롭 아인스코프 00:00:00
가장 힘든 진실 하나는 무엇일까요?
이브 말러 00:00:01
의도 기반 접근 제어는 권한 부여를 더 잘하는 것과는 전혀 다릅니다. ID를 인프라로 본다면, 티켓 방식으로 관리하거나 인시던트 방식으로만 관리하는 데에는 한계가 있습니다. 이러한 방식으로는 최상의 결과를 얻기 어렵습니다.
이브 말러 00:00:16
그러니까, 싱글 사인온(SSO)에 대해 이야기할 때, 보안 담당자라면 더 강력한 인증을 확산시키는 방법을 의미합니다. 마케팅 담당자라면 사람들이 구매하길 바라는 상품이나 서비스에 더 쉽고 빠르게 접근할 수 있도록 하는 방법으로 볼 겁니다. 같은 기술이지만, 비즈니스 목적은 완전히 다르죠.
이브 말러 00:00:33
보안, 개인화, 결제, 그리고 사람. 위험 대응, 시장 대응, 거래 대응, 그리고 인간 대응. 결국 우리를 가장 힘들게 하는 건 바로 인간 대응 부분입니다.
롭 아인스코프 00:00:43
동의했다.
로이 아커만 00:00:43
신원 확인은 단순히 운영상의 문제가 아니라 보안상의 문제이며, 대부분의 팀은 이를 실시간으로 파악하고 있습니다.
롭 아인스코프 00:00:50
이 팟캐스트에서는 신원 보안의 의미를 역추적하여, 내부에서 신원 보안을 구축하고, 수정하고, 재고하는 사람들에 대한 솔직한 대화를 나눕니다.
로이 아커만 00:01:00
저는 로이 애커먼입니다.
롭 아인스코프 00:01:01
저는 롭 아인스코프입니다.
로이 아커만 00:01:02
들어가자.
롭 아인스코프 00:01:04
해보자
롭 아인스코프 00:01:10
안녕하세요 여러분. 아이덴티버스 3일차입니다. 오늘은 이브 말러 님을 모셨습니다. 안녕하세요, 이브 님. 잘 지내시나요?
이브 말러 00:01:16
잘 지내고 있어요, 고마워요.
롭 아인스코프 00:01:17
아주 훌륭합니다. SAML 공동 개발자이자 ForgeRock의 CTO, 그리고 현재는 The Ven Factory의 창립자이시군요. 네… 바로 아이덴티티 분야에서 매력적인 제품 전략을 구축하고 계시는군요.
이브 말러 00:01:28
네. 정말 멋지네요. '저항할 수 없는'이라는 단어, 전 정말 좋아해요. 누가 안 좋아하겠어요?
롭 아인스코프 00:01:31
너, 너 정말
이브 말러 00:01:32
본
롭 아인스코프 00:01:32
it
이브 말러 00:01:32
모두 다요. 게다가 벤 다이어그램을 싫어하는 사람이 어디 있겠어요?
롭 아인스코프 00:01:33
지난주에 벤 다이어그램에 대해 이야기했었죠. 네, 그랬어요. 만났을 때요. 저는 벤 다이어그램을 정말 좋아해요. 정말 좋아해요. 오늘 새로운 벤 다이어그램을 하나 만들어 볼게요. 오늘은 정말 흥미롭고 중요하며 시의적절한 주제에 대해 이야기해 보려고 합니다. 그렇죠? 지난 10년, 15년 동안 아이덴티티가 단순히 규정 준수나 비즈니스 활성화에서 비즈니스 보안으로 진화하는 것을 보아왔습니다. 네. 그리고 그 과정에서 아이덴티티 분야의 리더들과 담당자들은 이 주제에 대해 어떻게 이야기해야 할지 고민하게 되었죠. 네. 왜 중요한지, 왜 필요한지, 그리고 목표를 달성하고 궁극적으로 보안을 확보하기 위한 자금을 어떻게 확보해야 할지 말입니다.
이브 말러 00:02:07
전혀.
롭 아인스코프 00:02:08
아, 그게 바로 당신의 새 책 주제군요.
이브 말러 00:02:10
네.
롭 아인스코프 00:02:10
정말 흥미진진하네요. 여기 책 한 권 있어요. 로이도 한 권 가지고 있고요. 어머, 자랑하실 거예요? 걔는 이제 항상 가지고 다녀요. 저는 이미 읽었어요. 항상 가지고 다니죠.
로이 아커만 00:02:14
그와 함께 읽었어요. 저는 킨들 버전을 읽었지만, 사인본을 따로 받았어요.
롭 아인스코프 00:02:18
네. 맞습니다. 맞습니다. 그래서 우리는 책에서 다루는 몇 가지 주제, 즉 정체성을 상품으로 취급하는 방식, 이사회에 어떻게 설명해야 하는지, 그리고 궁극적으로 목표를 달성하는 방법에 대해 이야기해 볼 겁니다.
로이 아커만 00:02:29
넵.
롭 아인스코프 00:02:29
좋은 소리?
로이 아커만 00:02:30
정말 멋지네요.
롭 아인스코프 00:02:31
아주 좋습니다. 로이는-
로이 아커만 00:02:32
고통을 설명하고 헤쳐나가는 과정의 고통,
롭 아인스코프 00:02:34
맞죠? 네. 그리고, 보세요, 저도 보고 있고, 로이 씨도 보고 계시겠지만, 아이덴티버스 같은 곳에서 활동하시고 실무자들과 이야기를 나누다 보면, 이게 정말 요즘 뜨거운 주제라는 걸 알 수 있어요. 많은 기업과 실무자들이 이걸 어떻게 전달해야 할지, 그게 무슨 의미이고 어떤 가치가 있는지를 어떻게 설명해야 할지 고민하고 있는 것 같아요.
이브 말러 00:02:54
책을 집필하기 위해 자료 조사를 하면서 사람들과 이야기를 나누다 발견한 점이 있는데, 보안 관점에서 아이덴티티를 인프라로 보거나, 티켓으로 관리하거나, 단순히 사건으로만 관리하는 방식에는 한계가 있다는 것입니다. 이러한 방식으로는 최상의 결과를 얻기가 어렵고, 그 과정에서 사용자 경험을 개선할 수 있는 가능성이 종종 보이는데, 저는 이를 일종의 UX 취약점이라고 생각합니다.
롭 아인스코프 00:03:21
동의했다.
이브 말러 00:03:21
음, 그래서 저는 타협 없는 게 좋다는 생각을 가지고 있어요. 그게 제 목표이기도 하고요. 그리고 그 목표를 달성하려면 제품 책임자처럼 생각해야 합니다.
로이 아커만 00:03:29
네. 그래서 이 토론이 정말 기대됩니다. 그리고, 허락해 주신다면, 제가 약간의 틀을 제시해 드려도 될까요? 네. 음, 제 생각에는 모든 것은 현재 우리가 어디에 있는지에서 시작해야 할 것 같습니다. 아이덴티티는 여전히 다소 복잡한 영역입니다. 우리는 마치… 아, 네… 기술 발전과 함께 패치를 거듭하며 구축해 왔죠. SAML의 공동 개발자로서, 어떻게 이 지점에 도달하게 되었는지 이해하는 것이 흥미롭습니다. 그리고 저는 아이덴티티를 보안 도구 또는 보안 테스트 환경으로만 보는 관점과, 비즈니스 활성화 도구로 보는 관점 사이에 불균형이 있다고 생각합니다. 음… 비즈니스에서 매우 중요한 부분으로서의 아이덴티티 말이죠.
이브 말러 00:04:04
음-흠.
로이 아커만 00:04:04
음, 그리고 나서 미래에 대해 이야기하고, 인공지능이 세상에 가져오는 이 엄청난 변화에 대처하는 데 도움이 될 몇 가지 프레임워크에 대해 이야기해 볼 수 있겠죠?
이브 말러 00:04:12
정말 정신없는 변화네요.
로이 아커만 00:04:13
좋아요. 네, 그럼 개요에 대해 합의한 건가요? 시작하죠.
이브 말러 00:04:16
가자. 가자. 시작이야.
로이 아커만 00:04:16
보드. 그래. 해.
이브 말러 00:04:17
우리가 거기 있어요. 좋아요. 사실, 마치 고고학 발굴을 하는 것처럼 정체성이 어떻게 점진적으로 지금 우리가 알고 있는 이 복잡한 형태로 발전해 왔는지 밝혀낼 수 있을 것 같아요.
로이 아커만 00:04:26
네.
이브 말러 00:04:26
그러니까, 제가 생각했던 건, 책을 쓰면서, 그리고 제 평생의 정체성 관련 경험을 바탕으로… 조직 내에서 정체성 관련 책임이 어디에 있는지 정리해 보기 시작했어요. 네. 그런데 재밌는 건, 그 책임이 정말 여기저기에 있다는 거예요. 예를 들어, CISO를 생각해 보세요. 네. 특히 직원 정체성 관련해서는 CISO가 가장 자연스러운 위치죠. 네. 고객 정체성의 경우는 훨씬 더 다양해요.
