 쉽게 설명드리자면, IAM 관점에서 어떤 제어 기능이 있는지, 그리고 이러한 제어 기능을 변경하고 활용하기 위한 트리거는 무엇인지 생각해 봐야 합니다. 새로운 환경에서는 구축 프로세스나 관리 시간을 들여 설정을 구성할 수 없습니다. 즉시 실행해야 하고, 예/아니오를 순식간에 결정해야 합니다.
롭 아인스코프 01:19:55.700
그게 핵심 역량이 될 겁니다. 거버넌스는 물론 중요하고 좋은 일이지만, 정작 필요할 때 필요한 기능을 제대로 수행할 수 있을까요? 그게 진짜 문제입니다. 실시간으로 규정을 적용하고, 가이드라인과 규칙을 설정하는 것, 이것이 바로 ID 관리팀이 달성해야 할 목표가 될 거라고 생각합니다. 단순히 사업 운영이나 신규 직원을 시스템에 등록시키는 것만으로는 부족합니다. 모든 것을 제대로 해야 합니다. 물론 그런 부분도 여전히 중요하지만, 이제는 보안이라는 영역으로 나아가야 합니다.
로이 아커만 01:20:23.520
그리고 CISO는 외부인이 보안 스택에 접근하는 것에 대해 훨씬 더 관대해야 할 수도 있습니다. IAM이 보안 스택에 들어오는 경우 말이죠.
수잔 세노프 01:20:31.560
사실 저는 제가 그 역할을 제대로 수행하지 못하고 있다고 생각하지 않습니다. IAM 운영 자체는 CISO가 담당할 수 있지만, CISO가 이미 해당 업무를 맡고 있지 않다면, 반드시 ID 보안 엔지니어 또는 아키텍트를 고용해야 합니다. 더 나아가, CISO는 표준을 설정하고 IAM이 실제로 제대로 작동하는지 검증하는 역할을 해야 합니다. 따라서 현재 그렇게 하고 있지 않다면, 지금 당장 시작해야 합니다.
로이 아커만 01:20:53.600
그리고 위기 상황에 처해 있습니다.
수잔 세노프 01:20:54.760
네, 맞아요. 전적으로 동감입니다. 적어도 3년 전에는 그렇게 됐어야 했어요.
로이 아커만 01:20:59.500
저는 롭이 지난번 회의를 시작할 때 화재 관련 질문에 대해 진심으로 답변했다고 생각합니다.
롭 아인스코프 01:21:06.620
질문 속사포처럼요. 네, 맞습니다. 저희는 모든 게스트와 이 주제에 대해 이야기를 나눕니다. 오늘은 잘못된 통념, 잘못된 관행, 냉혹한 진실, 그리고 과장된 정보에 대해 이야기해 보겠습니다. 첫 번째는 잘못된 통념입니다. 신원 확인이나 보안에 관한 잘못된 통념은 무엇일까요?
수잔 세노프 01:21:20.180
신원 보안에 대한 잘못된 통념 중 하나는 비인간 신원의 처리 과정이 인간과 완전히 다르다는 것입니다.
로이 아커만 01:21:28.260
흥미롭네요. 과대광고가 있죠. 사람들은 여전히 그 과대광고를 흡수하거나 받아들이고 있는 것 같아요. 비인간적인 정체성이 많이 등장하고 있고요. 어떤 판매자들은 "아니, 당신은 다른 걸 주장하면서 다른 방식으로 접근해야 한다"고 말하기도 합니다.
수잔 세노프 01:21:40.700
네, 물론 모든 계정이 다 그런 건 아니라는 겁니다. 공정하게 말하자면, 차이점도 있지만, 결국에는 계정을 직접 찾아내야 한다는 거죠. 계정의 권한이 무엇인지 파악해야 하고, 목록을 통해 확인해야 합니다. 누가 소유하고 있는지, 어떤 권한을 가지고 있는지 알아야 과도한 권한이 부여되지 않았는지 확인할 수 있고, 필요에 따라 권한을 차단할 수도 있어야 합니다.
롭 아인스코프 01:22:06.520
저도 이 부분에 대해서는 동의합니다. 그렇죠? 차이가 생각만큼 크지는 않은 것 같아요. 우리가 해야 할 일에는 겹치는 부분이 있다고 생각합니다. 그렇죠? 이 모든 것을 위해 필요한 역량은 무엇일까요? 분명히 겹치는 부분이 있는데, 이에 대해서는 제대로 논의되지 않는 것 같습니다. 좋습니다. 두 번째는 잘못된 관행에 대한 질문입니다. 리더들이, 특히 신원이나 보안 관련 리더들이 흔히 저지르는 실수는 무엇일까요?
