AI 에이전트의 소유자는 누구입니까? 아마도 아무도 없을 것입니다

에이전트를 도입하는 모든 팀은 의도하지 않았더라도 새로운 ID를 만들고 있습니다. 이 ID는 시스템에 접근하고, 데이터를 이동하고, 누군가를 대신해 행동할 수 있습니다. 지금 중요한 것은 상황이 걷잡을 수 없게 되기 전에 앞서 대응하는 것이며, 첫 단계는 기본적인 질문에 답하는 것입니다. 이 일은 누구의 책임입니까?

에이전트가 데이터를 처리하는 방식에 대한 규칙을 누군가 만들어야 하므로 법무팀일까요? 직원들이 접근 요청 없이 에이전트를 만들면서 ID 수가 늘어나는 것을 지켜보는 ID 팀일까요? 아니면 만든 사람이 책임져야 한다는 논리에 따라 에이전트를 구축한 팀의 관리자일까요?

누구인지 명확히 말할 수 없다면, 솔직한 답은 아마도 아무도 아니라는 것입니다. 이러한 모호함 때문에 접근 권한이 검토되지 않고, 권한이 목적이 끝난 뒤에도 남아 있으며, 주인 없는 에이전트가 계속 활성 상태로 유지됩니다.

Ivanti의 최근 연구에 따르면 IT 전문가의 85%는 모든 AI 에이전트에 지정된 소유자가 있다고 주장하지만, 그 소유자가 누구인지 분명하다고 답한 비율은 42%에 불과합니다. IT가 스스로에 대해 말하는 이야기와 현장의 실제 사이에 43포인트의 격차가 있는 것입니다. "누군가 책임져야 한다"가 "이 특정 역할이 책임지며, 그 역할이 책임을 멈추면 알 수 있는 방법이 여기 있다"로 이어지지 않을 때 이런 일이 벌어집니다.

소유권은 직함이고, 책임은 워크플로입니다

"이 에이전트의 소유자는 누구인가"에 대한 답은 사람만이 아닙니다. 일정에 따라 접근 권한을 다시 확인하고, 정당성이 없어지면 회수하며, 두 가지가 모두 이루어졌음을 증명하는 프로세스도 그 답에 포함됩니다. 그런 프로세스가 없다면 소유권은 허구이며, 책임이 뒷받침되지 않는 직함일 뿐입니다. 책임을 한 번 할당하고 믿을 수는 없습니다. 원래 소유자가 신경 쓰든 쓰지 않든 실행되는 워크플로로 정해진 주기에 따라 계속 증명해야 합니다.

이것이 없을 때의 모습

자신의 엔드포인트에서 자율 코딩 에이전트를 실행하는 개발자를 예로 들어 보겠습니다. IT는 이러한 도구를 승인한 적이 없고 대개 볼 수도 없습니다. 하지만 이를 차단하는 것이 본능적 대응이 되어서는 안 됩니다. 실제 업무 방식에 보조를 맞추는 워크플로를 만드는 것이 대응이어야 합니다.

실제로는 특정 개인에게 연결된 1회성 승인과 반복적인 재증명 주기를 함께 운영하는 것입니다. 먼저 30일 재증명 주기를 도입하십시오. 끝난 프로젝트가 한 분기 내내 접근 권한을 유지할 수 없을 만큼 짧은 기간입니다. 지난 분기의 승인이 여전히 유효하다고 가정하는 대신, 누군가 접근이 아직 정당한지 다시 확인하도록 만듭니다.

이것이 소유권 조직도보다 거버넌스가 중요한 이유입니다. 조직도에는 이름이 적혀 있을 뿐입니다. 주기는 그 이름이 여전히 현실과 일치하는지 확인하고, 일치하지 않으면 접근 권한을 회수합니다.

Netwrix Identity Manager가 지정된 소유자를 검증된 소유자로 만드는 방법

Netwrix Identity Manager는 AI 에이전트가 문제가 되기 훨씬 전인 2018년부터 비인간 ID를 관리해 온 ID 거버넌스 및 관리 솔루션입니다. 서비스 계정과 머신 ID에 적용하는 것과 동일한 인증 및 수명 주기 모델을 에이전트에도 적용합니다.

Identity Manager는 인증 기반 자동 프로비저닝 해제로 이를 처리합니다. AI 에이전트에 부여된 접근 권한은 사람 사용자의 권한과 마찬가지로 정기 인증 대상으로 예약됩니다. 프로젝트가 끝났거나, 소유자가 떠났거나, 접근이 더 이상 정당하지 않다면 인증자는 다시 승인하지 않으며, Identity Manager는 해당 권한을 활성 상태로 두지 않고 자동으로 프로비저닝 해제합니다. 이름을 다시 검증하도록 강제하는 것이 없다면 에이전트의 100%에 이름이 붙어 있는지는 중요하지 않습니다. 검증되지 않았거나 방치된 에이전트는 스스로 접근 권한을 잃습니다.

에이전트에 소유자 지정하기

예약된 캠페인으로 권한 인증하기

결론

모든 AI 에이전트를 ID 프로그램에 포함하고, 접근 권한을 검증할 수 있는 소유자를 지정하십시오. 그런 다음 해당 소유자가 정해진 주기로 재인증하도록 요구하는 인증 캠페인을 예약하십시오. 소유자에게 의견이 필요한 경우 위임을 활성화하여 업무와 더 가까운 협업자의 추천을 받을 수 있게 하되, 책임은 넘기지 않도록 합니다.

소유자가 여전히 서명하며, 접근 권한은 기본적으로 갱신되는 것이 아니라 유지 여부를 판단하는 사람이 검토합니다.

소유자를 지정하는 것은 질문에 한 번 답하는 것입니다. 거버넌스는 지속적으로 답하므로, 조직도가 바뀐 뒤에도 오랫동안 소유권이 유지됩니다.