롭 아인스코프 00:04:48
권리.
이브 말러 00:04:49
음, 하지만 그렇더라도, 인력 관리는 CIO 산하의 공유 서비스 IT 부서 어딘가에 있을 수도 있잖아요. 그렇죠. 그런데, 제가 은행에서조차 고객 신원 정보가 마케팅 부서에 관리되는 걸 본 적이 있어요. 왜 그럴까요? 제가 느낀 건 바로 그런 점이었어요. 왜 그럴까요?
로이 아커만 00:05:04
음, 이해는 갑니다. 데이터가 필요하시겠죠... 새로운 상품을 판매하려면 말이죠.
이브 말러 00:05:07
그리고 다른 것들도 있죠, 그렇죠? 그건 좀 불편한 비밀이에요. 네. 그러니까, 싱글 사인온에 대해 이야기할 때, SAML 전문가로서, 뭐랄까, 저는 오랫동안 싱글 사인온에 대해 이야기하고 사람들을 가르쳐 왔잖아요.
롭 아인스코프 00:05:15
권리.
이브 말러 00:05:16
하지만 시간이 좀 걸리긴 했지만, 사람마다 그 의미가 다르다는 걸 알게 됐어요.
롭 아인스코프 00:05:20
권리.
이브 말러 00:05:21
보안 담당자라면, 이는 수천 개의 앱(내부 앱 포함)에 걸쳐 더욱 강력한 인증을 확산시킬 수 있는 방법을 의미합니다.
롭 아인스코프 00:05:28
네.
이브 말러 00:05:29
음, 마케팅이나 제품 개발 담당자라면, 요즘은 모든 회사가 디지털 제품을 가지고 있고, 모든 회사가 기술 회사니까요. 그렇죠… 음, 사람들에게 구매를 유도하는 제품에 더 쉽고 빠르게 접근할 수 있도록 해주고, 경험을 개인화하는 방법으로 보겠죠. 맞아요. 예를 들어, 싱글 사인온(SSO)도 같은 기술을 사용하지만, 완전히 다른 비즈니스 목적으로 활용되는 거죠.
롭 아인스코프 00:05:50
사용자 경험에 대한 다양한 관점이 있다고 생각해요. 그렇죠? 네. 저는, 아시다시피, 직장인 입장에서 보면, 세상은 굉장히 이분법적이에요. "너는 이걸 해야 해." 이런 식이죠. 네. 왜냐하면 세상은 그렇게 돌아가고, 우리에게 필요한 것도 바로 그런 방식이니까요.
이브 말러 00:06:03
음흠. 음흠.
롭 아인스코프 00:06:04
소비자 세계에서는 "좋아요, 당신을 이 여정에 초대하고, 적절한 시점에 더 많은 것을 요구하고, 당신에 대해 더 잘 이해하도록 하겠습니다."라는 식의 접근 방식이 훨씬 더 강합니다.
이브 말러 00:06:14
당신은 가지고 있어요, 당신은 가지고 있어요
롭 아인스코프 00:06:14
에
이브 말러 00:06:14
be
롭 아인스코프 00:06:15
좋은
이브 말러 00:06:16
그들에게 친절해야 하기 때문입니다.
롭 아인스코프 00:06:17
배려심 많으시죠? ... 당신은 상사가 아니잖아요.
이브 말러 00:06:17
그들 중 일부. 그게 바로 진실입니다. 직원들을 학대할 수도 있는데, 우리는 직원들을 학대해서는 안 됩니다. 제가 책을 쓰게 된 계기 중 하나는 바로 이런 점들이었습니다.
롭 아인스코프 00:06:26
확실한
이브 말러 00:06:26
몇 년 전, 저는 좀 더 경험이 풍부한 ID 관리 분야 리더들이 인증 여정을 설계할 때 실제로 A/B 테스트를 진행한다는 사실을 알게 되었습니다.
로이 아커만 00:06:35
권리,
이브 말러 00:06:36
맞아요… 심지어 직원들에게도요. 그렇죠. 그래서 저는 "와, 저도 당신 회사에서 일하고 싶어요."라고 생각했어요. 그게 가능하다는 걸 알게 됐죠. 생산성 향상을 생각해 보면… 그리고 직원들의 충성도 향상도 생각해 보면… 물론 직원들은 결국 이직할 수도 있죠. 네. 그래서 얻을 수 있는 이점이 많아요. 그리고 타협하지 않는 사고방식을 갖게 되는 거죠. 맞아요… 제가 정말 좋아하는 부분이에요.
로이 아커만 00:06:57
그러니까, 동일한 개체(우리가 정체성이라고 부르는 것)에 대해 여러 제품을 동시에 제공하는 거죠. 네. 그렇죠?
이브 말러 00:07:03
네.
롭 아인스코프 00:07:03
네. 제가 지금 이야기하고 있는 내용을 잘 요약해주는 멋진 일화가 하나 있는데요. 음, 그렇죠? 저녁 식사 자리였는데, 이 이야기를 팟캐스트에서 전에 한 적이 있는지 기억이 잘 안 나네요. 없었으면 좋겠어요. 팟캐스트 에피소드가 10개 정도밖에 안 되니까요. 금융 서비스 업계 사람들이 모인 저녁 식사 자리에서 PAM에 대해 이야기하고 있었는데, 한 분이 "저는 금고가 없어요."라고 하더군요. 그러자 다른 한 분이 믿기지 않는다는 듯이 "어떻게 금고가 없을 수가 있죠? 규제 대상 업종인데 말이죠."라고 했어요. 음, 그분이 "아니요, 아니요, 아니요. 저는 금고가 없어요. 여러 가지 복잡한 편법을 짜깁기해서 사용하고 있을 뿐입니다."라고 하더군요. 네.
로이 아커만 00:07:36
알았어.
롭 아인스코프 00:07:37
권리?
로이 아커만 00:07:37
네.
롭 아인스코프 00:07:37
그리고 저는 그게 정체성에도 어느 정도 적용된다고 생각해요.
이브 말러 00:07:40
네
롭 아인스코프 00:07:40
제 생각과 비슷하네요. 여러 가지 편법과 방법들이 시간이 지나면서 생겨났죠. 네… 필요한 기능은 하지만, 근본적인 해결책은 아니잖아요. 아시다시피, 우리는… 방금 그렇게 말씀하셨나요?
이브 말러 00:07:49
자랑스럽게, 아니면 그렇지 않았을까?
롭 아인스코프 00:07:50
뭔가를 인정하는 건가요? 어, 그는 와인을 몇 잔 마셨거든요. 네. 그 시점에서 말하자면, 그래서... 아이고. 그런 거였군요.
이브 말러 00:07:53
롭 아인스코프 00:07:54
정직하게
이브 말러 00:07:54
나와야죠. 그러니까, 역할 기반 접근 제어 같은 경우에도 비슷한 이야기를 많이 들었어요. 여기저기 엉성하게 짜깁기한 것들이 너무 많고… 네… 역할이 폭발적으로 늘어나는 건… 네… 깔끔하게 정리된 그림을 그리는 게 얼마나 어려운지를 보여주는 증거죠.
롭 아인스코프 00:08:06
네.
이브 말러 00:08:06
그래서 온갖 편법이 난무하죠. 예를 들어, 어떤 사람이 어떤 용도로 접근 권한이 필요했는데, 아마 일시적인 거였을 거예요. 하지만 우리는 그걸 일시적인 걸로 여기지 않았죠.
롭 아인스코프 00:08:14
지금
이브 말러 00:08:15
그건 이미 내재되어 있어요. 그리고 일단 내재화되면, 그걸 빼내려면… 제가 배운 것 중 하나는 제품 관리자처럼 생각하고 고객의 목소리를 듣고 문제점이 뭔지 파악하는 거였어요. 음. 고객들이 그 시스템에 얽매여 있었던 건 좋아해서가 아니라, 말 그대로 어떻게 벗어나야 할지 몰랐기 때문이에요. 그리고 당신이 그 문제를 해결해 줄 수 있다면… 맞아요… 전에는 마치 신원 확인 인프라 같은 걸 구축하는 느낌이었는데… 이제 당신은 그들의 영웅이 되는 거죠. 네. 맞아요. 훨씬 더 좋은 위치고, 훨씬 더 만족스럽죠.
로이 아커만 00:08:40
이 혼란의 원인을 조금씩 이해하기 시작했어요. 한편으로는 여러 가지를 연결해야 하잖아요? SAML 같은 기술이나 프로토콜이 이러한 연결을 가능하게 해 주죠. 그런데 또 다른 한편으로는, 서비스 제공을 위한 신원 인증에 대한 요구가 너무 많아서, 마치 여러 영역에 던져놓은 것처럼 정리하기가 어려운 상황인 것 같아요. 네.
