Identity 보안: 보안 리더를 위한 가이드

에 따르면 Netwrix 2026 Data and Identity Security Report에서 2,317명의 IT 및 보안 전문가를 대상으로 한 설문조사 결과, 75%의 민감한 데이터 노출는 손상된 ID 또는 잘못 구성된 권한에서 시작됩니다.

유효해 보이는 접근 권한도 프로비저닝 후 오랜 시간 위험을 내포할 수 있어, 아이덴티티 보안은 단순 기술 문제가 아닌 사이버 복원력 및 비즈니스 거버넌스 문제입니다.

직원 수가 100~5,000명인 조직에서는 이사회 구성원이나 외부 감사인이 누가 어떤 접근 권한을 가지고 있는지, 또는 조직이 안전한지 묻는 질문에 답변하려면 수동 조정이 필요한 경우가 많습니다. 기본 데이터는 Active Directory (AD), Microsoft Entra ID, 여러 SaaS 관리 콘솔 및 스프레드시트에 저장되어 있으며, 이 기록들은 종종 일치하지 않습니다.

체계적인 프로그램은 분산된 데이터를 보안 팀, 이사회 및 감사자가 사용할 수 있는 측정 가능한 상태로 전환합니다. 지속적인 거버넌스는 더 빠른 대응, 방어 가능한 접근 결정 및 명확한 진행 증거를 지원합니다.

아이덴티티 보안이란 무엇인가요?

Identity security는 조직 내 모든 Identity를 침해 및 오용으로부터 지속적으로 보호하는 활동입니다. 부여된 접근 권한이 위험을 초래하는 위치를 식별하고, 해당 접근 권한 사용 방식을 모니터링하며, 이상한 Identity 활동을 차단합니다. 적용 범위는 직원 및 계약자뿐 아니라 서비스 계정, 애플리케이션 Identity, AI 에이전트를 포함합니다.

Identity and access management (IAM)은 적절한 사람이나 기계가 적절한 시기에 적절한 자산에 합법적인 이유로 접근할 수 있도록 하는 관련 분야입니다. IAM은 프로비저닝을 처리하며, 누가 무엇을 받는지 결정하고 설정합니다.

아이덴티티 보안은 해당 결정을 따르며, 공격 전에 예방을 적용하고 공격이 진행 중일 때 탐지 및 대응을 수행합니다. IAM이 구조를 구축하고 아이덴티티 보안이 이를 방어합니다.

왜 Identity Security가 이제 이사회 수준의 위험인지

이사회는 조직의 사이버 복원력 태세의 일부로서 신원 노출을 관리하기 위해 구체적이고 측정 가능한 증거가 필요합니다. 최근 세 가지 요인이 판돈을 높였습니다.

지난해 거의 절반의 조직이 클라우드 계정 침해를 겪었습니다

Netwrix 2026 Data and Identity Security Report에 따르면 AI가 identity 범위를 크게 확대한 조직에서는 지난 12개월 동안 43%의 침해율을 기록한 반면, 크게 변하지 않은 조직에서는 11%에 불과했습니다. 추가된 각 identity는 공격자가 사용할 수 있는 또 다른 자격 증명입니다. 유효한 클라우드 테넌트 자격 증명을 통해 공격자는 이메일을 읽고 데이터를 추출하며 네트워크 경계용으로 설계된 제어를 트리거하지 않고 SaaS 서비스 간에 이동할 수 있습니다.

식별자와 권한이 공격자가 데이터에 접근하는 경로를 관리합니다

민감한 데이터 노출이 발생하는 위치는 공격자가 처음 침입하는 방식과는 별개의 문제입니다. Verizon's 2026 Data Breach Investigations Report (DBIR)에서는 취약점 악용(31%)이 초기 접근 벡터로서 자격 증명 남용(13%)을 앞질렀습니다. 자격 증명 남용은 여전히 침해 사건의 39%에서 어떤 단계에서든 나타났습니다.

일단 내부에 침입하면, 익스플로잇이나 도난당한 비밀번호를 통해서든 데이터 접근은 아이덴티티와 권한을 통해 이루어집니다. 방화벽 제어는 네트워크 트래픽을 관리하며, 아이덴티티와 권한은 데이터 접근을 관리합니다.

보험사들은 이미 갱신 시 이 위험을 가격에 반영하고 있습니다

보험에 가입된 조직 중에서, Netwrix 2025 Cybersecurity Trends Report 에 따르면 IAM 수요가 2023년 38%에서 2025년 48%로 증가했습니다. 갱신 주기에는 이제 신원 관련 질문이 포함되며, 보험료는 그 답변을 반영합니다.

