사후 대응형 감사에서 선제적 거버넌스로: 진정한 데이터 보안 플랫폼의 중요성

현대 IT 보안은 인간의 처리 한계를 넘어섰습니다

하이브리드 IT 환경이 지난 몇 년간 매우 빠르게 성장하는 모습을 우리 모두 지켜봤습니다. 데이터와 ID가 급증하면서 그에 따른 무분별한 확산도 함께 일어나고 있습니다. 온프레미스 시스템은 여전히 데이터센터에서 운영되고 있습니다. 그 위에 SaaS 서비스와 클라우드 인프라를 얹었고, 복잡성을 관리하기 위해, 또는 완전히 새로운 기능을 더하기 위해 새로운 도구를 도입했습니다. 각 계층은 무언가를 더해 주었지만, 동시에 공격 표면을 넓히고 위험 수준을 높였습니다. 이 모든 것은 누군가 AI를 입에 올리기 전부터 이미 사실이었습니다.

지난 몇 년간 AI는 큰 화제였고, 그럴 만합니다. AI가 현대 조직에 가져다주는 이점은 놀랍습니다. 경영진이 생산성을 높이고 마침내 “적은 자원으로 더 많은 일을 한다”는 격언을 실현하기 위해 조직 전체에 AI를 도입하려는 것은 당연합니다. 하지만 한 가지 단서가 있습니다. AI는 더 많은 데이터를 의미하기도 합니다. 사람이 훨씬 빠른 속도로 만들어내고, 에이전트가 기계의 속도로 생성하는 데이터입니다. 에이전트형이든 아니든 새로운 도구를 도입하고, 기존보다 더 복잡한 ID를 만들어내고 있습니다. 공격 표면과 위험은 기하급수적으로 커집니다. AI 도구는 그 자체의 새로운 위험을 가져오고, 이미 환경 속에 있던 취약점을 드러냅니다.

기본적인 차단과 대응만으로는 충분하지 않습니다

접근 노출 문제는 전통적으로 보안팀의 몫이었고, 팀들은 익숙한 전술적 방식을 꺼내 들었습니다. 모니터링, 알림, 대응, 위협 완화입니다. 모니터링을 설정하고, 위반 알림을 받고, 대응하는 방식입니다. 대부분이 익숙한 모델이며, 대체로 통했습니다.

문제는 양입니다. 이벤트, 알림, 경보는 소규모이고 여력이 부족한 팀이 처리할 수 있는 속도보다 빠르게 쌓이고, 그 일이 왜 일어났는지 파고들 시간은 거의 없습니다. 그래서 눈앞의 가장 급한 위험부터 처리하고 닫은 뒤 다음으로 넘어가지만, 다음 알림이 도착하면 다시 출발점으로 돌아갑니다. 근본 원인과 다음 알림을 막아 줄 관행을 건너뛰면, 결국 다음 위반을 쫓아다니는 끝없는 싸움에 갇히게 됩니다. Netwrix의 CEO인 Grady Summers는 이렇게 분명하게 말했습니다. “AI는 사람의 속도로 이뤄지는 검토가 따라갈 수 있는 것보다 빠르게 ID를 추가하고 데이터에 접근하며, 공격자는 몇 초 만에 영향을 일으킬 수 있습니다. 거버넌스는 그 속도로 작동해야 하며, 그렇지 않으면 보여주기에 불과합니다.”

보안 위험은 악의가 아니라 필요에서 비롯되는 경우가 많습니다

대부분의 접근 위험은 선의에서 시작됩니다. 전혀 다른 문제를 해결하는 과정에서 나타납니다. 접근 요청 IT 티켓의 홍수를 줄이기 위해 모두에게 열어 둔 회사 파일 공유를 떠올려 보십시오. 당시에는 충분히 합리적인 선택이었습니다. 클라우드 마이그레이션 기한을 맞추려고 전체 공개로 열어 둔 SharePoint 사이트를 떠올려 보십시오. 상황이 정리되면 다시 잠그려 했지만 결코 그렇게 되지 않습니다. 수년 전 인수합병 과정에서 서로 중첩된 도메인과 그룹을 떠올려 보십시오. 프로젝트는 훨씬 전에 끝났지만, 그것이 남긴 접근 권한을 정리하러 돌아온 사람은 없었습니다.

평균적인 Active Directory 포리스트를 들여다보면 한 조직의 역사를 보게 됩니다. 우리 대부분은 고고학 유적 같은 환경을 물려받았습니다. 한때는 각각 타당했던 결정이 층층이 쌓여 있고, 누구도 승인했다고 기억하지 못하는 접근 권한을 여전히 조용히 부여하고 있습니다. 빠른 AI 도입은 이를 더 빠르게, 사후 정리로는 따라잡을 수 없는 규모로 반복할 위험이 있습니다.