롭 아인스코프 00:09:00
네, 그리고 제 생각에는 사이버 보안 분야 중에서도 특히, 이건 보안 분야라고 생각하는데, 결국 사람에 관한 문제입니다. 사람들이 자기 일을 제대로 하는 것에 관한 문제죠. 그리고 말씀하신 것처럼, 접근 권한 확보와 상실에 대한 두려움이 정말 큰 것 같습니다.
이브 말러 00:09:13
예.
롭 아인스코프 00:09:14
제가 제 일을 제대로 할 수 있을까요? 보안, 사용성, UX, 제품 사이에서 균형을 맞추는 게 정말 어렵죠, 그렇죠?
이브 말러 00:09:22
사실 그에 대한 제 이론이 있어요. 계속 말씀해 보세요. 사람들이 '제로 권한'을 새로운 성배 같은 것으로 이야기하잖아요. 맞아요. 네. 정말 멋진 말이죠. 그런데 그걸 어떻게 실현할 수 있을지 생각해 보면, 가장 큰 문제는 접근 권한을 아예 없애는 게 아니에요. 물론 그것도 큰 문제이긴 하지만요. 음… 모든 애플리케이션마다 의미 체계가 다르니까요. 맞아요. 가장 큰 문제는 필요할 때 사용자에게 접근 권한을 매끄럽고 빠르게 부여하는 방법을 찾는 거예요. 그리고 그 문제를 해결하면… 동의해요… 아이폰 5S를 생각해 보세요. 네… 터치 ID가 추가됐잖아요. 지문 인식보다 좀 더 부드럽고, 오인식에 관대한 방식이었죠. 네. 네. 음… 하지만 그게 일종의 집단 보안 메커니즘을 만들어냈어요. 네, 그렇게 말할 수 있죠. 휴대폰 잠금 해제가 너무 쉬워졌으니까요. 네… 사람들이 휴대폰을 잠그는 걸 더 쉽게 느낄 수 있게 됐죠. 동의해요. 휴대폰을 잠그는 사람이 50% 정도에서 99% 정도로 늘어났어요. 네. 그러니까 접근 권한을 쉽게 추가할 수 있도록 함으로써 접근을 제한하고 최소 권한 원칙을 구현하는 것이 가능하다는 것을 보여주는 훌륭한 예시입니다.
롭 아인스코프 00:10:27
네.
이브 말러 00:10:27
그래서 저는, 사람들이 그 순간에 접근할 수 있도록 해주고, 그들이 떠날 때 그것이 사라지는 것을 괜찮게 받아들이도록 하는 데 우리가 정말 능숙해지는 날을 기다리고 있어요. 아.
롭 아인스코프 00:10:36
몇 주 전에 EIC에서 나눴던 정말 흥미로운 토론 기억나세요? Identity Underground에서 주최한 아주 좋은 아침 식사 모임이었는데, 정말 좋은 모임이었어요. 네. 당신도 참여하셨던 토론이 정말 좋았죠. 아, 정말 멋졌어요. 그런데 그 모임에서 우리가 나눴던 논의가 이런 개념에 집중됐어요. 모든 접근 권한을 관리하는 대신, 필요할 때 바로 사용할 수 있다면 어떨까 하는 거죠.
로이 아커만 00:10:56
음-흠.
롭 아인스코프 00:10:56
네. 그리고 저희는 그때 그런 결정을 내렸습니다.
로이 아커만 00:10:58
여기 요원 냄새가 나는데, 그렇지?
롭 아인스코프 00:11:01
그것은 행위자 중심적인 논의였습니다. 아,
로이 아커만 00:11:03
네.
롭 아인스코프 00:11:03
음, 그런데 바로 그 부분에서 많은 사람들이 공감대를 형성했고, 주로 UX 관점에서 제품을 다루는 방식이었죠. 음, 그리고 우리가 수년간 쌓아온 모든 짐들을 벗어던지고 새롭고 다른 무언가로 나아가는 방법에 대한 고민이었는데, 정말 흥미로운 관점이었어요.
로이 아커만 00:11:17
그래서 이제는 성장 속도가 훨씬 더 빨라졌는데도 여전히 정체성 위기를 겪고 있다고 생각합니다. 그렇죠? 네. 아직 해결되지 않은 문제가 있고, 제가 이 컨퍼런스에서 이야기 나누고 있는 많은 리더들이 다음 단계에서 우리가 어떤 모습이어야 할지 확신이 서지 않는다고 말합니다. 그렇죠? 네. 그래서 잠시 생각해 보면, 우리는 함께 해결해야 할 다양한 측면의 정체성을 가지고 있습니다. 현재 자문을 제공하고 방문하거나 대화하고 있는 대부분의 조직에서 이러한 상황을 어떻게 설명하시겠습니까?
이브 말러 00:11:47
네. 음, 저는 지금이 기회의 순간이라고 생각해요. 네. 앞으로 어떤 혁신이 나올지 전혀 예측할 수 없어요. 이제 누구나 제품 관리자가 될 수 있으니까요. 그런데 아이덴티버스 내부에서, 뭐라고 해야 할까요, 좀 얄미운 사람들이... 네... 음, 누구나 앱을 만들 수 있다는 식의 이야기가 은밀하게 오갔어요. 맞아요. 저도 지금 회사에서 그 문제로 고민하고 있는데, 그 사람들은 자기가 뭘 아는 것처럼 말하면서... 네... 실제와는 거리가 먼 것들을 만들어내고 있거든요. 여러 가지 기능적인 면에서 말이죠. 하지만 저는 오히려 그게 기대돼요. 왜냐하면 이제 진짜 제품 관리자들이, 예전에는 자기가 원하는 걸 누군가에게 설명하고 피그마 같은 도구를 써야 했던 사람들이... 음. 네… 모의 테스트를 해보고, 그들이 어떤 시장의 공백을 메우려고 하는지 전달해 보세요.
롭 아인스코프 00:12:34
권리.
이브 말러 00:12:35
그리고 그걸 은유적으로도 생각해 볼 수 있죠. 음… 제가 생각하는 정체성은 일종의 상품이고, 어떤 최종 사용자가 어려운 문제를 해결해야 하는 상황이 있다고 쳐볼 수 있어요. 그게 바로 시장의 공백이죠. 그런 마음가짐을 갖는다면 정말 놀라운 일들을 해낼 수 있어요. 진정으로 이해하고 시도해 보면, 적어도 모의에 그치지 않고 제대로 된 출발점에서 시작할 수 있잖아요. 네. 그리고 아이디어를 가진 사람은 점점 더 많은 문제에 부딪히게 되죠.
롭 아인스코프 00:12:59
오른쪽 …
이브 말러 00:13:00
그리고 제품 디자인에서 실제로 감수해야 하는 절충점들은 무엇일까요?
롭 아인스코프 00:13:01
권리.
이브 말러 00:13:02
그래서 저는 지금이 암호화 분야뿐 아니라 여러 부분을 하나로 엮는 분야, 즉 오케스트레이션 분야, 그리고 에이전트를 활용하는 분야에서도 훨씬 더 많은 똑똑한 솔루션들을 볼 수 있는 좋은 시기라고 생각합니다. 예를 들어, 인간 참여는 분명히 UX 측면에서 중요한 과제입니다. 네, 맞습니다. 세션이 없는 상황에서도 참여를 유도해야 할 필요가 있을 수 있는데, 저는 그런 상황을 '질문 정책'이라고 생각합니다.
롭 아인스코프 00:13:28
오른쪽 …
이브 말러 00:13:28
이는 제대로 해내야 할 매우 중요한 부분입니다.
롭 아인스코프 00:13:30
권리.
이브 말러 00:13:31
그리고 정말로 생각해 봐야 할 것은, 왜 누군가가 신경을 쓰는 걸까 하는 점입니다.
롭 아인스코프 00:13:34
음
이브 말러 00:13:34
그럼 그걸 어떻게 그들의 일상에 녹여낼 수 있을까요? 맞아요. 정체성이라는 게 필연적으로 가져오는 것들이죠. 네… 해야 할 일에 말이죠.
로이 아커만 00:13:41
동의합니다. 정말 기대되네요. 아, 그리고 롭, 당신은 아이덴티티 리더로서 정말 많은 기회가 있다고 생각합니다. 이 분야에는 수많은 니즈가 있고, 아직 해결되지 않은 문제들도 많습니다. 어떻게 하면 이 논의를 다음 단계로 끌어올릴 수 있을까요? 조직의 최고 경영진(C-level)에게 단순히 예산 확보를 위한 설득이 아니라, 아이덴티티 제품을 비즈니스 전반에 통합하려면 어떻게 해야 할까요? 그들은 기술 전문가가 아니잖아요. 결과 중심적이고, 위험 관리에 능한 사람들이죠. 그렇죠? 네. 최고 경영진을 상대로 어떻게 지속적인 논의를 이끌어낼 수 있을까요? 그리고 이사회도 고려해야 하잖아요. 이사회에 압력을 가해야 할 테니까요.