Identity Management 보안이 답해야 할 질문들

실행 가능한 프로그램은 이사회와 감사자가 평가할 수 있는 네 가지 실용적인 질문에 답합니다:

1. 지금 누가 실제로 접근 권한을 가지고 있습니까?
2. 해당 액세스가 정상적으로 사용되고 있습니까?
3. 접근 결정은 나중에 방어할 수 있습니까?
4. 접근 권한이 제때 제거되나요?

지원 분야에는 Privileged Access Management (PAM), 아이덴티티 거버넌스 및 관리 (IGA), Identity Threat Detection & Response (ITDR), 그리고 아이덴티티 보안 태세 관리(ISPM)가 포함됩니다.

지금 이 순간, 모든 시스템에서 누가 무엇에 접근할 수 있나요?

팀들은 일반적으로 이 질문에 대해 시스템별로 답변합니다. AD 팀은 그룹 멤버십을 추출하고, Microsoft 365 관리자는 역할 할당을 내보내며, 각 SaaS 소유자는 콘솔을 가지고 있습니다. 누락된 것은 AD, Microsoft Entra ID, SaaS 및 클라우드를 아우르는 단일 최신 그림으로, 중첩된 그룹 멤버십이 개인이 실제로 보유한 접근 권한으로 해결된 것입니다. 답변은 보통 회의 후 추가 조정이 필요합니다.

해당 액세스가 의도된 대로 사용되고 있습니까?

사람이 계정을 예상 시간 외에 사용할 때, 계정에 올바른 권한이 있더라도 행동은 별도의 검증이 필요합니다. 자격 증명 도용, 횡적 이동, 권한 상승은 권한 관점에서 허용된 활동처럼 보일 수 있습니다. 계정이 허용된 작업을 수행하지만 합법적인 관리자 행동과 일치하지 않는 순서와 속도로 수행되기 때문입니다. 이 질문에 답하려면 시간이 지남에 따른 행동 분석이 필요하며, 이는 ITDR의 역할입니다.

사후에 접근이 적절했음을 보여줄 수 있습니까?

팀이 나중에 유효한 접근 결정 기록을 재구성할 수 없으면 조직은 감사자가 기대하는 증거가 부족합니다. 조직은 누가 접근을 요청했고, 누가 승인했으며, 누가 마지막으로 검토했는지에 대한 기록이 필요합니다. 이 기록은 원래 결정과 현재 권한을 연결합니다.

접근 권한이 적절한 시점에 제거되나요?

작성된 정책과 디렉터리 상태는 빠르게 달라질 수 있습니다. Standing privileged access는 그 이유보다 오래 지속되며, 프로젝트 후에도 활성 상태인 계약자 계정과 오랫동안 떠난 소유자의 서비스 계정은 모두 오늘날 아무도 재승인하지 않을 권한을 남깁니다.

Netwrix 2026 Data and Identity Security Report에 따르면 조직의 76%가 더 이상 필요하지 않을 때 즉시 상시 액세스를 취소할 수 없으며, 이는 리더들이 더 강력한 수명 주기 제어로 해결할 수 있는 문제입니다.

아이덴티티 보안의 핵심 구성 요소

Identity 보안은 프로비저닝, privilege, 거버넌스, 탐지 및 모두가 의존하는 디렉터리를 각 분야가 액세스 수명 주기에 진입하는 순서대로 작업을 분담합니다.

IAM: 접근 권한을 부여하고 관리하는 우산

IAM은 누가 무엇에 접근할 수 있는지 결정하고 이를 제공하는 시스템과 프로세스를 포함하며, 디렉토리, single sign-on, MFA 및 접근 요청을 포함합니다. 보안 통제는 IAM이 부여한 권한을 기반으로 발급된 권한을 검토하여 침해, 오용 또는 누적된 위험 징후를 확인합니다.

Privileged Access Management: 가장 큰 피해를 입힐 수 있는 특권 하위 집합

Privileged Access Management은 도메인 관리자, 클라우드 글로벌 관리자 등 환경 자체를 변경할 수 있는 계정을 관리하며, 서비스 계정에 대한 권한을 포함합니다. PAM 도구는 시스템 및 애플리케이션을 관리하거나 구성하는 데 사용되는 계정, 자격 증명 및 명령에 대해 더 강력한 기술적 제어를 적용합니다.