수잔 세노프 01:22:32.040
우리는 너무 많은 것을 잘못 이해하고 있어요. 어디서부터 시작해야 할까요? 어디서부터 시작하길 바라시나요? 많은 리더들이 잘못 생각하는 것 중 하나는 이것이 기술적인 문제라고 여기는 점입니다. 저는 보안 리더들이 정말 효과적이라고 생각합니다. 그들은 비즈니스 전체에 영향을 미치고 협력하는 방법을 터득한 사람들입니다. 그리고 그것은 개발해야 하는 기술입니다. 어떤 사람들은 타고난 능력을 가지고 있지만, 그래도 대단한 능력이며 개발해야 합니다. 그래서 우리는 이 문제를 기술적인 관점에서만 해결할 수 있다고 생각하는 것이 잘못된 것 같습니다.
롭 아인스코프 01:23:13.340
기술은 중요하지만, 그것만으로는 충분하지 않습니다.
수잔 세노프 01:23:15.340
아니요. 특히 그 기술에 대한 체계적인 프로세스 없이 기술을 도입하면, 기술은 그저 도구일 뿐이고 제대로 작동하지 않는 경우가 많습니다.
롭 아인스코프 01:23:22.820
예전 회사에서 400,000만 명이나 되는 직원들을 보면서, 마치 작은 나라 하나를 바꾸는 것 같다는 생각을 했어요. 매장, 창고, 사무실 등 다양한 곳에서 일하는 사람들, 여러 국가에 흩어져 있는 사람들, 각기 다른 요구사항들을 가진 회사니까요. 결국 사람 문제로 접근해야 한다는 거죠. 그리고 그걸 올바른 방식으로 해내는 게 중요한 거고요.
로이 아커만 01:23:40.500
네. 그리고 물론 보안 관점이나 해킹 관점에서 보면, 해커들은 시스템을 파괴하려는 게 아닙니다. 그들은 프로세스에 침입해서 돈을 훔치거나 데이터를 훔치려는 겁니다. 그걸 이해하지 못하면, 네. 뭔가 놓치고 있는 겁니다.
롭 아인스코프 01:23:53.540
세 번째 질문입니다. 냉혹한 진실. 냉혹한 진실 하나는 무엇일까요?
수잔 세노프 01:23:58.260
제 15살짜리 아이 이야기로 돌아가서, 저는 안정감을 찾는다는 건 아이를 키우는 것과 비슷하다고 생각해요. 제가 모든 걸 제대로 알고 있다고 생각하는 순간, 또 새로운 문제가 불쑥 나타나거든요.
로이 아커만 01:24:09.170
요즘 가장 과대광고되고 있는 용어나 유행어는 무엇이라고 생각하시나요?
수잔 세노프 01:24:15.130
아, 그러니까 신원 정보 보호도 중요한 요소라는 말씀이시군요. 네, 전 여전히 제로 트러스트라고 생각해요. 그런 문제가 끊임없이 발생하잖아요. 제로 트러스트의 원칙은 정말 훌륭하지만, 사실 완벽한 제로 트러스트는 없죠. 중요한 건 명시적인 신뢰, 즉 우리가 어떤 기준으로 신뢰하는지, 어떻게 서로를 신뢰하는지를 제대로 이해하는 거예요.
로이 아커만 01:24:42.370
알겠습니다. 그럼 다음에 벤더에서 연락이 오면 제목에 '제로 트러스트' 같은 단어를 넣지 마세요.
롭 아인스코프 01:24:46.610
자, 우리가 이야기했던 내용들을 되짚어보면, 몇 가지를 다뤘었죠. 유전적인 부분에 대해서도 이야기했고, 사업에 정말 중요한 것이 무엇인지에 대해서도 이야기했습니다. 만약 시청자들에게 정체성이라는 측면에서, 그리고 우리가 나눈 이야기들을 종합해서 가장 핵심적인 메시지를 하나 꼽으라면 무엇일까요?
수잔 세노프 01:25:06.430
제가 추천드리는 것은, 만약 여러분의 팀이 아직 AI 활용 방안을 고려하고 있지 않거나, AI 활용법을 배우고 있지 않다면, 그리고 여러분의 역량을 점검하고 미래의 팀 구성에 대해 고민하고 있지 않다면, 지금 당장 그렇게 해야 한다는 것입니다.
로이 아커만 01:25:22.950
아직 많은 사람들이 무슨 일이 일어날지 기다리며 그 상황을 지켜보고 있습니다.
롭 아인스코프 01:25:27.430
함께해 주셔서 정말 감사합니다. 아주 좋은 대화였습니다. 정말 즐거웠어요.
롭 아인스코프 01:25:32.270
그리고 그 대화를 위해 휴스턴까지 와주셔서 감사합니다.
로이 아커만 01:25:38.750
정말 좋네요. 감사합니다.
롭 아인스코프 01:25:40.270
이것으로 이번 Identity Decoded 에피소드를 마치겠습니다.
로이 아커만 01:25:42.830
이 대화를 통해 신원 보안에 대한 생각이 바뀌었다면, 같은 어려움을 겪고 있는 사람과 공유해 주세요.
롭 아인스코프 01:25:49.110
그리고 다음 에피소드를 놓치지 않도록 방송을 구독하는 것도 잊지 마세요.