롭 아인스코프 00:14:19
음, 그러니까, 이사회 문제를 다뤄볼 수도 있겠네요. 네… 다음 단계로 말이죠. 네. 하지만, 말씀하신 것처럼 정체성이 어디에 있는지는 아직 정해지지 않았잖아요. 네, 조직 내에서요.
이브 말러 00:14:30
넵.
롭 아인스코프 00:14:30
그렇죠? 하지만 만약 당신이 CISO 산하라면, CIO가 UX에 대해 끊임없이 지시를 내릴 거라는 건 확실하잖아요? 분명히 그럴 거예요.
로이 아커만 00:14:39
내 말은-
롭 아인스코프 00:14:39
제 경험도 확실히 그랬습니다.
로이 아커만 00:14:41
음... 네, 적극적인 참여이긴 하지만, 네. 그러니까, 그건 그들의 RNR(Registered Resource Number)에 따라, 즉 그 기능의 일부인 거죠, 그렇죠?
롭 아인스코프 00:14:46
맞아요. 그래서 제게 가장 중요했던 건 각 구성원이 무엇을 중요하게 생각하는지, 그리고 그걸 어떻게 측정할 수 있는지 파악하는 거였죠. 예를 들어 싱글 사인온이나 접근 권한 획득, 업무 시작 속도 같은 UX를 어떻게 측정할 수 있을까? 조직 내 분위기를 파악하고 구성원들에게 의미 있는 방식으로 설명하려면 어떻게 해야 할까? 저는 특히 업무 효율성에 집중했어요. 예를 들어 인사 시스템에 접속한 사람이 업무에 필요한 접근 권한을 얻고 시스템을 사용할 수 있게 되기까지 얼마나 걸리는지 같은 거죠.
로이 아커만 00:15:18
음흠. 다시 말해, 그들이 일하지 않는 시간과 기다리는 시간이 얼마나 되는지 말이죠.
롭 아인스코프 00:15:22
네, 맞습니다. 정확히 그렇습니다. 그럼 그게 회사에 얼마나 비용이 들까요? 네. 네. 그리고 제가 부담해야 할 비용은 얼마나 될까요? 그래야 처리 시간을 48시간에서 24시간으로 줄이는 것에 대해 제대로 된 대화를 나눌 수 있겠죠? 분명히 사업상 이점이 있을 테니까요.
로이 아커만 00:15:34
네, 그러니까 비용 절감인 거죠? 사업에서 말이죠. 네, 맞아요. 그게 바로 비용 절감이에요.
롭 아인스코프 00:15:38
네, 맞습니다. 알겠습니다. 하지만 네, CIO가 중요하게 생각하는 비용과 효율성 측면에 초점을 맞추는 거죠. 보안 측면에서는, 음… 성공의 기준을 정의할 수 있는 표준적인 지표를 마련하기까지는 아직 갈 길이 멉니다. 확실히 그렇습니다. 음… 제 생각에는… 이 일을 하는 모든 분께 드릴 수 있는 유일한 조언은 프로세스 지표에 집중하지 말라는 것입니다. 네. 검토하거나 승인하거나 처리한 건수는 중요한 게 아닙니다.
이브 말러 00:16:02
보안 지표 말이죠. 논리적으로 어떻게 설명할 수 있을지는 그다지 흥미롭지 않을 겁니다. 특히 직급이 올라갈수록 더욱 그렇죠. 예를 들어, 프로그램을 출시할 때 어떻게 진행되는지 알기 위해서는 운영 지표가 필요합니다. 하지만 프로그램의 이유, 즉 '왜'라는 질문은 그보다 훨씬 더 설득력 있어야 합니다. 그렇죠. 그런데 제가 CTO에게 보고하는 CISO 사례들을 몇 가지 발견했는데, 그 사실을 알려드려야겠네요.
롭 아인스코프 00:16:23
권리.
이브 말러 00:16:23
그래서 제품 기능과 훨씬 더 밀접하게 연관되어 있죠. 맞습니다. 회사가 하는 일, 역사적 요인, 문화적 요인, 회사 설립 기간, 인수합병 요인 등 여러 가지 요소가 작용합니다. 하지만 때로는 CISO가 정보 보안의 정체성을 완전히 통제하지 못하는 경우도 있고, CISO가 통제권을 갖고 있더라도 CIO와는 다른 압박을 받는 경우도 있습니다. 특히 CIO의 경우, 제가 4P 프레임워크에서 '숨겨진 다섯 번째 P'라고 부르는 생산성이라는 요소를 언급하셨는데요. 결국 모든 것이 효율적이고 생산적이어야 한다는 거죠. 직원들 입장에서는 그저 일을 더 빨리 끝내고 싶어 할 뿐입니다.
롭 아인스코프 00:17:04
권리.
이브 말러 00:17:04
그리고 이는 즉시 자원을 회수하고 싶었기 때문에 작업을 더 빨리 처리하지 않도록 하는 것과는 본질적으로 완전히 다릅니다.
롭 아인스코프 00:17:13
네.
이브 말러 00:17:13
그건 제가 지난 일요일 행사에서 프로비저닝과 프로비저닝 해제에 대해 이야기할 때 예시로 들었던 내용입니다. 네. 일반적으로 같은 소프트웨어가 두 가지 작업을 모두 처리하죠. 맞습니다. 하지만 효율적이고 빠르고 정확하게 처리되는 것에 가장 신경 쓰는 사람은 사람마다 다르잖아요? 네, 맞습니다. 예를 들어 CISO는 빠른 프로비저닝 해제에 신경을 많이 쓰죠. 빠른 프로비저닝은 여러 사람의 관심사가 섞여 있어요. 시스템 최종 사용자 중에도 빠른 프로비저닝을 중요하게 생각하는 사람들이 있죠. 동의합니다. 전적으로 동의해요. 승인 담당자 같은 사람도, 관리자도 빠른 프로비저닝을 중요하게 생각할 겁니다.
롭 아인스코프 00:17:49
네.
이브 말러 00:17:49
성실한 직원이라면, 특히 첫날부터 또는 부서 이동 후 바로 업무를 시작하고 싶어하는 사람은 당연히 빨리 일을 시작하고 싶어할 겁니다. 그렇지 않으면 답답하니까요.
롭 아인스코프 00:17:57
응 …
이브 말러 00:17:57
그렇지 않으면요. 음, 하지만 그런 것들을 살펴보면, 예를 들어 IGA 관련 관리 작업 같은 것들을 생각해 보세요. 네, 그리고 이제는 이해관계자라는 단어조차 쓰고 싶진 않지만, 이 ID 솔루션을 사용하는 다른 고객들도 있잖아요. 네… 그들은 이 솔루션에서 다른 요구 사항을 가지고 있죠.
롭 아인스코프 00:18:14
권리.
이브 말러 00:18:15
그러니까 GRC 담당자는 다른 관점을 가질 수밖에 없죠. 맞아요. 그들은, 뭐랄까… 자기네 입장이 걸려 있으니까요.
로이 아커만 00:18:22
동의합니다. 어떻게 하면 의견 일치를 이룰 수 있을까요? 말씀하신 책에서 CEO들에게 경각심을 일깨워주는 것부터 시작한다고 하셨는데, CEO들이 "잘 들어보세요."라고 말하는 것처럼요. 네, 저도 노력하고 있습니다. 단순히 정보 유출로 인한 비용 문제만이 아니라, 그 이상의 문제가 있습니다. 사업 기회 손실 등 여러 가지가 있죠. 네. 네. 그래서 누군가 처음부터 전화를 걸어 "이브, 어떻게 해야 할지 모르겠어요. 프로세스, 프레임워크, 지표 등을 구축하는 데 도움을 주세요."라고 한다면, 어떻게 시작해야 할까요? 네. 다른 산업 분야의 사례를 들어주시면 좋겠습니다.
이브 말러 00:18:47
저는 '리더십 정렬 워크숍'이라고 부르는 것을 진행하는데, 그 시작은 일종의 매핑 작업입니다. 예를 들어, 정체성 형성에 영향을 미친 역사적, 문화적 요인이 무엇인지, 예상치 못한 곳에서 살았거나, 혹은 정체성이 전혀 발달하지 않은 상태에서 살았거나, 아예 정체성을 인식하지 못했던 경우 등을 살펴보는 거죠. 음... 때로는 이런 경우도 있을 겁니다.
로이 아커만 00:19:05
동의하다 …
이브 말러 00:19:06
음, 제가 한 대형 국제 은행 관계자분과 이야기를 나눴는데, 그쪽에서 합류했을 당시 '아이덴티티 전략가'라는 직함을 가진 사람이 있었지만, 사실상 권한도 예산도 없는 개인 담당자였고, 그냥 여기저기 돌아다니는 사람이었어요. 실제로는 인증은 여기서, 접근 관리는 저기서 이루어지고 있었죠. 그러니까 기능들이 서로 연계되지 않는 구조였어요.
롭 아인스코프 00:19:30
권리.