조직은 이 좁고 중요한 액세스를 위해 별도의 도구와 세션 기록을 사용합니다. 보험사와 감사인이 표준 사용자 액세스보다 이를 더 면밀히 조사하기 때문입니다. Netwrix Cybersecurity Trends Report 2025에 따르면 IT 전문가의 42%가 선택권이 주어진다면 모든 보안 이니셔티브 중 PAM 개선을 우선시할 것이라고 합니다.

IGA: 액세스를 확인하는 거버넌스 계층은 여전히 의미가 있습니다

Identity 거버넌스 및 관리는 주기적 검토 계층을 제공합니다. IAM 프로비저닝이 오늘 누군가가 역할이 필요하기 때문에 미래를 바라본다면, IGA는 과거를 돌아보며 18개월 전에 받은 접근 권한이 여전히 적절한지, 팀이 이미 철회했어야 할 것은 무엇인지 묻습니다. IGA의 핵심 기능에는 identity lifecycle management, 접근 권한 인증 및 접근 요청 처리 기능이 포함됩니다. 감사 목적으로 IGA는 누군가가 접근 권한을 검토했음을 보여주는 인증 기록을 생성합니다.

ITDR: 접근 권한 부여 후 침해 감시

Identity threat detection and response는 실시간 계층을 제공합니다. Gartner는 2022년에 이 범주를 도입했습니다. 자격 증명 도용, 측면 이동, 권한 상승을 발생 시점에 탐지합니다. IGA와 PAM은 팀이 액세스를 올바르게 설정하는지 관리하고, ITDR은 액세스가 존재한 후 오용을 식별합니다.

Directory 보안: 모든 Identity가 의존하는 시스템 보호

Active Directory 및 Entra ID는 다른 분야의 기초를 형성합니다. 손상되거나 잘못 구성된 디렉터리는 디렉터리 제어가 모든 ID의 진실 출처를 변경하기 때문에 모든 분야를 동시에 약화시킵니다.

Five Eyes 지침 Active Directory 침해 탐지 및 완화, 2024년 9월에 처음 발표되어 이후 개정된 이 지침은 Active Directory를 장악하면 악의적인 행위자가 관리하는 모든 시스템과 사용자에 대한 권한 있는 접근 권한을 얻게 된다고 경고합니다.

Identity 보안이 Zero Trust와 맞물리는 위치

사이버보안 및 인프라 보안국(CISA)은 지속적인 검증의 중심에 아이덴티티를 둡니다. CISA의 Zero Trust Maturity Model은 아이덴티티를 다섯 기둥 중 첫 번째로 설정하며, 조직이 피싱 방지 MFA를 사용하여 액세스 전반에 걸쳐 아이덴티티를 지속적으로 검증하는 최적 단계가 있습니다.

지속적인 검증, least privilege 및 실시간 세션 중 신뢰 재평가는 모두 아이덴티티 보안 작업입니다. CISA 모델에 맞춘 Zero Trust 전략은 이를 수행하는 아이덴티티 제어의 강도에 달려 있습니다.

조직의 현 위치를 평가하는 방법

세 가지 연습은 팀이 이미 보유한 도구를 사용하여 방어 가능한 기준선을 만듭니다. 시간 제한이 있는 가시성 테스트, 특권 액세스 승인 검토, 독립적인 디렉터리 스캔은 각각 팀이 리더십이나 감사자에게 제출할 수 있는 특정 산출물을 제공합니다.

하루 동안 효과적인 접근 가시성 테스트 실행

팀에게 "현재 모든 시스템에서 누가 어떤 접근 권한을 가지고 있는지"를 영업일 기준 하루 내에 답변하도록 요청하세요. 사용한 콘솔 수, 소요 시간, 팀이 다루지 못한 시스템을 기록하세요. 완료된 결과는 사용자별 효과적인 접근 권한이 단일로 조정된 목록이거나, 그렇지 못할 경우 이를 생성하지 못한 장애물 목록이 문서화된 형태여야 합니다. 두 결과 모두 이후 이사회 보고서에 포함되어야 합니다.

아무도 승인한 기억이 없는 상시 권한 있는 접근을 검토하세요

서비스 계정 및 중첩 그룹을 통해 관리자 권한을 상속받는 계정을 포함하여 권한이 상승된 모든 계정 목록을 가져옵니다. 각 계정에 대해 누가 승인했는지, 언제 승인되었는지, 그리고 왜 액세스가 활성 상태인지 식별합니다.