거버넌스가 이 악순환에서 벗어나는 길입니다

많은 조직이 이 악순환을 끊지 못하며, 이는 노력이 부족해서인 경우가 드뭅니다. 당장의 위험을 완화하는 데 머물고, 거버넌스를 구축하는 단계로 넘어가지 못합니다. 거버넌스란 위험 이면의 필요를 해결하는 프로세스, 조직의 요구가 바뀜에 따라 계속 조정되는 통제, 모든 것을 안전하게 유지하기 위한 감독과 관리 책임을 뜻합니다. 이를 건너뛰면 IT와 보안팀은 계속해서 불을 끄는 데 매달리게 됩니다.

거버넌스는 가시성에서 시작합니다. 현재 위치에 대한 실제 그림입니다. 전체 노출 수준, 디렉터리 위생, 도메인 구성, 접근 노출, 그리고 데이터·ID·인프라 전반의 보안 태세를 아우르며, 이 모두가 데이터에 기반해 매핑되고 평가됩니다.

가시성을 확보하면 통제를 도입할 수 있습니다. 접근 권한을 적정 수준으로 조정하고 정기 접근 검토를 자동화하여, 최소 권한 접근을 일회성 프로젝트가 아닌 상시 통제로 적용합니다. 이후 접근과 사용 현황을 지속적으로 모니터링합니다. 더 나아가 열려 있는 접근, 잘못된 구성, 위험한 그룹 관계, 취약한 통제, 익명 또는 외부 공유와 같은 보안 모범 사례 위반을 사고로 번지기 전에 자동으로 해결합니다.

이것이 앞서 말한 파일 공유와 SharePoint 사이트의 악순환을 끊는 방법입니다. 이것이 ID 인프라를 잘 관리하고 건강하게 유지하는 방법입니다. 접근 권한이 적정 수준으로 조정되어 관리되고 ID가 정돈되면, 셀프서비스 접근 요청을 안전하게 자동화할 수 있습니다. IT팀으로 향하는 티켓 흐름을 줄이면서, 사람들에게 필요한 접근 권한을 모두, 그리고 필요한 만큼만 제공할 수 있습니다.

소유자를 지정하면 큰 효과가 있습니다

대부분의 경우, 핵심 데이터 자산과 주요 권한에 소유자를 지정하면 상당한 차이가 생깁니다. 소유권은 중앙 보안팀이 줄 수 없는 두 가지를 가져다줍니다.

첫째, 의사결정이 적절한 사람의 손에 놓입니다. 데이터셋과 가장 가까운 사람이나 특정 그룹을 책임지는 사람은, 세 부서 떨어진 곳에서 갖고 있지 않은 맥락을 짐작해야 하는 보안 분석가보다 누가 접근해야 하는지 훨씬 잘 판단할 수 있습니다. 둘째, 부담이 분산됩니다. 소규모에 과부하가 걸린 IT·보안팀이 모든 접근 결정을 혼자 짊어지는 대신, 처음부터 이런 결정을 내렸어야 할 사람들, 즉 비즈니스 쪽에 거버넌스 책임을 넘기게 됩니다.

시간이 지날수록 쌓이는 보너스도 있습니다. 책임을 지는 소유자들은 조직이 스스로 거버넌스를 고민하도록 이끄는 경향이 있어, 보안 우선 사고방식이 외부에서 덧붙여진 것이 아니라 사업 운영 방식의 일부가 됩니다.

AI는 거버넌스가 없는 모든 ID의 위험을 높입니다

AI 도입은 경영진이 빠르게 추진하고 싶어 하는 프로젝트입니다. 하지만 이점이 아무리 매력적이어도 도입의 위험이 줄어드는 것은 아닙니다. 빠른 AI 도입에 따른 위험은 두 가지로 나뉩니다.

첫 번째는 사용자를 대신해 작동하는 도구입니다(Copilot을 생각해 보십시오). 이들은 사용자의 권한을 그대로 상속하므로, 대부분 이미 존재하던 위험을 수면 위로 드러냅니다.

두 번째는 그에 못지않게, 어쩌면 더 심각합니다. 자체적인 상시 권한을 가진 자율 에이전트와 AI 파이프라인입니다. 하나가 침해되거나 통제를 벗어나면 피해 범위가 막대해질 수 있습니다. Drift 사건이 이를 증명합니다. Salesloft의 AI 채팅 에이전트는 고객의 핵심 Salesforce 데이터에 대한 광범위한 상시 조회 권한을 가진 OAuth 토큰을 보유하고 있었습니다. 공격자는 2025년 3월 말부터 9월 초까지 그 접근 권한을 보유했습니다. 실제 유출은 8월에 약 열흘간 이어졌지만 누구도 알아채지 못했고, 700곳이 넘는 조직이 피해를 입었으며 그중에는 매우 유명한 기업도 있었습니다. Google Cloud와 Mandiant의 권고는 Palo Alto Networks의 자체 성명의 뒷받침과 함께, 애플리케이션에는 필요한 최소한의 접근 권한만 부여해야 하며 기본값으로 전체 권한을 주어서는 안 된다고 분명하게 밝혔습니다.