이브 말러 00:19:30
그러니까 현재 상황을 정확히 파악해야 한다는 거죠. 네. 그리고 저는 지표를 특정 위치로 옮기라고 권하는 건 아닙니다. 맞아요. 그렇게 하는 건 어리석은 짓이죠. 하지만 지금까지 성공을 판단하는 데 어떤 KPI가 사용되어 왔는지 이해하는 것부터 시작할 수 있습니다.
롭 아인스코프 00:19:46
권리.
이브 말러 00:19:46
그러면 이제 "얼마나 성공적이었나요? 중단된 프로그램은 없었나요?"라고 질문할 수 있습니다. 네, 맞습니다. "3년 동안 진행되다가 실패하고 흐지부지된 프로그램은 없었나요?" 뭐, 그런 일은 흔히 일어납니다. 네. 그리고 때로는 통합에 대한 성공 사례도 있습니다. 합병이나 인수 후에, 또는 어떤 대규모 인프라 구축을 통해 모든 것을 하나로 통합하려는 의도로 이루어진 통합 말입니다. 그렇게 해서 그 이야기를 알게 됩니다. 이제 누가 실망했는지 파악할 수 있습니다.
롭 아인스코프 00:20:17
우리가 누구를 실망시켰을까?
이브 말러 00:20:19
네. 그리고 그건 제게 있어서 시장 적합성 문제예요.
롭 아인스코프 00:20:21
네. 동의합니다. 음흠.
이브 말러 00:20:22
와. 그러니까 만약 질문을 시작하신다면, 음, 이제 이해하셨겠지만, 모든 사람이 당신의 콘텐츠를 사용하도록 통제할 수는 없다는 거죠. 예를 들어, 1,000개의 서로 다른 애플리케이션이 있다고 가정해 봅시다. 가장 기본적인 기능에만 싱글 사인온을 사용하고 싶을 수도 있겠죠.
롭 아인스코프 00:20:38
확실한.
이브 말러 00:20:38
그리고 아마 30% 정도는 그 목표를 달성했을 수도 있지만, 완벽하지는 않죠. 그런데 당신은 더 나은 결과를 원하거나, 암호 키 프로그램을 도입하려는 경우라면, 높은 성공률을 보고 싶어 할 겁니다. 왜냐하면 피싱 방지 기능은 정말 중요하니까요.
롭 아인스코프 00:20:50
넵.
이브 말러 00:20:50
음, 성공을 가로막는 장애물이 무엇인지 스스로에게 물어봐야 합니다. 왜냐하면, 당신이 행동을 바꾸고 싶어하는 사람들은 당신에게 아무런 빚도 없기 때문입니다.
롭 아인스코프 00:20:57
응 …
이브 말러 00:20:58
일반적으로.
롭 아인스코프 00:20:58
동의했습니다. 응.
이브 말러 00:20:59
정말 그렇죠. 그러니까, 그 시장에 어필하려면 제품 관리나 실제 마케팅처럼 보이는 일들이 포함될 수 있어요. 비록 완전히 내부적인 마케팅일지라도요. 네. 그래서 그 대화를 시작하려면, 실패했거나 성공했지만 누군가는 실망했던 사례를 하나 찾아보는 게 중요해요. 거기서부터 시작하면 되는 거죠. 네, 네, 네.
로이 아커만 00:21:17
그리고-
이브 말러 00:21:17
거기에 있나요? 네…
로이 아커만 00:21:18
예를 들어, 기아 문제가 심각한 영역, 그러니까 조직 내에서 흔히 간과되는 부분들에 대해 반복적인 패턴이 있나요?
롭 아인스코프 00:21:27
누구를 탓해야 할까요?
로이 아커만 00:21:29
누구를 탓해야 할까요? 네. 아니, 아니, 아니. 오, 좋은 시작이네요. 반대로 생각해 봅시다. 누구의 잘못일까요? 심지어 자신이 그로부터 많은 가치를 얻을 수 있다는 사실조차 모르는 사람들, 혹은 그 때문에 많은 사업 기회를 놓치고 있다는 사실조차 인지하지 못하는 사람들 말입니다.
이브 말러 00:21:38
그게 바로 우리가 만들고 싶은 것이고, 제가 좋아하는 일 중 하나는 "어떻게 하면 이 상황에 대해 FOMO(놓치는 것에 대한 두려움)를 만들어낼 수 있을까?"라고 생각하는 것입니다.
로이 아커만 00:21:44
네. 권리.
이브 말러 00:21:44
맞죠? 그래서 제가 거부할 수 없는 아이덴티티 전략에 대해 이야기하는 겁니다. 예를 들어 특정 솔루션을 제공하는 업체라면 당연히 시장 진출 전략에 그런 품질을 원하겠지만, 아이덴티티 프로그램에도 똑같은 생각을 적용해야 합니다. 어떻게 하면 사람들이 "와, 나도 저런 거 갖고 싶다!"라고 말하게 만들 수 있을까요? 저는 실제로 그런 사례를 많이 봤습니다. 제 책을 위해 인터뷰했던 분 중 한 분이 있는데, 이름을 밝히고 싶지만… 모두가 아는 유명 브랜드입니다. 음…
롭 아인스코프 00:22:11
이 단어는 어떤 단어와 운율이 맞나요?
이브 말러 00:22:13
저는 그런 속임수를 본 적이 있어요. 저는 그런 속임수에 넘어가지 않을 겁니다. 음, 그런데 정말 흥미로웠던 건, 우리가 진행하는 이 새로운 프로그램에 대해 직원들을 대상으로 하는 마케팅 캠페인을 통째로 펼칠 수 있다는 점이었어요. 모든 걸 강화하겠지만, 직원들의 경험은 절대 해치지 않을 거라는 거죠. 사실, 지금까지의 경험은 꽤 형편없었잖아요. 네. 모든 시스템에 각기 다른 로그인 정보를 사용해야 했으니까요.
롭 아인스코프 00:22:33
넵.
이브 말러 00:22:34
그리고 우리는 그것을 작동시키고 안전하게 만들 것이며, 당신은 시간이나 머리를 쓸 필요가 없을 것입니다.
롭 아인스코프 00:22:40
넵.
이브 말러 00:22:40
그리고 만약 그렇다면, 그것은 당신이 이제 지켜야 할 약속입니다.
롭 아인스코프 00:22:44
넵.
이브 말러 00:22:44
그리고 이 경우에는, 그들은 일종의 등대 고객 같은 존재를 선택했는데, 제 생각에는 누구나 단계를 거치잖아요. 어떤 앱을 먼저 도입할지, 어떤 커뮤니티에 먼저 접근할지 등을 고민하다가, 결국에는 그 커뮤니티를 크게 성공시키겠다고 결심하는 거죠.
로이 아커만 00:22:55
넵.
이브 말러 00:22:55
그리고 당신은 그들에게 최고급 서비스를 제공하죠. 음. 그리고 그들이 한 일은 바로 이것이었습니다.
로이 아커만 00:22:58
음
이브 말러 00:22:59
그리고 이건 마치 브랜드 제품 같잖아요. 와. 네, 맞아요.
로이 아커만 00:23:02
마치 MVP 같았어요. 네. 그러니까… 제가 다시 말씀드리지만, 당신은 정말 끝까지, 모든 과정을 다 해내셨군요? 네. 그 모든 과정을요. 저는 그게 좋았어요.
이브 말러 00:23:08
네. 저는 이 비유를 최대한 활용하고 싶어요. 그거, 그거, 그거 멋지네요. 정말 생산적이니까요. 잠깐만요.
로이 아커만 00:23:11
그거 가져오세요 - 네…
롭 아인스코프 00:23:11
제 관점에서 보면 삶이 좀 복잡해 보이네요? 최종 고객이 여러 종류로 나뉘는 것 같거든요. 네, 맞아요. 직원들이 직접 인증하는 경우를 예로 들 수 있겠죠. 네. 접근 권한을 얻고 시스템을 가동하는 경우, 규정 준수나 보안 문제 등도 있고요. 그리고 기술적인 고객도 있잖아요. 저희 회사에서는 모든 앱이 SSO(싱글 사인온)를 사용하고 IGA(인덱스 에지)의 관리를 받도록 하는 지침이 있었어요. 자동 프로비저닝 기능도 있어야 하고요. 네, 맞아요. 그래서 저희는 그 시스템을 구축했고, 지금 생각해보니 꽤 성공적이었죠? 네, 맞아요. 수천 개의 애플리케이션에 대해 이야기하는 거였죠. 최신 앱부터 오래된 앱까지 모두 포함해서요. 정말 잘 해냈어요. 그런데 새로운 앱이 들어오면 싱글 사인온을 적용하는 게 훨씬 쉬웠어요.
이브 말러 00:23:57
네
롭 아인스코프 00:23:57
사용자들이 고마워할 거라는 걸 알았기 때문이죠. 네. 계정 관리도 안 해도 됐고요. 네.
로이 아커만 00:24:01
말이된다.
롭 아인스코프 00:24:02
그리고 감사합니다. 표준에 기반한 평가였습니다.
이브 말러 00:24:04
어 - 허.