완료된 것은 각 항목에 승인 기록이 첨부된 스프레드시트와 취소할 계정의 간략 목록처럼 보입니다. Cybersecurity Maturity Model Certification (CMMC) 2단계 평가자는 정확히 이 아티팩트 세트를 요구하며, 여기에는 명명된 개인과 연결된 활성 시스템 계정 목록과 해당 액세스 승인 기록이 포함되어 있어 이 작업이 감사 준비 역할도 합니다.

표준 체크리스트에 따라 독립적인 디렉터리 스캔을 실행하세요

디렉터리를 MITRE ATT&CK 매핑 평가 또는 AD 침해 기법을 기반으로 한 Five Eyes guidance와 같은 외부 스캔으로 평가하여 독립적인 기준선을 만드세요. 결과는 일반 사용자가 관리자 권한으로 상승할 수 있게 하는 설정 오류와 공격자가 대화형 로그인 없이도 노릴 수 있는 계정을 포함한 순위별 구성 오류 목록입니다.

이사회 및 감사 언어로 정체성 보안 번역

자금 조달은 아이덴티티 결과를 노출, 대응 시간 및 이사회가 조치할 수 있는 방어 가능한 증거로 변환하는 데 달려 있습니다. 미국 기업 이사 협회(NACD)의 Director's Handbook on Cyber-Risk Oversight, 5판(2026)은 경영진에게 해당 변환 책임을 부여합니다.

이사회 대화에서 효과적인 지표

취약점 수는 노력을 측정하는 반면, 이사회는 노출을 확인해야 합니다. 시간 기반의 identity 메트릭은 기술 활동을 비기술 임원이 평가할 수 있는 위험 타임라인으로 변환하여 이러한 관점을 제공합니다. NACD는 이를 최소 분기별 및 중대한 사고 직후에 보고해야 할 메트릭으로 나열합니다:

• 평균 탐지 시간(MTTD): 침해된 ID가 감지되지 않은 채로 있는 시간, 공격자가 탐지되지 않고 측면 이동하거나 권한을 상승시킬 수 있는 기간입니다.
• 평균 대응 시간(MTTR): 불필요하거나 침해된 접근 권한이 식별된 후 이를 철회하는 데 걸리는 시간으로, 조직이 취약점을 얼마나 빨리 차단하는지 직접적으로 측정하는 지표입니다.
• 고비용 사고 비율: Netwrix Cybersecurity Trends Report 2025에 따르면 20만 달러 이상의 공격 피해를 보고한 조직의 비율이 2024년 7%에서 2025년 13%로 거의 두 배로 증가했습니다. 이 추세는 MTTD와 MTTR에 비즈니스 비용 기준을 제공합니다.

감사자가 기대하는 증거

정확한 접근 결정과 그 결정에 대한 증거는 별도의 감사 요구사항입니다. System and Organization Control 2 (SOC 2) 기준 CC6.2는 접근 권한이 더 이상 허용되지 않을 때 사용자 시스템 자격 증명을 제거할 것을 요구하며, AICPA's Trust Services Criteria 는 SOC 2 감사자가 테스트하는 기준을 설정합니다.

검토는 일반적으로 두 가지 유형의 증거를 추적합니다:

• 프로비저닝 및 종료 기록: 승인된 티켓으로 추적된 접근 권한 부여 및 제거 이벤트 샘플이며, 지연된 제거는 예외로 기록됩니다.
• 접근 검토 문서: 검토자 이름, 검토 날짜, 포함된 시스템, 관리자 승인 사항을 초기 부여뿐 아니라 모든 정기 검토마다 기록합니다.

구두 보증은 이러한 테스트를 지원하지 않습니다. 감사자는 기록 시스템에서 타임스탬프가 찍힌 내보내기를 검토 가능한 증거로 간주합니다.

발견 사항을 작업 목록 대신 위험 서술로 전환하기

팀이 디렉터리 결과를 기술적 백로그로 제시할 때, 이사회는 이를 일상적인 유지 관리로 쉽게 간주할 수 있습니다. 동일한 결과를 운영 성과 중심으로 구성하면 위험과 수정 목표가 더 명확해집니다.

예를 들어, “상시 도메인 관리자 액세스에는 추적 가능한 승인 기록이 없다”는 “불필요한 상시 액세스를 제거하면 디렉터리 전체 제어 경로가 좁아지고 승인을 감사할 수 있게 된다”로 바뀝니다.