업계는 수년간 서비스 계정과 비인간 ID를 따라잡으려 노력해 왔지만 아직 거기에 이르지 못했습니다. Netwrix의 2026 데이터 및 ID 보안 보고서는 76%의 조직이 비인간 ID를 완전히 관리하지 못하고 있다고 밝혔습니다. 여기에 스스로 행동하고, 넓은 범위에 접근하고, 자신의 권한을 높이고, 빛의 속도로 움직이는 에이전트를 더해 보십시오. 관리되지 않는 에이전트 하나만으로도 순식간에 큰 부담이 될 수 있습니다.

거버넌스는 두 가지 측면을 모두 다룹니다. 도구가 직원이 보지 말아야 할 데이터를 노출하지 않도록 상시 권한을 검토하고 적정 수준으로 조정하며, 그렇지 않으면 통제 없이 날뛸 에이전트에 대해 책임질 사람을 지정합니다. 또한 SharePoint 사이트에서 활성화된 로컬 에이전트나 승인과 통제 없이 도입된 섀도 AI 도구처럼 초대받지 않고 나타나는 에이전트도 포착합니다. 이러한 모든 도구와 에이전트는 다른 권한 있는 ID와 똑같은 소유권 관리를 받아야 합니다.

거버넌스가 안전한 AI 도입을 가능하게 합니다

성숙한 거버넌스는 사후 대응에서 벗어나 선제적인 단계로 나아가게 합니다. 스위치를 켜는 것이 아니라 하나의 곡선으로 그려 보십시오. 같은 보고서에서 Netwrix는 조직이 환경을 보호하고 AI를 안전하게 도입하기 위해 거치는 다섯 가지 성숙 단계를 사후 대응(Reactive)에서 최적화(Optimized)까지 정의했습니다.

사후 대응(Reactive) 단계는 데이터 민감도, 접근, 위험에 대한 일관된 시각 없이 문제를 사후에 발견합니다. 인식(Aware) 단계는 문제를 이해하지만, 진화하고 강제되는 정책으로 앞서가지 못한 채 같은 해결책을 반복합니다. 관리(Managed) 단계는 검색과 통제를 일정에 따라 실행하지만, 그 사이에 권한이 그대로 남고 해결이 뒤처집니다. 서류상 규정 준수에는 충분할 수 있으나 보안에는 충분히 견고하지 않습니다. 선제(Proactive) 단계는 가시성과 통제를 지속적으로 운영합니다. 적시(just-in-time) 접근을 기본으로 하고, 위험한 조합을 식별하며, 통제를 비인간 ID와 AI 에이전트로 확장합니다. 위험을 사고가 되기 전에 포착하고, 자동화된 거버넌스가 습관이 됩니다. 최적화(Optimized) 단계는 ID, 데이터, AI가 하나로 작동하는 단계입니다. 해결은 지속적인 자동화로 이뤄지며, ID, 데이터, 인프라, AI의 신호를 결합해 조직 전체에 정책을 실시간으로 적용하는 진화하는 보안 태세를 갖춥니다.

보고서에 따르면 대부분의 조직은 아직 초기 세 단계 중 하나에 머물러 있지만, 최적화된 거버넌스 상태로 가는 명확한 길이 있습니다. 좋은 데이터 보안 플랫폼이 그곳으로 이끌어 줍니다. 에이전트와 비인간 ID를 포함한 데이터와 ID의 지속적인 검색, 자동 해결을 갖춘 상시 위험 분석, 잘 정의된 정책·통제·플레이북을 갖춘 확립된 소유권, 그리고 데이터, ID, AI, 인프라 전반에 걸친 태세와 성숙도의 지속적인 기록을 제공하며, 이 모두가 일회성 스캔이 아니라 함께 작동합니다. 모든 것을 위험에 빠뜨리지 않고 AI 도입을 실질적인 가치로 바꾸는 유일한 조합이라고 저는 생각합니다. 최고의 플랫폼은 거버넌스를 세 단계로 운영합니다. 도입 전의 선제적 작업, 배포 중의 모니터링, 이후의 지속적인 적용입니다. 팀의 부담을 늘리지 않으면서 데이터 소스부터 엔드포인트까지 모든 것을 다룹니다.

첫 한 시간 안에 가치를 제공하는 플랫폼은 안전한 AI 도입, 높아지는 거버넌스 성숙도와 결합하여 소규모 팀이 엔터프라이즈급 보안 조직처럼 운영할 수 있게 합니다. 이것이 우리가 Netwrix 1Secure를 만든 이유입니다.

직접 확인해 보십시오. 사용 중인 환경에서 무료 체험을 시작하거나, 브라우저 내 데모를 실행하거나, 새로운 AI Security 솔루션의 베타 프로그램에 참여해 보십시오.