롭 아인스코프 00:24:05
그렇죠? 그래서 정말 쉬웠어요, 그렇죠? 천만에요. 그리고 우리는 그들을 위해 포장된 도로를 마련해 줬어요. 네… 정말 간단했죠.
이브 말러 00:24:10
네.
롭 아인스코프 00:24:10
액세스 거버넌스는 좀 더 복잡하죠? AD(액세스 관리)를 특정 그룹으로 오프로드하는 건 쉬웠지만, 많은 경우 직접 통합해야 했어요. 꽤 어려웠죠. 네, 맞아요. 우리가 기반을 마련해 주긴 했지만, 그들은 그 가치를 제대로 인식하지 못했어요. 네. 그리고 그건 우리에게 훨씬 더 큰 기술적 과제였죠.
이브 말러 00:24:28
네
롭 아인스코프 00:24:28
그 사람들에게 그것이 여전히 중요한 일이라는 것을 설득해야 하는데, 그러면 항상 "아, 싱글 사인온은 나중에 하죠." "그건 나중에 할게요." "거버넌스도 나중에 하죠." 같은 말이 나올 거예요.
이브 말러 00:24:36
음-흠.
롭 아인스코프 00:24:37
그리고 여러분은 내가 운영하는 서비스에 새로운 서비스를 어떻게 도입하고 추가할 수 있을지에 대한 양면적인 시장을 갖게 됩니다.
이브 말러 00:24:44
네
롭 아인스코프 00:24:45
반대편 고객들을 만족시키기 위해서요. 네.
이브 말러 00:24:47
예. 네.
롭 아인스코프 00:24:48
그리고 제가 발견한 바로는 정체성에 관한 시장은 양면성을 띠는 매우 흥미로운 형태였습니다.
이브 말러 00:24:51
네. 그리고, 그리고, 그리고, 그렇게 꼼꼼하게 해내신 걸 축하드립니다. 성공하셨다니 정말 기분이 좋으셨겠어요. 거의 다 끝나가는데, 몇 년이나 걸리죠?
롭 아인스코프 00:24:59
제 말은, 제 생각에는 아마도 새로운 앱을 도입하는 속도만큼이나 앱을 단종시키는 속도도 빨랐던 것 같아요.
이브 말러 00:25:05
오 …
롭 아인스코프 00:25:06
결국엔 큰 변화가 있었죠. 그러니까,
이브 말러 00:25:08
그거 참 흥미로운 운영 지표네요. 네, 가능한 건… 마치 작업을 계속 따라가는 것과 같죠. 배관공들은 실제로 그런 지표를 가지고 있어요. 제 배수구가 막혀서 물이 천천히 내려갔거든요. 그래서 배관공이 설명해 줬는데, 이름은 기억나지 않지만, 수도꼭지를 최대 수압으로 틀어놓고 물이 내려가는 속도가 수도꼭지를 틀어놓는 속도와 같으면 그게 바로 성공 지표라고 하더라고요.
로이 아커만 00:25:27
좋아.
이브 말러 00:25:27
저는 그가 제 싱크대를 위해 그걸 해냈다는 사실에 정말 기뻤어요. 음, 그리고 그게 바로 응용 프로그램에서 보고 싶은 모습이죠. 그렇죠. 그리고 편안하게 분리할 수 있고, 계속 잘 진행되고 있다는 걸 알 수 있으니까요.
롭 아인스코프 00:25:37
네…
이브 말러 00:25:38
앞으로 훨씬 더 많은, 더 많은 양의 애플리케이션이 만들어질 겁니다. 맞습니다. 그리고 그중 상당수는 내부 지원서일 겁니다.
롭 아인스코프 00:25:44
그렇지.
이브 말러 00:25:44
그래서 요즘은 소유주들이 굉장히 다양해졌죠. 예전에는 "맞춤형은 하고 싶지 않아요." "모든 걸 SaaS로 하려고 해요. 그래야 관리할 수 있으니까요." 같은 의견이 많았는데 말이죠. 그런데 요즘은 직접 앱을 만드는 사람들이 폭발적으로 늘고 있어요. 네, 맞아요. 당연히 가장 쉬운 방법이 가장 좋은 방법이 되어야 하죠.
롭 아인스코프 00:25:59
맞아요. 그게 다예요. 정체성이라는 측면에서 볼 때, 가능한 한 방해가 되지 않도록 해야 한다고 생각해요. 네… 그러면서도 그런 결과를 내야 하죠.
로이 아커만 00:26:05
네. 자, 다시 그 회의실, 그러니까 자문 회의나 그런 회의로 돌아가서, 음… 당신이 거기 앉아 있던 그 상황 말이에요. 우리는 MVP 단계에서 멈췄잖아요? 초기 성공을 거둔 거죠. 이제 모두가 흥분했고, FOMO(놓치는 것에 대한 두려움)도 생겼어요. 그리고 우리가 정체성 확립에 있어서 얼마나 체계적이고 구조적인지 증명해냈죠. 그다음은 뭘까요? 회의실 저쪽에는 조바심에 가득 찬 C레벨 임원들이 앉아 있었잖아요. 어떻게 하면 이 제품을 조직 내에서 지속적으로 활용하면서 발전시켜 나갈 수 있을까요? 조직에서 쉽게 적용하고 계속 운영할 수 있도록 도와주는 프레임워크나 그런 게 있을까요? 깨달음의 순간 이후에 말이죠…
이브 말러 00:26:38
네, 그래서, 지표 설계는 정말 어렵지만, 저는 그게 정말 중요하다고 생각해요. 네. 그리고, 기술 선택에 관심이 없는 사람들, 그러니까 우리가 하는 것처럼 기술에 깊이 파고들 의향이 없는 사람들에게 스토리텔링을 해야 한다는 건 이제 누구나 다 아는 사실이죠. 그렇죠? 그래서 어떤 면에서는, 음, 일반적으로 서로 상충하는 요소들의 교차 산물인 지표를 설계하는 게 중요해요. 그런 접근 방식이 지표나 핵심 결과, 공통 목표 등을 설계할 때 효과적이라는 건 잘 알려진 사실이죠. 네. 제가 지난 며칠 동안 생각해 봤던 예시를 들자면, 기업 입장에서는 시장 지배력이 모든 것이기 때문에 서둘러 앞서 나가고 싶어 해요. 하지만 공격 표면이 얼마나 빠르게 커지는지 아는 사람들에게는 그런 상황이 두려운 일이죠.
로이 아커만 00:27:30
넵.
이브 말러 00:27:31
음, 그렇다면 측정 가능하고 정의 가능하며, 계측하여 모니터링할 수 있으면서도 비즈니스 잠재력을 발휘할 수 있는 두 가지 요소의 교차곱과 같은 역할을 하는 지표가 필요합니다.
로이 아커만 00:27:44
음
이브 말러 00:27:45
그래서 저는 에이전트 기반 세계에서 장애 모드가 발생했을 때 이를 억제하는 데 걸리는 평균 시간 같은 것을 제안했던 겁니다.
로이 아커만 00:27:52
음-흠.
이브 말러 00:27:52
그리고 여러분이 직접 정의하는 데 도움이 될 만한 좋은 자료들이 조금씩 나오고 있어요. 오, 좋아요… 제가 '책임 있는 행동 결과'라고 부르는 거죠. 상담원은 행동을 합니다. 그게 챗봇과 다른 점이죠, 그렇죠? 네. 제 생각에는 API 경제와 인간 모방이 결합된 형태라고 할 수 있겠네요.
로이 아커만 00:28:13
그래서 사실.
이브 말러 00:28:13
무섭기도 하지만, 정말 그래요. 네… 하지만 흥미진진하기도 하죠. 어떤 행동이든 결과를 만들어내면, 결국에는 정말 정확한 투자 수익률(ROI) 계산을 할 수 있게 될 거예요. 우리도 그 단계에 접어들고 있는데, 어떤 사람들은 결과에 실망하기도 하죠. 그건 완전히 다른 주제예요. 별개의 문제죠. 하지만 위험을 측정하려면 가치를 측정하는 방법도 알아야 하고, 사업이 가치를 창출하고 있다는 사실에 어떻게 대응해야 하는지도 알아야 해요. 이사회에 제시할 훨씬 강력한 논거가 되니까요. 네… 결국 이사회는 CEO를 다음 주에도 계속 고용할지 말지를 결정하는 거잖아요. 네. 그래서 이 두 가지를 결합해야 하는 거죠. 이제 싱크대에 물을 붓는 속도만큼 물이 빨리 빠지는지 아닌지를 알 수 있게 되는 거예요.
롭 아인스코프 00:28:54
네, 맞아요. 좋은 개념이 하나 있었는데, 음, 제가 항상 좋아했던 거예요. 가트너의 분석가 한 분이 말씀하셨던 게 있는데, 보호 수준 계약(PLA)이라는 개념이었죠.
이브 말러 00:29:03
음. SLA 같은 거 말인가요?
롭 아인스코프 00:29:04
보안을 위해서요.