Netwrix가 실제로 아이덴티티 보안을 지원하는 방법

Netwrix는 디렉터리 평가 및 상태 가시성부터 활동 기록, 권한 집행, 위협 탐지 및 실시간 차단에 이르기까지 하이브리드 Microsoft 환경의 아이덴티티 수명 주기 전반에 걸쳐 제어 기능을 구축합니다. 각 제품은 이 가이드가 시작할 때 제기한 네 가지 질문 중 하나와 연결됩니다.

외부 기준선을 사용한 디렉터리 노출 점수 산정

Netwrix PingCastle는 170개 이상의 MITRE ATT&CK 매핑 검사로 AD 위험을 평가, 점수화 및 순위 매기며, 위의 디렉터리 스캔에서 요구하는 독립적인 기준선을 생성합니다. 디렉터리 제어가 모든 다른 Identity 분야를 뒷받침하기 때문에, 우선순위가 지정된 PingCastle 점수는 광범위한 Microsoft 디렉터리 문제를 기술 구매자가 조치할 수 있는 측정 가능한 작업 목록으로 전환합니다.

정체성 위험에 대한 최신 상태 유지

Netwrix Identity Security Posture Management (ISPM)은 Netwrix 1Secure™ Platform을 통해 제공되며, AD 및 Microsoft Entra ID 전반의 170개 이상의 점검으로 잘못된 구성을 찾아내고 자세한 현황 가시성을 유지하여 팀에 환경 변화에 따라 변하는 최신 상태를 제공합니다.

이는 "누가 지금 무엇에 접근할 수 있는지"에 답하기 위해 필요한 것입니다. SaaS 제공 모델은 설정 작업에서 인프라 프로비저닝을 제거합니다.

하이브리드 활동 기록으로 조사 시간 단축

Netwrix Auditor는 AD, Microsoft 365, 파일 시스템 및 기타 플랫폼 전반의 변경 및 액세스 활동을 기록합니다. 이 기록은 팀이 "왜 액세스가 적절했는지 보여줄 수 있는가"라는 질문에 답하는 데 필요한 증거를 제공하며, 정상 패턴에서 벗어난 활동을 더 빠르게 발견할 수 있는 방법을 제공합니다.

중요 계정에 대한 최소 권한 적용

Netwrix Privilege Secure는 특권 계정에 대해 "접근 권한이 제때 제거되는가"에 직접 답합니다. 상시 관리자 권한을 특정 작업을 위한 적시 접근 권한으로 대체하고, 작업 종료 시 자동으로 제거하며, 결과 세션을 감사 검토를 위해 기록합니다.

Eastern Carver County Schools는 9,300명의 학생 데이터를 보유한 시스템에 대한 상시 관리자 접근을 제거하고, 필요 시 접근 방식으로 대체했으며, 롤아웃을 몇 달이 아닌 며칠 만에 완료했습니다.

접근 오용을 실시간으로 포착

Netwrix Threat Manager는 “해당 접근이 실시간으로 정상적으로 사용되고 있나요?”라는 질문에 답합니다. AD 및 Microsoft Entra ID 환경 전반에서 자격 증명 탈취, 측면 이동, 권한 상승, Kerberoasting, Golden Ticket 공격 및 기타 ID 위협을 탐지하며, Active Directory Certificate Services(AD CS) ESC1-ESC7 기술에 대한 추가 지원도 제공합니다.

Netwrix Threat Prevention는 DCSync, Kerberoasting 및 Pass-the-Hash 공격을 실시간으로 차단하여 한 단계 더 나아갑니다. 탐지와 차단을 두 제품에 분산시켜 권한 그룹, 도메인 컨트롤러 및 Group Policy Objects(GPOs)와 같은 Tier Zero 자산을 보호하면서 제어를 구분합니다.

귀하의 아이덴티티 상태를 파악하세요

하이브리드 Microsoft 환경 전반에 걸친 효과적인 접근 가시성, 추적 가능한 거버넌스 증거, 현재 상태 정보, 적시 탐지 또는 격리가 아이덴티티 보안 투자를 주도해야 합니다.

기준선을 설정하기 위해 작성된 정책과 디렉터리 상태를 비교한 다음, 1일 가시성 테스트, privileged-account 검토 및 독립 스캔을 사용하여 다음 투자가 가장 큰 영향을 미칠 위치를 식별하세요.

데모 요청를 통해 Netwrix가 하이브리드 Microsoft 환경에서 효과적인 액세스를 매핑하고, 상시 권한 있는 액세스를 제거하며, 실시간으로 ID 위협을 탐지하는 방법을 확인하세요.