이브 말러 00:29:05
예, 예,
롭 아인스코프 00:29:06
네. 그리고 그건 정말… 컨설팅 모델이었죠. 네… 좋은 모델이고, 지난 몇 년 동안 개발해 온 모델이기도 해요. 마음에 들어요. 사람들이 중요하게 생각하는 것들을 아주 깔끔하게 설명하는 방식이었어요. 예를 들어, "평균 소요 시간을 5분에서 2분으로 줄이고 싶다면, 네. 2분에서 1분으로 줄이고 싶다면, 네. 이제 개선이 어떤 모습인지 아시겠죠… 그러려면 1천만 달러가 필요합니다." 와 같이 말이죠.
이브 말러 00:29:25
그렇지.
롭 아인스코프 00:29:26
그럴 만한 가치가 있나요?
이브 말러 00:29:27
그리고 아이러니하게도, 사기 조직의 우두머리 중에는 신원 정보나 최소한 인증 시스템을 장악하고 있는 사람들이 있습니다. 네, 그렇습니다. 이런 일이 점점 더 흔해지고 있습니다.
롭 아인스코프 00:29:35
네.
이브 말러 00:29:35
음, 그러니까, 아시다시피, 금융 서비스 분야에서는 그렇죠. 그렇죠? 그래서 만약 당신이 사기 방지 업무를 직업으로 한다면, 그 비용이 얼마나 드는지 아주 정확하게 측정할 수 있을 겁니다.
롭 아인스코프 00:29:46
오른쪽 …
이브 말러 00:29:47
사기 발생률을 줄이기 위해서입니다.
롭 아인스코프 00:29:48
네
이브 말러 00:29:49
음, 제가 이 이야기를 자주 하는데요. 옛날 옛적에 제가 페이팔에 있었을 때, CISO 산하의 정보 위험 관리 그룹에 있었는데, 인증 관련 업무는 저희 그룹이 담당하는 게 아니었어요. 음… 사기 위험 관리 그룹에서 담당하고 있었죠.
롭 아인스코프 00:30:03
와우.
이브 말러 00:30:03
지금은 상황이 바뀌었다고 생각합니다. 더 통합되고 모든 것이 개선되었죠. 하지만 예전에는 그들이 기꺼이 지불할 사기 금액까지 정확하게 정할 수 있었습니다.
롭 아인스코프 00:30:12
네.
이브 말러 00:30:12
보안이나 신원 유출 문제에 있어서는 그렇지 않습니다. 왜냐하면 유출된 신원 데이터, 즉 개인 데이터에 대해 우리는 그다지 가치를 두지 않기 때문입니다.
롭 아인스코프 00:30:25
동의했다.
이브 말러 00:30:25
그래서 저는 책에서 '신원 데이터 잔액표'라는 개념을 탐구했습니다. 그런 잔액표가 있다면 많은 것들이 훨씬 쉬워질 겁니다. 네. 왜냐하면 이제 그 데이터의 모든 고객이 누구인지 알 수 있으니까요.
롭 아인스코프 00:30:36
네.
이브 말러 00:30:37
그리고 누가 그걸 보호할 책임이 있나요? 그들이 세상 모든 논리를 펼칠 수도 있겠지만, 고객들은 "난 그게 필요해"라고 말할 거예요.
롭 아인스코프 00:30:42
네. 네.
이브 말러 00:30:43
그래서 그걸로 뭔가를 할 수 있게 되는 거죠.
로이 아커만 00:30:45
음, 이 부분에 좀 더 집중해 볼까요? 네. 제 생각에는 결국에는, 약속이라기보다는, 좀 더 나은 세상을 구체적으로 설명할 수 있다면, 우리가 언제 승리하기 시작하는지 알 수 있을 거예요. 그러니까, 저는 재무제표라는 비유가 정말 마음에 들어요. 네. 이 재무제표는 어떤 모습이어야 할까요? 마치 항해사나 나침반처럼, 우리가 나아가야 할 방향을 제시해 주는 지표가 되어야 할까요? 이 재무제표는 어떤 모습일까요?
이브 말러 00:31:08
그러니까 제가 말씀드렸던 리더십 정렬 지도 같은 게 있으면, 특정 집단의 모든 프로필에 공통적으로 나타나는 데이터 하나를 뽑아서 분석해 볼 수 있다는 거죠.
로이 아커만 00:31:21
음-흠.
이브 말러 00:31:22
음, 그리고 아시다시피, i-IDP의 경우 속성이 20개 정도밖에 안 되니까 다행이죠. 마케팅 기술 관련 프로필이라면... 음... 20,000만 개쯤 될 거예요. 그러니까... 처음부터 그런 건 생각하지 마세요. 하지만 어떤 데이터를 찾아서, 그 데이터가 어떤 시스템과 연관되어 있는지, 누가 관심을 가져야 하는지, 왜 관심을 가져야 하는지, 왜 관심을 가져야 하는지 파악해야 합니다. 우리가 데이터를 수집하지 않았으면 해서일까요? 아니면 개인정보 담당자가 수집을 원하지 않아서일까요? 아니면 인사팀이 그 데이터에 대한 유일한 정보 출처라서일까요?
롭 아인스코프 00:31:56
네.
이브 말러 00:31:56
음, 아시다시피, 그건 직원들을 위한 거겠죠. 그리고 다른 누가 애플리케이션에서 그걸 사용하고 있을까요? 사실, 우리는 데이터 흐름을 명확하게 파악하지 못하는 경우가 많아요. 하위 단계로 전달되겠죠. 하지만 이제 그 데이터의 실제 고객을 알게 된 겁니다.
롭 아인스코프 00:32:10
권리.
이브 말러 00:32:10
그들이 거기서 가치를 얻는다는 점에서 상당히 의미심장하다.
롭 아인스코프 00:32:12
네.
이브 말러 00:32:13
네, 동의합니다… 그리고 만약 그 제품에 대한 고객이 거의 없다면, 아마도 처분함으로써 많은 돈과 위험을 절약할 수 있는 제품일 가능성이 높습니다.
롭 아인스코프 00:32:21
덧붙여 말하자면, 우리가 핵심적으로 이야기하고 있는 것은 서비스가 어떻게 사용되고 있는지에 대한 이해와 구체성입니다.
이브 말러 00:32:33
네.
롭 아인스코프 00:32:34
그리고, 음, 제가 이사회에 이 내용을 설명할 때, 스토리텔링이 정말 중요하지만, 그 기본 조건은 정체성 프로그램을 실제로 수행하는 방식으로 평가한다면,
이브 말러 00:32:49
음흠…
롭 아인스코프 00:32:49
그리고 당신에게는 당신에 대한 지표가 없습니다.
이브 말러 00:32:51
음흠
롭 아인스코프 00:32:52
당신이 얼마나 잘하고 있는지 알려줄 수는 있겠지만, 그 이야기를 윗사람에게 전할 희망은 전혀 없을 겁니다. 네.
이브 말러 00:32:57
맞습니다. 그곳은 앞으로도 기반 시설이나 안보 측면에서 낙후된 지역으로 남을 겁니다.
롭 아인스코프 00:33:00
네.
이브 말러 00:33:01
그건 슬픈 일일 거예요. 네. 제 말은, 저는 사람들의 정체성 확립 프로그램을 가속화하고 싶고, 그들의 영향력을 확대하고 싶어요.
롭 아인스코프 00:33:07
동의
이브 말러 00:33:08
이 방정식에서 인간적인 측면이 실제로 가장 중요합니다. 제가 4P라고 부르는 것, 즉 보호, 개인화, 결제, 그리고 사람입니다. 위험 관리, 시장 관리, 거래 관리, 그리고 인간 관리라고 할 수 있겠죠.
롭 아인스코프 00:33:22
권리.
이브 말러 00:33:22
대개 우리를 힘들게 하는 건 사람과 직접 대면하는 부분입니다.
롭 아인스코프 00:33:25
동의하다.
이브 말러 00:33:26
동의합니다. 투자가 부족한 분야인데, 앞으로 엄청난 가능성을 열어줄 겁니다.
롭 아인스코프 00:33:29
네, 전적으로 동감입니다. 사실 지난주에 아주 흥미로운 대화를 나눴는데요, 어떤 분이 CISO를 설득해서 인증서와 패스키 등을 기반으로 하는 암호 없는 보안 방식이 최선이라고 주장하고 있었는데, CISO가 "아니, 나는 볼트가 필요해"라고 해서 굉장히 답답해하더라고요. 그래서 제가 "CISO 입장에서 볼트가 제대로 작동하는 건가요? 그들이 원하는 기능을 제대로 수행하는 건가요?"라고 물어봤죠. 그랬더니 그분이 "네, 그렇습니다."라고 대답하더군요.
이브 말러 00:34:00
음, 그건-
롭 아인스코프 00:34:01
저는 "음-"이라고 생각했죠. 네. 당신은 또 다른 금고를 가지고 있잖아요… 회의에 참석해서 다른 결과를 얻을 수는 없었을 거예요. 그게 전부예요.
이브 말러 00:34:05
오른쪽 …
롭 아인스코프 00:34:05
저는 지금 가진 것에 만족합니다. 왜냐하면 당신은…에 색인을 걸지 않았으니까요. 제가 그 사람에게 했던 조언은 "그들이 중요하게 생각하는 것에 색인을 걸라"는 거였죠. 네. 그렇죠? 어떻게 하면 더 좋거나 최소한 동등한 수준의 보호를 받을 수 있을까요? 음… 사업적으로 중요한 것들 말이에요. 네… 그리고 어쩌면 더 낮은 비용으로요?
로이 아커만 00:34:19
네. 제품 결과물이요.
롭 아인스코프 00:34:21
그렇지.
로이 아커만 00:34:22
제 말은, 그게 요점이라는 거죠. 네. 그리고 아시다시피, 저희가 예전에 '컨트롤 플레인으로서의 아이덴티티'에 대해 이야기했던 에피소드가 있었잖아요. 요즘은 아이덴티티가 중요한 개념이긴 하지만, 그 위에 어떻게 애플리케이션을 구축하고, 다양한 이해관계자들에게 가치를 부여할 수 있을까요?
이브 말러 00:34:34
네.
로이 아커만 00:34:34
제 말은, 당신의 팀원들 외에는 아무도 당신이 일을 처리하는 방식, 즉 '어떻게' 하는지에 대해서는 신경 쓰지 않는다는 겁니다. 중요한 건 '왜' 하는지, 그리고 '왜' 하는지를 어떻게 하면 더 잘할 수 있을까 하는 거죠.
이브 말러 00:34:43
이유. 바로 그 이유 말입니다.
로이 아커만 00:34:44
정말 좋네요. 그리고 저는 그게 우리가 논의했던 내용을 자연스럽게 풀어내는 완벽한 방식이라고 생각해요. 청중들에게 월요일에 업무에 복귀해서 비즈니스 파트너나 리더들과 더 효율적으로 일할 수 있는 기준이나 최소한 틀을 제시한 것 같아요. 네, 동의합니다. 그리고, 만약 당신도 저와 같은 생각이라면, 지금이 딱 적절한 시기일지도 모르겠네요…
롭 아인스코프 00:35:06
속사포처럼 쏟아지는 질문들.
로이 아커만 00:35:07
네 알았어
롭 아인스코프 00:35:09
자, 여기 있습니다. 그럼 신화 하나부터 시작해 볼까요? 이브, 정체성이나 보안에 관한 신화 하나를 꼽아보자면 무엇일까요?
이브 말러 00:35:18
제 생각에 신원 확인은 로그인 창인 것 같습니다.
롭 아인스코프 00:35:24
맞아, 맞아. 그래. 그거 좋은데. 새로운 거네. 좋은데. 아니야.
로이 아커만 00:35:26
둘레,
롭 아인스코프 00:35:26
상자 말고요. 순위표를 만들어 볼게요. 좋아요… 탑기어 스타일처럼 가장 많이 보이는 것들을 모아 순위표를 만드는 거죠. 아, 음… 아직 그런 건 안 해봤는데요…
이브 말러 00:35:32
난 남들과 다른 특별한 사람이 되고 싶어. 맞아… 아무도 생각해내지 못한 그런 사람이 말이야.
롭 아인스코프 00:35:35
아직은 아니야, 아직은 아니야, 아직은 아니야. 응,
로이 아커만 00:35:36
맞춰보세요, 로그인 상자처럼 여러분 바로 옆에 있는 게 뭔지 맞춰보세요. 신원 확인이란…
이브 말러 00:35:41
새로운 경계선.
로이 아커만 00:35:42
확실한.
롭 아인스코프 00:35:42
네, 책에서 그 내용을 다뤘습니다. 딩, 딩, 딩. 네. 정답입니다. 네. 음, 두 번째 질문은 잘못된 관행에 관한 것입니다. 리더들이 흔히 저지르는 실수는 무엇일까요?
이브 말러 00:35:49
그들이 이해관계자들에게 직접 알려야 한다는 거죠. 음, 관점 자체가 잘못됐어요.
로이 아커만 00:35:56
무엇을 알리라는 건가요? 그들이 얼마나 열심히 일하고 있는지를 알리라는 건가요?
이브 말러 00:35:59
이런 일들을 실현시키려면 어떻게 해야 할까요? 음, 아시다시피, 그냥 모두에게 알려야 합니다. RACI 차트는 제쳐두고, 솔직히 RACI 차트라는 말만 들어도 졸음이 쏟아지네요. RACI 차트, 네. 죄송하지만, 이해관계자의 사고방식을 고객의 사고방식으로 바꿔야 합니다.
롭 아인스코프 00:36:10
동의했다.
이브 말러 00:36:10
그러면 당신은 진정한 의미의 섬김 리더가 되는 겁니다. 네… 그리고 그렇게 되죠. 맞아요. 제품 중심적인 사고방식을 갖게 되는 겁니다.
롭 아인스코프 00:36:15
당기는 힘을 생성합니다.
이브 말러 00:36:16
넵.
롭 아인스코프 00:36:17
네, बिल्कुल요. 개인적으로 제가 가장 좋아하는 건, 받아들이기 힘든 진실이에요. 받아들이기 힘든 진실 하나는 뭘까요?
이브 말러 00:36:22
자, 이건 좀 난해한 얘기지만, 의도 기반 접근 제어는 권한 부여를 더 잘하는 것처럼 보이지는 않네요.
로이 아커만 00:36:33
저도 전적으로 동감해요. 소름 돋네요. 하지만 제 생각에는, 저기 부스들을 둘러보면, 사람들이 여전히 자기 삶을 살아가고 있는 것 같아요.
이브 말러 00:36:43
그들은 의도를 더 자세히 정의하고 있는데, 의도는 보안 측면에서 비교적 새로운 문제입니다. 그렇죠. 개인정보 보호 분야와 많이 비슷해 보입니다. 개인정보 보호 분야에서 제대로 구현되지 않은 사용 목적 제약 조건과 비슷하다고 생각합니다. 네. 하지만 이제 이게 문제라는 걸 알았으니 더 잘할 수 있겠죠. 아.
롭 아인스코프 00:36:56
아주 좋습니다. 마지막으로 과대광고된 트렌드에 대해 질문드리겠습니다. 어떤 트렌드가 과대광고되었다고 생각하시나요?
이브 말러 00:37:01
오, 이번엔 비난받을 것 같네요. 으음. 하지만 저는, 아시다시피, 모든 것에는 자연스러운 과대광고 주기가 있다는 걸 알고 있어요.
롭 아인스코프 00:37:05
확실한.
이브 말러 00:37:06
그리고 제 생각에는 에이전트를 방정식에 추가하지 않고 NHI, 즉 비인간 정체성만으로는, 비록 종류는 다르지만, 음, 이제는 다소 의문스러운 부분이 생기기 시작한 것 같습니다. 제가 여기에서 열린 NHI 정상회의에 참석했는데, 어쩌다 보니 그게 NHAI 정상회의로 바뀌었더군요.
로이 아커만 00:37:25
네.
이브 말러 00:37:25
그래서 사업 범위가 확장되고 브랜드 이미지가 바뀌었죠. 제 생각엔 그건 괜찮은 변화인 것 같아요. 네, 맞아요. 아주 좋은 변화라고 생각합니다.
롭 아인스코프 00:37:31
전적으로 동의합니다. 그 분야에서 확실히 많은 변화가 일어나고 있죠? 네. 그래서 많은 진화가 일어나고 있다고 생각합니다.
로이 아커만 00:37:34
네, 맞아요. 어젯밤에 그 주제로 저녁 식사를 함께 했었죠? 네, 그랬어요. 어떤 사람들은 여전히 다른 방식으로 해결해야 한다고 주장하겠지만, 저는 그 의견에 전적으로 동의합니다. 그럼 이만, 정말 감사합니다. 앞으로 남은 이틀 동안 즐거운 시간 보내시길 바랍니다.
이브 말러 00:37:47
네.
롭 아인스코프 00:37:48
전혀.
로이 아커만 00:37:48
네. 감사합니다. 그것은
이브 말러 00:37:49
영광입니다. 두 분과 이야기 나눌 수 있어서 감사합니다.
로이 아커만 00:37:50
그 시간은 네 시간입니다. 그리고
이브 말러 00:37:51
낙.
롭 아인스코프 00:37:52
고맙습니다.
로이 아커만 00:37:53
감사.
롭 아인스코프 00:37:54
이것으로 이번 Identity Decoded 에피소드를 마치겠습니다.
로이 아커만 00:37:56
이 대화를 통해 신원 보안에 대한 생각이 바뀌었다면, 같은 어려움을 겪고 있는 사람과 공유해 보세요.
롭 아인스코프 00:38:03
그리고 다음 에피소드를 놓치지 않도록 방송을 구독하는 것도 잊지 마세요.
